GDPR-sakot ovat edelleen yksi väärinymmärretyimmistä osista Euroopan tietosuojalainsäädäntöä, jopa vuosia asetuksen voimaantulon jälkeen. Otsikot keskittyvät yleensä huomiota herättäviin enimmäismääriin, mutta todellinen seuraamusrakenne, jota valvontaviranomaiset käyttävät, on vivahteikkaampi, ja sen ymmärtäminen on tärkeää riippumatta siitä, pyöritätkö pientä yritystä vai haluatko vain tietää, kuinka vakavasti tietojasi suojataan.
Kaksiportainen rakenne GDPR-sakkojen takana
GDPR-seuraamukset rakentuvat kahden erillisen portaan ympärille, ja se, kumpi niistä soveltuu, riippuu rikkomuksen luonteesta, ei pelkästään sen laajuudesta. Alempi porras kattaa menettelylliset puutteet, kuten riittämättömän kirjanpidon, tietosuojavastaavan nimeämättä jättämisen vaadittaessa tai tietoturvaloukkauksesta ilmoittamatta jättämisen asianmukaisesti. Ylempi porras on varattu vakavammille aineellisille rikkomuksille, mukaan lukien henkilötietojen käsittelyn keskeisten periaatteiden loukkaukset, henkilötietojen lainvastaiset siirrot tai yksilöiden oikeuksien huomiotta jättäminen tietojensa tarkastamiseen tai poistamiseen.
Valvontaviranomaisten ei tarvitse siirtyä suoraan enimmäisseuraamukseen kummallakaan portaalla. Sen sijaan Euroopan tietosuojaneuvosto on vahvistanut laskentaohjeet, joita tietosuojaviranomaiset käyttävät sakon mitoittamiseen tapauksen todellisten olosuhteiden mukaan. Tekijät, kuten rikkomuksen kesto, onko se ollut tahallinen vai huolimaton, kuinka monta ihmistä on ollut vaikutuksen kohteena ja onko organisaatio tehnyt yhteistyötä tutkijoiden kanssa, vaikuttavat kaikki lopulliseen summaan. Tästä syystä kaksi yritystä, jotka syyllistyvät samankaltaisiin rikkomuksiin, voivat päätyä hyvin erilaisiin sakkoihin: laskenta ei ole automaattisesti sovellettu kiinteä prosenttiosuus, vaan se on laskelma, joka perustuu tapauksen yksityiskohtiin.
Miksi enimmäissakko kertoo harvoin koko tarinaa
Yksi pysyvimmistä väärinkäsityksistä GDPR:stä on, että jokainen rikkomus uhkaa 20 miljoonan euron sakolla. Käytännössä ylärajat edustavat pahinta mahdollista skenaariota vakavimpien ja tahallisten rikkomusten osalta, eivät tyypillistä lopputulosta. Kuten siihen liittyvässä erittelyssä miksi 20 miljoonan euron yläraja soveltuu harvoin on selvitetty, useimmat täytäntöönpanotoimet jäävät selvästi alle enimmäismäärän, ja valvontaviranomaiset varaavat suurimmat seuraamukset yleensä toistuville rikkojille, laajamittaiselle tietojen väärinkäytölle tai yrityksille, jotka ovat jättäneet aiemmat varoitukset huomiotta.
Tästä huolimatta osa otsikoihin päätyneistä sakoista osoittaa, kuinka suuriksi nämä seuraamukset voivat kasvaa, kun valvontaviranomaiset katsovat rikkomuksen sen ansaitsevan. Tuore esimerkki on tapaus, joka koskee Uberin 825 miljoonan euron GDPR-sakkoa kuljettajatietojen vuoksi, ja se on yksi suurimmista asetuksen nojalla tähän mennessä annetuista seuraamuksista. Tämänkaltaiset tapaukset osoittavat, miten täytäntöönpanoviranomaiset laskevat sakkoja paitsi prosenttiosuutena liikevaihdosta myös mukana olevan tiedon laajuuden ja arkaluonteisuuden sekä sen perusteella, kuinka kauan virheellinen käytäntö jatkui ennen kuin se korjattiin.
GDPR-sakot ovat osa laajempaa eurooppalaista täytäntöönpanotrendiä
GDPR ei ole olemassa tyhjiössä. Muut Euroopan lainkäyttöalueet ovat rakentaneet omat viitekehyksensä, jotka peilaavat sitä tai ovat vuorovaikutuksessa sen kanssa. Isossa-Britanniassa esimerkiksi vuoden 2018 tietosuojalaki asettaa seitsemän keskeistä periaatetta ja oman seuraamusrakenteensa, joka seuraa tarkasti EU-mallia myös Brexitin jälkeen. Sveitsi on ottanut samankaltaisen lähestymistavan päivitetyssä tietosuojalaissaan, ja rajat ylittävästi toimivien organisaatioiden on nyt seurattava Sveitsin tietosuojalain mukaisia vaatimustenmukaisuusvelvoitteita erikseen EU:n GDPR-velvoitteistaan. Kaikille yrityksille, jotka käsittelevät tietoja useissa maissa, tämä päällekkäisten mutta erillisten sääntöjen palapeli on usein suurempi vaatimustenmukaisuuspäänsärky kuin itse sakot.
Mitä tämä tarkoittaa sinulle
Jos pyörität yritystä, joka kerää tai käsittelee henkilötietoja, GDPR-sakkojen pitäisi muokata sitä, miten ajattelet vaatimustenmukaisuudesta jo kauan ennen kuin valvontaviranomainen edes osallistuu asiaan. Porrastettu rakenne palkitsee organisaatioita, jotka voivat osoittaa kohtuulliset suojatoimet, nopean tietoturvaloukkauksesta ilmoittamisen ja yhteistyön tietosuojaviranomaisten kanssa. Odottaminen siihen asti, kunnes tutkinta alkaa, tietojenkäsittelykäytäntöjen aukkojen korjaamiseksi on huomattavasti riskialttiimpaa kuin niiden ennakoiva korjaaminen.
Tavallisille kuluttajille nämä sakot toimivat signaalina siitä, kuinka vakavasti (tai ei) yritys kohtelee henkilötietojasi. Toistuvat seuraamukset, erityisesti suuret, jotka liittyvät keskeisiin tietosuojaperiaatteisiin eivätkä paperityövirheisiin, ovat hyödyllinen osoitus siitä, miten yritys käsittelee tietojasi päivittäin.
Keskeiset huomiot
GDPR-sakot noudattavat kaksiportaista järjestelmää, jossa rikkomuksen vakavuus, ei pelkästään yrityksen koko, määrittää, kumpi yläraja soveltuu. Valvontaviranomaiset laskevat seuraamukset ohjeiden avulla, joissa painotetaan huolimattomuutta, kestoa ja yhteistyötä, eivätkä ne oletusarvoisesti määrää kiinteitä enimmäissakkoja. Yritysten tulisi kohdella vaatimustenmukaisuutta jatkuvana käytäntönä eikä reaktiona täytäntöönpanoon, koska dokumentoidut suojatoimet ja nopea tietoturvaloukkauksesta ilmoittaminen vähentävät merkittävästi altistumista. Ja kuluttajille yritysten GDPR-täytäntöönpanoon reagoimisen seuraaminen tarjoaa käytännöllisen tavan arvioida, mitkä organisaatiot todella asettavat henkilötietojen suojaamisen etusijalle.
