De European Data Protection Board (EDPB) heeft richtsnoeren vastgesteld voor de toepassing van administratieve boetes en andere corrigerende bevoegdheden onder de GDPR. De richtsnoeren moeten zorgen voor meer duidelijkheid en een consistentere handhaving door Europese toezichthouders.
De voorgestelde methode bestaat uit vijf stappen. Een toezichthouder beoordeelt eerst of de overtreding op grond van de GDPR of nationale wetgeving tot een boete kan leiden en wie voor de overtreding aansprakelijk is. Daarna beoordeelt de toezichthouder of sprake is van opzet of nalatigheid, welke verzwarende of verzachtende omstandigheden gelden en of een boete doeltreffend, evenredig en afschrikwekkend is. Bij een geringe overtreding wordt doorgaans geen boete opgelegd en kan een berisping volgen. Bij een niet-geringe overtreding bestaat volgens de richtsnoeren een sterke veronderstelling dat een boete moet worden opgelegd.
De richtsnoeren geven daarnaast een overzicht van corrigerende bevoegdheden van nationale toezichthouders. Daaronder vallen waarschuwingen, berispingen, bevelen, beperkingen, waaronder verboden, en de intrekking van certificering. Veertien praktijkvoorbeelden laten zien hoe toezichthouders de omstandigheden van een zaak kunnen beoordelen en kunnen bepalen welke maatregel passend is.
De richtsnoeren over boetes worden tot 13 november 2026 openbaar geraadpleegd. Ook heeft de EDPB de definitieve versie vastgesteld van de richtsnoeren over de samenhang tussen de Digital Services Act (DSA) en de GDPR. Deze moeten een consistente toepassing ondersteunen wanneer DSA-bepalingen betrekking hebben op de verwerking van persoonsgegevens door aanbieders van tussenhandeldiensten en verwijzen naar begrippen uit de GDPR.