Når en virksomhed håndterer personoplysninger forkert, er det tal, der ofte nævnes i overskrifterne, den maksimale bøde. I henhold til GDPR kan bøder i Storbritannien nå op på 17,5 millioner GBP eller 4 % af den globale omsætning, og i EU 20 millioner EUR eller 4 % af den globale omsætning. Disse tal lyder abstrakte, men de findes for at beskytte dig. Denne guide forklarer, hvad de betyder på almindeligt dansk.

De maksimale GDPR-bøder i Storbritannien og EU

De to regimer følger samme grundlæggende design. Hver af dem fastsætter et fast loft i sin egen valuta og en procentdel af organisationens globale omsætning.

  • Storbritannien: op til 17,5 millioner GBP eller 4 % af den globale omsætning
  • EU: op til 20 millioner EUR eller 4 % af den globale omsætning

Procentdelen er vigtig, fordi den skalerer med organisationens størrelse. Et fast beløb ville være ubetydeligt for en meget stor virksomhed, så muligheden baseret på omsætning gør det muligt for tilsynsmyndighederne at fastsætte en sanktion, der reelt mærkes. De førende guides om emnet beskriver reglen som "alt efter hvad der er højest" for det lavere niveau, og samme logik er det, der gør den maksimale grænse meningsfuld for store virksomheder.

Dette er lofter, ikke standardbøder. De fleste bøder ligger godt under maksimum, og en tilsynsmyndighed skal begrunde, hvor en sag placerer sig.

Hvilke overtrædelser falder i hvilket niveau

GDPR anvender en to-niveau-struktur. Det højere niveau, det der bærer loftet på 17,5 millioner GBP eller 20 millioner EUR, er forbeholdt de mere alvorlige overtrædelser. Det lavere niveau dækker mindre alvorlige svigt og har et lavere loft. Offentligt tilgængelige resuméer angiver EU's lavere niveau til 10 millioner EUR eller 2 % af den globale årlige omsætning.

Overordnet set er det højere niveau rettet mod overtrædelser, der rammer kernen i dine rettigheder, såsom at bryde de grundlæggende principper for behandling af data eller nægte folk de rettigheder, loven giver dem. Det lavere niveau er generelt forbundet med mere proceduremæssige eller organisatoriske forpligtelser. For en dybere gennemgang af, hvordan opdelingen fungerer, se vores forklaring på hvordan GDPR's to-niveau-strafsystem fungerer.

Hvordan tilsynsmyndighederne fastsætter den faktiske bøde

Maksimumet er kun den indledende ramme. Tilsynsmyndighederne afvejer omstændighederne i hver enkelt sag, og processen er ikke en simpel opslagstabel.

En regel værd at kende: Når flere overtrædelser forekommer samtidig, bør den samlede bøde ikke overstige det beløb, der er angivet for den alvorligste overtrædelse. I praksis betyder det, at det gældende loft er knyttet til den mest alvorlige overtrædelse i sagen, ikke summen af alle lofter.

Alvorlighed, organisationens størrelse og karakteren af svigten spiller alle ind i det endelige beløb. Det er derfor, at to virksomheder med lignende overtrædelser kan modtage meget forskellige sanktioner, og hvorfor de maksimale beløb i overskrifterne bør læses som en øvre grænse snarere end en forudsigelse.

Hvad det betyder for dig

Bøder går til tilsynsmyndighederne, ikke til de berørte personer, så sanktionen i sig selv vil ikke give dig penge i lommen. Deres værdi for dig er indirekte, men reel.

  • De skaber en afskrækkende effekt. Et loft knyttet til den globale omsætning giver selv store organisationer en grund til at tage databeskyttelse alvorligt.
  • De understøtter dine rettigheder. Sanktionerne på det højere niveau er knyttet til de overtrædelser, der betyder mest for dig, herunder hvordan dine data bruges, og om dine rettigheder respekteres.
  • De giver dig en vej til at handle. Hvis du mener, at en organisation har misbrugt dine data, kan du først rejse spørgsmålet over for organisationen og derefter tage det til databeskyttelsesmyndigheden i dit land. I Storbritannien er denne myndighed ICO.

Det hjælper også at holde forventningerne realistiske. Et meget stort maksimum betyder ikke, at hver overtrædelse resulterer i en meget stor bøde. Vores dækning af GDPR-bøder og to-niveau-systemet undersøger, hvorfor de iøjnefaldende tal kan vildlede.

Praktiske pointer

At forstå GDPR-bøder er især nyttigt, fordi det viser dig, hvor dit handlerum ligger. Et par skridt sætter den viden i arbejde:

  1. Kend forskellen mellem britiske og EU-regler. Det britiske loft er 17,5 millioner GBP eller 4 %, og EU-loftet er 20 millioner EUR eller 4 %. Hvilket der gælder, afhænger af, hvor organisationen opererer, og hvor du befinder dig.
  2. Gem dokumentation. Hvis du kontakter en virksomhed om dine data, gem e-mails, datoer og svar. De er vigtige, hvis du senere klager til en tilsynsmyndighed.
  3. Brug dine rettigheder. Du kan spørge organisationer om, hvilke data de har om dig, og rejse bekymringer, når noget ser forkert ud.
  4. Eskalér når det er nødvendigt. Hvis en virksomhed ikke løser din bekymring, er den nationale databeskyttelsesmyndighed næste skridt.
  5. Reducer din eksponering. Del kun de data, en tjeneste virkelig har brug for, og brug stærke, unikke adgangskoder og to-faktor-godkendelse.

GDPR-bøder, hvad enten det er 17,5 millioner GBP i Storbritannien eller 20 millioner EUR i EU, er den synlige kant af et bredere system designet til at holde dine personoplysninger under din kontrol. At kende til, hvordan systemet fungerer, gør det lettere at bruge det.