Όταν μια εταιρεία διαχειρίζεται λανθασμένα προσωπικά δεδομένα, το νούμερο που πρωταγωνιστεί είναι συνήθως το μέγιστο πρόστιμο. Βάσει GDPR, τα πρόστιμα μπορούν να φτάσουν τις 17,5 εκατομμύρια λίρες ή το 4% του παγκόσμιου τζίρου στο ΗΒ, και τα 20 εκατομμύρια ευρώ ή το 4% του παγκόσμιου τζίρου στην ΕΕ. Τα ποσά αυτά ακούγονται αφηρημένα, αλλά υπάρχουν για να σας προστατεύουν. Αυτός ο οδηγός εξηγεί τι σημαίνουν με απλά λόγια.

Τα ανώτατα πρόστιμα GDPR στο ΗΒ και την ΕΕ

Τα δύο καθεστώτα ακολουθούν τον ίδιο βασικό σχεδιασμό. Το καθένα ορίζει ένα σταθερό ανώτατο όριο στο δικό του νόμισμα και ένα ποσοστό του παγκόσμιου τζίρου του οργανισμού.

  • ΗΒ: έως 17,5 εκατομμύρια λίρες ή 4% του παγκόσμιου τζίρου
  • ΕΕ: έως 20 εκατομμύρια ευρώ ή 4% του παγκόσμιου τζίρου

Το ποσοστό έχει σημασία επειδή κλιμακώνεται ανάλογα με το μέγεθος του οργανισμού. Ένα σταθερό ποσό θα ήταν αμελητέο για μια πολύ μεγάλη εταιρεία, οπότε η επιλογή βάσει τζίρου επιτρέπει στις ρυθμιστικές αρχές να επιβάλλουν ένα πρόστιμο που πραγματικά πονάει. Οι κορυφαίοι οδηγοί για το θέμα περιγράφουν τον κανόνα ως «όποιο είναι υψηλότερο» για το κατώτερο επίπεδο, και η ίδια λογική είναι αυτή που καθιστά το ανώτατο όριο ουσιαστικό για τις μεγάλες εταιρείες.

Αυτά είναι ανώτατα όρια, όχι συνήθη πρόστιμα. Τα περισσότερα πρόστιμα πέφτουν αρκετά κάτω από το μέγιστο, και μια ρυθμιστική αρχή πρέπει να αιτιολογήσει πού τοποθετείται μια υπόθεση.

Ποιες παραβιάσεις εμπίπτουν σε κάθε επίπεδο

Ο GDPR χρησιμοποιεί δομή δύο επιπέδων. Το ανώτερο επίπεδο, αυτό που φέρει το ανώτατο όριο των 17,5 εκατομμυρίων λιρών ή 20 εκατομμυρίων ευρώ, προορίζεται για τις πιο σοβαρές παραβάσεις. Το κατώτερο επίπεδο καλύπτει λιγότερο σοβαρές αστοχίες και φέρει μικρότερο ανώτατο όριο. Δημόσια διαθέσιμες περιλήψεις τοποθετούν το κατώτερο επίπεδο της ΕΕ στα 10 εκατομμύρια ευρώ ή το 2% του παγκόσμιου ετήσιου τζίρου.

Σε γενικές γραμμές, το ανώτερο επίπεδο στοχεύει παραβιάσεις που πλήττουν τον πυρήνα των δικαιωμάτων σας, όπως η παραβίαση των βασικών αρχών για την επεξεργασία δεδομένων ή η άρνηση παροχής στα άτομα των δικαιωμάτων που τους δίνει ο νόμος. Το κατώτερο επίπεδο συνδέεται γενικά με πιο διαδικαστικές ή οργανωτικές υποχρεώσεις. Για μια πιο αναλυτική παρουσίαση του τρόπου με τον οποίο λειτουργεί η διάκριση, δείτε την ανάλυσή μας για το πώς λειτουργεί το σύστημα κυρώσεων δύο επιπέδων του GDPR.

Πώς οι ρυθμιστικές αρχές καθορίζουν το πραγματικό πρόστιμο

Το μέγιστο είναι μόνο το αρχικό πλαίσιο. Οι ρυθμιστικές αρχές σταθμίζουν τις περιστάσεις κάθε υπόθεσης, και η διαδικασία δεν είναι ένας απλός πίνακας αναζήτησης.

Ένας κανόνας που αξίζει να γνωρίζετε: όταν συντρέχουν πολλές παραβιάσεις μαζί, το συνολικό πρόστιμο δεν πρέπει να υπερβαίνει το ποσό που ορίζεται για τη βαρύτερη παράβαση. Στην πράξη, αυτό σημαίνει ότι το εφαρμοστέο ανώτατο όριο συνδέεται με την πιο σοβαρή παράβαση της υπόθεσης, όχι με το άθροισμα κάθε ανώτατου ορίου.

Η σοβαρότητα, το μέγεθος του οργανισμού και η φύση της αστοχίας παίζουν όλα ρόλο στο τελικό ποσό. Γι' αυτό δύο εταιρείες με παρόμοιες παραβιάσεις μπορούν να λάβουν πολύ διαφορετικά πρόστιμα, και γι' αυτό τα ανώτατα όρια που πρωταγωνιστούν στους τίτλους πρέπει να διαβάζονται ως ανώτερο όριο και όχι ως πρόβλεψη.

Τι σημαίνει αυτό για εσάς

Τα πρόστιμα πηγαίνουν στις ρυθμιστικές αρχές, όχι στα επηρεαζόμενα άτομα, οπότε το ίδιο το πρόστιμο δεν θα βάλει χρήματα στην τσέπη σας. Η αξία τους για εσάς είναι έμμεση, αλλά πραγματική.

  • Δημιουργούν αποτρεπτικό αποτέλεσμα. Ένα ανώτατο όριο συνδεδεμένο με τον παγκόσμιο τζίρο δίνει ακόμη και σε μεγάλους οργανισμούς λόγο να παίρνουν στα σοβαρά την προστασία δεδομένων.
  • Στηρίζουν τα δικαιώματά σας. Οι κυρώσεις του ανώτερου επιπέδου συνδέονται με τις παραβιάσεις που έχουν τη μεγαλύτερη σημασία για εσάς, συμπεριλαμβανομένου του τρόπου χρήσης των δεδομένων σας και του κατά πόσον γίνονται σεβαστά τα δικαιώματά σας.
  • Σας δίνουν μια διαδρομή για να δράσετε. Αν πιστεύετε ότι ένας οργανισμός έχει κάνει κακή χρήση των δεδομένων σας, μπορείτε να θέσετε το ζήτημα πρώτα στον οργανισμό και μετά να απευθυνθείτε στην αρχή προστασίας δεδομένων της χώρας σας. Στο ΗΒ, αυτή η αρχή είναι η ICO.

Βοηθά επίσης να κρατάτε ρεαλιστικές προσδοκίες. Ένα πολύ μεγάλο μέγιστο δεν σημαίνει ότι κάθε παραβίαση παράγει ένα πολύ μεγάλο πρόστιμο. Η κάλυψή μας για τα πρόστιμα GDPR και το σύστημα δύο επιπέδων εξετάζει γιατί τα εντυπωσιακά νούμερα μπορεί να παραπλανήσουν.

Πρακτικά συμπεράσματα

Η κατανόηση των προστίμων GDPR είναι χρήσιμη κυρίως επειδή σας δείχνει πού βρίσκεται η διαπραγματευτική σας ισχύς. Λίγα βήματα βάζουν αυτή τη γνώση σε εφαρμογή:

  1. Γνωρίζετε τη διαφορά μεταξύ κανόνων ΗΒ και ΕΕ. Το ανώτατο όριο στο ΗΒ είναι 17,5 εκατομμύρια λίρες ή 4%, και στην ΕΕ είναι 20 εκατομμύρια ευρώ ή 4%. Ποιο ισχύει εξαρτάται από το πού δραστηριοποιείται ο οργανισμός και από το πού βρίσκεστε εσείς.
  2. Κρατάτε αρχεία. Αν επικοινωνήσετε με μια εταιρεία σχετικά με τα δεδομένα σας, αποθηκεύστε τα email, τις ημερομηνίες και τις απαντήσεις. Έχουν σημασία αν αργότερα υποβάλετε καταγγελία σε ρυθμιστική αρχή.
  3. Χρησιμοποιείτε τα δικαιώματά σας. Μπορείτε να ζητήσετε από οργανισμούς ποια δεδομένα διατηρούν για εσάς και να εκφράσετε ανησυχίες όταν κάτι φαίνεται λάθος.
  4. Κλιμακώνετε όταν χρειάζεται. Αν μια εταιρεία δεν επιλύσει την ανησυχία σας, η εθνική αρχή προστασίας δεδομένων είναι το επόμενο βήμα.
  5. Μειώνετε την έκθεσή σας. Μοιράζεστε μόνο τα δεδομένα που μια υπηρεσία πραγματικά χρειάζεται, και χρησιμοποιείτε ισχυρούς, μοναδικούς κωδικούς πρόσβασης και έλεγχο ταυτότητας δύο παραγόντων.

Τα πρόστιμα GDPR, είτε 17,5 εκατομμύρια λίρες στο ΗΒ είτε 20 εκατομμύρια ευρώ στην ΕΕ, είναι το ορατό άκρο ενός ευρύτερου συστήματος που έχει σχεδιαστεί για να κρατά τα προσωπικά σας δεδομένα υπό τον έλεγχό σας. Το να γνωρίζετε πώς λειτουργεί αυτό το σύστημα κάνει ευκολότερη τη χρήση του.