《通用数据保护条例》（GDPR）第83条规定行政罚款，第58条第2款列出监管机构可采取的纠正措施。已经认定某项违法后，是否需要罚款，罚款与谴责、整改命令或处理限制如何配合，仍须在个案中给出理由。欧洲数据保护委员会（EDPB）于2026年9月17日通过的《GDPR项下行政罚款权的行使及其与其他纠正措施的关系指南》（Guidelines 04/2026，下称《指南 04/2026》）版本1.0，正面处理了这一决策环节，并以五步方法组织监管机构的判断。本文讨论的是这份公开征求意见稿；其最终版本及成员国程序法可能影响具体案件的适用。[1]

这份指南值得重视的地方，在于它把罚款的法律前提与措施选择放在同一条决策链中，同时保留监管机构依具体事实行使裁量的空间。对企业而言，罚款风险因此不能仅用法定上限或某项违法的抽象类别估计。处理活动由谁决定、行为能否归属于被调查方、故意或过失的证据、违法是否轻微，以及已采取的纠正措施，都会进入评价。本文将这种对事前判断和实际控制的关注概括为“可证明治理”；这是对指南可能产生的实践影响所作的评论，并非指南新增的一项独立法律标准。[1，段9—12、40—58]

一、三份指南如何衔接：罚款适用与金额计算

第29条工作组2017年发布的《关于为实施条例（EU）2016/679适用和确定行政罚款的指南》（WP253）讨论行政罚款的适用和确定，EDPB 后来予以认可。在此基础上，EDPB 于2023年通过《GDPR项下行政罚款金额计算指南》（Guidelines 04/2022，下称《指南 04/2022》）最终版，集中统一罚款金额的计算方法。该文件处理违法类别、严重程度、企业营业额、加重减轻因素和法定上限等问题，为不同监管机构计算金额提供共同起点。金额计算需要先有罚款决定；是否动用这一权力，以及如何看待其他纠正措施，构成与之衔接的判断。[1，段6—8][2]

《指南 04/2026》取代 WP253 作为行政罚款适用判断的主要指南，并补充《指南 04/2022》。这种分工不意味着第83条第2款的因素只在某一阶段出现：违法性质、持续时间、补救情况和责任程度，既可能影响是否罚款，也可能影响罚款金额。指南第10段允许监管机构利用前一阶段已经作出的判断，避免就相同事实机械地重复评价。较为准确的执法结构，是先确认违法及罚款前提，再决定是否罚款及采取何种纠正措施；确定罚款后，另依金额计算指南处理数额。[1，段8—10]

理解这一分工，需要先看两条法条各自规定了什么。GDPR 第58条第2款列出监管机构可以采取的纠正措施，包括谴责、命令、限制处理和处以行政罚款；第83条进一步规定罚款的适用条件、考量因素和金额上限。其中，第83条第4款所列违法的罚款上限为1000万欧元，或者企业上一财年全球营业额的2%，以较高者为准；第5、6款所列违法适用2000万欧元或4%的较高上限。《指南 04/2026》说明监管机构如何在个案中行使罚款权，不改变法定上限，也不替代成员国程序法。监管机构仍须说明选择相应措施的事实和法律理由，仅援引指南不足以完成个案说理。[1，段12、37—39][3]

二、五步判断：法律前提与措施选择各有位置

指南的前三步核查处以行政罚款的法律前提。第一步在已经确认违法的基础上，寻找该项违法可受罚款的法律依据；有些依据直接见于 GDPR 第83条第4至6款，有些须结合成员国法律。第二步确认被调查方是否为被违反条款的适用对象，以及有关行为能否归属于它。第三步判断违法是否至少出于过失。这三个问题依次涉及罚款依据、责任主体和过错，任何一项都不能用“企业发生了 GDPR 违法”这一笼统事实替代。[1，段9、37—53]

第四步要求监管机构依据第83条第2款的相关因素，判断违法是否属于序言第148段意义上的轻微违法。第五步则继续审查，在具体案件中处以罚款是否有效、相称且具有威慑性。指南对轻微违法确立原则上不罚款的方向，对非轻微违法确立倾向于罚款的强烈推定；这是一套可以依据个案事实偏离的监管方法，不能当作不可推翻的法律推定。无论第四步得出哪种结果，第五步都要考量罚款的实际作用及其他措施的可能效果。[1，段54—59、113—121]

五步方法增强了决定的可检验性，也有明确的适用限度。指南第10段允许监管机构略过个案中不适用的步骤；第12段保留欧盟法和成员国法的程序义务，包括对决定充分说明理由的义务。指南中的14个示例均为说明性假设，第11段特别提醒，它们不能成为现实案件必须如何推理的先例。因此，企业可以借助该方法识别应准备哪些事实与材料，却不能将某个示例中的人数、迟延时间或补救方式当作免罚阈值。[1，段10—12]

三、欧盟法院判例对企业归责与过错的限定

Deutsche Wohnen（C‑807/21）案解决了针对法人控制者处罚款时，是否必须先将违法行为归于一名已确定自然人的问题。欧盟法院给出的答案是否定的；《指南 04/2026》第41段据此说明，代表企业并在其业务过程中行事的员工、管理人员或其他人员的行为，可以直接归属于企业，管理层没有亲自参与或知情也不当然排除责任。这一规则使“员工未按内部指示操作”无法单独结束企业责任分析。与此同时，责任归属与第三步的过错判断必须分开；法人可直接受罚，并不等于客观违法一经成立便自动产生罚款责任。[1，段40—49][4]

Nacionalinis visuomenės sveikatos centras（C‑683/21）案进一步影响控制者与处理者之间的归责。处理者在控制者确定的处理框架内、代表控制者处理数据时，其违法行为可能归属于控制者；如果处理者为自身目的处理，或者明显脱离控制者确定的框架和具体安排，该项处理的归责可能中断，处理者也可能就该行为成为独立控制者。控制者仍可能因自身未采取适当技术和组织措施而承担另一项责任。对于依赖云服务、模型供应商或分析平台的企业，关键是核查实际处理目的、指示和控制措施；单靠合同中标注的“控制者”“处理者”身份，不足以回答全部归责问题。这一供应链审查建议依据具体 GDPR 义务与上述判例提出，不能概括为企业对供应商一切行为承担无条件责任。[1，段42—43][4]

两案还确认，行政罚款要求故意或过失。《指南 04/2026》第49段将过失的认知要素表述为：条款适用对象不能不知道其行为具有违法性质；监管机构无须证明企业明确知道自己违反了某一具体 GDPR 条款。决定性问题是其是否处于能够了解该行为违法的状态。指南因而对“不了解规则”“以往一直这样做”等解释持严格态度，同时承认不可避免的法律错误在极例外情形下可能排除这一认知要素。企业规模、业务专业性及所涉处理活动的风险可以影响具体注意义务的评价，但指南并未设定一条适用于所有大型企业或所有 AI 项目的更高过错门槛。[1，段47—52、示例2—3][4]

法律意见在这一框架中的作用值得单独说明。指南示例4分别讨论了与主要法律文献相悖的外部律师意见、与监管机构既有观点相悖的内部评估，以及无法提供外部咨询内容的情形；这些材料均未在相应事实下排除过失。意见书本身没有自动免责效果，仍需观察意见所依据的事实是否完整、相反观点是否进入分析、企业知悉风险后采取了何种措施。由此可以推得一项实务方法：就有争议的处理活动，保存法律意见形成时的事实版本、关键争点、决策者意见和后续复核节点。记录有助于还原当时的合理判断，却不能保证监管机构认可最终结论；所谓“法律决策记录”也只是本文提出的内部工具名称。[1，段49—50、示例4]

四、轻微违法、重复事件与监管措施的选择

“轻微违法”来源于 GDPR 序言第148段。指南要求结合第83条第2款的因素审查具体事实，不能仅因某项义务属于第83条第4款的较低罚款档次就认定违法轻微，也不能仅因其属于第5或6款便排除轻微的可能。违法持续时间、涉及的数据及人数、对权利的风险、企业此前的行为和补救措施，均可能改变评价；没有已经证实的损害，也不足以单独证明违法轻微。尤其需要看违法在多大程度上影响了相关义务所保护的利益。[1，段55—66]

指南第10号假设示例有助于理解单次事件与持续问题的区别。一次迟延答复信息请求，在其限定事实下可以被视为轻微；调查若发现大量类似迟延，监管机构可认为该迟延反映更根本的处理问题或惯常模式，继而认为罚款适当。这个示例把组织处理能力带入个案评价，但没有设定“单次即轻微”的规则，也没有规定出现多少次迟延就必须罚款。对于其他违法，同样要区分偶发操作、反复失误与制度性缺陷，并回到第83条第2款的适用因素证明其关联。[1，段11、示例10]

纠正措施的选择仍受个案目的约束。警告面向拟议且尚未实施的处理；针对同一尚未发生的行为，不得同时处以以已经发生违法为前提的行政罚款。谴责针对已发生违法，罚款有惩罚和威慑作用，命令及限制措施则常用于恢复合法处理状态。欧盟法院在 Land Hessen（C‑768/21）案确认，若行使纠正权力对于纠正缺陷并确保 GDPR 得到充分执行既无必要也不适当，监管机构可以不采取纠正措施；裁量仍受保护数据主体的目标约束。指南同时认为，非轻微违法原则上应罚款，在罚款不相称的个案中通常仍需考虑谴责等措施。可见，裁量空间要求监管机构解释措施与违法事实之间的关系，并没有为普遍的“少罚”立场提供依据。[1，段21—26、113—121][5]

五、“可证明治理”作为评论判断的四个层面

组织控制与个别失误

第83条第2款(d)项将控制者或处理者的责任程度纳入评估，并要求考虑第24、25、32条下已经实施的措施。由此，同样的事件可能呈现不同的责任程度：一家公司在已有合理控制措施的情况下发生偶发误发，和长期没有权限管理、培训或事件升级机制的公司，进入监管评价的事实基础并不相同。指南中的例示也关注企业是否主动重新评估技术和组织措施，以及纠正是否真正降低再次发生的风险。“治理责任”在这里是对责任程度与措施有效性的评论性概括，不能替代第83条规定的各项独立因素，更不能推导出所有员工错误都说明企业制度失效。[1，段75—79、示例13]

法律判断的证据

指南对故意、过失以及法律意见的讨论，提示企业注意决策形成的时间和材料。在监管调查中，一份事后整理的合规结论与处理活动实施前形成的风险评估，其证明内容不同；监管机构仍须核实意见依据的事实、当时可获知的规则与企业随后采取的控制。企业法务的专业作用因此延伸到记录争议如何被识别、相反解释如何被比较，以及管理层在已知风险下为何选择某种处理路径。这个证据建议来自指南的过错判断及示例4，不能把“保存决策记录”本身说成 04/2026 创设的独立义务。[1，段47—50、示例4]

重复事件的组织含义

指南第10号示例说明，多个同类请求的迟延可能改变单次事件的性质。另据第83条第2款(e)项，此前已经认定的相关违法可作为加重因素；同一调查中新发现的类似迟延，应与该项意义上的“既往违法”区分。企业对单个投诉完成补救后，仍应判断同一业务流程是否有其他类似事项；若不同部门反复出现同类问题，调查范围可能延伸到数据定位能力、请求路由和责任分工。把这一工作称为“系统性问题排查”属于企业内部方法，指南没有宣布所有重复事件均构成新的独立违法，也没有把组织规模直接作为罚款前提。[1，段79—85、示例10]

持续评估的既有法源

GDPR 第5条第2款要求控制者能够证明遵守第5条第1款；第24条要求结合处理的性质、范围、情境、目的及风险实施并在必要时审查措施。第35条第11款还规定，在处理所代表的风险发生变化时，必要时审查 DPIA。企业在产品和模型持续变化时保存评估轨迹，有其 GDPR 既有法源，也可能为未来的罚款判断提供事实依据。欧盟《人工智能法案》针对适用范围内的高风险 AI 系统另有风险管理和技术文档要求，《数字服务法案》则对超大型平台及搜索引擎规定系统性风险评估和缓解义务。这些制度在记录风险判断方面有方法上的相似性，适用对象与触发条件各不相同；《指南 04/2026》没有通过类比把后两部法规的要求移植到所有 GDPR 控制者。[3][6][7]

六、对企业 AI、DPIA 与监管应对的具体启示

对于法律解释存在实质争议的处理活动，企业可以建立简明的决策记录，写明处理目的与数据流、控制者及处理者角色、相关条款、已有监管观点、替代方案和最终批准依据。高质量记录的价值在于使后续审查能够还原当时的事实和判断，尤其是企业已知晓的风险以及采取的限制措施；文件数量本身不能证明已经履行注意义务。对 AI 训练、画像或自动化决策项目，记录还应随着用途和供应商安排的实质变化而更新。此处提出的是可供企业选择的证据组织方式，其必要范围应以项目风险和适用的具体义务为准。[1，段42—50][3]

供应商管理需要同时观察合同安排与处理实践。第28条下的指示、用途限制和委托处理约定，是确定处理框架的重要证据；若供应商为自身目的再利用数据，或者实际处理明显超出约定，企业应重新判断其法律角色及各方责任。控制者还应评估自己根据第24条及第32条承担的措施义务。对于模型供应商、云服务商和 AI Agent 服务商，不能预设相同的控制者／处理者关系；具体事实可能包含共同决定、独立处理或者受托处理。指南关于归责的讨论为这项核查提供了问题框架，没有创造统一的“AI 供应链连带罚款”规则。[1，段40—43][3][4]

DPIA 适用于第35条规定的可能产生高风险的处理活动，并应在风险变化时按照第35条第11款审查。它能够记录设计阶段的处理范围、风险和缓解措施，也可能帮助企业说明其责任程度；缺少一份原本不依法必需的 DPIA，不能仅因本指南讨论罚款而被推定为新的违法。类似地，监管调查所需材料应在平时形成，包括技术控制实施时间、补救决定、对数据主体的影响评估及措施效果。指南区分主动补救与仅履行本已存在的义务：发现问题后及时行动有可能进入减轻因素评价，但例行合作或迟来的形式整改没有自动减罚效果。[1，段76—100][3]

《指南 04/2026》使处罚决定中的若干问题获得了更清楚的顺序：罚款依据是否存在，行为能否归于被调查方，故意或过失能否成立，违法是否轻微，以及罚款在个案中是否有效、相称且具有威慑性。它为监管机构提供了说理框架，也使企业能够更有针对性地保存控制与决策证据。“可证明治理”概括了本文对这种变化的实践理解；企业仍须逐项履行 GDPR 已有义务，监管机构仍须依个案事实及适用程序法作出决定。公开征求意见稿后续若有修订，本文的具体判断也需相应复核。[1]

主要依据

[1] EDPB，《指南 04/2026》（版本1.0，2026年9月17日）。

[2] EDPB，《指南 04/2022》最终版（2023年5月24日）。

[3] 《通用数据保护条例》原文。

[4] 欧盟法院关于 C‑807/21 与 C‑683/21 两案的官方说明；具体论证以两案判决为准。

[5] 欧盟法院关于 C‑768/21 Land Hessen 案的官方说明；具体论证以判决为准。

[6] 《人工智能法案》原文，尤其第9、11条。

[7] 《数字服务法案》原文，尤其第34、35条。

版本 1.0；2026年9月17日通过。

版本记录

执行摘要

欧洲数据保护委员会（EDPB）通过本指南，以统一决定是否在《GDPR》第58条第2款规定的其他纠正措施之外，或取代这些措施，处以行政罚款的方法。除行政罚款外，纠正措施还包括警告、谴责、命令、限制（包括禁令）以及撤销认证。监管机构应充分考虑各种纠正措施各自的目的（这些目的可能不同，也可能重合），据此确定何种措施适当、必要且相称，足以纠正所发现的缺陷并确保《GDPR》得到充分执行。本《行政罚款权适用指南》补充此前通过的《罚款金额计算指南》；后者侧重于行政罚款数额的计算方法。

EDPB提出一套由五个步骤组成的方法，用于决定是否应就违反《GDPR》的行为处以行政罚款。前三步（步骤1至3）涉及处以行政罚款的法律前提；后两步（步骤4至5）涉及相对于《GDPR》下其他纠正措施，是否应处以行政罚款的评估。

第一步，监管机构核查已认定的违法行为是否可能导致行政罚款。并非所有违反《GDPR》的行为均可处以行政罚款，因此监管机构必须在《GDPR》本身或成员国法律中找到依据。第二步，监管机构确认能否因有关违法行为对被调查方处以罚款。违法责任由谁承担，例如控制者还是处理者，取决于被违反的条款约束谁。第三步，监管机构评估已认定的违法行为是否出于故意或过失，因为存在故意或过失的违法行为是处以行政罚款的前提。

随后，监管机构在评估是否应在其他纠正措施之外，或取代其他纠正措施，处以行政罚款时，应考虑《GDPR》第83条第2款(a)至(k)项所列因素。此外，依据《GDPR》序言第148段，对于轻微违法行为，可以用谴责代替罚款。

因此，第四步是由监管机构判断《GDPR》第83条第2款所列加重和减轻因素是否表明违法行为属于轻微违法。如果属于轻微违法，原则上不处以行政罚款；反之，如果不属于轻微违法，则存在处以行政罚款的强烈推定。第五步，监管机构依照《GDPR》第83条第1款评估在具体案件中处以行政罚款是否有效、相称且具有威慑性。评估时，监管机构可根据违法行为是否属于轻微违法，考虑是否有理由偏离处以或不处以行政罚款的一般做法。

EDPB将定期审查本指南及其方法。

目录

制定依据

考虑到欧洲议会和理事会 2016 年 4 月 27 日关于在个人数据处理和此类数据自由流动方面保护自然人的条例 (EU) 2016/679 第 70 (1)(e) 和 (k) 条，并废除第 95/46/EC 号指令（以下简称“GDPR”），

考虑到《欧洲经济区协定》，特别是其附件十一和第37号议定书（经欧洲经济区联合委员会2018年7月6日第154/2018号决定修订）¹，

考虑到其议事规则第12条和第22条，

采用了以下准则：

1 引言

1 一致执行数据保护规则，是建立协调一致的数据保护制度的核心。本指南供监管机构使用，以确保《GDPR》得到一致适用和执行。本指南阐述EDPB对《GDPR》第83条（处以行政罚款）及其与第58条第2款（纠正措施）之间关系的理解。下列指引适用于受第83条第4款至第6款所列具体条款约束的任何控制者（第4条第7项）、处理者（第4条第8项）、行为准则监督机构或认证机构（第41条和第43条）；以下称为《GDPR》条款或义务的‘适用对象’2。

2 根据 GDPR 第 83(7) 条，各成员国可以制定规则，规定是否以及在何种程度上可以对该成员国设立的公共当局和机构处以行政罚款。如果监管机构根据国家法律拥有此权力，并且该国家法律不阻止这种权力，则本准则适用于对公共机关和机构处以行政罚款的可能性。

3 本指南涵盖跨境及非跨境案件。就跨境案件而言，本指南的方法并不限于决定草案（《GDPR》第60条第3款至第6款）、修订决定草案（第60条第5款）、最终决定（第60条第7款至第10款及第65条第6款）或临时措施（第66条第1款）。在适当范围内，起草《关键问题摘要》（《程序规则条例》第10条第2款(e)项3）和《初步调查结果》（《程序规则条例》第19条第2款）时，对拟采取的纠正措施进行初步识别和初步说理，也应考虑这一方法。

4 本指引并非详尽无遗，也不会就一般行政处罚时行政法、民事法或刑法体系之间的差异作出解释。

5 根据 GDPR 第 70(1)(e) 条，EDPB 有权发布指南、建议和最佳实践，以鼓励 GDPR 的一致应用。 GDPR 第 70(1)(k) 条规定，EDPB 应特别为监管机构制定有关适用 GDPR 第 58 条所述措施以及根据 GDPR 第 83 条设定行政罚款的指南。

6 第29条工作组发布了《关于为实施条例（EU）2016/679适用和确定行政罚款的指南》（WP253，以下简称‘WP29指南’），EDPB予以认可。此后，EDPB通过了《GDPR项下行政罚款金额计算指南04/2022》（以下简称‘计算指南’）。计算指南旨在统一监管机构计算罚款金额的方法；其补充的WP29指南则主要讨论相对于其他纠正措施，何种情形下应处以罚款，并据此解释《GDPR》第83条的标准。

7 GDPR生效以来，监管机构在GDPR项下行政罚款方面已有丰富实践，积累了宝贵经验。此外，欧盟法院（CJEU）还就行政罚款的计算和条件等作出了重要澄清4。因此，EDPB 现在认为有必要就处以行政罚款的前提条件提供更完善和具体的指导，并提供一种方法来确定是否应在 GDPR 下的其他纠正措施之外处以行政罚款，或者代替其他纠正措施。需要此类指导，以确保监管机构在实施行政罚款和其他纠正措施方面采取一致和协调的方法。监管机构将根据当地适用的行政和司法法律在执法中体现这一共同做法。

8 本指南取代WP29指南，补充计算指南，可简称为‘罚款适用指南’。

2 决定是否处以行政罚款的方法概述

9 在遵守合作与一致性义务的前提下，是否依据《GDPR》处以行政罚款属于监管机构的裁量范围。考虑到这一点，EDPB提出以下五步方法，以决定是否应就违反《GDPR》的行为处以行政罚款。步骤1至3涉及处以罚款的法律前提；步骤4至5涉及相对于《GDPR》规定的其他纠正措施，是否应处以罚款的评估。

10 本指南采用分步骤的方法，但在具体案件中不适用的步骤，监管机构无须遵循，也无须对本指南中不适用的方面说明理由，特别是第83条第2款所列的各项因素。第83条第2款的因素既用于决定是否处以行政罚款，也用于计算罚款金额。因此，第一阶段即决定是否处以罚款时得出的结论，可以用于第二阶段的金额计算，从而避免重复评估相同标准。

11 本指南中的示例说明了特定案例中的情况可能对决定是否使用 GDPR 下的纠正措施以及如果使用的话采取哪种纠正措施的影响。由于国情特殊，非典型例子也可能出现。然而，监管机构必须对每个个案的相关因素进行全面评估。对这些虚构案例中情况的考虑不能被视为监管机构在现实案例中必须如何推理的先例或指示。

12 除本指南外，监管机构仍须遵守成员国法及欧盟法规定的一切程序义务，包括为决定充分说明理由的义务，以及一站式机制下的义务。仅引用本指南，不能替代对具体案件应提供的说理。

13 这些指南及其方法将接受 EDPB 的定期审查。

3 《GDPR》第58条第2款规定的纠正措施

3.1 纠正措施的目的

14 行政罚款有助于加强对自然人的保护，是确保尊重自然人权利和高水平保护的关键要素5。为了了解对个案实施行政罚款的考虑因素，有必要仔细研究整体执行框架以及欧盟立法者赋予监管机构的不同权力之间的关系。

15 《GDPR》第58条第2款规定了监管机构为应对违反《GDPR》的行为而可采取的多种纠正措施6。在此情形下，监管机构必须在其裁量范围内决定是否采取行动，以及何种行动适当且必要。为此，监管机构应考虑个案的一切相关情况7。决定何种行动适当且必要时，应充分考虑各项纠正措施各自的目的。这些目的可以结合《GDPR》序言反映的立法理念，经解释推导得出。

16 虽然“纠正措施”（原文 corrective powers）可广义指《GDPR》第58条第2款列出的各项法定权限，以区别于第58条第1款规定的调查权力，但《GDPR》序言的措辞作了更细的区分。《GDPR》序言第129段第一句进一步区分狭义的‘纠正措施’与‘制裁’；序言第148段也分别使用‘适当措施’和‘处罚’。序言第129段提出适用于各类法定权限的一般意见和法律原则，未作过多区分；序言第148段则针对不同类型措施的决定提出补充考虑。序言第148段指出，为加强《GDPR》规则的执行，对于任何违法行为，应在‘适当措施’之外，或取代这些措施，作出包括行政罚款在内的‘处罚’。因此，立法者表明，视其目的而定，某些纠正措施在适当情况下可以累积适用。

17 这意味着，某些纠正措施的首要目的在于（重新）确立特定的合规状态（例如遵守命令），并间接鼓励今后遵规；另一些措施的首要目的则在于发挥个别威慑与一般威慑作用（例如行政罚款），并加强《GDPR》规则的执行8。决定采取何种措施，以及措施是否适当、必要和相称，以便（1）纠正所发现的缺陷、（2）充分执行《GDPR》时，必须考虑这些不同的目的与效果。

3.2 行政罚款

18 《GDPR》第58条第2款(i)项规定的行政罚款，是《GDPR》执法制度的核心要素，与第58条规定的其他措施共同构成监管机构执法工具的重要组成部分9。不过，根据第83条第1款，监管机构在认定某一条款被违反时，须确保所处行政罚款有效、相称且具有威慑性。正是威慑性说明，行政罚款与第58条第2款规定的其他（或大多数）措施相比，具有额外或不同的目的。因此，行政罚款显然具有惩罚功能和目的10。

19 根据 GDPR 第 83(2) 条，除了 GDPR 第 58(2) 条提及的其他纠正措施之外，还应根据具体案件的具体情况处以行政罚款，或者代替 GDPR 第 58(2) 条所述的其他纠正措施。

20 GDPR 第 83(2) 条的措辞可能会得出这样的结论：除了 GDPR 第 58(2) 条列出的所有措施之外，还可以处以行政罚款。然而，在组合措施时应给予适当考虑，因为并非所有措施组合都适合。根据 GDPR 第 83(2) 条和《GDPR》序言第148段，监管机构有责任选择最合适的（根据所追求的目的）措施。在 GDPR 第 83(4) 至 (6) 条提到的情况下，做出此选择时应考虑所有纠正措施，包括处以行政罚款，或者与 GDPR 第 58(2) 条规定的另一项纠正措施一起实施，也可以单独实施。应根据实施下列各项措施的目的，以目的论解释来补充这一解释。例如，如果以警告作为纠正措施，则不能处以行政罚款，因为尚未发生违反 GDPR 规定的行为。

3.3 警告

21 根据 GDPR 第 58(2)(a) 条，如果预期的处理操作（即尚未发生的处理操作）可能违反 GDPR 的规定，监管机构可以向控制者或处理者发出警告。 GDPR 第 58(2)(a) 条的措辞明确指出，警告是在违反 GDPR 条款的行为尚未发生但如果控制者或处理者实施预期处理操作则可能发生的情况下，可以事前行使的权力。例如，如果监管机构认为预期处理将违反 GDPR，特别是在控制者未充分识别或减轻风险的情况下，根据 GDPR 第 36 条进行事先协商，可以发出警告。

22 作为 GDPR 第 58(2) 条纠正措施的一部分，警告具有可被视为预防性的特定目的。在此基础上，并考虑到警告的目的是警告控制者或处理者其行为可能违反 GDPR，警告具有特殊地位，它排除了所有其他纠正措施的适用，包括行政罚款。

23 因此，能够依据《GDPR》第58条第2款(a)项发出警告，即处理活动可能违反《GDPR》规定时，违法行为尚未发生。就同一行为而言，不能在警告之外再处以行政罚款，因为罚款的前提是监管机构已经认定控制者或处理者实施了第83条第4款至第6款所列违法行为。主要用于恢复合法状态的措施亦然。仅认定某些处理活动可能违反《GDPR》，即意味着监管机构尚未调查，或者尚未依据已确定的事实，以高度盖然性认定违法行为。违法处理尚未发生，因此在警告之外再采取任何其他纠正措施，不符合第58条第2款。不过，监管机构仍可在同一决定中，针对相互独立的行为分别发出警告并采取其他纠正措施。

24 如果控制者不顾警告继续进行处理操作，则先前的警告表明违法是故意的11。然而，在评估是否根据 GDPR 第 83(2) 条处以行政罚款时，未能遵守警告的行为不能被视为控制者或处理者之前的相关违法行为12。然而，不遵守先前的警告可能会被视为不遵守先前针对同一主题针对控制者或处理者下令采取的措施13。

3.4 谴责

25 依据《GDPR》第58条第2款(b)项，处理活动违反《GDPR》时，各监管机构有权谴责控制者或处理者。序言第148段指出，为加强《GDPR》的执行，对于任何违法行为，应在监管机构采取的适当措施之外，或者取代这些措施，处以包括行政罚款在内的处罚。该段使用“包括行政罚款在内的处罚”这一措辞，表明《GDPR》除行政罚款外还规定了其他具有威慑作用的措施（例如谴责），并区分具有不同目的的纠正措施。鉴于序言第148段第二句使用“取代”一词，且罚款与谴责均具有威慑目的，同一违法行为无须同时受到罚款与谴责。不过应注意，根据个案情况，第58条第2款(i)项及第83条第2款原则上并不排除将罚款与谴责（或其他纠正措施）结合使用。

26 根据《GDPR》序言第148段，对于轻微违法行为，或者拟处以的罚款会对自然人造成不相称负担的情形，可以谴责代替罚款。不过，对控制者或处理者作出谴责通常发生于这两种情形，却未必仅限于此。《GDPR》赋予监管机构裁量权，以决定如何纠正所发现的缺陷并确保《GDPR》得到充分执行。例如，除序言第148段所述情形外，如果罚款会对法人而非自然人造成不相称负担，监管机构也可以决定作出谴责。此外，在本国法律不允许对公共机关处以行政罚款的成员国，可以用谴责（或本国法律规定的其他措施）代替罚款。最后，序言第148段使用‘可以’一词，表明即使在这些特定情形下，监管机构仍有裁量权选择谴责或行政罚款。

3.5 命令

27 如上所述14，GDPR 第 58(2) 条中提到的以下纠正措施是一系列措施的一部分，就其内容和目的而言，旨在通过要求控制者或处理者使具体处理操作符合相关规定来纠正对 GDPR 的侵犯。

28 这些措施是：

29 如果发现特定行为不合规或条款对象未采取行动，监管机构将使用这些纠正措施，因为这些措施旨在确保遵守 GDPR，并间接鼓励未来的合规行为。监管机构将根据每个案件的具体情况，采取最适当、有效和相称的措施。从个别措施的内容来看，很明显，并非第28段中提到的所有命令都会被视为针对某些违反GDPR的行为的适当措施，而只有那些与违法内容密切相关的命令才会被视为适当的措施。例如，如果发现违反 GDPR 第 34(1) 条（向数据主体通报个人数据泄露情况），监管机构可以命令控制者向数据主体通报个人数据泄露情况，因为这一措施可能被认为是弥补所发现缺陷的最合适措施。另一个例子是因违反 GDPR 第 44 至 49 条（向第三国或国际组织传输个人数据）而下令暂停数据流。为了在有限的时间内保护自然人的权利和自由，可以下令暂停个人数据传输，直至满足 GDPR 第五章规定的合法传输条件。只要这些条件不满足，暂停令就会继续存在。

30 由于这些措施是为了弥补所发现的缺陷，因此没有什么可以阻止监管机构根据GDPR的规定，在这些措施之外采取具有威慑作用的措施。即使在行政罚款未附有命令的情况下，仍有义务使处理符合 GDPR。

3.6 限制，包括禁令

31 依据《GDPR》第58条第2款(f)项，监管机构还可以对控制者或处理者施加临时或永久的处理限制，包括处理禁令。该措施允许暂时或永久限制、禁止个人数据处理。

32 该临时措施旨在以有时限的方式规范对个人数据的保护，即直至事实澄清到可以确定行为合规性或不满足合法处理条件的程度为止。临时措施的条件是需要临时保护数据主体的权利，否则他们可能会遭受难以补救的后果。实施临时措施后可能会实施另一项更广泛的永久性措施。

33 与临时措施不同，永久性或最终措施始终以事先认定存在违法处理为前提。监管机构可以先暂时限制处理，在调查结束后再永久限制或禁止处理。如果其他纠正措施无法恢复合法状态、保护数据主体权利，永久性限制或禁令还可以在这些措施之后采取。

34 一般来说，除了根据 GDPR 第 58(2)(f) 条规定的限制或禁令之外，还可以处以行政罚款。然而，如果限制或禁令是指尚未确定违反 GDPR 的情况（例如未来处理），则除对同一行为采取此类措施外，不能再处以行政罚款15。

3.7 撤销认证

35 根据GDPR第58(2)(h)条，如果认证要求不满足或不再满足，监管机构有权撤销认证或责令认证机构撤销根据GDPR第42条和43条颁发的认证，或命令认证机构不颁发认证。本质上，这是监管机构根据 GDPR 第 42(7) 条已经确立的权力的重复，即撤销证书本身，并作为纠正措施，命令认证机构这样做。根据 GDPR 第 42(7) 条，监管机构和认证机构均有权撤销证书。因此，如果监管机构发现有理由撤销证书，则不一定必须自行撤销证书，而是可以命令认证机构这样做。然而，要求认证机构撤销证书的措施只有根据案件的具体情况才合理，例如认证机构可以更快地执行撤销。保护个人权利可能是监管机构做出此类决定的原因。

36 监管机构必须在撤销认证之前查明事实（直接或通过认证机构）。在这种情况下，必须确定其违反了 GDPR 的规定。除了撤销证书的措施外，还可以采取任何其他纠正措施，包括处以行政罚款（或谴责）。

4 处以行政罚款的法律前提

4.1 步骤1：该项违法行为是否可能导致行政罚款？

37 监管机构第一步须确认违法行为已经发生。确认后，还须判断该违法行为是否可能导致行政罚款。这意味着要确定《GDPR》本身或成员国法律是否为就该违法行为处以行政罚款提供依据。《GDPR》第83条第4款至第6款列出了《GDPR》直接规定可处以行政罚款的违法行为，其中也包括违反依据成员国法律制定的若干义务的情形16。

38 虽然《GDPR》第83条第4款至第6款涉及控制者与处理者依据《GDPR》承担的几乎全部义务，却特别不包括第10条和第24条。一些成员国通过国内立法，允许对违反第10条或第24条的行为处以行政罚款。第24条要求控制者采取适当的技术和组织措施，确保处理符合《GDPR》，并能够证明这一点17。不过，第24条体现了第5条第2款规定的控制者问责原则18，而后者列于第83条第5款。因此，违反第24条可能同时构成违反第5条第2款19。

39 如果支持对已确定的违法行为处以行政罚款，监管机构将进入步骤 2（第 4.2 节）。

4.2 步骤2：能否因该项违法行为对被调查方处以罚款？

40 监管机构的下一步是确定能否因有关违法行为对被调查方处以罚款。《GDPR》第83条第4款至第6款允许就违反其中某些条款的行为处以行政罚款。要确定违法责任由谁承担，须确定具体条款的适用对象20。视条款而定，该对象可能是控制者（第4条第7项）、处理者（第4条第8项）、认证机构（第43条）或行为准则监督机构（第41条），而无论其法律形式或地位如何，也无论其是自然人、法人、公共机关、机构或其他实体。

41 上述适用对象不仅对其代表、董事或管理人员实施的违法行为直接负责，也对其他在其业务过程中、代表其行事的人实施的违法行为直接负责（企业直接责任原则）21。无须证明管理机构曾参与相关行为，甚至无须证明其知情22。此项责任也不以将违法行为归责于某一已识别的自然人为前提23。雇员未遵守指示或行为准则，并不必然中断这项责任24。只有证明该人员完全为了自己的私人目的或第三人的目的行事，因而自己成为独立的控制者时，才会中断原有归责25。

42 代表潜在适用对象行事的人不仅限于雇员，还包括外部自然人或法人实体，只要他们在业务过程中代表他们行事。因此，在处理者代表控制者进行个人数据处理的情况下，控制者也应对处理者犯下的违法行为承担责任26。仅当处理者出于自身目的处理个人数据，或者该处理者以与控制者确定的处理框架或详细安排不兼容的方式处理该数据，或者以无法合理地认为该控制者同意这种处理的方式时，这种对控制者的归属才会被中断27。在这种情况下，根据 GDPR 第 28(10) 条，处理者本身成为无法归因于原始控制者的操作的单独控制者。这与处理者是否因专门针对处理者的违法条款（例如 GDPR 第 28 条和第 32 条）直接承担责任无关。

43 即便某项违法行为不再归责于原实体，该实体仍可能另行承担责任。例如，控制者未采取技术和组织措施，或者措施不足，未能妥善应对代表其行事的人员擅自行为所带来的风险，仍可能因违反《GDPR》第32条而承担责任。

44 《GDPR》直接规定的责任制度具有直接适用效力；处以行政罚款的条件是穷尽的。《GDPR》没有赋予成员国另行增设程序或实体条件的裁量空间28。第58条第2款(i)项及第83条第1款至第6款排除任何此类成员国立法29。

45 不过，《GDPR》并不排除成员国为弥补罚款债权追缴的潜在漏洞，依实际效力原则，以补充立法扩大缴纳行政罚款的责任。这类立法例如可以依据本国行政法或公司法，规定或有责任、法律或经济上的继受者责任以及母公司责任。

46 在确定被调查方可能因相关违法行为被罚款后，监管机构将进入步骤 3（第 4.3 节）。

4.3 步骤3：该项违法行为是否出于故意或过失？

47 接下来，监管机构须评估已认定的违法行为是否出于故意或过失。《GDPR》第83条第4款至第6款要求，在处以行政罚款前，须存在对《GDPR》若干条款的违反。这些条款规定了禁止事项或义务。只要客观上存在不遵守这些禁止事项或义务的情况，即构成对条款的违反。第83条第4款至第6款并未明确规定过失或故意等附加要素30，因此就其明文而言，仅涵盖所援引《GDPR》条款规定的要素。

48 不过，《GDPR》第83条第2款(b)项和第3款以处以罚款时存在过失或故意为前提31。没有任何条款表明，可在违法行为完全不具有故意或过失时处以罚款32。因此，可以推导出第83条第4款至第6款所列构成要素之外，还存在一项未明文规定的过错要件。相应地，只有认定适用对象故意或过失实施了违法行为，才能依据第83条处以行政罚款；存在故意或过失的违法行为是处以罚款的条件33。过失或故意的相关要素，可依据个案事实中收集的客观行为要素予以指示和推定34。

49 ‘过失’要求具备认知要素，但不要求具备意志要素35。《GDPR》并未要求达到某种特定的过失程度才能处以行政罚款。只要条款适用对象不可能不知道其行为的违法性质，认知要素即告具备；其是否知道该行为违反《GDPR》具体条款，并不影响这一判断36。如果条款适用对象对作为认定违法依据的自身行为作了错误的法律定性，只要其不可能不知道该行为的不法性质，这种错误就不能使其免于行政罚款37。决定性因素在于该对象是否能够知道其行为违法，而非其实际上是否认识到这一点38。因此，无须证明其确有积极认知或实际意识；应判断其是否本应知道并意识到这一点。作为尽职义务的一部分，适用对象应了解并熟悉对其适用的法律及义务。正如总检察长 Emiliou 所强调，过失要素的门槛很低，以致难以设想该要素不成立的情形39。成员国上诉法院也确认了过失要素的这一较低门槛40。

50 只有在法律错误可被认定为不可避免时，这一认知要素才可能欠缺。因此，Emiliou总检察长认为，一般而言，‘单纯的人为错误’可能表明过失；仅仅对合法性存有疑虑，就可能意味着接受了违反《GDPR》的可能性，构成重大过失41。只有在履行尽职义务后仍无法合理克服错误的极例外情形，才可援引善意。正如Kokott总检察长指出，不可避免的法律错误极少发生，只有条款适用对象采取了一切可能且合理的措施以避免所指违法行为时，才可能存在42。法律存在解释余地时，缺少法律文献或EDPB指南，本身不意味着错误不可避免；但如果EDPB指南已经存在，该错误始终被视为可以避免，因而至少构成过失43。

51 不同于过失，‘故意’必须同时具备两个相互区别的要素：认知要素和意志要素44。知道某一特定事项，并不必然意味着具有追求某一特定结果的意志45。

52 为满足处以罚款的要求，无须区分违法行为是出于故意还是过失；只须认定其‘至少具有过失’。不过，在裁量阶段权衡个案的全部因素时，过错程度可能发挥作用（见第5.2.2节）。

53 如果已确定的违法行为是故意或过失造成的，监管机构将进入步骤 4（第 5.2 节）。

5 决定是否应处以行政罚款

5.1 决定是否处以行政罚款的方法

54 如果监管机构发现对违法行为处以行政罚款的法律前提条件已满足（参见上述步骤 1-3），则需要评估是否应处以行政罚款（作为 GDPR 规定的其他纠正措施的补充或替代）。

55 根据 GDPR 第 83(2) 条，在决定是否对每个案件处以行政罚款时，应考虑 GDPR 第 83(2)(a) 至 (k) 条中的因素46。这些因素表征了控制者/处理者过去或现在的行为或违法本身。因此，GDPR 第 83(2)(a) 至 (k) 条中的因素有助于确保根据所有相关的具体情况评估每项违法行为，并实现 GDPR 规定的处罚制度所追求的目标47。

56 《GDPR》序言第148段引入“轻微违法行为”概念。违法行为轻微，或者拟处罚款可能给自然人造成不相称负担时，可以谴责代替罚款。该序言指出，判断违法是否轻微，应充分考虑第83条第2款所列加重与减轻因素48；下文第5.2.1节至第5.2.11节进一步说明这些因素。例如，监管机构可能认为，个案中的违法行为对相关数据主体的权利不造成重大风险，且不影响有关义务的核心，因此属于轻微违法。相应地，原则上不应处以行政罚款，而可代之以谴责。

57 因此，为决定是否应处以行政罚款，监管机构首先须确认《GDPR》第83条第2款所列因素是否表明该违法行为属于轻微违法（步骤4）。如前所述，如果属于轻微违法，监管机构原则上不处以行政罚款；反之，如果不属于轻微违法，则存在处以行政罚款的强烈推定。

58 在确定所确定的违法行为是否被视为轻微后，监管机构将进入步骤 5（第 5.3 节）。在此步骤中，监管机构将评估对个案的行政罚款是否有效、相称和具有威慑性。在此评估中，监管机构可以根据所确定的违法行为是否被视为轻微（步骤 5a/步骤 5b），考虑是否有理由偏离一般做法，处以或不处以行政罚款。在第 5 步中，监管机构应适当考虑第 5.3.1 节中有关处以行政罚款的三个总体标准，即有效性、相称性和威慑性。

5.2 步骤4：《GDPR》第83条第2款所列因素是否表明轻微违法行为？

5.2.1 引言

59 《GDPR》第83条第4款至第6款按性质归类了控制者和处理者的几乎全部义务。这种分类只抽象地反映欧盟立法者认定的违法严重程度。违反《GDPR》核心原则的行为，通常列于第83条第5款和第6款，适用较高一档罚款上限。不过，要判断违法行为是否属于轻微违法，监管机构仍须依第83条第2款的一般标准评估个案事实。适当考虑所有适用因素后，监管机构可以认定，该案更有必要或较无必要以行政罚款作出回应。

60 根据国家程序规则，制裁的评估可以在评估是否存在违法之后单独进行。因此，对于跨境案件，这可能会限制这些成员国主要监管机构发布的决定草案的详细程度。

61 第83条第2款的因素既用于决定是否处以行政罚款，也用于计算罚款，因此下文第5.2.2节至第5.2.12节与计算指南存在一定重叠。不过，如上文第3.1节所述，依本指南进行的评估目的不同：判断第83条第2款所列因素是否表明轻微违法，以及决定应处以行政罚款还是采取其他纠正措施。计算指南已解释的第83条第2款因素，已纳入本指南，并在必要时针对本次评估的具体背景作了调整。

5.2.2 第83条第2款(a)项：违法行为的性质、严重程度和持续时间

62 GDPR 第 83(2)(a) 条范围广泛，要求监管机构对构成违法的所有要素进行全面审查，以便监管机构将其与其他同类违法行为区分开来。因此，评估应根据案件的具体情况考虑以下具体因素：

63 违法性质的评估超出了 GDPR 第 83(4) 至 (6) 条的抽象分类。为了分析违法的性质，监管机构可以审查违法条款寻求保护的利益以及该条款在数据保护框架中的地位。此外，监管机构还可以考虑违法行为在多大程度上阻碍了该条款的有效适用以及其寻求保护的目标的实现。

64 正如 GDPR 第 83(2)(a) 条所述，违法的严重性涉及处理的性质，但“相关处理的范围或目的以及受影响的数据主体的数量及其遭受的损害程度”也将表明违法的严重性。

65 处理的性质，包括处理在功能上依托的背景（例如商业活动、非营利活动、政党活动等）及处理的全部特征。如果处理性质带来较高风险，例如旨在监测、评估个人方面，或作出对数据主体有负面影响的决定或采取措施，监管机构可以视处理背景及控制者或处理者的作用，赋予这一因素更大权重。此外，如果数据主体与控制者之间明显力量失衡（例如数据主体为雇员、学生或患者），或者处理涉及弱势数据主体，特别是儿童，监管机构也可以赋予这一因素更大权重。

66 处理的范围是根据所进行的处理的本地、国家或跨境范围以及该信息与数据控制者资源分配方面的实际处理范围之间的关系来评估的。这一要素凸显了一个真正的风险因素，随着处理范围的扩大，数据主体和监管机构遏制非法行为的难度加大。处理范围越大，监管机构对该因素的重视就越大。

67 评估处理的目的时会考虑个人数据的处理是否属于控制者的核心活动。处理对控制者或处理者的核心活动越重要，该处理中的违规行为就越严重。在这种情况下，监管机构可能会更加重视这一因素。但在某些情况下，个人数据的处理可能会进一步脱离控制者或处理者的核心活动，但仍会对评估产生重大影响（例如，在处理涉及工人个人数据的情况下，违法行为会严重影响工人的尊严）。

68 实际受到影响和可能受到影响的数据主体人数，是另一个评估因素。涉及人数越多，监管机构可赋予该因素越大权重。在许多情况下，违法行为还可能呈现系统性，因而即使在不同时期，也会影响未向监管机构投诉或报告的其他数据主体。视个案情况，监管机构可以比较受影响人数与该场景下的数据主体总数（例如公民、客户或雇员人数），评估违法行为是否具有系统性。

69 所受损害的程度以及有关行为可能影响个人权利和自由的程度，也是应评估的因素。损害程度是与涉及的数据主体人数相独立的参数，旨在提醒监管机构关注已经发生或可能发生的损害（例如，不法处理影响的人数虽多，但他们所受损害有限）。根据《GDPR》序言第75段，损害包括人身、财产或非财产损害。按照计算指南第60段，对损害的评估可限于正确评估违法严重程度在功能上所必需的范围，避免与负责认定不同形式个体损害的司法机关工作相重叠。

70 违法行为的持续时间。监管机构通常可以对持续较久的违法行为赋予更大权重。持续时间越长，越可能不被认定为轻微违法，也越可能处以行政罚款。

5.2.3 第83条第2款(b)项：违法行为的故意或过失性质

71 《GDPR》并不要求故意或过失达到某一特定程度（见第4.3节）。不过，过错程度越高，在判断（i）违法行为不属于轻微违法以及（ii）决定处以行政罚款时，这一因素的权重就越大。故意实施的违法行为尤其如此。

72 在过失违法案件中，可以区分不同程度的过失，对个案的整体评估可能具有不同的权重。过失程度低的可能对行政罚款决定的影响较小，过失程度高的可能表明违法行为不轻微，对行政罚款决定的影响较大。

5.2.4 第83条第2款(c)项：控制者或处理者为减轻数据主体所受损害采取的行动

73 控制者和处理者有义务实施技术和组织措施，以确保与风险相适应的安全水平，进行数据保护影响评估，并减轻个人数据处理对个人权利和自由造成的风险。如果发生违法行为，控制者或处理者应尽一切努力减少违法行为给相关个人带来的后果。采取适当措施减轻数据主体遭受的损害可以被视为确定违法是否轻微以及行政罚款是否是适当纠正措施的减轻因素。

74 评估已采取的措施时，措施的及时性，即控制者或处理者实施措施的时间，以及措施的有效性尤为重要。控制者或处理者在获知监管机构开始调查之前自发实施的措施，比获知之后实施的措施更可能被视为减轻因素。

5.2.5 第83条第2款(d)项：控制者或处理者的责任程度

75 根据《GDPR》第83条第2款(d)项，监管机构应评估控制者或处理者的责任程度，并考虑其根据第24条、第25条和第32条实施的措施。特别是，监管机构应根据处理的性质、目的或规模，以及《GDPR》对控制者施加的义务，评估控制者在多大程度上‘做到了可合理期待其做到的事’49。

76 监管机构尤其应评估数据主体权利和自由面临的剩余风险、数据主体遭受的权利受损情况，以及控制者采取措施后仍持续的损害；还应评估依《GDPR》第24、25和32条所采取措施的稳健程度。监管机构应考虑《GDPR》规定的全部义务及控制者或处理者采取的措施，并据此判断前述剩余风险、权利受损及损害是否得到充分减轻，以确保所有可能要求采取的措施均已采取。

77 在这方面，监管机构还可以考虑根据 GDPR 第 24、25 和 32 条，在没有适当技术和组织措施的情况下，相关数据是否可直接识别和/或可用。然而，即使数据无法直接识别（例如假名数据），这并不能免除控制者或处理者的所有责任。应当记住，此类措施的存在并不一定构成减轻因素。鉴于 GDPR 对控制者和处理者施加了高度的责任，只有在控制者或处理者超出其义务的特殊情况下，监管机构才能将其视为减轻因素。这取决于案件的所有情况。

78 为了充分评估上述要素，监管机构应考虑控制者或处理者提供的任何相关文件，例如在行使表达意见的权利的情况下。特别是，此类文件可以提供证据，证明何时采取措施以及如何实施这些措施，控制者和处理者之间是否存在互动（如果适用），或者是否与数据保护官或数据主体有联系（如果适用）。

5.2.6 第83条第2款(e)项：控制者或处理者以往的违法行为

79 先前的违法行为是指在决定发布之前已经确定的违法行为。如果根据 GDPR 第七章进行合作，则先前的违法行为是指在决定草案（GDPR 第 60 条含义内）发布之前已经确定的违法行为。监管机构只需考虑在将初步调查结果传达给控制者或处理者之前已确定的先前违规行为50。

80 根据《GDPR》第83条第2款(e)项，评估违法行为是否轻微及决定采取何种措施时，必须将控制者或处理者‘此前实施的任何相关违法行为’作为加重因素。评估范围可能很广：即使此前的违法行为与目前调查的违法行为性质不同，仍可能在该项意义上具有‘相关性’，因为它可能表明行为人普遍缺乏对数据保护规则的认识，或者漠视这些规则。

5.2.6.1 时间范围

81 首先，监管机构应当考虑先前违法行为发生的时间点，认为先前违法行为与当前正在调查的违法行为之间的时间间隔越长，其重要性越低。因此，违法行为发生的时间越长，监管机构就越不应该将其视为 GDPR 第 83(2)(e) 条含义内的“相关性”。相反，违法行为发生的时间越近，监管机构在评估违法行为是否轻微以及做出行政罚款决定时就越具有相关性。

82 不过，久远的违法行为在评估控制者或处理者的过往记录时仍可能具有意义，因此不应为此设置固定的时间期限。但一些成员国法律确实禁止监管机构在经过一定期限后考虑先前的违法行为；另有一些成员国法律规定到期删除记录的义务，使负责处理案件的监管机构无法考虑这些先前记录。

5.2.6.2 涉及事项

83 就 GDPR 第 83(2)(e) 条而言，之前与正在调查的主题相同或不同的违法行为可能被视为“相关”。

84 尽管任何先前违法行为都可能反映控制者或处理者遵守《GDPR》的总体态度，同一事项的违法行为因与当前调查的行为更接近，应被赋予更大权重。特别是先前实施过相同违法行为（重复违法）时，更应如此。因此，同一事项的先前违法行为比不同事项的先前违法行为更具相关性。

85 然而，应适当考虑以前对不同主题但以相同方式实施的违法行为，因为它们可能表明控制者或处理者组织内持续存在问题。例如，由于忽视数据保护官的建议而导致违法的情况就是这种情况。

5.2.6.3 其他考虑因素

86 如前所述，如果违规行为反复发生，监管机构应考虑采取所有纠正措施，因为重复发生可能表明普遍未能确保遵守 GDPR。在考虑先前违法行为的相关性时，监管机构应根据国家法律考虑先前违法行为成立的程序的状况，特别是监管机构或司法机构采取的任何措施。

87 当不同监管机构发现同一控制者或处理者存在先前的违法行为时，也可以考虑这些行为。例如，根据 GDPR 第 60 条，通过合作（一站式）机制处理违法行为的主要监管机构可以考虑其他监管机构先前在当地案件中确定的涉及同一控制者或处理者的违法行为。同样，当不同的机构根据 GDPR 第 56(2) 条仅对当地产生影响的情况下处理向其提出的投诉时，可以考虑主要监管机构之前确定的违法行为。如果没有主要监管机构（例如，如果控制者或处理者未在欧盟设立），监管机构还可以考虑另一个监管机构先前就同一控制者或处理者确定的违法行为。

88 在考虑违法行为是否轻微以及采取何种措施时，先前违法行为的存在可能成为加重处罚的因素。该因素的权重应根据以往违规行为的性质和频率来确定。控制者或处理者之前没有违法行为本身并不能被视为减轻处罚的因素，因为遵守 GDPR 是常态。

5.2.7 第83条第2款(f)项：为纠正违法行为与监管机构合作的程度

89 GDPR 第 83(2)(f) 条要求监管机构考虑控制者或处理者与监管机构合作的程度，以纠正违法行为并减轻违法行为可能产生的不利影响。

90 在进一步评估控制者或处理者与监管机构建立的合作程度之前，应重申，根据 GDPR 第 31 条，控制者和处理者负有一般合作义务。因此，应当认为普通合作义务是强制性的。 GDPR 没有规定将单纯的合作视为减轻因素的自由裁量权，因为这已经是必需的。

91 但在例外情形下，如果控制者的介入使数据主体的权利免受本可能发生的负面影响，或者使影响较本可能发生的程度更有限，该情形也可作为减轻因素。与监管机构的特别合作，如果同样限制或避免了本可能发生的负面后果，也适用这一规则。例如，控制者或处理者在调查阶段以特定方式回应监管机构的要求，从而显著限制了对数据主体权利的影响。合作要成为减轻因素，必须超出适用法律要求或通常认为必要的程度。

5.2.8 第83条第2款(g)项：受影响的个人数据类别

92 关于受影响的个人数据类别（GDPR 第 83(2)(g) 条），GDPR 强调了值得特殊保护的数据类型，因此采取了更严格的执行方式。这至少涉及 GDPR 第 9 条和第 10 条涵盖的数据类型，以及这些条款范围之外的数据，这些数据的传播会对数据主体造成直接损害或困扰（例如位置数据、私人通信数据、国家身份证号码或财务数据，例如交易概述或信用卡号码）51。一般来说，涉及的此类数据越多或数据越敏感，违法行为就越有可能被视为不轻微，因此应处以行政罚款。

93 此外，考虑到对隐私权和个人数据保护的侵犯随着每个数据主体的数据量的增加而增加，每个数据主体的数据量也是相关的。

5.2.9 第83条第2款(h)项：监管机构获知违法行为的方式

94 监管机构可能会通过其自身的调查、投诉、媒体文章、匿名提示或控制者的通知而意识到违法行为。

95 根据 GDPR 第 83(2)(h) 条，监管机构了解违法行为的方式可能是确定违法行为是否轻微以及采取哪种纠正措施（如果有）是否合适的相关因素。在评估这一点时，可以特别重视这样一个问题：在监管机构得知违法行为之前，控制者或处理者是否主动通知了违法行为，如果是的话，在多大程度上主动通知了违法行为。当控制者负有特定通知义务时（例如根据 GDPR 第 33 条规定发生个人数据泄露的情况），这种情况不相关。在这种情况下，该通知应被视为中立。

96 如果监管机构通过投诉或调查等方式得知违法行为，则该要素通常也应被视为中性。然而，如果控制者或处理者在监管机构了解案件之前主动通知违法行为，监管机构可能会认为这是一个减轻因素。

5.2.10 第83条第2款(i)项：遵守此前就同一事项命令采取措施的情况

97 GDPR 第 83(2)(i) 条规定，“如果先前已针对同一主题对相关控制者或处理者采取了第 58(2) 条所述措施，则在决定是否处以行政罚款并确定其金额时，应考虑是否遵守这些措施”。

98 与 GDPR 第 83(2)(e) 条相反，此评估仅指监管机构本身先前就同一主题向同一控制者或处理者发出的措施。

99 控制者或处理者可能合理期待，遵守此前对其命令采取的措施，可以防止今后再次发生同一事项的违法行为。但遵守此前命令本来就是其义务，因此在评估是否属于轻微违法、决定是否处以行政罚款时不具有减轻权重，也不排除处以行政罚款。只有在履行此前措施方面展现更强的承诺，例如采取超出监管机构命令范围的额外措施，该因素才可能具有减轻作用。

100 相反，不遵守此前命令采取的纠正措施属于加重因素，通常表明违法行为并不轻微，处以行政罚款更为适当；或者，依据《GDPR》第83条第5款(e)项及第6款，这本身可能构成另一项违法行为。无论如何，同一不遵守行为不得受到两次处罚。

5.2.11 第83条第2款(j)项：遵守已批准的行为准则或认证机制的情况

101 控制者或处理者可以通过遵守经批准的行为准则来证明其合规。

102 对《GDPR》某一条款的违反发生时，遵守经批准的行为准则可能有助于判断违法行为是否轻微，以及监管机构有多大必要处以行政罚款或采取其他纠正措施。按照《GDPR》第40条第4款，经批准的行为准则应包含使行为准则监督机构能够对其条款的遵守情况进行强制监督的机制。

103 如果控制者或处理者遵守一项行为准则，负责实施该准则的行为准则监督机构也已对成员采取适当行动，监管机构可以在确保这些措施充分有效、相称且具有威慑性的前提下，不采取额外措施。不过，行为准则监督机构的权力‘不影响主管监管机构的任务和权力’（《GDPR》第41条第4款）；监管机构没有义务考虑该自律机制先前实施的制裁。

104 但是，如果不遵守行为准则或认证与违法行为直接相关，监管机构可能会认为违法行为不轻微，更有可能处以行政罚款。

5.2.12 第83条第2款(k)项：其他加重或减轻情节

105 该条款本身举例说明，在决定对违反 GDPR 第 83(4) 至 (6) 条规定的行为处以行政罚款的适当性时，可以考虑其他因素。

106 有关因违法而获得的利润或避免的损失的信息对于监管机构来说可能特别重要，因为违法带来的经济收益无法通过不包含金钱成分的措施进行补偿。因此，控制者从违反 GDPR 的行为中获利的事实可能构成其违法行为不轻微并应处以行政罚款的强烈迹象。

107 该规定的范围必然是开放式的，应包括有关控制者或处理者运营的社会和经济背景、与法律背景和市场背景有关的所有合理考虑52。特别是，如果案件提供了因违反 GDPR 而获得的利润信息，则违法带来的经济收益可能是违法不轻微的有力指标，并且更有可能被处以行政罚款。 GDPR 第 83(2)(k) 条也可以考虑可能导致社会经济环境发生重大变化的特殊情况（例如，发生可能从根本上改变个人数据处理方式的严重紧急情况）。

5.2.13 轻微违法行为的实务示例

5.3 步骤5：处以行政罚款是否有效、相称且具有威慑性？

5.3.1 有效性、相称性与威慑性

108 监管机构的下一步是根据 GDPR 第 83(1) 条评估对个案的行政罚款是否有效、相称和具有威慑性。根据步骤 4（第 5.2 节）中所确定的违法行为是否被视为轻微，监管机构将进入步骤 5a（第 5.3.2 节）或步骤 5b（第 5.3.3 节），以确定是否处以行政罚款。在这两个步骤中，监管机构应适当考虑处以行政罚款的这三个总体标准。

109 这些标准与行政罚款的计算相关。这意味着罚款金额必须根据具体情况下的违法行为进行调整53。这些标准也与决定是否首先处以行政罚款有关，这一点从该条款的内容和所追求的目标中可以清楚地看出。就上下文而言，在决定是否处以行政罚款以及计算行政罚款时，应适当考虑GDPR第83（2）条中的减轻和加重因素。这些因素有助于确保根据所有相关的个人情况对每项违法行为进行评估，并实现 GDPR 规定的处罚制度所追求的目标54。从所追求的目标来看，行政罚款具有惩罚性功能和目的55。

110 一般而言，监管机构必须像运用其他纠正措施一样运用行政罚款，确保足以应对具体违法行为，以一致且有客观根据的方式评估所有事实，并始终着眼于所追求的目标。有效性、相称性和威慑性这三项总体标准为此提供支撑。个案中对这三项标准的评估，还必须反映所选择的纠正措施究竟旨在促成规则的遵守、惩罚违法行为，还是兼有这两个目的。

111 处罚规则的设置如果不会使实施所规定的处罚、从而实现欧盟法律所追求的目标，在实践中变得不可能或过于困难，即符合有效性要求。在这一语境下，有效性原则意味着，虽然成员国法律可以为监管机构的执行程序增设要求（例如地址通知，或提出意见、提起上诉、缴纳罚款的期限），这些要求在实践中仍不得妨碍有效性、相称性或威慑性目标的实现。

112 如果处罚能够防止行为人违反欧盟法律所追求的目标和制定的规则，该处罚就具有威慑性。决定性因素不仅包括处罚的性质和水平，还包括实际作出处罚的可能性；违法者必须预期处罚会实际落到自己身上。行政罚款具有惩罚功能和目的，因此本标准对行政罚款尤其重要：罚款既发挥一般威慑作用，阻止他人今后实施同样违法行为，也发挥个别威慑作用，阻止罚款适用对象再次实施同样违法行为。威慑原则要求监管机构建立并维持处以行政罚款的实践，使考虑故意违法或放弃适当合规措施、从而可能因过失违法的人受到实质性抑制。就一般威慑而言，这种实践旨在鼓励合规，避免行政罚款。

113 最后，如果某项处罚既适合实现其所追求的合法目标（即有效且具有威慑性），又确有必要，该处罚才具有相称性。如果有数种同样适当的处罚可供选择，监管机构应采取对相对人负担最小的一种。此外，处罚对有关人员的影响也必须与所追求的目标相称56。在此语境下，相称原则意味着，在具体案件中决定处以行政罚款，不得与所追求的目标不成比例；这些目标即遵守有关个人数据处理中的自然人保护及个人数据自由流动的规则。最后，违法行为的严重程度也是评估纠正措施是否相称（例如是否应处以行政罚款）时的重要因素57。

5.3.2 步骤5a：违法行为属于轻微违法，原则上不应处以行政罚款

114 如果监管机构在步骤 4（第 4.1 节）中发现所确定的违法行为的严重性较轻，则将进入步骤 5a。

115 如上所述58，违法行为被认定为轻微的，一般不处以行政罚款，而可以作出谴责。不过，即使违法行为被认定为轻微，EDPB也不排除监管机构仍可结合个案情况和有效性、威慑性及相称性原则，行使裁量权处以行政罚款59、60。

116 此外，对于某些轻微违法行为，采取《GDPR》第58条第2款规定的任何纠正措施，可能既不适当、也非必要，或者并不相称。

117 欧盟法院裁定：认定违反《GDPR》后，如果考虑个案情况，采取第58条第2款规定的一项或多项纠正措施，适合且有必要纠正所发现的缺陷、确保《GDPR》得到充分执行，并且符合相称性要求，监管机构就必须采取行动61。不过，采取哪一种纠正措施仍属监管机构的裁量范围62；监管机构也无须在发现违法的每个案件中都采取纠正措施63。例如，控制者发现违法后立即采取适当且必要的措施，使违法终止且不再发生时，监管机构可以结合具体情况决定不采取纠正措施64。

5.3.3 步骤5b：违法行为不属于轻微违法，原则上应处以行政罚款

118 如果监管机构在步骤 4（第 4.1 节）中发现所确定的违法行为的严重性不轻微，则将进入步骤 5 b。

119 如上所述65，不被视为轻微违法行为的后果是，作为一般规则，将处以行政罚款。然而，即使已确定的违法行为的严重性不被视为轻微，监管机构仍有权根据 GDPR 第 58(2) 条酌情采取其他纠正措施（除了行政罚款之外或代替行政罚款）66，例如谴责。应当根据案件具体情况，遵循有效性、威慑性、相称性原则作出决定。

120 如前所述67，根据具体案件的具体情况，监管机构可以选择发出谴责，而不是行政罚款，因为对不被视为轻微的违法行为可能处以的罚款将对自然人或法人构成不成比例的负担。此外，在国家立法不允许对公共当局处以行政罚款的成员国，即使违法行为不被视为轻微，也可以发出谴责（或国家法律规定的其他措施）来代替行政罚款。

121 如上所述，且正如欧盟法院所确认的68，如果采取《GDPR》第58条第2款规定的纠正措施，对于纠正已发现的缺陷和确保条例得到充分执行而言并不适当、不必要或不相称，监管机构就不必采取任何此类措施69。鉴于此，EDPB不排除监管机构在例外情形下，即使已认定的违法行为不属于轻微违法，也可以不采取纠正措施。不过，EDPB认为，在此类情形下，如果认定行政罚款并不适当、不必要或不相称，监管机构通常会行使裁量权，以谴责代替罚款，而不是不采取任何纠正措施。

122 监管机构对既定违反GDPR决定处以行政罚款的，应当参照《罚款金额计算指南》进行罚款计算。

附录1：决定是否处以行政罚款的方法

— 原指南附录1：决定是否处以行政罚款的英文流程图

原指南附录1流程图（英文原图，摘自原文 PDF 第39个物理页）；下文保留逐项对应的中文重建，便于对照阅读。

原文脚注