Когато дадена компания се отнася неправилно с лични данни в Европа, последствията се определят от сравнително проста рамка. Разбирането на GDPR санкциите и нивата на глобите помага да се обясни защо регулаторите действат по начина, по който действат, а също така показва на обикновените хора какви инструменти имат, когато дадена компания сгреши. Това ръководство, базирано на скорошен преглед от LegalHelp, разглежда как са структурирани глобите, как работи прилагането и какви възможности съществуват извън самите санкции на регулатора.

Как работят GDPR санкциите и нивата на глобите

Общият регламент за защита на данните разделя максималните си административни глоби на две нива, определени в член 83.

  • По-ниско ниво: до 10 милиона евро или 2% от общия световен годишен оборот на компанията, което от двете е по-високо.
  • По-високо ниво: до 20 милиона евро или 4% от световния годишен оборот, което от двете е по-високо.

Тук са важни два детайла. Първо, това са тавани, а не фиксирани цени. Регулаторите изчисляват действителния размер за всеки отделен случай, така че глобата може да бъде много под максимума. Второ, формулировката „което от двете е по-високо" означава, че процентът може да надхвърли фиксираната сума в евро за големите multinational компании. Само фиксиран таван би бил пренебрежимо малък за компания с огромен приход, а опцията, базирана на оборота, е това, което придава реален тежест на правилата в такъв мащаб.

По-високото ниво обикновено е запазено за по-сериозните нарушения. По-ниското ниво покрива по-малко сериозни пропуски. На практика нивото, в което попада даден случай, сигнализира колко сериозно регулаторът възприема поведението.

Какво разкриват големите случаи на прилагане относно неправилното боравене с данни

Нивата на глобите изглеждат абстрактни, докато не ги видите приложени. Случаите на прилагане показват какви видове пропуски привличат най-голямо внимание и как регулаторите претеглят обстоятелствата при определяне на размера.

Нашето отразяване на глобата на Uber от 825 млн. евро по GDPR е полезен пример за това как се сформира санкция в горния край на скалата и какво сигнализира на други компании, обработващи данни през граници. Данните на децата са друга област под засилено наблюдение. Нашата статия за защо compliancето с отметка се проваля съгласно правилата на GDPR за данните на децата показва, че регулаторите все по-често гледат отвъд документите към това, което организациите всъщност правят с личната информация.

Общата нишка е, че регулаторите се фокусират върху реалната практика. Политика за поверителност, която съществува само на хартия, не защитава компанията, ако действителното ѝ боравене с данни е недостатъчно.

Как да подадете жалба до вашия орган за защита на данните

Глобите се налагат от регулаторите, но регулаторите често научават за проблемите, защото хората ги докладват. Ако смятате, че дадена организация е злоупотребила с вашите данни, обикновено имате право да подадете жалба до орган за защита на данните (ОЗД). Точният процес варира според държавата, така че най-добрата отправна точка е уебсайтът на ОЗД във вашата държава членка на ЕС.

Няколко практични стъпки обикновено правят жалбата по-силна:

  1. Започнете с компанията. Изпратете писмено искане да ви кажат какви данни съхраняват за вас, как се използват и с кого се споделят. Запазете копие и датата, на която сте го изпратили.
  2. Съберете доказателства. Запазете имейли, екранни снимки, страници на акаунта и всички отговори, които получите, включително липсата на отговор.
  3. Бъдете конкретни. Опишете какво се е случило, кога се е случило и кои от вашите данни са били засегнати.
  4. Подайте до правилния орган. Използвайте формуляра за жалби или канала за контакт на националния ОЗД и прикачете документацията си.

Жалбата не гарантира глоба. Регулаторът решава дали да разследва и какви действия, ако има такива, да предприеме. Но жалбите са част от това как моделите на неправомерно поведение излизат наяве.

Отвъд глобите: Частни съдебни дела и обжалване от компании

Административните глоби са само част от картината. Прегледът на LegalHelp обхваща също правомощията за прилагане извън глобите, частните съдебни дела и възможностите за обжалване.

От страна на индивида, хората, които са понесли вреди от нарушение, може да могат да предявят искове за обезщетение чрез съдилищата. Този път е отделен от глобата на регулатора: парите от административната санкция не отиват при засегнатия индивид. Ако обмисляте правни действия, разумно е да поговорите с квалифициран адвокат във вашата юрисдикция, тъй като правилата и процедурите се различават.

От страна на компанията, организациите, които получат санкция, обикновено могат да я оспорят. Това означава, че глобата, която виждате в заглавията, не винаги е окончателната дума и размерите или констатациите могат да бъдат оспорени. Читателите, които следят голям случай, трябва да третират първото съобщение като етап от по-дълъг процес.

Какво означава това за вас

Двустепенната структура може да изглежда като въпрос за корпоративните екипи по compliance, но тя оформя вашата позиция като индивид. Тъй като санкциите могат да достигнат 2% или 4% от световния оборот, компаниите имат силен финансов стимул да реагират, когато органите за защита на данните се намесят. Вашата жалба или искане за достъп захранват тази система.

Това се отнася дори ако не живеете в ЕС в ежедневието си. Много глобални услуги обработват данните на европейски residents и правилата са създадени да следват данните. VPN или други инструменти за поверителност могат да намалят колко информация разкривате, но законовите права покриват какво се случва с данните, след като компанията вече ги притежава. Двата подхода работят най-добре заедно.

Ключови изводи

  • GDPR санкциите и нивата на глобите са ограничени до 10 милиона евро или 2% от световния оборот (по-ниско ниво) и 20 милиона евро или 4% (по-високо ниво), което от двете е по-високо.
  • Тези цифри са максимуми. Регулаторите определят действителните глоби въз основа на спецификите на всеки случай.
  • Можете да изпратите искане за достъп до компания и, ако е необходимо, да подадете жалба до националния си орган за защита на данните.
  • Исковете за обезщетение чрез съдилищата са отделни от регулаторните глоби и компаниите могат да обжалват санкции.

Ако дадена организация се е отнесла лошо с вашите данни, използвайте тези права. Изпратете искането за достъп, документирайте отговора и подайте жалба, ако той е недостатъчен. За да видите как прилагането се развива на практика, прочетете нашия анализ на глобата на Uber и нашия доклад за правилата за данните на децата.