TL;DR
Vid plenarmötet som tillkännagavs den 21 september 2026 antog EDPB riktlinjer 04/2026 om hur myndigheterna avgör om de ska ta ut en sanktionsavgift, ensam eller tillsammans med de andra korrigerande befogenheterna i artikel 58.2. Fem steg: rättslig grund för avgiften, ansvarig part, uppsåt eller oaktsamhet, försvårande och förmildrande omständigheter, effektivitet och proportionalitet. Mindre överträdelse: som regel ingen avgift, möjligen en reprimand. Icke mindre överträdelse: stark presumtion för avgift. Fjorton praktiska exempel. De ersätter artikel 29-gruppens riktlinjer från 2017 och kompletterar riktlinjer 04/2022 om beräkning av beloppet. Samråd till 13 november 2026. Samma möte antog den slutliga versionen av riktlinjer 3/2025 om samspelet mellan DSA och GDPR.
Vad som ändras
Riktlinjer 04/2022 förklarar hur avgiftens storlek beräknas. Steget före saknades: när en myndighet måste ta ut avgift och när en annan åtgärd räcker. De nya riktlinjerna fyller luckan och ersätter artikel 29-gruppens gamla dokument. De beskriver också varje korrigerande befogenhet — varningar, reprimander, förelägganden, begränsningar och förbud, återkallande av certifiering — med syfte och hur den kombineras med avgift.
De fem stegen
- RÄTTSLIG GRUND. Myndigheten kontrollerar att överträdelsen kan leda till avgift enligt GDPR eller nationell rätt.
- VEM SOM ANSVARAR. Personuppgiftsansvarig eller personuppgiftsbiträde, beroende på vem den överträdda bestämmelsen binder: säkerheten i artikel 32 binder till exempel båda.
- UPPSÅT ELLER OAKTSAMHET. Ingen skuld, ingen avgift. Det är linjen som EU-domstolen redan drog i Deutsche Wohnen (C-807/21, 5 december 2023).
- FÖRSVÅRANDE OCH FÖRMILDRANDE OMSTÄNDIGHETER. Är överträdelsen mindre blir det som regel ingen avgift och högst en reprimand; är den inte mindre finns en stark presumtion för avgift.
- EFFEKTIV, PROPORTIONELL, AVSKRÄCKANDE. Den sista kontrollen, med utrymme att avvika från standardmetoden när fallet motiverar det.
Presumtionen som räknas
Den skarpaste punkten är steg fyra. Utanför mindre överträdelser är avgiften inte längre ett alternativ som måste motiveras, utan regeln som man bara avviker från av goda skäl. Den som räknade med en första reprimand ”av välvilja” har mindre utrymme.
Varför det gäller även små organisationer
Riktlinjerna ska samordna de europeiska myndigheterna: samma överträdelse bör få samma svar i Rom, Lissabon eller Stockholm. För en organisation blir det ännu mer förutsebart vad som väger i steg fyra — samarbete, redan vidtagna åtgärder, befintlig dokumentation, snabba åtgärder. Och just det bygger man upp i förväg, inte under en tillsyn.
Vad det betyder för dataskyddsombudet
Fyra drag
Ett: skuld är ett villkor och bedöms utifrån vad organisationen visste och hade gjort. Registerförteckning, konsekvensbedömningar, riskanalyser och daterade rutiner visar att oaktsamhet saknas eller är ringa. Två: dokumentera korrigerande åtgärder med datum och ansvariga, eftersom de räknas som förmildrande. Tre: en reprimand är inte ”ingenting”: beslutet ligger kvar och väger som prejudikat. Fyra: synpunkter kan lämnas till 13 november 2026. I DPO Workspace håller registerdiagnosen och aktivitetshistoriken redan ihop datum, beslut och motiveringar.
Söker du ett verktyg för ditt arbete som dataskyddsombud?
DPO Workspace är byggt av ett certifierat dataskyddsombud. 30 dagar gratis.
Börja gratis
