Comitetul european pentru protecția datelor (CEPD) a propus noi orientări privind modul în care autoritățile trebuie să decidă aplicarea amenzilor în caz de încălcare a Regulamentului general privind protecția datelor (RGPD). Conform documentului, autoritățile ar trebui să pornească, de regulă, de la aplicarea unei sancțiuni financiare atunci când încălcarea nu este considerată minoră. Pentru abaterile care sunt clasificate drept minore, un simplu avertisment poate fi considerat o măsură suficientă pentru a corecta situația.
Procesul de evaluare propus de CEPD urmează o metodologie în cinci etape, vizând uniformizarea deciziilor la nivel european. Înainte de a stabili o sancțiune, autoritatea trebuie să verifice temeiul juridic, persoana răspunzătoare și dacă fapta a fost comisă prin intenție sau prin neglijență. Această analiză a vinovăției reflectă jurisprudența Curții de Justiție a Uniunii Europene, care stipulează că un operator poate fi amendat doar dacă încălcarea este intenționată sau rezultatul neglijenței.
După verificarea vinovăției, autoritățile vor analiza gravitatea, durata și amploarea încălcării, precum și datele care au fost afectate de incident. Un aspect important menționat în orientări este că simpla cooperare impusă de lege cu autoritatea nu constituie, în sine, o circumstanță atenuantă pentru reducerea sancțiunii. În schimb, poate fi luată în calcul o cooperare care depășește cerințele legale și care ajută la limitarea efectelor negative asupra persoanelor vizate.
Documentul oferă exemple specifice pentru a clarifica distincția dintre încălcările minore și cele care necesită amenzi. O întreprindere mică care nu răspunde unei cereri de acces poate primi doar un avertisment, însă repetarea unor erori similare poate schimba complet evaluarea. De exemplu, o firmă de telecomunicații care răspunde cu întârziere poate fi sancționată dacă se constată că problema este sistematică, transformând o abatere izolată într-o încălcare care justifică o amendă.
În etapa finală, autoritatea trebuie să demonstreze că amenda aleasă este eficace, proporțională și disuasivă pentru situația concretă. Este important de menționat că o amendă și un ordin de remediere au funcții diferite; autoritatea poate cere unei organizații să șteargă date sau să răspundă cererilor de la cetățeni, chiar dacă aplică și o sancțiune financiară. În cazurile în care amenda ar fi o sarcină disproporționată pentru o persoană, autoritatea poate opta pentru alte măsuri.
Orientările privind aplicarea amenzilor sunt supuse consultării publice până la data de 13 noiembrie 2026. Acest proces de consultare permite colectarea observațiilor înainte ca noile reguli să devină parte din cadrul metodologic de calcul al sumelor de sancționare. În paralel, CEPD a adoptat deja orientările finale privind interacțiunea dintre Regulamentul privind serviciile digitale (DSA) și RGPD, textul urmând să fie publicat după verificările lingvistice.
