Όταν μια εταιρεία χειρίζεται λανθασμένα προσωπικά δεδομένα στην Ευρώπη, οι συνέπειες καθορίζονται από ένα αρκετά απλό πλαίσιο. Η κατανόηση των ποινών και των κλιμακίων προστίμων του GDPR βοηθά να εξηγηθεί γιατί οι ρυθμιστικές αρχές ενεργούν όπως ενεργούν, και επίσης δείχνει στους απλούς πολίτες ποια εργαλεία έχουν όταν μια εταιρεία κάνει λάθος. Αυτός ο οδηγός, βασισμένος σε μια πρόσφατη επισκόπηση από το LegalHelp, εξετάζει πώς δομούνται τα πρόστιμα, πώς λειτουργεί η επιβολή και ποιες επιλογές υπάρχουν πέρα από τις ίδιες τις κυρώσεις της ρυθμιστικής αρχής.

Πώς Λειτουργούν οι Ποινές και τα Κλιμάκια Προστίμων του GDPR

Ο Γενικός Κανονισμός για την Προστασία Δεδομένων χωρίζει τα μέγιστα διοικητικά πρόστιμα σε δύο κλιμάκια, που ορίζονται στο Άρθρο 83.

  • Κατώτερο κλιμάκιο: έως 10 εκατομμύρια € ή 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών μιας εταιρείας, όποιο από τα δύο είναι υψηλότερο.
  • Ανώτερο κλιμάκιο: έως 20 εκατομμύρια € ή 4% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο από τα δύο είναι υψηλότερο.

Δύο λεπτομέρειες έχουν σημασία εδώ. Πρώτον, αυτά είναι ανώτατα όρια, όχι σταθερές τιμές. Οι ρυθμιστικές αρχές υπολογίζουν το πραγματικό ποσό κατά περίπτωση, οπότε ένα πρόστιμο μπορεί να είναι πολύ χαμηλότερο από το μέγιστο. Δεύτερον, η διατύπωση «όποιο από τα δύο είναι υψηλότερο» σημαίνει ότι το ποσοστό μπορεί να υπερβεί το σταθερό ποσό σε ευρώ για μεγάλες πολυεθνικές εταιρείες. Ένα σταθερό ανώτατο όριο από μόνο του θα ήταν αμελητέο για μια εταιρεία με τεράστιο κύκλο εργασιών, και η επιλογή βάσει κύκλου εργασιών είναι αυτή που δίνει πραγματικό βάρος στους κανόνες σε αυτή την κλίμακα.

Το ανώτερο κλιμάκιο προορίζεται γενικά για τις πιο σοβαρές παραβάσεις. Το κατώτερο κλιμάκιο καλύπτει λιγότερο σοβαρές παραλείψεις. Στην πράξη, το κλιμάκιο στο οποίο εμπίπτει μια υπόθεση σηματοδοτεί πόσο σοβαρά βλέπει η ρυθμιστική αρχή τη συμπεριφορά.

Τι Αποκαλύπτουν οι Μεγάλες Υποθέσεις Επιβολής για την Κακή Διαχείριση Δεδομένων

Τα κλιμάκια προστίμων φαίνονται αφηρημένα μέχρι να τα δεις να εφαρμόζονται. Οι υποθέσεις επιβολής δείχνουν ποια είδη παραλείψεων προσελκύουν τη μεγαλύτερη προσοχή και πώς οι ρυθμιστικές αρχές σταθμίζουν τις περιστάσεις κατά τον καθορισμό ενός ποσού.

Η κάλυψή μας για το πρόστιμο GDPR ύψους 825 εκατ. € της Uber είναι ένα χρήσιμο παράδειγμα του πώς συντίθεται μια κύρωση στο ανώτατο άκρο της κλίμακας και τι σηματοδοτεί σε άλλες εταιρείες που χειρίζονται δεδομένα διασυνοριακά. Τα δεδομένα παιδιών είναι ένας ακόμη τομέας υπό αυστηρή εξέταση. Το άρθρο μας για το γιατί η συμμόρφωση με τσεκ-μποξ αποτυγχάνει βάσει των κανόνων του GDPR για τα δεδομένα παιδιών δείχνει ότι οι ρυθμιστικές αρχές κοιτάζουν ολοένα και περισσότερο πέρα από τα χαρτιά, σε αυτό που πραγματικά κάνουν οι οργανισμοί με τις προσωπικές πληροφορίες.

Ο κοινός παρονομαστής είναι ότι οι ρυθμιστικές αρχές επικεντρώνονται στην πραγματική πρακτική. Μια πολιτική απορρήτου που υπάρχει στα χαρτιά δεν προστατεύει μια εταιρεία αν ο πραγματικός χειρισμός των δεδομένων της υστερεί.

Πώς να Υποβάλετε Καταγγελία στην Αρχή Προστασίας Δεδομένων σας

Τα πρόστιμα επιβάλλονται από τις ρυθμιστικές αρχές, αλλά οι ρυθμιστικές αρχές συχνά μαθαίνουν για προβλήματα επειδή τα αναφέρουν τα άτομα. Αν πιστεύετε ότι ένας οργανισμός έχει κάνει κατάχρηση των δεδομένων σας, γενικά έχετε το δικαίωμα να υποβάλετε καταγγελία σε μια αρχή προστασίας δεδομένων (DPA). Η ακριβής διαδικασία ποικίλλει ανά χώρα, οπότε το καλύτερο σημείο εκκίνησης είναι ο ιστότοπος της DPA στο δικό σας κράτος μέλος της ΕΕ.

Μερικά πρακτικά βήματα τείνουν να ενισχύουν μια καταγγελία:

  1. Ξεκινήστε με την εταιρεία. Στείλτε ένα γραπτό αίτημα ζητώντας ποια δεδομένα διατηρεί για εσάς, πώς χρησιμοποιούνται και με ποιον κοινοποιούνται. Κρατήστε ένα αντίγραφο και την ημερομηνία που το στείλατε.
  2. Συγκεντρώστε αποδεικτικά στοιχεία. Αποθηκεύστε emails, στιγμιότυπα οθόνης, σελίδες λογαριασμού και οποιεσδήποτε απαντήσεις λάβετε, συμπεριλαμβανομένης της έλλειψης απάντησης.
  3. Να είστε συγκεκριμένοι. Περιγράψτε τι συνέβη, πότε συνέβη και ποια από τα δεδομένα σας αφορούσε.
  4. Υποβάλετε στην κατάλληλη αρχή. Χρησιμοποιήστε το έντυπο καταγγελίας ή το κανάλι επικοινωνίας της εθνικής σας DPA και επισυνάψτε τα έγγραφά σας.

Μια καταγγελία δεν εγγυάται πρόστιμο. Η ρυθμιστική αρχή αποφασίζει αν θα διερευνήσει και ποια μέτρα, αν υπάρχουν, θα λάβει. Αλλά οι καταγγελίες είναι μέρος του τρόπου με τον οποίο έρχονται στο φως μοτίβα παραπτώσεων.

Πέρα από τα Πρόστιμα: Ιδιωτικές Αγωγές και Εφέσεις Εταιρειών

Τα διοικητικά πρόστιμα είναι μόνο ένα μέρος της εικόνας. Η επισκόπηση του LegalHelp καλύπτει επίσης εξουσίες επιβολής πέρα από τα πρόστιμα, ιδιωτικές αγωγές και επιλογές έφεσης.

Από την πλευρά του ατόμου, τα άτομα που έχουν υποστεί βλάβη από μια παράβαση μπορεί να μπορούν να διεκδικήσουν αποζημίωση μέσω των δικαστηρίων. Αυτή η οδός είναι ξεχωριστή από το πρόστιμο μιας ρυθμιστικής αρχής: τα χρήματα από μια διοικητική κύρωση δεν πηγαίνουν στο επηρεαζόμενο άτομο. Αν εξετάζετε νομική action, είναι συνετό να μιλήσετε με έναν ειδικευμένο δικηγόρο στη δικαιοδοσία σας, καθώς οι κανόνες και οι διαδικασίες διαφέρουν.

Από την πλευρά της εταιρείας, οι οργανισμοί που λαμβάνουν κύρωση μπορούν συνήθως να την αμφισβητήσουν. Αυτό σημαίνει ότι ένα πρόστιμο με πρωτοσέλιδα δεν είναι πάντα η τελευταία λέξη, και τα ποσά ή τα πορίσματα μπορούν να αμφισβητηθούν. Οι αναγνώστες που παρακολουθούν μια μεγάλη υπόθεση θα πρέπει να αντιμετωπίζουν την πρώτη ανακοίνωση ως ένα στάδιο σε μια μακρύτερη διαδικασία.

Τι Σημαίνει Αυτό για Εσάς

Η δομή δύο κλιμακίων μπορεί να φαίνεται θέμα για τις ομάδες εταιρικής συμμόρφωσης, αλλά διαμορφώνει τη διαπραγματευτική σας ισχύ ως άτομο. Επειδή τα πρόστιμα μπορούν να φτάσουν το 2% ή το 4% του παγκόσμιου κύκλου εργασιών, οι εταιρείες έχουν ισχυρό οικονομικό λόγο να ανταποκρίνονται όταν εμπλέκονται οι αρχές προστασίας δεδομένων. Η καταγγελία ή το αίτημα πρόσβασής σας τροφοδοτεί αυτό το σύστημα.

Αυτό ισχύει ακόμη και αν δεν βρίσκεστε στην ΕΕ στην καθημερινή σας ζωή. Πολλές παγκόσμιες υπηρεσίες χειρίζονται δεδομένα Ευρωπαίων κατοίκων, και οι κανόνες είναι σχεδιασμένοι να ακολουθούν τα δεδομένα. Ένα VPN ή άλλα εργαλεία απορρήτου μπορούν να μειώσουν πόσες πληροφορίες εκθέτετε, αλλά τα νομικά δικαιώματα καλύπτουν τι συμβαίνει στα δεδομένα μόλις μια εταιρεία τα έχει ήδη. Οι δύο προσεγγίσεις λειτουργούν καλύτερα μαζί.

Βασικά Συμπεράσματα

  • Οι ποινές και τα κλιμάκια προστίμων του GDPR περιορίζονται στα 10 εκατομμύρια € ή 2% του παγκόσμιου κύκλου εργασιών (κατώτερο κλιμάκιο) και στα 20 εκατομμύρια € ή 4% (ανώτερο κλιμάκιο), όποιο από τα δύο είναι υψηλότερο.
  • Αυτά τα ποσά είναι μέγιστα. Οι ρυθμιστικές αρχές καθορίζουν τα πραγματικά πρόστιμα με βάση τις ιδιαιτερότητες κάθε υπόθεσης.
  • Μπορείτε να στείλετε αίτημα πρόσβασης σε μια εταιρεία και, αν χρειαστεί, να υποβάλετε καταγγελία στην εθνική αρχή προστασίας δεδομένων σας.
  • Οι αξιώσεις αποζημίωσης μέσω των δικαστηρίων είναι ξεχωριστές από τα ρυθμιστικά πρόστιμα, και οι εταιρείες μπορούν να ασκήσουν έφεση κατά των κυρώσεων.

Αν ένας οργανισμός έχει χειριστεί άσχημα τα δεδομένα σας, χρησιμοποιήστε αυτά τα δικαιώματα. Στείλτε το αίτημα πρόσβασης, τεκμηριώστε την απάντηση και υποβάλετε καταγγελία αν αυτή υστερεί. Για να δείτε πώς εκτυλίσσεται η επιβολή στην πράξη, διαβάστε την ανάλυσή μας για το πρόστιμο της Uber και την έκθεσή μας για τους κανόνες δεδομένων παιδιών.