Comitetul european pentru protecția datelor (CEPD) a propus noi orientări privind modul în care autoritățile trebuie să decidă aplicarea amenzilor în caz de încălcare a Regulamentului general privind protecția datelor (RGPD). Documentul propune ca, în mod regulat, autoritățile să aplice sancțiuni financiare atunci când încălcarea nu este minoră, în timp ce pentru erori de o amploare redusă, un simplu avertisment poate fi considerat suficient. Propunerea este supusă consultării publice până la data de 13 noiembrie 2026.
Procesul de sancționare urmează o metodologie în cinci etape, care vizează uniformizarea deciziilor la nivel european. Înainte de stabilirea sancțiunii, autoritatea trebuie să verifice temeiul juridic, persoana răspundătoare și dacă fapta a fost comisă prin intenție sau neglijență. Această analiză a vinovăției respectă jurisprudența Curții de Justiție a Uniunii Europene, care stipulează că un operator poate fi amendat doar dacă există intenție sau neglijență. Pentru persoanele juridice, răspunderea poate apărea chiar dacă conducerea nu a cunoscut direct încălcarea.
Evaluarea gravității abaterii include analiza duratei, amploarei, tipului de date afectate și a măsurilor luate pentru limitarea prejudiciului. Documentul subliniază că simpla cooperare impusă de lege cu autoritatea nu constituie o circumstanță atenuantă pentru reducerea sancțiunii. În schimb, pot fi luate în considerare acțiunile care depășesc cerințele legale și care ajută la evitarea efectelor negative asupra persoanelor. Nici notificarea unei breșe de securitate nu oferă un avantaj automat dacă aceasta era o obligație legală preexistentă.
Orientările oferă exemple concrete pentru a clarifica distincția dintre încălcările minore și cele care necesită amenzi. O întreprindere mică sau medie care nu răspunde unei cereri de acces poate primi doar un avertisment dacă eroarea este izolată. Totuși, repetarea unor erori similare, precum în cazul unei firme de telecomunicații care a întârziat răspunsul unei cereri, poate transforma evaluarea într-una care justifică o amendă. Acumularea abaterilor indică o problemă sistematică, ceea ce schimbă natura sancțiunii propuse.
Autoritatea poate opta pentru măsuri de remediere, cum ar fi ștergerea datelor sau obligarea organizației să răspundă solicitanților, în paralel cu amenda. În anumite situații, amenda ar putea fi considerată o sarcină disproporționată, în special pentru persoanele fizice. Un exemplu menționat este trimiterea accidentală prin e-mail a unei copii a unui permis de conducere către un număr limitat de persoane. Dacă organizația a notificat rapid autoritatea și a luat măsuri de securitate suplimentare, încălcarea poate fi clasificată drept minoră.
Regulamentul general privind protecția datelor (RGPD) constituie cadrul juridic fundamental pentru gestionarea datelor personale în Uniunea Europeană, impunând standarde stricte de confidențialitate. Acesta a fost introdus pentru a oferi cetățenilor un control sporit asupra informațiilor lor, obligând companiile să aplice măsuri de securitate riguroase. Deciziile luate de autoritățile naționale de protecție a datelor, sub îndrumarea CEPD, definesc modul în care drepturile individuale sunt protejate în mediul digital.