Bruxelles, den 21. september – Databeskyttelsesrådet har på sit seneste plenarmøde vedtaget retningslinjer for anvendelsen af beføjelsen til at pålægge administrative bøder i forbindelse med andre korrigerende beføjelser i henhold til GDPR og den endelige udgave af sine retningslinjer for samspillet mellem forordningen om digitale tjenester og GDPR.

Databeskyttelsesrådets nye retningslinjer er et vigtigt skridt i retning af yderligere tilpasning af, hvordan databeskyttelsesmyndighederne beslutter, om der skal pålægges en administrativ bøde, enten alene eller sammen med andre korrigerende foranstaltninger.

Databeskyttelsesforordningen øgede databeskyttelsesmyndighedernes korrigerende beføjelser betydeligt, idet bøder fungerede som et vigtigt instrument til effektiv håndhævelse. Retningslinjerne bekræfter vores tilsagn om at skabe større klarhed og sikre en konsekvent anvendelse af GDPR i hele Europa.

Næstformand for Databeskyttelsesrådet, Jelena Virant Burnik

Databeskyttelsesmyndighederne bør følge en femtrinsmetode, når de træffer afgørelse om, hvorvidt der skal pålægges en administrativ bøde:

1. Databeskyttelsesmyndigheden kontrollerer, om overtrædelsen kan føre til en bøde, ved at finde støtte enten direkte i GDPR eller i national ret.
2. Databeskyttelsesmyndigheden afgør, om den part, der er genstand for undersøgelsen, kan pålægges en bøde for den pågældende overtrædelse. Hvorvidt den dataansvarlige eller databehandleren er ansvarlig, afhænger af, hvem der er bundet af den overtrådte bestemmelse.
3. Datatilsynet vurderer, om overtrædelsen er begået forsætligt eller uagtsomt, da en culpøs overtrædelse er en betingelse for at pålægge en bøde.
4. Databeskyttelsesmyndigheden vurderer mulige skærpende og formildende faktorer. Hvis overtrædelsen er af mindre omfang, vil der generelt ikke være nogen bøde, og der kan i stedet udstedes en irettesættelse. hvis den ikke er ubetydelig, er der en stærk formodning om, at der bør pålægges en bøde.
5. Databeskyttelsesmyndigheden vurderer, om pålæggelse af en administrativ bøde vil være effektiv, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning. I den forbindelse kan databeskyttelsesmyndigheden overveje, om der i det konkrete tilfælde er grund til at afvige fra standardtilgangen.

Retningslinjerne giver også et overblik over de korrigerende beføjelser inden for de nationale databeskyttelsesmyndigheders ansvarsområde og forklarer deres formål, anvendelsesområde og indbyrdes forhold. Afhjælpende foranstaltninger omfatter advarsler, irettesættelser, påbud, begrænsninger (herunder forbud) og tilbagekaldelse af certificering.

Databeskyttelsesrådet giver også 14 praktiske eksempler på, hvordan databeskyttelsesmyndighederne kan vurdere de særlige forhold i en sag og beslutte, hvilke korrigerende foranstaltninger der eventuelt skal træffes.

Retningslinjerne vil være genstand for en offentlig høring indtil den 13. november 2026 og give interessenterne mulighed for at fremsætte bemærkninger og give feedback.

Retningslinjer for retsakten om digitale tjenester og GDPR færdiggjort efter offentlig høring

Efter en offentlig høring vedtog Databeskyttelsesrådet den endelige udgave af sine retningslinjer for samspillet mellem retsakten om digitale tjenester og GDPR. Retningslinjerne støtter en konsekvent anvendelse af begge retsakter, navnlig når bestemmelserne i forordningen om digitale tjenester vedrører formidlingstjenesteudbyderes behandling af personoplysninger og henviser til begreber og definitioner, der er fastsat i GDPR.

Note til redaktørerne:

* Disse retningslinjer erstatter Artikel 29-Gruppens retningslinjer for anvendelse og fastsættelse af administrative bøder med henblik på forordning 2016/679 og supplerer de tidligere vedtagne retningslinjer for beregning af administrative bøder i henhold til GDPR, som snarere fokuserer på metoden til beregning af størrelsen af en administrativ bøde.

Dette er en offentlig høring automatiseret oversættelse og kan indeholde fejl. Den erstatter ikke den officielle engelske udgave.