Comitetul european pentru protecția datelor (CEPD) a propus noi orientări privind modul în care autoritățile trebuie să decidă aplicarea amenzilor în cazurile de încălcare a Regulamentului general privind protecția datelor (RGPD). Conform documentului, autoritățile ar trebui să impună, în mod regulat, o amendă atunci când încălcarea nu este minoră. În schimb, pentru abaterile care sunt considerate minore, aplicarea unui simplu avertisment poate fi considerată o măsură suficientă pentru respectarea normelor de protecție a datelor.
Procesul de decizie propus de CEPD presupune o evaluare riguroasă a fiecărui caz individual, menținând obligația ca orice sancțiune să fie eficace, proporțională și disuasivă. Autoritatea trebuie să verifice temeiul pentru amendă, persoana răspunzătoare și dacă fapta a fost comisă prin intenție sau prin neglijență. Ulterior, se analizează gravitatea, durata și amploarea încălcării, precum și datele afectate. Documentul subliniază că simpla cooperare impusă de lege nu constituie, în sine, o circumstanță care să atenueze sancțiunea aplicată.
În cadrul noilor proceduri, autoritatea poate solicita și ordine de remediere, care au funcții diferite față de amenda propriu-zisă. De exemplu, o organizație poate fi obligată să șteargă anumite date sau să răspundă unei persoane care își exercită drepturile. Deși amenda are rolul de a descuraja încălcările, ea poate însoți aceste măsuri de remediere. Chiar dacă o entitate primește doar o amendă, aceasta rămâne obligată să respecte în continuare toate prevederile RGPD.
Orientările propuse vizează uniformizarea modului în care autoritățile decid sancționarea financiară, completând metodologia existentă pentru calcularea sumelor. Noul document înlocuiește vechile orientări ale Grupului de lucru „Articolul 29”. Metoda propusă de CEPD include cinci etape de analiză, începând cu stabilirea vinovăției, condiție care reflectă jurisprudența Curții de Justiție a Uniunii Europene. Aceasta a stabilit că un operator poate fi amendat doar pentru încălcări comise intenționat sau din neglijență.
Documentul oferă exemple concrete pentru a ilustra aplicarea măsurilor, precum cazul unei întreprinderi mici care nu a răspuns la o cerere de acces. În acest scenariu, încălcarea a fost calificată drept minoră, permițând aplicarea unui avertisment. Totuși, CEPD precizează că repetarea aceleiași erori poate schimba evaluarea, transformând o abatere minoră într-o problemă sistematică ce poate justifica o amendă. Remedierea rapidă a unei breșe de securitate poate, de asemenea, influența decizia finală a autorității.
Aceste propuneri de reformă a procedurilor de sancționare vin într-un context de actualizare constantă a reglementărilor digitale la nivel european. În paralel cu aceste măsuri, CEPD a adoptat orientările finale privind interacțiunea dintre Regulamentul privind serviciile digitale (DSA) și RGPD. Textul privind interacțiunea dintre aceste două acte urmează să fie publicat oficial după finalizarea procesului de verificări lingvistice, asigurând o aplicare coerentă a normelor pentru furnizorii de servicii intermediare.
Consultarea publică privind noile orientări pentru amenzile RGPD este deschisă până la data de 13 noiembrie 2026. Până la această dată, autoritățile și părțile interesate pot transmite observații privind cadrul propus de evaluare. Documentul urmărește ca orice alegere a unei sancțiuni să fie temeiat justificată prin împrejurările specifice ale fiecărei încălcări constatate, asigurând un echilibru între protecția datelor și proporționalitatea măsurilor luate.