Європейська рада із захисту даних (EDPB) опублікувала проєкт настанов, який може змінити те, як застосування GDPR працює на практиці. Згідно з резюме проєкту, пропозиція запроваджує презумпцію EDPB щодо штрафів за GDPR для непорушень, що не є незначними, у поєднанні з навмисно низьким порогом для встановлення недбалості. Простими словами, регулятори виходитимуть із припущення, що серйозне порушення заслуговує на штраф, а компанії нестимуть більший тягар доведення, чому штрафу не повинно бути.

Доступні для цієї статті джерельні матеріали обмежуються резюме, тому цей допис обмежується тим, що зазначено в цьому резюме, і пояснює ймовірні наслідки в загальних рисах.

Що пропонує проєкт настанов EDPB

Суть проєкту — зміна типового підходу. Досі наглядові органи мали низку коригувальних повноважень за GDPR: від доган і приписів щодо усунення порушень до адміністративних штрафів. Проєкт настанов пропонує, щоб для порушень, які не є незначними, штраф був очікуваним результатом, а не одним із багатьох варіантів.

У резюме вирізняються два елементи:

  • Презумпція на користь штрафів для порушень, що не є незначними.
  • Навмисно низький поріг для недбалості, що важливо, оскільки вина є ключовою умовою для накладення штрафу.

У резюме також зазначається, що організаціям потрібно буде продемонструвати надійні заходи, щоб показати, що вони діяли з належною обачністю. Проєкт є пропозицією, а не остаточними настановами, тому деталі можуть змінитися після консультацій.

Чому низький поріг недбалості змінює правозастосування

Штрафи за GDPR зазвичай залежать від того, чи було порушення умисним або недбалим. Якщо довести недбалість складно, регулятори можуть вагатися щодо штрафу, або справи можуть застрягати в суперечках про те, що компанія знала чи повинна була знати.

Низький поріг змінює цю динаміку. Якщо компанія не вжила заходів, яких вжила б розумно обачна організація, недбалість можна встановити без значних подальших розслідувань. У поєднанні з презумпцією штрафів це ускладнить для організації аргумент, що порушення було просто невдачею або добросовісним недоглядом.

Це відповідає ширшому курсу на послідовність. EDPB уже запровадила п’ятикроковий підхід до розрахунку штрафів, який ми висвітлили в нашому поясненні щодо п’ятикрокового методу штрафів EDPB за GDPR. Цей метод стосується того, яким має бути розмір штрафу. Новий проєкт стосується попереднього питання: чи слід взагалі накладати штраф. Для ознайомлення з рівнями штрафів і роллю вини дивіться наш посібник «Штрафи та стягнення за GDPR у 2026 році».

Що це означає для вас

Для пересічних людей практичний ефект буде непрямим, але значущим. Права на приватність на папері мають значення лише тоді, коли їх ігнорування має наслідки. Якщо штрафи стануть очікуваною реакцією на серйозні порушення, компанії матимуть сильнішу фінансову мотивацію:

  • Збирати менше персональних даних із самого початку.
  • Захищати дані, які вони зберігають, і документувати, як саме.
  • Вчасно відповідати на запити щодо доступу, видалення та заперечення.
  • Навчати персонал і перевіряти постачальників, які обробляють дані клієнтів.

Це не означає, що кожна скарга закінчиться стягненням, і не гарантує швидших результатів для окремих осіб. Очікується, що незначні порушення розглядатимуться інакше, а настанови все ще мають форму проєкту. Але напрям руху — до правозастосування, яке має реальну вагу.

Тим часом організації, ймовірно, зосередяться на доказах. За такого підходу здатність показати записи, оцінки ризиків і своєчасні коригувальні дії може стати різницею між штрафом і менш суворою реакцією.

Як реалізувати свої права за GDPR уже сьогодні

Вам не потрібно чекати на остаточне затвердження настанов. Якщо ви перебуваєте в ЄС або ЄЕП, або компанія обробляє ваші дані відповідно до GDPR, ви вже можете діяти:

  1. Запитайте доступ. Надішліть запит суб’єкта даних, щоб дізнатися, які дані про вас зберігає компанія та як вона їх використовує.
  2. Запросіть видалення. Якщо дані більше не потрібні або ви відкликали згоду, попросіть компанію видалити їх.
  3. Заперечте проти обробки. Ви можете заперечити проти певних видів використання, зокрема прямого маркетингу.
  4. Зберігайте записи. Зберігайте копії своїх запитів і відповідей із зазначенням дат.
  5. Ескалюйте, якщо запит ігнорують. Якщо компанія не відповідає належним чином, ви можете поскаржитися до національного органу із захисту даних.

Документована, добре обґрунтована скарга — це саме той вид доказів, на який регулятори можуть реагувати, а жорсткіша позиція щодо правозастосування зробила б такі скарги більш значущими.

Ключові висновки

Презумпція EDPB щодо штрафів за GDPR, якщо її ухвалять у запропонованому вигляді, зробить стягнення типовою реакцією на порушення, що не є незначними, і полегшить встановлення недбалості. Це чинить тиск на компанії, щоб вони дбайливо поводилися з персональними даними, і надає правам окремих осіб більшої практичної сили.

Використовуйте права, які у вас уже є: запитуйте доступ, просіть видалення та заперечуйте, де це доречно. Щоб зрозуміти, як розраховуються стягнення, коли штраф уже на порядку денному, читайте наші пояснення про п’ятикроковий метод штрафів EDPB та рівні стягнень за GDPR.