Det Europæiske Databeskyttelsesråd (EDPB) har offentliggjort udkast til retningslinjer, som kan ændre, hvordan GDPR-håndhævelsen fungerer i praksis. Ifølge et resumé af udkastet fastlægger forslaget en EDPB-formodning om GDPR-bøder for ikke-mindre overtrædelser, kombineret med en bevidst lav tærskel for at fastslå uagtsomhed. I klare vendinger vil tilsynsmyndighederne tage udgangspunkt i antagelsen om, at en alvorlig overtrædelse fortjener en bøde, og virksomhederne vil bære en større byrde med at vise, hvorfor det ikke bør være tilfældet.
Det kildemateriale, der er tilgængeligt for denne historie, er begrænset til et resumé, så dette indlæg holder sig til, hvad resumeet angiver, og forklarer de sandsynlige konsekvenser i generelle vendinger.
Hvad EDPB's udkast til retningslinjer foreslår
Kernen i udkastet er et skift i standarden. Indtil nu har tilsynsmyndighederne haft en række korrigerende beføjelser under GDPR, fra irettesættelser og påbud om at efterleve til administrative bøder. Udkastet til retningslinjer foreslår, at for overtrædelser, der ikke er mindre, bør en bøde være det forventede resultat snarere end én mulighed blandt mange.
To elementer skiller sig ud i resumeet:
- En formodning til fordel for bøder for ikke-mindre overtrædelser.
- En bevidst lav tærskel for uagtsomhed, hvilket er vigtigt, fordi skyld er en central betingelse for at pålægge en bøde.
Resumeet bemærker også, at organisationer vil skulle dokumentere robuste foranstaltninger for at vise, at de handlede med passende omhu. Udkastet er et forslag, ikke endelig vejledning, så detaljerne kan ændre sig efter høringen.
Hvorfor en lav uagtsomhedstærskel ændrer håndhævelsen
Bøder under GDPR afhænger generelt af, om en overtrædelse var forsætlig eller uagtsom. Hvis det er vanskeligt at bevise uagtsomhed, kan tilsynsmyndighederne tøve med at give bøder, eller sager kan gå i stå i diskussioner om, hvad en virksomhed vidste eller burde have vidst.
En lav tærskel ændrer denne dynamik. Hvis en virksomhed undlod at tage de skridt, som en rimeligt omhyggelig organisation ville tage, kan uagtsomhed fastslås uden meget yderligere undersøgelse. Kombineret med en formodning om bøder vil det gøre det sværere for en organisation at argumentere for, at en overtrædelse blot var uheld eller en ærlig forglemmelse.
Dette passer med den bredere bevægelse mod konsistens. EDPB har allerede indført en femtrins tilgang til beregning af bøder, som vi dækkede i vores forklaring om EDPB's femtrins GDPR-bødemetode. Den metode handler om, hvor stor en bøde bør være. Det nye udkast behandler det tidligere spørgsmål om, hvorvidt en bøde overhovedet bør pålægges. For baggrund om bødeniveauerne og skyldens rolle, se vores guide til GDPR-bøder og sanktioner i 2026.
Hvad dette betyder for dig
For almindelige mennesker vil den praktiske effekt være indirekte, men betydningsfuld. Retten til privatliv på papiret betyder kun noget, hvis der er konsekvenser, når den ignoreres. Hvis bøder bliver det forventede svar på alvorlige overtrædelser, har virksomhederne en stærkere økonomisk grund til at:
- Indsamle mindre personlige data i første omgang.
- Sikre de data, de beholder, og dokumentere hvordan.
- Besvare anmodninger om indsigt, sletning og indsigelse rettidigt.
- Uddanne personale og screene leverandører, der håndterer kundedata.
Dette betyder ikke, at enhver klage vil ende med en sanktion, og det garanterer ikke hurtigere resultater for enkeltpersoner. Mindre overtrædelser forventes behandlet anderledes, og retningslinjerne er stadig i udkastform. Men retningen går mod håndhævelse, der har reel vægt.
Organisationer vil derimod sandsynligvis fokusere på dokumentation. Under denne tilgang kan evnen til at fremvise registre, risikovurderinger og hurtig korrigerende handling være forskellen mellem en bøde og en mildere reaktion.
Sådan udøver du dine GDPR-rettigheder i dag
Du behøver ikke vente på, at retningslinjerne bliver endelige. Hvis du er i EU eller EØS, eller en virksomhed behandler dine data under GDPR, kan du allerede handle:
- Bed om indsigt. Send en anmodning om indsigt for at finde ud af, hvad en virksomhed har om dig, og hvordan den bruger det.
- Anmod om sletning. Hvis dataene ikke længere er nødvendige, eller du trækker dit samtykke tilbage, bed virksomheden om at slette dem.
- Gør indsigelse mod behandling. Du kan gøre indsigelse mod visse anvendelser, herunder direkte markedsføring.
- Gem en registrering. Gem kopier af dine anmodninger og svarene, med datoer.
- Eskaler, hvis du ignoreres. Hvis en virksomhed ikke svarer ordentligt, kan du klage til din nationale databeskyttelsesmyndighed.
En dokumenteret, velbegrundet klage er den slags bevis, som tilsynsmyndighederne kan handle på, og en stærkere håndhævelsesholdning vil gøre disse klager mere betydningsfulde.
Centrale pointer
EDPB-formodningen om GDPR-bøder vil, hvis den vedtages som udkastet foreskriver, gøre sanktioner til det normale svar på ikke-mindre overtrædelser og gøre uagtsomhed lettere at fastslå. Det lægger pres på virksomhederne for at håndtere personlige data med omhu og giver individers rettigheder mere praktisk kraft.
Brug de rettigheder, du allerede har: bed om indsigt, anmod om sletning, og gør indsigelse, hvor det er relevant. For at forstå, hvordan sanktioner beregnes, når en bøde er på bordet, læs vores forklaringer om EDPB's femtrins bødemetode og GDPR-sanktionsniveauerne.
