GDPR kazne ostaju jedan od najneshvaćenijih dijelova europskog zakona o zaštiti podataka, čak i godinama nakon što je uredba stupila na snagu. Naslovi se obično fokusiraju na upadljive maksimalne iznose, ali stvarna struktura kazni koju regulatori koriste mnogo je nijansiranija, a razumijevanje toga važno je bilo da vodite malu tvrtku ili jednostavno želite znati koliko se ozbiljno štiti vašim podacima.
Struktura na dvije razine iza GDPR kazni
GDPR kazne izgrađene su oko dvije različite razine, a to koja će se primijeniti ovisi o prirodi prekršaja, ne samo o njegovoj veličini. Niža razina pokriva proceduralne propuste, poput neodgovarajućeg vođenja evidencije, neimenovanja službenika za zaštitu podataka kada je to potrebno ili nepravilnog prijavljivanja povrede podataka. Viša razina rezervirana je za ozbiljnije materijalne prekršaje, uključujući kršenje temeljnih načela obrade podataka, nezakonit prijenos osobnih podataka ili ignoriranje prava pojedinaca na pristup ili brisanje njihovih informacija.
Od regulatora se ne zahtijeva da odmah primijene maksimalnu kaznu ni na jednoj razini. Umjesto toga, Europski odbor za zaštitu podataka uspostavio je smjernice za izračun koje tijela za zaštitu podataka koriste za skaliranje kazne prema stvarnim okolnostima slučaja. Čimbenici poput trajanja prekršaja, je li bio namjeran ili iz nehaja, koliko je ljudi pogođeno te je li organizacija surađivala s istražiteljima – sve to utječe na konačni iznos. Zato dvije tvrtke koje počine slične prekršaje mogu završiti s potpuno različitim kaznama: matematika nije fiksni postotak koji se automatski primjenjuje, već izračun utemeljen na specifičnostima slučaja.
Zašto maksimalna kazna rijetko govori cijelu priču
Jedna od najtrajnijih zabluda o GDPR-u jest da svaki prekršaj riskira kaznu od 20 milijuna eura. U praksi, gornje granice predstavljaju najgori mogući scenarij za najteže i namjerne prekršaje, a ne tipičan ishod. Kao što je objašnjeno u povezanoj analizi zašto se gornja granica od 20 milijuna eura rijetko primjenjuje, većina provedbenih mjera završava znatno ispod maksimuma, a regulatori najveće kazne obično zadržavaju za ponovljene prekršitelje, zlouporabu podataka na velikoj razini ili tvrtke koje su ignorirale ranija upozorenja.
Ipak, neke od kazni koje su dospjele u naslove pokazuju koliko te kazne mogu biti velike kada regulatori procijene da prekršaj to opravdava. Nedavni primjer je slučaj Uberove GDPR kazne od 825 milijuna eura zbog podataka o vozačima, koji je jedna od najvećih kazni izrečenih pod ovom uredbom do sada. Ovakvi slučajevi ilustriraju kako provedbena tijela izračunavaju kazne ne samo na temelju postotka prihoda, već i na temelju opsega i osjetljivosti uključenih podataka te koliko je dugo nepravilna praksa trajala prije nego što je riješena.
GDPR kazne dio su šireg europskog trenda provedbe
GDPR ne postoji u izolaciji. Druge jurisdikcije diljem Europe izgradile su vlastite okvire koji ga zrcale ili su u interakciji s njim. U Ujedinjenom Kraljevstvu, primjerice, Zakon o zaštiti podataka iz 2018. postavlja sedam temeljnih načela i vlastitu strukturu kazni koja uvelike prati model EU-a čak i nakon Brexita. Švicarska je primijenila sličan pristup sa svojim ažuriranim zakonom o privatnosti, a organizacije koje posluju preko granica sada moraju pratiti obveze usklađenosti prema švicarskom Zakonu o zaštiti podataka odvojeno od svojih obveza prema GDPR-u EU-a. Za svaku tvrtku koja obrađuje podatke u više zemalja, ovaj mozaik preklapajućih, ali različitih pravila često je veća glavobolja za usklađenost nego same kazne.
Što to znači za vas
Ako vodite tvrtku koja prikuplja ili obrađuje osobne podatke, GDPR kazne trebale bi oblikovati vaše razmišljanje o usklađenosti mnogo prije nego što se regulator uopće uključi. Struktura na razinama nagrađuje organizacije koje mogu dokazati razumne zaštitne mjere, brzo prijavljivanje povreda i suradnju s tijelima za zaštitu podataka. Čekanje da istraga počne kako biste popravili nedostatke u svojim praksama postupanja s podacima daleko je rizičnije od proaktivnog rješavanja problema.
Za obične potrošače, ove kazne služe kao signal koliko ozbiljno (ili ne) tvrtka tretira vaše osobne informacije. Uzorak kazni, posebno onih velikih povezanih s temeljnim načelima zaštite podataka, a ne papirološkim pogreškama, koristan je pokazatelj kako tvrtka postupa s vašim podacima iz dana u dan.
Ključni zaključci
GDPR kazne slijede sustav na dvije razine pri čemu ozbiljnost prekršaja, ne samo veličina tvrtke, određuje koja se gornja granica primjenjuje. Regulatori izračunavaju kazne koristeći smjernice koje vagaju nemar, trajanje i suradnju, umjesto da automatski izdaju maksimalne kazne. Tvrtke bi trebale tretirati usklađenost kao stalnu praksu, a ne kao reakciju na provedbene mjere, budući da dokumentirane zaštitne mjere i brzo prijavljivanje povreda značajno smanjuju izloženost. A za potrošače, praćenje toga kako tvrtke reagiraju na GDPR provedbene mjere praktičan je način procjene koje organizacije doista daju prednost zaštiti osobnih podataka.
