När det blir sanktionsavgift och när inte: EDPB skriver ned delen som saknades

Skillnaden mellan de två dokumenten är det enda man måste förstå ordentligt. 2022 års riktlinjer besvarar frågan «hur mycket»: man utgår från allvaret, hittar en startpunkt, tillämpar faktorerna i artikel 83.2 och ser på omsättningen. 04/2026 besvarar en fråga som kom först och som ingen hade skrivit ned ordnat: «blir det över huvud taget en avgift, och varför inte en reprimand, ett föreläggande eller en begränsning». Fram till i går var den delen praxis, det vill säga den skilde sig mellan myndigheter.

Metoden har fem steg, lästa i ordning: vart och ett kan avsluta ärendet före nästa.

• Först: myndigheten kontrollerar att den påstådda överträdelsen alls kan leda till en avgift, med stöd i GDPR eller i nationell rätt.
• För det andra: den kontrollerar att den undersökta parten kan vara adressat. Om den personuppgiftsansvarige eller biträdet svarar beror på vem den överträdda bestämmelsen binder.
• För det tredje: den bedömer om överträdelsen begåtts uppsåtligen eller av oaktsamhet. Skuld är ett villkor för avgiften, inte en rabattfaktor.
• För det fjärde: den väger försvårande och förmildrande omständigheter. Är överträdelsen ringa påförs som regel ingen avgift utan en reprimand; är den inte ringa gäller en stark presumtion för att avgift ska påföras.
• För det femte: den kontrollerar att avgiften är effektiv, proportionerlig och avskräckande i det enskilda fallet, och om det finns skäl att avvika från standardansatsen.

Det tredje steget förtjänar samma uppmärksamhet, av motsatt skäl. Skuld presenteras som ett villkor: utan uppsåt eller oaktsamhet påförs ingen avgift. Det ser ut som goda nyheter för den ansvarige, och delvis är det så, men det slår genast om i en praktisk börda. Frånvaro av skuld påstås inte, den visas: med datumet då en risk upptäcktes, det råd dataskyddsombudet gav, beslutet fattat av det organ som fick fatta det, den åtgärd som genomfördes. En organisation som inte lämnar spår av detta har inget sätt att skilja sig från en oaktsam, eftersom de två utifrån sett liknar varandra mycket.

Den mest användbara delen av dokumentet, för dem som gör arbetet, är de fjorton praktiska exemplen: fall byggda för att visa hur en myndighet väljer mellan reprimand, föreläggande, begränsning, förbud, återkallelse av certifiering och avgift, och när den kombinerar dem. Det materialet är värt mer än många sidor principer, eftersom det gör gränsen mellan situationer läsbar.

En sista sak, och den har en tidsfrist. Texten är öppen för offentligt samråd till den 13 november 2026: vem som helst kan lämna synpunkter, inte bara branschorganisationer. För en byrå med klienter i flera medlemsstater är det ett konkret tillfälle, eftersom det just är ojämnheten mellan nationella myndigheter som dessa riktlinjer säger sig vilja få bort.