Když společnost v Evropě špatně nakládá s osobními údaji, důsledky se řídí poměrně jednoduchým rámcem. Pochopení GDPR sankcí a úrovní pokut pomáhá vysvětlit, proč regulační orgány jednají tak, jak jednají, a také ukazuje běžným lidem, jaké nástroje mají, když společnost pochybí. Tento průvodce, vycházející z nedávného přehledu od LegalHelp, provází tím, jak jsou pokuty strukturovány, jak funguje vymáhání a jaké možnosti existují kromě sankcí samotného regulačního orgánu.

Jak fungují GDPR sankce a úrovně pokut

Obecné nařízení o ochraně osobních údajů rozděluje své maximální správní pokuty do dvou úrovní, stanovených v článku 83.

  • Nižší úroveň: až 10 milionů € nebo 2 % celkového celosvětového ročního obratu společnosti, podle toho, která částka je vyšší.
  • Vyšší úroveň: až 20 milionů € nebo 4 % celosvětového ročního obratu, podle toho, která částka je vyšší.

Dva detaily jsou zde důležité. Zaprvé, jde o stropy, nikoli pevné ceny. Regulační orgány vypočítávají skutečnou částku případ od případu, takže pokuta může být výrazně pod maximem. Zadruhé, formulace „podle toho, která částka je vyšší" znamená, že procento může u velkých nadnárodních firem přesáhnout pevnou částku v eurech. Pouze pevný strop by byl pro společnost s enormními příjmy zanedbatelnou položkou a možnost založená na obratu je to, co dává pravidlům v tomto měřítku skutečnou váhu.

Vyšší úroveň je obecně vyhrazena pro závažnější porušení. Nižší úroveň pokrývá méně závažná pochybení. V praxi úroveň, do které případ spadá, signalizuje, jak vážně regulační orgán jednání vnímá.

Co odhalují velké případy vymáhání o nesprávném nakládání s údaji

Úrovně pokut vypadají abstraktně, dokud je nevidíte aplikované. Případy vymáhání ukazují, jaké typy pochybení přitahují největší pozornost a jak regulační orgány při stanovování částky zvažují okolnosti.

Naše pokrytí Uberovy pokuty 825 milionů € podle GDPR je užitečným příkladem toho, jak se sankce na horním konci škály sestavuje a co signalizuje dalším společnostem nakládajícím s údaji přes hranice. Údaje dětí jsou další oblastí pod přísným dohledem. Náš článek o tom, proč checkbox compliance selhává podle pravidel GDPR o údajích dětí ukazuje, že regulační orgány stále více hledí za papírování na to, co organizace skutečně dělají s osobními informacemi.

Společným jmenovatelem je, že regulační orgány se zaměřují na skutečnou praxi. Zásady ochrany osobních údajů, které existují jen na papíře, společnost neochrání, pokud její skutečné nakládání s údaji zaostává.

Jak podat stížnost u vašeho úřadu pro ochranu osobních údajů

Pokuty ukládají regulační orgány, ale regulační orgány se o problémech často dozvídají proto, že je nahlásí jednotlivci. Pokud se domníváte, že organizace zneužila vaše údaje, máte obecně právo podat stížnost u úřadu pro ochranu osobních údajů (DPA). Přesný postup se liší podle země, takže nejlepším výchozím bodem jsou webové stránky DPA ve vašem vlastním členském státě EU.

Několik praktických kroků obvykle učiní stížnost silnější:

  1. Začněte u společnosti. Pošlete písemnou žádost s dotazem, jaké údaje o vás uchovává, jak jsou používány a s kým jsou sdíleny. Uschovejte kopii a datum odeslání.
  2. Shromážděte důkazy. Uložte e-maily, snímky obrazovky, stránky účtu a všechny obdržené odpovědi, včetně absence odpovědi.
  3. Buďte konkrétní. Popište, co se stalo, kdy se to stalo a kterých vašich údajů se to týkalo.
  4. Poddejte stížnost správnému úřadu. Použijte formulář pro stížnosti nebo kontaktní kanál svého národního DPA a přiložte svou dokumentaci.

Stížnost nezaručuje pokutu. Regulační orgán rozhoduje o tom, zda zahájí vyšetřování a jaká opatření případně přijme. Ale stížnosti jsou součástí toho, jak se vzorce pochybení dostávají na světlo.

Kromě pokut: Soukromé žaloby a odvolání společností

Správní pokuty jsou jen jednou částí obrazu. Přehled LegalHelp také pokrývá donucovací pravomoci nad rámec pokut, soukromé žaloby a možnosti odvolání.

Na straně jednotlivce mohou lidé, kteří byli porušením poškozeni, uplatňovat nároky na odškodnění prostřednictvím soudů. Tato cesta je oddělená od pokuty regulačního orgánu: peníze ze správní sankce nejdou postiženému jednotlivci. Pokud zvažujete právní kroky, je moudré promluvit si s kvalifikovaným právníkem ve vaší jurisdikci, protože pravidla a postupy se liší.

Na straně společnosti mohou organizace, které obdrží sankci, obvykle podat odvolání. To znamená, že pokuta z titulků není vždy konečným slovem a částky nebo zjištění mohou být napadeny. Čtenáři sledující významný případ by měli první oznámení považovat za etapu delšího procesu.

Co to znamená pro vás

Dvouúrovňová struktura se může zdát jako záležitost pro týmy korporátního compliance, ale utváří vaši vyjednávací pozici jako jednotlivce. Protože sankce mohou dosáhnout 2 % nebo 4 % celosvětového obratu, mají společnosti silný finanční důvod reagovat, když se zapojí úřady pro ochranu osobních údajů. Vaše stížnost nebo žádost o přístup se do tohoto systému promítá.

To platí, i když v každodenním životě nejste v EU. Mnoho globálních služeb zpracovává údaje evropských rezidentů a pravidla jsou navržena tak, aby následovala data. VPN nebo jiné nástroje pro soukromí mohou snížit množství informací, které odhalujete, ale právní práva pokrývají to, co se stane s údaji, jakmile je společnost již má. Oba přístupy fungují nejlépe společně.

Klíčové poznatky

  • GDPR sankce a úrovně pokut jsou zastropovány na 10 milionů € nebo 2 % celosvětového obratu (nižší úroveň) a 20 milionů € nebo 4 % (vyšší úroveň), podle toho, která částka je vyšší.
  • Tyto částky jsou maximy. Regulační orgány stanovují skutečné pokuty na základě specifik každého případu.
  • Můžete poslat společnosti žádost o přístup a v případě potřeby podat stížnost u svého národního úřadu pro ochranu osobních údajů.
  • Nároky na odškodnění prostřednictvím soudů jsou oddělené od regulačních pokut a společnosti se mohou proti sankcím odvolat.

Pokud organizace nakládala s vašimi údaji špatně, využijte tato práva. Pošlete žádost o přístup, zdokumentujte odpověď a poddejte stížnost, pokud je nedostatečná. Chcete-li vidět, jak se vymáhání projevuje v praxi, přečtěte si naši analýzu Uberovy pokuty a naši zprávu o pravidlech pro údaje dětí.