Når en virksomhed håndterer personoplysninger forkert i Europa, fastsættes konsekvenserne af en forholdsvis enkel ramme. Forståelsen af GDPR-bøder og bødeniveauer hjælper med at forklare, hvorfor tilsynsmyndighederne handler, som de gør, og det viser også almindelige mennesker, hvilke redskaber de har, når en virksomhed gør noget forkert. Denne guide, baseret på en nylig oversigt fra LegalHelp, gennemgår, hvordan bøderne er struktureret, hvordan håndhævelsen fungerer, og hvilke muligheder der findes ud over tilsynsmyndighedens egne bøder.

Hvordan GDPR-bøder og bødeniveauer fungerer

Databeskyttelsesforordningen opdeler sine maksimale administrative bøder i to niveauer, fastsat i artikel 83.

  • Lavere niveau: op til €10 mio. eller 2% af en virksomheds samlede årlige omsætning på verdensplan, alt efter hvad der er højest.
  • Højere niveau: op til €20 mio. eller 4% af den årlige omsætning på verdensplan, alt efter hvad der er højest.

To detaljer er vigtige her. For det første er disse lofter, ikke faste priser. Tilsynsmyndighederne beregner det faktiske beløb fra sag til sag, så en bøde kan ende langt under maksimum. For det andet betyder formuleringen "alt efter hvad der er højest", at procentdelen kan overstige det faste eurobeløb for store multinationale selskaber. Et fast loft alene ville være en afrundingsfejl for en virksomhed med enorm omsætning, og muligheden baseret på omsætning er det, der giver reglerne reel vægt i den skala.

Det højere niveau er generelt forbeholdt de mere alvorlige overtrædelser. Det lavere niveau dækker mindre alvorlige fejl. I praksis signalerer det niveau, en sag falder ind under, hvor alvorligt tilsynsmyndigheden vurderer adfærden.

Hvad store håndhævelsessager afslører om fejlhåndtering af data

Bødeniveauer virker abstrakte, indtil man ser dem anvendt. Håndhævelsessager viser, hvilke typer fejl der tiltrækker mest opmærksomhed, og hvordan tilsynsmyndighederne afvejer omstændighederne, når de fastsætter et beløb.

Vores dækning af Ubers GDPR-bøde på €825 mio. er et nyttigt eksempel på, hvordan en bøde i den øverste ende af skalaen opstår, og hvad den signalerer til andre virksomheder, der håndterer data på tværs af grænser. Børns data er et andet område under skarp bevågenhed. Vores artikel om hvorfor afkrydsningsbaseret compliance fejler under GDPR-reglerne om børns data viser, at tilsynsmyndighederne i stigende grad ser forbi papirarbejde og på, hvad organisationer faktisk gør med personoplysninger.

Den fælles tråd er, at tilsynsmyndighederne fokuserer på praksis i den virkelige verden. En privatlivspolitik, der eksisterer på papiret, beskytter ikke en virksomhed, hvis dens faktiske datahåndtering kommer til kort.

Sådan indgiver du en klage til din databeskyttelsesmyndighed

Bøder pålægges af tilsynsmyndigheder, men tilsynsmyndigheder får ofte kendskab til problemer, fordi enkeltpersoner rapporterer dem. Hvis du mener, at en organisation har misbrugt dine data, har du generelt ret til at indgive en klage til en databeskyttelsesmyndighed (DPA). Den præcise proces varierer fra land til land, så det bedste udgangspunkt er hjemmesiden for DPA'en i din egen EU-medlemsstat.

Et par praktiske trin gør typisk en klage stærkere:

  1. Start med virksomheden. Send en skriftlig anmodning om at få oplyst, hvilke data den har om dig, hvordan de bruges, og hvem de deles med. Gem en kopi og datoen, du sendte den.
  2. Indsaml beviser. Gem e-mails, skærmbilleder, kontosider og eventuelle svar, du modtager, herunder manglende svar.
  3. Vær specifik. Beskriv, hvad der skete, hvornår det skete, og hvilke af dine data der var involveret.
  4. Indsend til den rette myndighed. Brug din nationale DPA's klageformular eller kontaktkanal, og vedlæg din dokumentation.

En klage garanterer ikke en bøde. Tilsynsmyndigheden beslutter, om der skal undersøges, og hvilke foranstaltninger der i givet fald skal træffes. Men klager er en del af, hvordan mønstre af uretmæssig adfærd kommer for dagens lys.

Ud over bøder: Private søgsmål og virksomheders klager

Administrative bøder er kun en del af billedet. LegalHelps oversigt dækker også håndhævelsesbeføjelser ud over bøder, private søgsmål og klagemuligheder.

På individniveau kan personer, der er blevet skadet af en overtrædelse, muligvis forfølge krav om erstatning gennem domstolene. Denne vej er adskilt fra en tilsynsmyndigheds bøde: pengene fra en administrativ bøde går ikke til den berørte person. Hvis du overvejer retlige skridt, er det klogt at tale med en kvalificeret advokat i din jurisdiktion, da regler og procedurer er forskellige.

På virksomhedssiden kan organisationer, der modtager en bøde, normalt anfægte den. Det betyder, at en bøde i overskrifterne ikke altid er det sidste ord, og beløb eller konklusioner kan bestrides. Læsere, der følger en stor sag, bør betragte den første meddelelse som en fase i en længere proces.

Hvad dette betyder for dig

To-niveau-strukturen kan virke som en sag for virksomheders compliance-teams, men den former din forhandlingsposition som individ. Fordi bøder kan nå 2% eller 4% af den globale omsætning, har virksomheder en stærk økonomisk grund til at reagere, når databeskyttelsesmyndigheder bliver involveret. Din klage eller anmodning om indsigt indgår i det system.

Dette gælder, selv om du ikke er i EU i din dagligdag. Mange globale tjenester håndterer data fra europæiske borgere, og reglerne er designet til at følge dataene. En VPN eller andre privatlivsværktøjer kan reducere, hvor mange oplysninger du udsætter, men juridiske rettigheder dækker, hvad der sker med data, når en virksomhed allerede har dem. De to tilgange fungerer bedst sammen.

Vigtige pointer

  • GDPR-bøder og bødeniveauer er loft på €10 mio. eller 2% af den globale omsætning (lavere niveau) og €20 mio. eller 4% (højere niveau), alt efter hvad der er højest.
  • Disse tal er maksimumsbeløb. Tilsynsmyndighederne fastsætter faktiske bøder baseret på de specifikke omstændigheder i hver sag.
  • Du kan sende en anmodning om indsigt til en virksomhed og, hvis det er nødvendigt, indgive en klage til din nationale databeskyttelsesmyndighed.
  • Erstatningskrav gennem domstolene er adskilt fra regulatoriske bøder, og virksomheder kan klage over bøder.

Hvis en organisation har håndteret dine data dårligt, brug disse rettigheder. Send anmodningen om indsigt, dokumentér svaret, og indgiv en klage, hvis det er utilstrækkeligt. For at se, hvordan håndhævelsen udspiller sig i praksis, læs vores analyse af Uber-bøden og vores rapport om reglerne om børns data.