Kada tvrtka nepravilno postupa s osobnim podacima, brojka u naslovima obično je maksimalna kazna. Prema GDPR-u kazne mogu dosegnuti 17,5 milijuna funti ili 4% svjetskog prometa u Ujedinjenom Kraljevstvu, te 20 milijuna eura ili 4% svjetskog prometa u EU. Te brojke zvuče apstraktno, ali postoje kako bi zaštitile vas. Ovaj vodič objašnjava što one znače jednostavnim jezikom.

Maksimalne GDPR kazne u Ujedinjenom Kraljevstvu i EU

Dva režima slijede isti osnovni dizajn. Svaki postavlja fiksni gornji limit u vlastitoj valuti i postotak svjetskog prometa organizacije.

  • UK: do 17,5 milijuna funti ili 4% svjetskog prometa
  • EU: do 20 milijuna eura ili 4% svjetskog prometa

Postotak je važan jer se skalira s veličinom organizacije. Fiksni iznos bio bi trivijalan za vrlo veliku tvrtku, pa opcija temeljena na prometu omogućuje regulatorima da odrede kaznu koja stvarno pogađa. Vrhunski vodiči na tu temu opisuju pravilo kao "što je više" za niži razred, a ista logika čini gornji limit smislenim za velike tvrtke.

To su gornje granice, a ne standardne kazne. Većina kazni ostaje znatno ispod maksimuma, a regulator mora opravdati gdje se neki slučaj nalazi.

Koje povrede spadaju u koji razred

GDPR koristi dvostupanjsku strukturu. Viši stupanj, onaj s limitom od 17,5 milijuna funti ili 20 milijuna eura, rezerviran je za teže povrede. Niži stupanj pokriva manje ozbiljne propuste i nosi manji limit. Javno dostupni sažeci stavljaju niži stupanj EU-a na 10 milijuna eura ili 2% svjetskog godišnjeg prometa.

Općenito govoreći, viši stupanj usmjeren je na povrede koje zadiru u srž vaših prava, poput kršenja osnovnih načela obrade podataka ili uskraćivanja prava koja vam zakon daje. Niži stupanj općenito se povezuje s proceduralnim ili organizacijskim obvezama. Za dublji pregled kako funkcionira podjela, pogledajte naše objašnjenje o kako funkcionira dvostupanjski sustav GDPR kazni.

Kako regulatori određuju stvarnu kaznu

Maksimum je samo početni okvir. Regulatori odvažu okolnosti svakog slučaja, a postupak nije jednostavna tablica za pretraživanje.

Jedno pravilo vrijedno poznavanja: kada se pojavi nekoliko povreda zajedno, ukupna kazna ne smije premašiti iznos određen za najtežu povredu. U praksi to znači da je primjenjivi limit vezan uz najtežu povredu u slučaju, a ne uz zbroj svih limita.

Težina, veličina organizacije i priroda propusta utječu na konačnu brojku. Zato dvije tvrtke sa sličnim povredama mogu dobiti vrlo različite kazne i zato maksimume iz naslova treba čitati kao gornju granicu, a ne kao predviđanje.

Što to znači za vas

Kazne idu regulatorima, a ne pogođenim pojedincima, pa vam sama kazna neće staviti novac u džep. Njihova vrijednost za vas je neizravna, ali stvarna.

  • Stvaraju odvraćajući učinak. Limit vezan uz svjetski promet daje čak i velikim organizacijama razlog da ozbiljno shvate zaštitu podataka.
  • Podupiru vaša prava. Kazne višeg stupnja povezane su s povredama koje su vam najvažnije, uključujući kako se vaši podaci koriste i poštuju li se vaša prava.
  • Daju vam put do djelovanja. Ako smatrate da je organizacija zloupotrijebila vaše podatke, prvo možete to pitanje pokrenuti s organizacijom, a zatim se obratiti regulatoru za zaštitu podataka u svojoj zemlji. U Ujedinjenom Kraljevstvu taj regulator je ICO.

Također pomaže zadržati realna očekivanja. Vrlo veliki maksimum ne znači da svaka povreda proizvodi vrlo veliku kaznu. Naše izvještavanje o GDPR kaznama i dvostupanjskom sustavu istražuje zašto brojke koje privlače pogled mogu zavarati.

Praktični zaključci

Razumijevanje GDPR kazni korisno je uglavnom zato što vam pokazuje gdje leži vaša poluga. Nekoliko koraka stavlja to znanje u primjenu:

  1. Znajte razliku između pravila UK-a i EU-a. Limit u UK-u je 17,5 milijuna funti ili 4%, a limit u EU-u je 20 milijuna eura ili 4%. Koji se primjenjuje ovisi o tome gdje organizacija posluje i gdje se vi nalazite.
  2. Vodite evidenciju. Ako kontaktirate tvrtku u vezi s vašim podacima, sačuvajte e-poruke, datume i odgovore. Oni su važni ako se kasnije požalite regulatoru.
  3. Koristite svoja prava. Možete pitati organizacije koje podatke o vama drže i izraziti zabrinutost kada nešto izgleda pogrešno.
  4. Eskalirajte kada je potrebno. Ako tvrtka ne riješi vašu zabrinutost, nacionalni regulator za zaštitu podataka je sljedeći korak.
  5. Smanjite svoju izloženost. Dijelite samo podatke koje usluga stvarno treba i koristite jake, jedinstvene lozinke i dvofaktorsku autentifikaciju.

GDPR kazne, bilo 17,5 milijuna funti u UK-u ili 20 milijuna eura u EU-u, vidljivi su rub šireg sustava osmišljenog da vaše osobne podatke drži pod vašom kontrolom. Poznavanje kako taj sustav funkcionira olakšava njegovo korištenje.