Kada tvrtka pogrešno postupa s osobnim podacima u Europi, posljedice su određene prilično jednostavnim okvirom. Razumijevanje GDPR kazni i razina novčanih kazni pomaže objasniti zašto regulatori postupaju kako postupaju, a također pokazuje običnim ljudima koje alate imaju kada tvrtka pogriješi. Ovaj vodič, temeljen na nedavnom pregledu iz LegalHelp-a, prolazi kroz to kako su kazne strukturirane, kako funkcionira provedba i koje opcije postoje izvan samih kazni regulatora.
Kako funkcioniraju GDPR kazne i razine novčanih kazni
Opća uredba o zaštiti podataka dijeli svoje maksimalne upravne novčane kazne na dvije razine, utvrđene u članku 83.
- Niža razina: do 10 milijuna € ili 2% ukupnog godišnjeg prometa tvrtke na svjetskoj razini, ovisno o tome što je više.
- Viša razina: do 20 milijuna € ili 4% godišnjeg prometa na svjetskoj razini, ovisno o tome što je više.
Ovdje su važna dva detalja. Prvo, ovo su gornje granice, a ne fiksne cijene. Regulatori izračunavaju stvarni iznos od slučaja do slučaja, tako da kazna može biti znatno ispod maksimuma. Drugo, formulacija "ovisno o tome što je više" znači da postotak može premašiti fiksni iznos u eurima za velike multinacionalne tvrtke. Samo fiksna gornja granica bila bi greška zaokruživanja za tvrtku s ogromnim prihodom, a opcija temeljena na prometu je ono što pravilima daje stvarnu težinu na toj razini.
Viša razina općenito je rezervirana za teže povrede. Niža razina pokriva manje ozbiljne propuste. U praksi, razina u koju slučaj spada signalizira koliko ozbiljno regulator gleda na postupke.
Što veliki slučajevi provedbe otkrivaju o pogrešnom postupanju s podacima
Razine kazni izgledaju apstraktno dok ih ne vidite primijenjene. Slučajevi provedbe pokazuju koje vrste propusta privlače najveću pozornost i kako regulatori odmjeravaju okolnosti pri određivanju iznosa.
Naše izvješće o Uberovoj GDPR kazni od 825 milijuna € koristan je primjer kako se kazna na gornjem kraju ljestvice sastavlja i što signalizira drugim tvrtkama koje postupaju s podacima preko granica. Podaci djece još su jedno područje pod velikim nadzorom. Naš članak o zašto usklađenost putem potvrdnih okvira ne uspijeva prema GDPR pravilima o podacima djece pokazuje da regulatori sve više gledaju izvan papirnatih obrazaca na ono što organizacije stvarno rade s osobnim podacima.
Zajednička nit je da se regulatori usredotočuju na stvarnu praksu. Pravila o privatnosti koja postoje na papiru ne štite tvrtku ako njezino stvarno postupanje s podacima zaostaje.
Kako podnijeti pritužbu svojem tijelu za zaštitu podataka
Kazne izriču regulatori, ali regulatori često saznaju za probleme jer ih pojedinci prijave. Ako smatrate da je organizacija zloupotrijebila vaše podatke, općenito imate pravo podnijeti pritužbu tijelu za zaštitu podataka (DPA). Točan postupak razlikuje se od zemlje do zemlje, pa je najbolje polazište web-stranica DPA-a u vašoj vlastitoj državi članici EU-a.
Nekoliko praktičnih koraka obično čini pritužbu jačom:
- Započnite s tvrtkom. Pošaljite pisani zahtjev pitajući koje podatke ima o vama, kako ih koristi i s kim ih dijeli. Sačuvajte kopiju i datum kada ste ga poslali.
- Prikupljajte dokaze. Sačuvajte e-poruke, snimke zaslona, stranice računa i sve odgovore koje primite, uključujući izostanak odgovora.
- Budite konkretni. Opišite što se dogodilo, kada se dogodilo i koji su vaši podaci bili uključeni.
- Podnesite pravom tijelu. Koristite obrazac za pritužbu ili kontaktni kanal svojeg nacionalnog DPA-a i priložite svoju dokumentaciju.
Pritužba ne jamči kaznu. Regulator odlučuje hoće li istraživati i koje mjere, ako ih uopće ima, poduzeti. Ali pritužbe su dio načina na koji obrasci nedoličnog postupanja izlaze na vidjelo.
Izvan kazni: privatne tužbe i žalbe tvrtki
Upravne novčane kazne samo su jedan dio slike. Pregled LegalHelp-a također pokriva ovlasti provedbe izvan kazni, privatne tužbe i opcije žalbe.
Na strani pojedinca, osobe koje su pretrpjele štetu zbog kršenja mogu možda ostvariti zahtjeve za naknadu štete putem sudova. Taj je put odvojen od kazne regulatora: novac od upravne kazne ne ide oštećenom pojedincu. Ako razmatrate pravni postupak, mudro je razgovarati s kvalificiranim odvjetnikom u svojoj jurisdikciji, budući da se pravila i postupci razlikuju.
Na strani tvrtke, organizacije koje prime kaznu obično je mogu osporiti. To znači da kazna iz naslova nije uvijek konačna riječ, a iznosi ili nalazi mogu se osporavati. Čitatelji koji prate veliki slučaj trebali bi prvu objavu smatrati fazom u duljem procesu.
Što to znači za vas
Dvorazinska struktura može se činiti kao stvar za korporativne timove za usklađenost, ali ona oblikuje vašu polugu kao pojedinca. Budući da kazne mogu dosegnuti 2% ili 4% globalnog prometa, tvrtke imaju snažan financijski razlog za reagiranje kada se tijela za zaštitu podataka uključe. Vaša pritužba ili zahtjev za pristup hrani taj sustav.
To se primjenjuje čak i ako svakodnevno niste u EU-u. Mnoge globalne usluge obrađuju podatke europskih stanovnika, a pravila su osmišljena tako da slijede podatke. VPN ili drugi alati za privatnost mogu smanjiti koliko informacija izlažete, ali zakonska prava pokrivaju ono što se događa s podacima nakon što ih tvrtka već ima. Ta dva pristupa najbolje funkcioniraju zajedno.
Ključne poruke
- GDPR kazne i razine novčanih kazni ograničene su na 10 milijuna € ili 2% svjetskog prometa (niža razina) i 20 milijuna € ili 4% (viša razina), ovisno o tome što je više.
- Ti su iznosi maksimumi. Regulatori određuju stvarne kazne na temelju pojedinosti svakog slučaja.
- Možete poslati zahtjev za pristup tvrtki i, ako je potrebno, podnijeti pritužbu svojem nacionalnom tijelu za zaštitu podataka.
- Zahtjevi za naknadu štete putem sudova odvojeni su od regulatornih kazni, a tvrtke se mogu žaliti na kazne.
Ako je organizacija loše postupala s vašim podacima, iskoristite ta prava. Pošaljite zahtjev za pristup, dokumentirajte odgovor i podnesite pritužbu ako je nedovoljan. Da biste vidjeli kako se provedba odvija u praksi, pročitajte našu analizu Uberove kazne i naše izvješće o pravilima o podacima djece.
