Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (EDPB) δημοσίευσε σχέδιο κατευθυντήριων γραμμών που θα μπορούσε να αλλάξει τον τρόπο με τον οποίο εφαρμόζεται ο GDPR στην πράξη. Σύμφωνα με μια σύνοψη του σχεδίου, η πρόταση ορίζει ένα τεκμήριο προστίμων GDPR του EDPB για μη ήσσονος σημασίας παραβάσεις, σε συνδυασμό με ένα σκόπιμα χαμηλό όριο για τη στοιχειοθέτηση αμέλειας. Με απλά λόγια, οι ρυθμιστικές αρχές θα ξεκινούν από την παραδοχή ότι μια σοβαρή παράβαση αξίζει πρόστιμο, και οι εταιρείες θα φέρουν μεγαλύτερο βάρος να αποδείξουν γιατί δεν θα έπρεπε.
Το διαθέσιμο υλικό πηγής για αυτό το άρθρο περιορίζεται σε μια σύνοψη, επομένως αυτή η ανάρτηση περιορίζεται σε όσα αναφέρει η σύνοψη και εξηγεί τις πιθανές επιπτώσεις σε γενικές γραμμές.
Τι προτείνει το σχέδιο κατευθυντήριων γραμμών του EDPB
Ο πυρήνας του σχεδίου είναι μια αλλαγή στην προεπιλογή. Μέχρι τώρα, οι εποπτικές αρχές είχαν μια σειρά διορθωτικών εξουσιών βάσει του GDPR, από επιπλήξεις και εντολές συμμόρφωσης έως διοικητικά πρόστιμα. Το σχέδιο κατευθυντήριων γραμμών προτείνει ότι για παραβάσεις που δεν είναι ήσσονος σημασίας, το πρόστιμο θα πρέπει να είναι το αναμενόμενο αποτέλεσμα και όχι μία επιλογή μεταξύ πολλών.
Δύο στοιχεία ξεχωρίζουν στη σύνοψη:
- Ένα τεκμήριο υπέρ των προστίμων για μη ήσσονος σημασίας παραβάσεις.
- Ένα σκόπιμα χαμηλό όριο για την αμέλεια, το οποίο έχει σημασία επειδή η υπαιτιότητα αποτελεί βασική προϋπόθεση για την επιβολή προστίμου.
Η σύνοψη σημειώνει επίσης ότι οι οργανισμοί θα πρέπει να επιδεικνύουν ισχυρά μέτρα για να αποδείξουν ότι ενήργησαν με την προσήκουσα επιμέλεια. Το σχέδιο είναι μια πρόταση, όχι οριστική καθοδήγηση, επομένως οι λεπτομέρειες ενδέχεται να αλλάξουν μετά τη διαβούλευση.
Γιατί ένα χαμηλό όριο αμέλειας αλλάζει την εφαρμογή
Τα πρόστιμα βάσει του GDPR εξαρτώνται γενικά από το αν μια παράβαση ήταν εκ προθέσεως ή εξ αμελείας. Αν η απόδειξη αμέλειας είναι δύσκολη, οι ρυθμιστικές αρχές μπορεί να διστάσουν να επιβάλουν πρόστιμο, ή οι υποθέσεις μπορεί να καθυστερήσουν σε αντιδικία σχετικά με το τι γνώριζε ή όφειλε να γνωρίζει μια εταιρεία.
Ένα χαμηλό όριο αλλάζει αυτή τη δυναμική. Αν μια εταιρεία απέτυχε να λάβει τα μέτρα που θα λάμβανε ένας εύλογα προσεκτικός οργανισμός, η αμέλεια μπορεί να στοιχειοθετηθεί χωρίς πολλή περαιτέρω έρευνα. Σε συνδυασμό με ένα τεκμήριο προστίμων, αυτό θα καθιστούσε δυσκολότερο για έναν οργανισμό να υποστηρίξει ότι μια παραβίαση ήταν απλώς κακή τύχη ή μια ειλικρινής αμέλεια.
Αυτό εντάσσεται στην ευρύτερη ώθηση προς τη συνέπεια. Ο EDPB έχει ήδη εισαγάγει μια προσέγγιση πέντε βημάτων για τον υπολογισμό των προστίμων, την οποία καλύψαμε στην επεξήγησή μας για τη μέθοδο πέντε βημάτων του EDPB για πρόστιμα GDPR. Αυτή η μέθοδος αφορά το ύψος του προστίμου. Το νέο σχέδιο εξετάζει το προγενέστερο ερώτημα του κατά πόσον πρέπει να επιβληθεί πρόστιμο καθόλου. Για το ιστορικό σχετικά με τις κλίμακες προστίμων και τον ρόλο της υπαιτιότητας, δείτε τον οδηγό μας για τα πρόστιμα και τις κυρώσεις του GDPR το 2026.
Τι σημαίνει αυτό για εσάς
Για τους απλούς ανθρώπους, το πρακτικό αποτέλεσμα θα ήταν έμμεσο αλλά ουσιαστικό. Τα δικαιώματα ιδιωτικότητας στα χαρτιά έχουν σημασία μόνο αν υπάρχουν συνέπειες όταν αγνοούνται. Αν τα πρόστιμα γίνουν η αναμενόμενη απάντηση σε σοβαρές παραβάσεις, οι εταιρείες έχουν ισχυρότερο οικονομικό κίνητρο να:
- Συλλέγουν λιγότερα προσωπικά δεδομένα εξ αρχής.
- Ασφαλίζουν τα δεδομένα που διατηρούν, και να τεκμηριώνουν πώς.
- Ανταποκρίνονται εγκαίρως σε αιτήματα πρόσβασης, διαγραφής και εναντίωσης.
- Εκπαιδεύουν το προσωπικό και να ελέγχουν τους προμηθευτές που χειρίζονται δεδομένα πελατών.
Αυτό δεν σημαίνει ότι κάθε καταγγελία θα καταλήγει σε κύρωση, και δεν εγγυάται ταχύτερα αποτελέσματα για τα άτομα. Οι ήσσονος σημασίας παραβάσεις αναμένεται να αντιμετωπίζονται διαφορετικά, και οι κατευθυντήριες γραμμές είναι ακόμη σε σχέδιο. Ωστόσο, η κατεύθυνση είναι προς μια εφαρμογή που έχει πραγματικό βάρος.
Οι οργανισμοί, εν τω μεταξύ, πιθανότατα θα επικεντρωθούν στα αποδεικτικά στοιχεία. Υπό αυτή την προσέγγιση, η δυνατότητα να επιδεικνύουν αρχεία, εκτιμήσεις κινδύνου και άμεση διορθωτική δράση θα μπορούσε να είναι η διαφορά μεταξύ ενός προστίμου και μιας ηπιότερης αντιμετώπισης.
Πώς να ασκήσετε τα δικαιώματά σας βάσει του GDPR σήμερα
Δεν χρειάζεται να περιμένετε να οριστικοποιηθούν οι κατευθυντήριες γραμμές. Αν βρίσκεστε στην ΕΕ ή στον ΕΟΧ, ή μια εταιρεία επεξεργάζεται τα δεδομένα σας βάσει του GDPR, μπορείτε ήδη να δράσετε:
- Ζητήστε πρόσβαση. Στείλτε αίτημα πρόσβασης υποκειμένου δεδομένων για να μάθετε τι τηρεί μια εταιρεία για εσάς και πώς το χρησιμοποιεί.
- Ζητήστε διαγραφή. Αν τα δεδομένα δεν είναι πλέον απαραίτητα ή αν αποσύρετε τη συγκατάθεσή σας, ζητήστε από την εταιρεία να τα διαγράψει.
- Εναντιωθείτε στην επεξεργασία. Μπορείτε να εναντιωθείτε σε ορισμένες χρήσεις, συμπεριλαμβανομένης της άμεσης εμπορικής προώθησης.
- Κρατήστε αρχείο. Αποθηκεύστε αντίγραφα των αιτημάτων σας και των απαντήσεων, με ημερομηνίες.
- Κλιμακώστε αν αγνοηθείτε. Αν μια εταιρεία δεν απαντήσει κατάλληλα, μπορείτε να υποβάλετε καταγγελία στην εθνική αρχή προστασίας δεδομένων σας.
Μια τεκμηριωμένη, βάσιμη καταγγελία είναι το είδος των αποδεικτικών στοιχείων πάνω στα οποία μπορούν να δράσουν οι ρυθμιστικές αρχές, και μια ισχυρότερη στάση επιβολής θα καθιστούσε αυτές τις καταγγελίες πιο αποτελεσματικές.
Βασικά συμπεράσματα
Το τεκμήριο προστίμων GDPR του EDPB, αν υιοθετηθεί όπως έχει συνταχθεί, θα καταστήσει τις κυρώσεις την κανονική απάντηση σε μη ήσσονος σημασίας παραβάσεις και θα καταστήσει την αμέλεια ευκολότερα στοιχειοθετήσιμη. Αυτό ασκεί πίεση στις εταιρείες να χειρίζονται τα προσωπικά δεδομένα με προσοχή και δίνει στα δικαιώματα των ατόμων μεγαλύτερη πρακτική ισχύ.
Χρησιμοποιήστε τα δικαιώματα που έχετε ήδη: ζητήστε πρόσβαση, ζητήστε διαγραφή και εναντιωθείτε όπου αρμόζει. Για να κατανοήσετε πώς υπολογίζονται οι κυρώσεις όταν ένα πρόστιμο είναι στο τραπέζι, διαβάστε τις επεξηγήσεις μας για τη μέθοδο πέντε βημάτων του EDPB για πρόστιμα και τις κλίμακες κυρώσεων του GDPR.
