Europeiska dataskyddsstyrelsen (EDPB) har publicerat utkast till riktlinjer som kan förändra hur GDPR efterlevs i praktiken. Enligt en sammanfattning av utkastet fastställer förslaget en EDPB-presumtion om GDPR-böter för icke-ringa överträdelser, kombinerat med en medvetet låg tröskel för att fastställa oaktsamhet. I klartext innebär det att tillsynsmyndigheter skulle utgå från antagandet att en allvarlig överträdelse förtjänar böter, och företagen skulle bära en större del av bördan att visa varför så inte bör ske.

Det källmaterial som finns tillgängligt för denna artikel är begränsat till en sammanfattning, så detta inlägg håller sig till vad den sammanfattningen anger och förklarar de sannolika konsekvenserna i allmänna ordalag.

Vad EDPB:s utkast till riktlinjer föreslår

Kärnan i utkastet är en förskjutning av utgångspunkten. Fram till nu har tillsynsmyndigheterna haft en rad korrigerande befogenheter enligt GDPR, från reprimander och förelägganden om att följa regelverket till administrativa böter. Utkastet till riktlinjer föreslår att böter för överträdelser som inte är ringa bör vara det förväntade utfallet snarare än ett alternativ bland många.

Två inslag sticker ut i sammanfattningen:

  • En presumtion till förmån för böter för icke-ringa överträdelser.
  • En medvetet låg tröskel för oaktsamhet, vilket är viktigt eftersom skuld är ett nyckelkrav för att ålägga böter.

Sammanfattningen noterar också att organisationer kommer att behöva visa upp robusta åtgärder för att bevisa att de handlat med tillbörlig aktsamhet. Utkastet är ett förslag, inte slutgiltig vägledning, så detaljerna kan ändras efter samrådet.

Varför en låg oaktsamhetströskel förändrar tillsynen

Böter enligt GDPR beror i allmänhet på om en överträdelse var uppsåtlig eller oaktsam. Om det är svårt att bevisa oaktsamhet kan tillsynsmyndigheterna tveka att utdöma böter, eller så kan ärenden fastna i diskussioner om vad ett företag visste eller borde ha vetat.

En låg tröskel förändrar den dynamiken. Om ett företag underlät att vidta de åtgärder som en rimligt aktsam organisation skulle vidta, kan oaktsamhet fastställas utan ytterligare utredning. I kombination med en presumtion för böter skulle det göra det svårare för en organisation att hävda att en överträdelse helt enkelt var otur eller en ärlig förbiseende.

Detta passar in i den bredare strävan efter enhetlighet. EDPB har redan infört en femstegsmetod för att beräkna böter, vilket vi behandlade i vår förklaring om EDPB:s femstegsmetod för GDPR-böter. Den metoden handlar om hur stora böter bör vara. Det nya utkastet tar upp den tidigare frågan om huruvida böter överhuvudtaget bör åläggas. För bakgrund om bötesnivåerna och skuldens roll, se vår guide om GDPR-böter och sanktioner 2026.

Vad detta innebär för dig

För vanliga människor skulle den praktiska effekten vara indirekt men betydelsefull. Rättigheter på pappret spelar bara roll om det får konsekvenser när de ignoreras. Om böter blir det förväntade svaret på allvarliga överträdelser har företagen ett starkare ekonomiskt incitament att:

  • Samla in mindre personuppgifter från början.
  • Skydda de uppgifter de behåller och dokumentera hur.
  • Svara på begäranden om tillgång, radering och invändning i tid.
  • Utbilda personal och granska leverantörer som hanterar kunduppgifter.

Detta innebär inte att varje klagomål kommer att sluta med en sanktion, och det garanterar inte snabbare resultat för enskilda. Ringa överträdelser förväntas hanteras annorlunda, och riktlinjerna är fortfarande i utkastform. Men riktningen är mot en tillsyn som har verklig tyngd.

Organisationer kommer samtidigt sannolikt att fokusera på bevisning. Enligt detta synsätt kan förmågan att visa register, riskbedömningar och snabba korrigerande åtgärder vara skillnaden mellan böter och en lindrigare åtgärd.

Hur du utövar dina GDPR-rättigheter idag

Du behöver inte vänta på att riktlinjerna ska slutföras. Om du befinner dig i EU eller EES, eller om ett företag behandlar dina uppgifter enligt GDPR, kan du redan agera:

  1. Begär tillgång. Skicka en begäran om registerutdrag för att ta reda på vad ett företag har om dig och hur det använder uppgifterna.
  2. Begär radering. Om uppgifterna inte längre behövs eller du återkallar ditt samtycke, be företaget radera dem.
  3. Invänd mot behandling. Du kan invända mot viss användning, inklusive direktmarknadsföring.
  4. Spara dokumentation. Spara kopior av dina begäranden och svaren, med datum.
  5. Eskalera om du ignoreras. Om ett företag inte svarar korrekt kan du klaga till din nationella dataskyddsmyndighet.

Ett dokumenterat och välgrundat klagomål är den typ av bevis som tillsynsmyndigheter kan agera på, och en starkare tillsynshållning skulle göra dessa klagomål mer betydelsefulla.

Viktiga slutsatser

EDPB:s presumtion om GDPR-böter skulle, om den antas som utformad, göra sanktioner till det normala svaret på icke-ringa överträdelser och göra oaktsamhet lättare att fastställa. Det sätter press på företag att hantera personuppgifter med omsorg och ger enskildas rättigheter mer praktisk kraft.

Använd de rättigheter du redan har: begär tillgång, begär radering och invänd där det är lämpligt. För att förstå hur sanktioner beräknas när böter väl är aktuellt, läs våra förklaringar om EDPB:s femstegsmetod för böter och GDPR:s bötesnivåer.