Det europeiske personvernrådet (EDPB) har publisert utkast til retningslinjer som kan endre hvordan GDPR-håndheving fungerer i praksis. Ifølge et sammendrag av utkastet legger forslaget opp til en EDPB-formodning om GDPR-bøter for ikke-mindre alvorlige brudd, kombinert med en bevisst lav terskel for å fastslå uaktsomhet. I klartekst vil tilsynsmyndighetene ta utgangspunkt i at et alvorlig brudd fortjener en bot, og selskapene vil bære mer av byrden med å vise hvorfor det ikke bør skje.

Kildematerialet som er tilgjengelig for denne saken, er begrenset til et sammendrag, så dette innlegget holder seg til det sammendraget sier og forklarer de sannsynlige konsekvensene i generelle termer.

Hva EDPBs utkast til retningslinjer foreslår

Kjernen i utkastet er en endring av standarden. Frem til nå har tilsynsmyndighetene hatt en rekke korrigerende fullmakter under GDPR, fra irettesettelser og pålegg om å rette seg etter regelverket til administrative bøter. Utkastet til retningslinjer foreslår at for brudd som ikke er mindre alvorlige, bør en bot være det forventede utfallet snarere enn ett av flere alternativer.

To elementer skiller seg ut i sammendraget:

  • En formodning til fordel for bøter ved ikke-mindre alvorlige brudd.
  • En bevisst lav terskel for uaktsomhet, noe som er viktig fordi skyld er en nøkkelbetingelse for å ilegge en bot.

Sammendraget bemerker også at organisasjoner vil måtte dokumentere robuste tiltak for å vise at de handlet med tilbørlig aktsomhet. Utkastet er et forslag, ikke endelige retningslinjer, så detaljene kan endre seg etter høringen.

Hvorfor en lav uaktsomhetsterskel endrer håndhevingen

Bøter under GDPR avhenger generelt av om et brudd var forsettlig eller uaktsomt. Hvis det er vanskelig å bevise uaktsomhet, kan tilsynsmyndighetene nøle med å ilegge bot, eller saker kan stanse i diskusjoner om hva et selskap visste eller burde ha visst.

En lav terskel endrer denne dynamikken. Hvis et selskap unnlot å ta skrittene en rimelig aktsom organisasjon ville tatt, kan uaktsomhet fastslås uten mye videre undersøkelse. Kombinert med en formodning om bøter vil det gjøre det vanskeligere for en organisasjon å hevde at et brudd rett og slett var uflaks eller en ærlig forglemmelse.

Dette passer med den bredere bevegelsen mot konsistens. EDPB har allerede innført en femtrinns tilnærming til beregning av bøter, som vi dekket i vår forklaring om EDPBs femtrinnsmetode for GDPR-bøter. Den metoden handler om hvor stor en bot bør være. Det nye utkastet tar for seg det tidligere spørsmålet om en bot i det hele tatt bør ilegges. For bakgrunn om botnivåene og betydningen av skyld, se vår guide til GDPR-bøter og sanksjoner i 2026.

Hva dette betyr for deg

For vanlige mennesker vil den praktiske effekten være indirekte, men betydningsfull. Personvernrettigheter på papiret betyr bare noe hvis det får konsekvenser når de ignoreres. Hvis bøter blir den forventede responsen på alvorlige brudd, har selskaper en sterkere økonomisk grunn til å:

  • Samle inn mindre personopplysninger i utgangspunktet.
  • Sikre dataene de beholder, og dokumentere hvordan.
  • Svara på forespørsler om innsyn, sletting og innsigelse i tide.
  • Opplære ansatte og vurdere leverandører som håndterer kundedata.

Dette betyr ikke at hver klage vil ende med en sanksjon, og det garanterer ikke raskere resultater for enkeltpersoner. Mindre alvorlige brudd forventes å bli behandlet annerledes, og retningslinjene er fortsatt på utkaststadiet. Men retningen er mot håndheving som har reell tyngde.

Organisasjoner vil på sin side sannsynligvis fokusere på bevis. Under denne tilnærmingen kan evnen til å vise frem registre, risikovurderinger og rask korrigerende handling være forskjellen mellom en bot og en mildere respons.

Hvordan du kan utøve GDPR-rettighetene dine i dag

Du trenger ikke vente til retningslinjene er ferdigstilt. Hvis du er i EU eller EØS, eller et selskap behandler dataene dine under GDPR, kan du allerede handle:

  1. Be om innsyn. Send en forespørsel om innsyn for å finne ut hva et selskap har om deg og hvordan det brukes.
  2. Be om sletting. Hvis dataene ikke lenger er nødvendige eller du trekker tilbake samtykket, be selskapet slette dem.
  3. Protester mot behandling. Du kan protestere mot visse bruksområder, inkludert direkte markedsføring.
  4. Hold en oversikt. Lagre kopier av forespørslene dine og svarene, med datoer.
  5. Eskaler hvis du ignoreres. Hvis et selskap ikke svarer ordentlig, kan du klage til din nasjonale personvernmyndighet.

En dokumentert, godt begrunnet klage er den typen bevis tilsynsmyndighetene kan handle på, og en sterkere håndhevingsholdning vil gjøre slike klager mer betydningsfulle.

Viktige punkter

EDPB-formodningen om GDPR-bøter vil, hvis den vedtas som utkastet foreslår, gjøre sanksjoner til den normale responsen på ikke-mindre alvorlige brudd og gjøre uaktsomhet lettere å fastslå. Det setter press på selskaper til å håndtere personopplysninger med aktsomhet og gir enkeltpersoners rettigheter mer praktisk kraft.

Bruk rettighetene du allerede har: be om innsyn, be om sletting og protester der det er hensiktsmessig. For å forstå hvordan sanksjoner beregnes når en bot først er aktuelt, les våre forklaringer om EDPBs femtrinnsmetode for bøter og GDPRs botnivåer.