Глобите по GDPR остават една от най-неразбраните части на европейското законодателство за защита на данните, дори години след влизането в сила на регламента. Заглавията обикновено се фокусират върху атрактивните максимални суми, но действителната структура на санкциите, която регулаторите използват, е по-нюансирана, и разбирането ѝ има значение, независимо дали управлявате малък бизнес или просто искате да знаете колко сериозно са защитени вашите данни.

Двустепенната структура зад глобите по GDPR

Санкциите по GDPR са изградени около две различни нива, като кое от тях се прилага зависи от естеството на нарушението, а не само от неговия мащаб. По-ниското ниво обхваща процесуални пропуски, като неподходящо водене на документация, неизпълнение на задължението за назначаване на служител по защита на данните, когато се изисква, или неправилно отчитане на пробив в сигурността. По-високото ниво е запазено за по-сериозни съществени нарушения, включително нарушаване на основните принципи за обработка на данни, незаконно предаване на лични данни или пренебрегване на правата на лицата за достъп или изтриване на тяхната информация.

Регулаторите не са задължени да преминат директно към максималната санкция на което и да е от двете нива. Вместо това Европейският комитет по защита на данните е установил насоки за изчисляване, които органите за защита на данните използват, за да мащабират глобата според действителните обстоятелства по дадения случай. Фактори като продължителността на нарушението, дали е било умишлено или по непредпазливост, колко хора са били засегнати и дали организацията е съдействала на разследващите — всичко това влияе върху крайната сума. Ето защо две компании, извършили сходни нарушения, могат да получат коренно различни глоби: изчислението не е плосък процент, прилаган автоматично, а изчисление, основано на конкретните обстоятелства по случая.

Защо максималната глоба рядко разказва цялата история

Едно от най-упоритите погрешни схващания за GDPR е, че всяко нарушение носи риск от глоба от 20 милиона евро. На практика таваните представляват сценарий за най-лошия случай при най-тежките и умишлени нарушения, а не типичен резултат. Както е разгледано в свързан анализ за защо таванът от 20 милиона евро рядко се прилага, повечето правоприлагащи действия завършват значително под максимума, а регулаторите обикновено запазват най-големите санкции за повторни нарушители, широкомащабна злоупотреба с данни или компании, които са игнорирали по-ранни предупреждения.

Това казано, някои от глобите, които попаднаха в заглавията, демонстрират колко големи могат да бъдат тези санкции, когато регулаторите преценят, че нарушението го заслужава. Скорошен пример е случаят с глобата от 825 милиона евро на Uber по GDPR заради данни на шофьори, който се нарежда сред най-големите санкции, наложени по регламента до момента. Случаи като този илюстрират как правоприлагащите органи изчисляват глобите не само като процент от оборота, но и според мащаба и чувствителността на засегнатите данни, както и колко дълго е продължила неправилната практика, преди да бъде коригирана.

Глобите по GDPR са част от по-широка европейска тенденция за правоприлагане

GDPR не съществува изолирано. Други юрисдикции в Европа са изградили свои собствени рамки, които отразяват или взаимодействат с него. В Обединеното кралство например Законът за защита на данните от 2018 г. определя седем основни принципа и своя собствена структура за санкции, която тясно следва модела на ЕС дори след Брекзит. Швейцария възприе подобен подход със своя актуализиран закон за поверителност, а организациите, работещи през граници, сега трябва да следят задълженията за съответствие по Швейцарския закон за защита на данните отделно от задълженията си по GDPR в ЕС. За всеки бизнес, обработващ данни в множество държави, тази мозайка от припокриващи се, но различни правила често е по-голямо главоболие за съответствието, отколкото самите глоби.

Какво означава това за вас

Ако управлявате бизнес, който събира или обработва лични данни, глобите по GDPR трябва да оформят начина, по който мислите за съответствието, много преди регулатор изобщо да се намеси. Степенната структура възнаграждава организации, които могат да демонстрират разумни гаранции, навременно отчитане на пробиви и сътрудничество с органите за защита на данните. Да чакате до започване на разследване, за да коригирате пропуски в практиките си за обработка на данни, е далеч по-рисковано, отколкото да ги адресирате проактивно.

За обикновените потребители тези глоби служат като сигнал за това колко сериозно (или не) дадена компания третира личната ви информация. Модел на санкции, особено големи, свързани с основни принципи за данните, а не с документационни грешки, е полезен показател за това как компанията се отнася към данните ви в ежедневието.

Ключови изводи

Глобите по GDPR следват двустепенна система, при която тежестта на нарушението, а не само размерът на компанията, определя кой таван се прилага. Регулаторите изчисляват санкциите, като използват насоки, които претеглят непредпазливостта, продължителността и съдействието, вместо да налагат максимални глоби по подразбиране. Бизнесът трябва да третира съответствието като постоянна практика, а не като реакция на правоприлагане, тъй като документираните гаранции и навременното отчитане на пробиви значително намаляват експозицията. А за потребителите проследяването на това как компаниите реагират на правоприлагане по GDPR предлага практически начин да преценят кои организации наистина дават приоритет на защитата на личните данни.