欧洲数据保护委员会《第04/2026号指南——关于在〈通用数据保护条例〉项下与其他纠正措施的关系中行使行政罚款权》（Guidelines 04/2026，2026年9月17日通过）
简称：EDPB 第04/2026号指南（行政罚款适用方法论）
法规简介
欧洲数据保护委员会（EDPB）于2026年9月17日在全体会议上通过《第04/2026号指南》，统一各成员国监管机构「是否应当处以行政罚款」的判断方法论，共39页。指南提出五步法：前三步审查法律前提（该违法行为可否被罚款、被调查方是否可被罚款、是否具有故意或过失），后两步判断是否应当罚款——依GDPR第83(2)(a)–(k)条考量加重与减轻因素以判断违法是否「轻微」，若轻微通常不予罚款而可予申诫；若不属轻微则存在处以罚款的强推定；最后评估罚款是否有效、相称且具有劝阻力。该指南与既有的「罚款金额计算方法指南」互补，现已公开征求意见至2026年11月13日。
【文件性质】欧洲数据保护委员会（EDPB）《第04/2026号指南——关于在〈通用数据保护条例〉项下与其他纠正措施的关系中行使行政罚款权》（Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR），第1.0版，2026年9月17日通过，共39页；文本自2026年9月21日起公开征求意见至2026年11月13日。
【制定目的】统一「是否应当处以行政罚款」的判断方法论，解决GDPR第58(2)条项下各类纠正措施（警告、申诫、命令、限制包括禁止处理与撤销认证，以及行政罚款）之间的选择问题。监管机构须适当考虑各项纠正权能的目的（可能相异亦可能重合），以确定何种措施对纠正所发现的缺陷是适当、必要且相称的，并充分执行GDPR。
【与既有指南的关系】本指南（下称「适用指南」）与EDPB此前通过的「计算方法指南」互补：前者解决「是否罚款」，后者解决「罚多少」。
【五步法总览】第一步至第三步处理处以行政罚款的法律前提；第四步与第五步处理是否应当处以行政罚款（即与GDPR项下其他纠正措施之间的关系）。
【第一步：该违法行为可否导致行政罚款】并非所有GDPR违法行为都可被处以行政罚款，监管机构须在GDPR本身或国内法中找到直接依据。
【第二步：被调查方是否可因该违法行为被罚款】谁承担责任（控制者抑或处理者）取决于谁受被违反条款的约束。
【第三步：违法行为是否具有故意或过失】可归责的违法行为是处以行政罚款的条件。
【第四步：GDPR第83(2)条因素是否表明违法「轻微」】须考量GDPR第83(2)(a)–(k)条全部因素。依GDPR序言第148条，属轻微违法时，可予申诫而非罚款。因此第四步要求监管机构认定第83(2)条项下的加重与减轻因素是否表明该违法属轻微：若是，作为一般规则不予行政罚款；反之，若不属轻微，则存在处以行政罚款的强推定。
【第五步：处以行政罚款是否有效、相称且具有劝阻力】在第四步基础上作最终比例性评估，并细分为「认定轻微—不应罚款」与「非轻微—应罚款」两种处理路径。
【配套内容】指南正文含第83(2)(a)条（违法的性质、严重性与持续时间）、(b)条（故意或过失性质）、(c)条等逐项分析，并在第5.2.13节给出「轻微违法的实务示例」，便于监管机构与合规主体对照适用。
【实务意义】这是EDPB首次以指南形式统一「是否罚款」这一前置判断，意味着各成员国DPA在决定「申诫还是罚款」时的自由裁量将受到五步法的结构化约束。对中国出海企业而言，指南明确了GDPR序言第148条「轻微违法可申诫」的实体标准，为在欧盟执法程序中主张「非罚款替代措施」提供了可援引的论证框架。
【制定目的】统一「是否应当处以行政罚款」的判断方法论，解决GDPR第58(2)条项下各类纠正措施（警告、申诫、命令、限制包括禁止处理与撤销认证，以及行政罚款）之间的选择问题。监管机构须适当考虑各项纠正权能的目的（可能相异亦可能重合），以确定何种措施对纠正所发现的缺陷是适当、必要且相称的，并充分执行GDPR。
【与既有指南的关系】本指南（下称「适用指南」）与EDPB此前通过的「计算方法指南」互补：前者解决「是否罚款」，后者解决「罚多少」。
【五步法总览】第一步至第三步处理处以行政罚款的法律前提；第四步与第五步处理是否应当处以行政罚款（即与GDPR项下其他纠正措施之间的关系）。
【第一步：该违法行为可否导致行政罚款】并非所有GDPR违法行为都可被处以行政罚款，监管机构须在GDPR本身或国内法中找到直接依据。
【第二步：被调查方是否可因该违法行为被罚款】谁承担责任（控制者抑或处理者）取决于谁受被违反条款的约束。
【第三步：违法行为是否具有故意或过失】可归责的违法行为是处以行政罚款的条件。
【第四步：GDPR第83(2)条因素是否表明违法「轻微」】须考量GDPR第83(2)(a)–(k)条全部因素。依GDPR序言第148条，属轻微违法时，可予申诫而非罚款。因此第四步要求监管机构认定第83(2)条项下的加重与减轻因素是否表明该违法属轻微：若是，作为一般规则不予行政罚款；反之，若不属轻微，则存在处以行政罚款的强推定。
【第五步：处以行政罚款是否有效、相称且具有劝阻力】在第四步基础上作最终比例性评估，并细分为「认定轻微—不应罚款」与「非轻微—应罚款」两种处理路径。
【配套内容】指南正文含第83(2)(a)条（违法的性质、严重性与持续时间）、(b)条（故意或过失性质）、(c)条等逐项分析，并在第5.2.13节给出「轻微违法的实务示例」，便于监管机构与合规主体对照适用。
【实务意义】这是EDPB首次以指南形式统一「是否罚款」这一前置判断，意味着各成员国DPA在决定「申诫还是罚款」时的自由裁量将受到五步法的结构化约束。对中国出海企业而言，指南明确了GDPR序言第148条「轻微违法可申诫」的实体标准，为在欧盟执法程序中主张「非罚款替代措施」提供了可援引的论证框架。
