Европейский совет по защите данных (EDPB) опубликовал проект руководящих принципов, который может изменить практику применения GDPR. Согласно резюме проекта, предложение устанавливает презумпцию EDPB в пользу штрафов GDPR за нарушения, не являющиеся незначительными, в сочетании с намеренно низким порогом для установления халатности. Проще говоря, регуляторы будут исходить из предположения, что серьёзное нарушение заслуживает штрафа, а бремя доказывания, почему штрафа быть не должно, в большей степени ляжет на компании.

Доступные исходные материалы по этой теме ограничены резюме, поэтому данная публикация придерживается того, что указано в этом резюме, и объясняет вероятные последствия в общих чертах.

Что предлагает проект руководящих принципов EDPB

Суть проекта — в изменении подхода по умолчанию. До сих пор надзорные органы располагали рядом корректирующих полномочий в рамках GDPR: от предупреждений и предписаний о соблюдении требований до административных штрафов. Проект руководящих принципов предлагает, чтобы за нарушения, не являющиеся незначительными, штраф был ожидаемым исходом, а не одним из многих вариантов.

В резюме выделяются два элемента:

  • Презумпция в пользу штрафов за нарушения, не являющиеся незначительными.
  • Намеренно низкий порог для установления халатности, что важно, поскольку вина является ключевым условием для наложения штрафа.

В резюме также отмечается, что организациям потребуется продемонстрировать надёжные меры, чтобы показать, что они действовали с должной осмотрительностью. Проект является предложением, а не окончательным руководством, поэтому детали могут измениться после консультаций.

Почему низкий порог халатности меняет правоприменение

Штрафы в рамках GDPR, как правило, зависят от того, было ли нарушение умышленным или совершённым по халатности. Если доказать халатность сложно, регуляторы могут воздерживаться от штрафов, или дела могут затягиваться в спорах о том, что компания знала или должна была знать.

Низкий порог меняет эту динамику. Если компания не предприняла шагов, которые предприняла бы разумно осмотрительная организация, халатность может быть установлена без особого дополнительного расследования. В сочетании с презумпцией штрафов это затруднит для организации аргумент о том, что нарушение было просто невезением или добросовестным упущением.

Это соответствует более широкому стремлению к единообразию. EDPB уже внедрил пятишаговый подход к расчёту штрафов, который мы рассмотрели в нашем разъяснении о пятишаговом методе расчёта штрафов GDPR EDPB. Этот метод касается того, каким должен быть размер штрафа. Новый проект затрагивает более ранний вопрос о том, должен ли штраф налагаться вообще. Для ознакомления с категориями штрафов и ролью вины см. наше руководство по штрафам и санкциям GDPR в 2026 году.

Что это значит для вас

Для обычных людей практический эффект будет косвенным, но значимым. Права на неприкосновенность частной жизни на бумаге имеют значение только тогда, когда их игнорирование влечёт последствия. Если штрафы станут ожидаемой реакцией на серьёзные нарушения, у компаний появится более весомая финансовая причина:

  • Собирать меньше персональных данных в первую очередь.
  • Защищать данные, которые они хранят, и документировать, как это делается.
  • Своевременно отвечать на запросы о доступе, удалении и возражении.
  • Обучать сотрудников и проверять поставщиков, работающих с данными клиентов.

Это не означает, что каждая жалоба закончится санкцией, и не гарантирует более быстрых результатов для отдельных лиц. Ожидается, что незначительные нарушения будут рассматриваться иначе, и руководящие принципы всё ещё находятся в проектной стадии. Но вектор движения направлен в сторону правоприменения, которое имеет реальный вес.

Организации, в свою очередь, вероятно, сосредоточатся на доказательствах. При таком подходе способность продемонстрировать записи, оценки рисков и оперативные корректирующие действия может стать разницей между штрафом и более мягкой мерой.

Как осуществить свои права по GDPR уже сегодня

Вам не нужно ждать окончательного утверждения руководящих принципов. Если вы находитесь в ЕС или ЕЭЗ, или компания обрабатывает ваши данные в соответствии с GDPR, вы уже можете действовать:

  1. Запросите доступ. Направьте запрос субъекта данных, чтобы узнать, какие данные о вас хранит компания и как она их использует.
  2. Запросите удаление. Если данные больше не нужны или вы отозвали согласие, попросите компанию удалить их.
  3. Возразите против обработки. Вы можете возразить против определённых видов использования, включая прямой маркетинг.
  4. Ведите записи. Сохраняйте копии ваших запросов и ответов с указанием дат.
  5. Эскалируйте при игнорировании. Если компания не отвечает должным образом, вы можете подать жалобу в национальный орган по защите данных.

Документированная, обоснованная жалоба — это тот вид доказательств, на который регуляторы могут опираться, а более жёсткая позиция в области правоприменения сделает такие жалобы более значимыми.

Ключевые выводы

Презумпция EDPB в пользу штрафов GDPR, если она будет принята в предложенном виде, сделает штрафы стандартной реакцией на нарушения, не являющиеся незначительными, и облегчит установление халатности. Это оказывает давление на компании, побуждая их обращаться с персональными данными с осторожностью, и придаёт правам отдельных лиц больше практической силы.

Пользуйтесь правами, которые у вас уже есть: запрашивайте доступ, просите об удалении и возражайте, где это уместно. Чтобы понять, как рассчитываются санкции, когда штраф уже на повестке дня, читайте наши разъяснения о пятишаговом методе расчёта штрафов EDPB и категориях санкций GDPR.