Кратко

  • Принятый для консультации проект руководства 04/2026 European Data Protection Board предлагает пять вопросов, чтобы решить, назначать ли штраф по GDPR вместе с другой мерой или вместо неё.
  • При незначительном нарушении проект обычно предусматривает выговор вместо штрафа; при более серьёзном возникает сильная презумпция в пользу штрафа, но затем всё равно требуется оценить соразмерность в конкретном деле.

Установленный факт нарушения персональных данных сам по себе ещё не определяет меру. Надзорный орган может потребовать исправить ситуацию, прекратить обработку, вынести выговор, ограничить деятельность или назначить штраф. Важно, какая мера отвечает выявленной проблеме и чем обоснован именно этот выбор.

European Data Protection Board (EDPB) предлагает разложить решение на пять этапов. На том же пленарном заседании EDPB завершил отдельные рекомендации о взаимодействии DSA и GDPR; они не относятся к новой методике выбора штрафа. 17 сентября Совет принял первую версию Руководства 04/2026 и открыл её для общественного обсуждения.

Проект просит компетентный национальный надзорный орган последовательно проверить: допускают ли GDPR или национальное право штраф за такое нарушение; является ли проверяемая сторона адресатом нарушенной обязанности; было ли нарушение совершено умышленно или по неосторожности; указывают ли факторы статьи 83(2) на незначительное нарушение; будет ли штраф эффективным, соразмерным и сдерживающим именно в этом случае.

Четвёртый этап задаёт наиболее важную границу. При незначительном нарушении проект, как правило, предлагает ограничиться выговором. Если нарушение не является незначительным, возникает сильная презумпция назначения штрафа. Это не тариф. На пятом этапе орган всё равно должен оценить, достигнет ли штраф правовой цели в конкретных обстоятельствах и есть ли основание отступить от обычной практики.

Проект посвящён выбору меры, а не расчёту её суммы. Руководство EDPB 04/2022 уже рассматривает расчёт размера штрафа. Поэтому компаниям не следует читать новый проект как таблицу, автоматически переводящую нарушение в заранее определённую сумму. Он также не создаёт новых полномочий: правовой основой остаётся GDPR, в частности статьи 58 и 83, а решение по делу принимает компетентный надзорный орган, а не EDPB как коллегиальный совет.

Суд ЕС ранее обозначил общую границу в деле C-768/21, Land Hessen. Орган по защите данных не обязан назначать штраф при каждом выявленном нарушении. Но он должен принять корректирующую меру, если она уместна, необходима и соразмерна для устранения недостатка и обеспечения соблюдения GDPR. Проект EDPB пытается сделать это усмотрение более понятным и сопоставимым между делами, не отменяя обязанности обеспечивать исполнение закона. Не применимые к делу этапы можно пропустить, а примеры иллюстрируют возможное обоснование, но не являются прецедентами.

Разница между предупреждением и штрафом показывает, почему важна последовательность. Предупреждение по GDPR касается планируемой обработки, которая ещё не стала нарушением; проект указывает, что за то же поведение нельзя одновременно вынести предупреждение и назначить штраф. Выговор, предписание или ограничение относятся к другой правовой ситуации и могут служить иной цели. Одни меры возвращают обработку к требованиям закона, штраф же также должен сдерживать нарушения. Если считать эти инструменты взаимозаменяемыми, цель решения теряется.

Приём комментариев завершится 13 ноября 2026 года в 23:59 по центральноевропейскому времени. EDPB намерен публиковать поступившие материалы после проверки только на несанкционированные отправления, например спам. Участникам рекомендуют удалить личные сведения и метаданные документов, которые они не хотят раскрывать; адреса электронной почты опубликованы не будут. Консультация проверит, достаточно ли чётко проект проводит границу между незначительным нарушением и сильной презумпцией штрафа, чтобы направлять решения органов, не превращая эту презумпцию в автоматическое правило.

Источники

  1. Сообщение EDPB о сентябрьском пленарном заседании
  2. Руководство 04/2026, версия 1.0
  3. Общественная консультация и условия подачи комментариев
  4. GDPR, Регламент ЕС 2016/679
  5. Суд ЕС, дело C-768/21, Land Hessen
  6. Руководство EDPB 04/2022 о расчёте штрафов
  7. Обзор EDPB о штрафах по GDPR и корректирующих полномочиях
  8. Пресс-релиз Суда ЕС 149/24 по делу Land Hessen
  9. Руководство EDPB 3/2025 о взаимодействии DSA и GDPR