EDPB通过“是否罚款”五步指引：非轻微侵权即推定应当罚款，公开咨询至11月13日

新指引采用五步方法：第一步核查该侵权是否在法律上可导致罚款；第二步确定被调查方是否为该条款项下的适格受罚主体（取决于控制者或处理者是否受该条款约束）；第三步评估侵权是否出于故意或过失——过错是罚款的条件；第四步评估加重与减轻因素；第五步评估罚款是否有效、相称且具有劝诫性，并可考虑是否存在偏离标准路径的理由。前三步是门槛，任何一步都可能终结程序；第五步是末端校验。

真正改变默认设置的是第四步。EDPB的表述是：“若侵权属轻微，通常不会罚款，而可能改以训诫；若不属轻微，则存在应当施加罚款的强烈推定。”这意味着此前的框架下罚款只是若干矫正措施之一，而新框架下侵权一旦“不轻微”，起算点即为“将被罚款”，当事人需要承担推翻该推定的论证责任。

需要区分的是两套指引的分工：既有的罚款计算指引回答“既然决定罚款，罚多少”，涉及起始金额、营业额与调整因素；本次新指引回答“是否应有罚款”。EDPB副主席Jelena Virant Burnik表示，该指引重申了委员会提供更高清晰度并确保GDPR在全欧一致适用的承诺。一致性是双向的：此前倾向训诫的监管机构，如今有了指向另一方向的既定推定。

对企业的直接启示有三点：其一，第三步使“过错”成为承重概念，因此证明“事前已尽注意”的证据必须事前存在——决策记录、已开展的评估、已采纳的建议；其二，第四步的争点将集中于侵权是否“轻微”以及减轻因素，这些都由事实构成：发现速度、处置动作、通报对象、当事人是否受损；其三，第五步是合作与整改发挥作用的环节。指引尚在咨询期，文本仍可能变化，且指引不像条例那样具有直接约束力，但其确立的默认方向将影响后续与监管机构的对话形态。