TL;DR
21. september 2026 vedtok EDPB retningslinjene 04/2026 om utøvelsen av myndigheten til å ilegge overtredelsesgebyr sett i forhold til de øvrige korrigerende tiltakene. Fem trinn: de tre første er de rettslige vilkårene for at gebyr er mulig, de to siste valget mellom gebyr og et annet tiltak. Er bruddet mindre alvorlig, som hovedregel ingen bot og en irettesettelse i stedet; er det ikke mindre alvorlig, sterk presumsjon for at bot skal ilegges. De erstatter veiledningen fra artikkel 29-gruppen fra 2017 og utfyller retningslinjene 04/2022 om beregning av beløpet. Fjorten praktiske eksempler. Offentlig høring til 13. november 2026.
Spørsmålet som manglet
Siden 2022 finnes en europeisk metode for å beregne størrelsen på et gebyr. Udekket sto spørsmålet som kommer først: skal gebyret ilegges, eller holder det med irettesettelse, advarsel, pålegg? Artikkel 58 gir myndighetene en vifte av korrigerende tiltak, og artikkel 83 sier at gebyret kommer i tillegg til eller i stedet for de andre tiltakene — men ikke på hvilket vilkår. Det er dette rommet retningslinjene fyller.
Veien har fem trinn. De tre første prøver om et gebyr er rettslig mulig: om bruddet kan lede til det, etter forordningen eller nasjonal rett; om parten som undersøkes kan være adressat; om bruddet er begått forsettlig eller uaktsomt. De to siste gjelder valget: skjerpende og formildende omstendigheter, og til sist om et gebyr ville være effektivt, forholdsmessig og avskrekkende i den konkrete saken.
- TRINN 2, det undervurderte: om parten kan ilegges gebyr avhenger av HVEM som er bundet av bestemmelsen som er brutt. En databehandler svarer ikke for en plikt forordningen legger på den behandlingsansvarlige alene, og omvendt. Den prøvingen kommer før enhver samtale om beløpet.
- TRINN 3: skyld er et VILKÅR for gebyret, ikke en faktor som øker det. Uten forsett eller uaktsomhet åpnes samtalen om beløpet ikke i det hele tatt.
- TRINN 4: her kommer skillet mindre alvorlig / ikke mindre alvorlig inn, og med det presumsjonen.
- TRINN 5: vurderingen av effektivitet, forholdsmessighet og avskrekking kan begrunne avvik fra standardtilnærmingen, men avviket må begrunnes.
«Mindre alvorlig» betyr ikke «liten»
Klassifiseringen skjer i trinn 4, sammen med skjerpende og formildende omstendigheter, ikke ved å telle registrerte. Et brudd som rammer én person kan være ikke mindre alvorlig — på grunn av opplysningenes art, skaden, opptredenen etterpå. Og motsatt retning er den som endrer forsvarsvanene: utenfor de mindre alvorlige tilfellene er presumsjonen ikke lenger at det skal diskuteres, men at bot følger. Å bygge en klients forsvar på at «det skjedde ikke noe alvorlig» betyr nå å bevise at bruddet er mindre alvorlig, ikke bare å påstå det.
Det er noe å gjøre innen 13. november
Teksten er på offentlig høring til 13. november 2026. Det er ingen formalitet: retningslinjene inneholder fjorten praktiske eksempler på hvordan en myndighet bør velge tiltak, og eksemplene er den delen som senere siteres i saker. Den som driver med dette har stoff til å kommentere — særlig om tilfellene der et pålegg om å bringe forholdet i orden oppnår resultatet og et gebyr ikke gjør det.
I mellomtiden endres lite i det daglige og mye i hvordan man skriver innlegg. Behandlingsprotokollen, dokumentasjonen av avgjørelsene og sporbarheten av hvem som bestemte hva er fortsatt det som beveger trinn 3 og 4: skyld og formildende omstendigheter bevises med papirene som fantes før, ikke med dem som skrives etterpå.
Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
