新的GDPR罚款规则即将出台，旨在统一欧盟内企业违反《通用数据保护条例》（GDPR）时的罚款标准：以下是新提案的简要概述。
欧洲数据保护委员会（EDPB）制定了新的GDPR罚款政策指南（pdf），以协调各监管机构确定罚款金额的方法。根据该指南，所有欧洲隐私监管机构将采用统一标准单独确定罚款数额，取代目前各国各自为政的规则。该方法包含以下5个步骤：
| 步骤 | 行动 |
| 1. | 确定违规行为；若存在多项违规，需审查哪一项处理行为造成的侵犯最为严重，因为最终罚款总额不得超过针对最严重侵犯所规定的金额。 |
| 2. | 确定基础罚款。通过评估违规在GDPR中的分类、根据案件具体情况评估严重程度，以及企业的营业额来完成。 |
| 3. | 分析与数据控制者/处理者过去或当前行为相关的加重和减轻情节，据此调整罚款金额。 |
| 4. | 确定针对不同处理活动的法定最高罚款限额，基于前三步实施的任何增加均不得超出此上限。 |
| 5. | 分析计算出的最终金额是否符合GDPR要求的效力、威慑力和相称性标准，并据此进行最终调整。 |
三个主要差异
新规则在三个关键方面与荷兰现行罚款政策有所不同：
- 企业营业额权重更大。现行荷兰规则仅在确定基础罚款后，将营业额作为加重或减轻情节考虑；而EDPB指南中，营业额是确定基础罚款的决定性因素，直接作为特定违规行为下对应规模企业的计算起点。
- 违规严重程度分级。新规则将违规严重程度明确分为低、中、高三类，每类对应不同的基础罚款；此前荷兰数据保护局（AP）虽考虑严重程度，但未进行此类归类。
- 基础罚款定位调整。特定违法行为的基础罚款仍在一个固定区间内确定，但通常不再位于该区间的中间位置。
EDPB规则仅适用于企业
需注意，EDPB罚款规则仅适用于企业。由于部分欧盟成员国无法对政府机构处以罚款，针对政府机构将另行制定专门规则。此外，具体罚款计算仍由各国监管机构依据GDPR原则进行裁量。
公开咨询
目前新的EDPB罚款规则正处于咨询阶段，欧洲数据保护委员会欢迎就上述GDPR行政罚款计算指南提出意见。
关于作者：Sil Kingma是Cordemeyer & Slager Advocaten的律师。