Kun yritys käsittelee henkilötietoja väärin Euroopassa, seuraukset määräytyvät melko yksinkertaisen kehyksen mukaan. GDPR-seuraamusten ja sakkoluokkien ymmärtäminen auttaa selittämään, miksi viranomaiset toimivat niin kuin toimivat, ja se näyttää myös tavallisille ihmisille, mitä keinoja heillä on, kun yritys toimii väärin. Tämä opas, joka perustuu LegalHelpin hiljattain julkaisemaan katsaukseen, käy läpi, miten sakot on rakennettu, miten täytäntöönpano toimii ja mitä vaihtoehtoja on viranomaisen omien seuraamusten lisäksi.

Miten GDPR-seuraamukset ja sakkoluokat toimivat

Yleinen tietosuoja-asetus jakaa hallinnollisten sakkojensa enimmäismäärät kahteen luokkaan, jotka on määritelty 83 artiklassa.

  • Alempi luokka: enintään 10 miljoonaa euroa tai 2 % yrityksen koko maailmanlaajuisesta vuosittaisesta liikevaihdosta, sen mukaan kumpi on suurempi.
  • Ylempi luokka: enintään 20 miljoonaa euroa tai 4 % maailmanlaajuisesta vuosittaisesta liikevaihdosta, sen mukaan kumpi on suurempi.

Kaksi seikkaa on tässä tärkeitä. Ensinnäkin nämä ovat ylärajoja, eivät kiinteitä hintoja. Viranomaiset laskevat todellisen määrän tapauskohtaisesti, joten sakko voi jäädä selvästi enimmäismäärän alapuolelle. Toiseksi ilmaus "sen mukaan kumpi on suurempi" tarkoittaa, että prosenttiosuus voi ylittää kiinteän euromäärän suurten monikansallisten yritysten kohdalla. Pelkkä kiinteä yläraja olisi pyöristysvirhe yritykselle, jonka liikevaihto on valtava, ja liikevaihtoon perustuva vaihtoehto antaa säännöille todellista painoarvoa tässä mittakaavassa.

Ylempi luokka on yleensä varattu vakavammille rikkomuksille. Alempi luokka kattaa vähemmän vakavat laiminlyönnit. Käytännössä luokka, johon tapaus kuuluu, viestii siitä, miten vakavana viranomainen pitää toimintaa.

Mitä suuret täytäntöönpanotapaukset paljastavat tietojen väärinkäsittelystä

Sakkoluokat näyttävät abstrakteilta, kunnes näet ne sovellettuina. Täytäntöönpanotapaukset osoittavat, minkälaiset laiminlyönnit herättävät eniten huomiota ja miten viranomaiset punnitsevat olosuhteita määrän asettamisessa.

Käsittelymme Uberin 825 miljoonan euron GDPR-sakosta on hyödyllinen esimerkki siitä, miten seuraamus asteikon yläpäässä muodostuu ja mitä se viestii muille yrityksille, jotka käsittelevät tietoja rajojen yli. Lasten tiedot ovat toinen alue, jota tarkastellaan tiukasti. Artikkelimme siitä, miksi valintaruutuvaatimustenmukaisuus epäonnistuu GDPR:n lasten tietoja koskevissa säännöissä, osoittaa, että viranomaiset katsovat yhä enemmän paperityön ohi siihen, mitä organisaatiot todella tekevät henkilötiedoilla.

Yhteinen tekijä on, että viranomaiset keskittyvät todelliseen käytäntöön. Paperilla oleva tietosuojakäytäntö ei suojele yritystä, jos sen todellinen tietojenkäsittely jää puutteelliseksi.

Miten tehdä valitus tietosuojaviranomaiselle

Viranomaiset määräävät sakot, mutta viranomaiset saavat usein tietää ongelmista, koska yksityishenkilöt raportoivat niistä. Jos uskot organisaation käyttäneen tietojasi väärin, sinulla on yleensä oikeus tehdä valitus tietosuojaviranomaiselle (DPA). Tarkka menettely vaihtelee maittain, joten paras lähtökohta on oman EU-jäsenvaltiosi tietosuojaviranomaisen verkkosivusto.

Muutamat käytännön vaiheet tekevät valituksesta yleensä vahvemman:

  1. Aloita yrityksestä. Lähetä kirjallinen pyyntö, jossa kysyt, mitä tietoja se pitää sinusta, miten niitä käytetään ja kenelle ne jaetaan. Säilytä kopio ja päivämäärä, jolloin lähetit sen.
  2. Kerää todisteita. Tallenna sähköpostit, kuvakaappaukset, tilisivut ja kaikki saamasi vastaukset, mukaan lukien vastaamatta jättäminen.
  3. Ole täsmällinen. Kuvaile, mitä tapahtui, milloin se tapahtui ja mitkä tietosi olivat mukana.
  4. Toimita oikealle viranomaiselle. Käytä kansallisen tietosuojaviranomaisesi valituslomaketta tai yhteydenottokanavaa ja liitä mukaan dokumentaatiosi.

Valitus ei takaa sakkoa. Viranomainen päättää, tutkiiko se asiaa ja mihin toimiin, jos mihinkään, se ryhtyy. Mutta valitukset ovat osa sitä, miten väärinkäytösten kaavat tulevat ilmi.

Sakkojen lisäksi: yksityiset kanteet ja yritysten valitukset

Hallinnolliset sakot ovat vain yksi osa kokonaisuutta. LegalHelpin katsaus kattaa myös sakkojen lisäksi täytäntöönpanovaltuudet, yksityiset kanteet ja valitusmahdollisuudet.

Yksityishenkilöiden puolella henkilöt, joille rikkomuksesta on aiheutunut haittaa, voivat ehkä hakea korvausta tuomioistuimen kautta. Tämä reitti on erillinen viranomaisen sakosta: hallinnollisen seuraamuksen rahat eivät mene asianomaiselle yksityishenkilölle. Jos harkitset oikeustoimia, on viisasta keskustella pätevän lakimiehen kanssa lainkäyttöalueellasi, koska säännöt ja menettelyt vaihtelevat.

Yritysten puolella organisaatiot, jotka saavat seuraamuksen, voivat yleensä riitauttaa sen. Tämä tarkoittaa, että otsikoissa näkyvä sakko ei aina ole lopullinen sana, ja määriä tai päätelmiä voidaan kiistää. Suurta tapausta seuraavien lukijoiden tulisi suhtautua ensimmäiseen ilmoitukseen vaiheena pidemmässä prosessissa.

Mitä tämä tarkoittaa sinulle

Kaksitasoinen rakenne saattaa vaikuttaa yritysten vaatimustenmukaisuustiimien asialta, mutta se muokkaa neuvotteluvoimaasi yksityishenkilönä. Koska seuraamukset voivat nousta 2 %:iin tai 4 %:iin maailmanlaajuisesta liikevaihdosta, yrityksillä on vahva taloudellinen syy reagoida, kun tietosuojaviranomaiset puuttuvat asiaan. Valituksesi tai käyttöoikeuspyyntösi syöttää tietoa tähän järjestelmään.

Tämä pätee, vaikka et olisikaan päivittäisessä elämässäsi EU:ssa. Monet globaalit palvelut käsittelevät eurooppalaisten asukkaiden tietoja, ja säännöt on suunniteltu seuraamaan dataa. VPN tai muut tietosuojatyökalut voivat vähentää sitä, kuinka paljon tietoa paljastat, mutta lailliset oikeudet kattavat sen, mitä tiedoille tapahtuu, kun yrityksellä jo on ne. Molemmat lähestymistavat toimivat parhaiten yhdessä.

Keskeiset huomiot

  • GDPR-seuraamukset ja sakkoluokat on rajattu 10 miljoonaan euroon tai 2 %:iin maailmanlaajuisesta liikevaihdosta (alempi luokka) ja 20 miljoonaan euroon tai 4 %:iin (ylempi luokka), sen mukaan kumpi on suurempi.
  • Nämä luvut ovat enimmäismääriä. Viranomaiset asettavat todelliset sakot kunkin tapauksen yksityiskohtien perusteella.
  • Voit lähettää käyttöoikeuspyynnön yritykselle ja tarvittaessa tehdä valituksen kansalliselle tietosuojaviranomaisellesi.
  • Korvausvaatimukset tuomioistuinten kautta ovat erillisiä viranomaisten sakkojen lisäksi, ja yritykset voivat valittaa seuraamuksista.

Jos organisaatio on käsitellyt tietojasi huonosti, käytä näitä oikeuksia. Lähetä käyttöoikeuspyyntö, dokumentoi vastaus ja tee valitus, jos se ei täytä vaatimuksia. Nähdäksesi, miten täytäntöönpano toimii käytännössä, lue analyysimme Uberin sakosta ja raporttimme lasten tietoja koskevista säännöistä.