Kun yritys käsittelee henkilötietoja väärin, otsikoissa näkyvä luku on yleensä enimmäissakko. GDPR:n mukaiset sakot voivat nousta Isossa-Britanniassa 17,5 miljoonaan puntaan tai 4 prosenttiin maailmanlaajuisesta liikevaihdosta ja EU:ssa 20 miljoonaan euroon tai 4 prosenttiin maailmanlaajuisesta liikevaihdosta. Luvut kuulostavat abstrakteilta, mutta ne ovat olemassa sinun suojaksesi. Tämä opas selittää, mitä ne tarkoittavat selkokielellä.

GDPR:n enimmäissakot Isossa-Britanniassa ja EU:ssa

Molemmat järjestelmät noudattavat samaa perusrakennetta. Kummassakin asetetaan kiinteä yläraja omassa valuutassa sekä prosenttiosuus organisaation maailmanlaajuisesta liikevaihdosta.

  • Iso-Britannia: enintään 17,5 miljoonaa puntaa tai 4 % maailmanlaajuisesta liikevaihdosta
  • EU: enintään 20 miljoonaa euroa tai 4 % maailmanlaajuisesta liikevaihdosta

Prosenttiosuudella on merkitystä, koska se skaalautuu organisaation koon mukaan. Kiinteä summa olisi merkityksetön hyvin suurelle yritykselle, joten liikevaihtoon perustuva vaihtoehto antaa valvojille mahdollisuuden määrätä seuraamus, joka todella tuntuu. Alan kärkioppaat kuvaavat alemman tason sääntöä "kumpi on suurempi" -periaatteella, ja sama logiikka tekee otsikoissa näkyvästä enimmäismäärästä merkityksellisen suurille yrityksille.

Nämä ovat ylärajoja, eivät vakioseuraamuksia. Useimmat sakot jäävät selvästi enimmäismäärän alle, ja valvojan on perusteltava, mihin kohtaan tapaus sijoittuu.

Mitkä rikkomukset kuuluvat kuhunkin tasoon

GDPR käyttää kaksitasoista rakennetta. Ylempi taso – se, johon 17,5 miljoonan punnan tai 20 miljoonan euron yläraja liittyy – on varattu vakavimmille rikkomuksille. Alempi taso kattaa lievemmät laiminlyönnit ja siihen liittyy pienempi yläraja. Julkisesti saatavilla olevien tiivistelmien mukaan EU:n alemman tason yläraja on 10 miljoonaa euroa tai 2 % maailmanlaajuisesta vuosiliikevaihdosta.

Laajasti ottaen ylempi taso kohdistuu rikkomuksiin, jotka iskevät oikeuksiesi ytimeen, kuten tietojen käsittelyn perusperiaatteiden rikkomiseen tai ihmisten laissa annettujen oikeuksien epäämiseen. Alempi taso liitetään yleensä enemmän menettelyllisiin tai organisatorisiin velvoitteisiin. Syvemmän katsauksen jaon toimintaan saat selityksestämme miten kaksitasoinen GDPR-seuraamusjärjestelmä toimii.

Miten valvojat määrittävät todellisen sakon

Enimmäismäärä on vain lähtökehys. Valvojat punnitsevat kunkin tapauksen olosuhteita, eikä prosessi ole yksinkertainen hakutaulukko.

Yksi sääntö, joka kannattaa tietää: kun useita rikkomuksia esiintyy yhdessä, sakkojen kokonaismäärä ei saisi ylittää vakavimmasta rikkomuksesta määritettyä määrää. Käytännössä tämä tarkoittaa, että sovellettava yläraja sidotaan tapauksen vakavimpaan rikkomukseen, ei kaikkien ylärajojen summaan.

Vakavuus, organisaation koko ja laiminlyönnin luonne vaikuttavat kaikki lopulliseen lukuun. Siksi kaksi yritystä, joilla on samankaltaisia rikkomuksia, voivat saada hyvin erilaisia seuraamuksia, ja siksi otsikoissa näkyvät enimmäismäärät tulisi lukea ylärajana eikä ennusteena.

Mitä tämä tarkoittaa sinulle

Sakot menevät valvojille, eivät asianomaisille henkilöille, joten seuraamus itsessään ei tuo rahaa taskuusi. Niiden arvo sinulle on välillinen mutta todellinen.

  • Ne luovat pelotevaikutuksen. Maailmanlaajuiseen liikevaihtoon sidottu yläraja antaa jopa suurille organisaatioille syyn suhtautua tietosuojaan vakavasti.
  • Ne tukevat oikeuksiasi. Ylemmän tason seuraamukset liittyvät rikkomuksiin, jotka ovat sinulle tärkeimpiä, mukaan lukien se, miten tietojasi käytetään ja kunnioitetaanko oikeuksiasi.
  • Ne antavat sinulle keinon toimia. Jos uskot organisaation käyttäneen tietojasi väärin, voit ottaa asian ensin esiin organisaation kanssa ja sen jälkeen viedä sen maasi tietosuojavaltuutetulle. Isossa-Britanniassa tämä valvoja on ICO.

Myös odotusten pitäminen realistisina auttaa. Hyvin suuri enimmäismäärä ei tarkoita, että jokaisesta rikkomuksesta seuraa hyvin suuri sakko. Käsittelymme GDPR-sakoista ja kaksitasoisesta järjestelmästä tarkastelee, miksi huomiota herättävät luvut voivat johtaa harhaan.

Käytännön huomioita

GDPR-sakkojen ymmärtäminen on hyödyllistä lähinnä siksi, että se näyttää, missä vaikutusvaltasi sijaitsee. Muutama askel pistää tiedon töihin:

  1. Tunne Ison-Britannian ja EU:n sääntöjen ero. Ison-Britannian yläraja on 17,5 miljoonaa puntaa tai 4 %, ja EU:n yläraja on 20 miljoonaa euroa tai 4 %. Se, kumpi soveltuu, riippuu siitä, missä organisaatio toimii ja missä sinä olet.
  2. Pidä kirjaa. Jos otat yhteyttä yritykseen tietojesi vuoksi, tallenna sähköpostit, päivämäärät ja vastaukset. Niillä on merkitystä, jos valitat myöhemmin valvojalle.
  3. Käytä oikeuksiasi. Voit kysyä organisaatioilta, mitä tietoja heillä on sinusta, ja nostaa esiin huolenaiheita, kun jokin näyttää väärältä.
  4. Etене tarvittaessa. Jos yritys ei ratkaise huoltasi, seuraava askel on kansallinen tietosuojavaltuutettu.
  5. Vähennä altistumistasi. Jaa vain tiedot, joita palvelu todella tarvitsee, ja käytä vahvoja, yksilöllisiä salasanoja ja kaksivaiheista tunnistautumista.

GDPR-sakot, olivatpa ne 17,5 miljoonaa puntaa Isossa-Britanniassa tai 20 miljoonaa euroa EU:ssa, ovat näkyvä reuna laajemmalle järjestelmälle, joka on suunniteltu pitämään henkilötietosi hallinnassasi. Sen tietäminen, miten järjestelmä toimii, helpottaa sen käyttämistä.