Euroopan tietosuojaneuvosto (EDPB) on julkaissut luonnoksen ohjeiksi, jotka voivat muuttaa GDPR:n täytäntöönpanoa käytännössä. Luonnoksen yhteenvedon mukaan ehdotuksessa esitetään EDPB:n olettamaa GDPR-sakoista ei-vähäisille rikkomuksille yhdessä tarkoituksellisen matalan kynnyksen kanssa tuottamuksen toteamiseksi. Käytännössä sääntelyviranomaiset lähtisivät siitä olettamasta, että vakava rikkomus ansaitsee sakon, ja yrityksille siirtyisi suurempi taakka osoittaa, miksi sakkoa ei pitäisi määrätä.

Tästä aiheesta saatavilla oleva lähdemateriaali rajoittuu yhteenvetoon, joten tämä kirjoitus pitäytyy siinä, mitä yhteenvedossa sanotaan, ja selittää todennäköisiä seurauksia yleisellä tasolla.

Mitä EDPB:n luonnos ohjeiksi ehdottaa

Luonnoksen ydin on oletusarvon muutos. Toistaiseksi valvontaviranomaisilla on ollut GDPR:n nojalla useita korjaavia toimivaltuuksia aina huomautuksista ja määräyksistä noudattaa sääntöjä hallinnollisiin sakkoihin. Luonnos ohjeiksi ehdottaa, että ei-vähäisissä rikkomuksissa sakon tulisi olla odotettu lopputulos eikä yksi vaihtoehto monien joukossa.

Yhteenvedossa erottuu kaksi seikkaa:

  • Olettama sakkojen puolesta ei-vähäisissä rikkomuksissa.
  • Tarkoituksellisen matala kynnys tuottamukselle, millä on merkitystä, koska tuottamus on keskeinen edellytys sakon määräämiselle.

Yhteenvedossa todetaan myös, että organisaatioiden on osoitettava vankkoja toimenpiteitä näyttääkseen toimineensa asianmukaisella huolellisuudella. Luonnos on ehdotus, ei lopullinen ohjeistus, joten yksityiskohdat voivat muuttua kuulemisen jälkeen.

Miksi matala tuottamuskynnys muuttaa täytäntöönpanoa

GDPR:n mukaiset sakot riippuvat yleensä siitä, oliko rikkomus tahallinen vai tuottamuksellinen. Jos tuottamuksen osoittaminen on vaikeaa, sääntelyviranomaiset voivat epäröidä sakon määräämistä, tai tapaukset voivat juuttua väittelyyn siitä, mitä yritys tiesi tai olisi pitänyt tietää.

Matala kynnys muuttaa tätä dynamiikkaa. Jos yritys ei toteuttanut toimenpiteitä, joita kohtuullisen huolellinen organisaatio olisi toteuttanut, tuottamus voidaan todeta ilman sen suurempaa lisätutkintaa. Yhdessä sakkoja koskevan olettaman kanssa tämä vaikeuttaisi organisaation argumentointia siitä, että tietoturvaloukkaus oli yksinkertaisesti huonoa onnea tai rehellinen huolimattomuusvirhe.

Tämä sopii laajempaan pyrkimykseen yhdenmukaisuuteen. EDPB on jo ottanut käyttöön viisivaiheisen lähestymistavan sakkojen laskemiseen, jota käsittelimme selityksessämme EDPB:n viisivaiheisesta GDPR-sakkomenetelmästä. Tämä menetelmä käsittelee sitä, kuinka suuri sakko pitäisi olla. Uusi luonnos käsittelee aiempaa kysymystä siitä, pitäisikö sakko ylipäätään määrätä. Taustatietoja sakkoluokista ja tuottamuksen roolista löytyy oppaastamme GDPR-sakkoihin ja seuraamuksiin vuonna 2026.

Mitä tämä tarkoittaa sinulle

Tavallisille ihmisille käytännön vaikutus olisi epäsuora mutta merkityksellinen. Tietosuojaoikeudet paperilla ovat merkityksellisiä vain, jos niiden huomiotta jättämisellä on seurauksia. Jos sakoista tulee odotettu vastaus vakaviin rikkomuksiin, yrityksillä on vahvempi taloudellinen syy:

  • Kerätä vähemmän henkilötietoja alun alkaen.
  • Suojata säilyttämänsä tiedot ja dokumentoida miten.
  • Vastata tietopyyntöihin, poistopyyntöihin ja vastustamisiin ajoissa.
  • Kouluttaa henkilöstöä ja tarkastaa asiakastietoja käsittelevät toimittajat.

Tämä ei tarkoita, että jokainen valitus päättyisi seuraamukseen, eikä se takaa nopeampia tuloksia yksilöille. Vähäisiä rikkomuksia odotetaan kohdeltavan eri tavalla, ja ohjeet ovat vielä luonnosvaiheessa. Mutta suunta on kohti täytäntöönpanoa, jolla on todellista painoarvoa.

Organisaatiot puolestaan keskittyvät todennäköisesti näyttöön. Tässä lähestymistavassa kyky esittää kirjanpitoa, riskiarviointeja ja nopeita korjaavia toimia voisi olla ero sakon ja lievemmän vastauksen välillä.

Miten käyttää GDPR-oikeuksiasi jo tänään

Sinun ei tarvitse odottaa ohjeiden viimeistelyä. Jos olet EU:ssa tai ETA:ssa tai yritys käsittelee tietojasi GDPR:n nojalla, voit jo toimia:

  1. Pyydä pääsyä. Lähetä rekisteröidyn tietopyyntö saadaksesi selville, mitä yritys tallentaa sinusta ja miten se käyttää niitä.
  2. Pyydä poistamista. Jos tietoja ei enää tarvita tai peruutat suostumuksesi, pyydä yritystä poistamaan ne.
  3. Vastusta käsittelyä. Voit vastustaa tiettyjä käyttötarkoituksia, mukaan lukien suoramarkkinointi.
  4. Pidä kirjaa. Tallenna kopiot pyynnöistäsi ja vastauksista päivämäärineen.
  5. Eskaloi, jos sinut sivuutetaan. Jos yritys ei vastaa asianmukaisesti, voit tehdä valituksen kansalliselle tietosuojaviranomaisellesi.

Dokumentoitu, hyvin perusteltu valitus on sellaista näyttöä, jonka pohjalta sääntelyviranomaiset voivat toimia, ja vahvempi täytäntöönpanokanta tekisi näistä valituksista merkityksellisempiä.

Keskeiset johtopäätökset

EDPB:n olettama GDPR-sakoista, jos se hyväksytään luonnoksen mukaisesti, tekisi seuraamuksista normaalin vastauksen ei-vähäisiin rikkomuksiin ja helpottaisi tuottamuksen toteamista. Tämä painostaa yrityksiä käsittelemään henkilötietoja huolellisesti ja antaa yksilöiden oikeuksille enemmän käytännön voimaa.

Käytä oikeuksiasi, jotka sinulla jo on: pyydä pääsyä, pyydä poistamista ja vastusta tarpeen mukaan. Ymmärtääksesi, miten seuraamukset lasketaan, kun sakko on pöydällä, lue selityksemme EDPB:n viisivaiheisesta sakkomenetelmästä ja GDPR:n seuraamusluokista.