EDPB通过04/2026号指南，统一GDPR行政罚款决定（五步测试法）

在2026年9月21日的全体会议（9月22日至23日报道）上，欧洲数据保护委员会通过了关于GDPR项下行政罚款权与其他纠正措施适用关系的04/2026号指南，并最终确定了关于DSA与GDPR相互作用的指南。罚款指南取代了已有七年历史的第29条工作组指导意见，设定了所有国家数据保护机构在决定是否罚款时必须遵循的统一五步测试法，并附有14个实践案例；公众咨询期持续至2026年11月13日。

这是执法框架层面，在此之下与AI相关的GDPR违规行为（智能体不当处理个人数据、非法画像、AI语音/机器人欺骗）将受到所有27个国家数据保护机构的制裁。它使“罚款vs其他纠正措施”的决定具有可预测性和一致性——与面临AI数据保护调查的组织直接相关，包括日益增长的智能体AI违规案件量。

面临或预期因AI系统受到GDPR执法的组织应将五步罚款测试纳入风险态势评估；利益相关方可在2026年11月13日前向EDPB咨询提交意见。