Amikor egy vállalat helytelenül bánik a személyes adatokkal, a figyelemfelkeltő szám általában a maximális bírság. A GDPR szerint a bírságok az Egyesült Királyságban elérhetik a 17,5 millió fontot vagy a világméretű forgalom 4%-át, az EU-ban pedig a 20 millió eurót vagy a világméretű forgalom 4%-át. Ezek a számok absztraktnak tűnnek, de azért léteznek, hogy téged védjenek. Ez az útmutató közérthetően elmagyarázza, mit jelentenek.

A maximális GDPR-bírságok az Egyesült Királyságban és az EU-ban

A két rendszer ugyanazt az alapvető felépítést követi. Mindkettő meghatároz egy fix összeghatárt a saját pénznemében, valamint a szervezet világméretű forgalmának egy százalékát.

  • Egyesült Királyság: legfeljebb 17,5 millió font vagy a világméretű forgalom 4%-a
  • EU: legfeljebb 20 millió euró vagy a világméretű forgalom 4%-a

A százalék azért számít, mert a szervezet méretével arányosan skálázódik. Egy fix összeg jelentéktelen lenne egy nagyon nagy vállalat számára, ezért a forgalomalapú opció lehetővé teszi a szabályozók számára, hogy olyan büntetést szabjanak ki, amely valóban érezhető. A témában vezető útmutatók a szabályt úgy írják le, hogy „amelyik a magasabb” az alsó szint esetében, és ugyanez a logika teszi értelmessé a figyelemfelkeltő összeghatárt a nagy cégek számára.

Ezek felső határok, nem standard büntetések. A legtöbb bírság jóval a maximum alatt marad, és a szabályozónak meg kell indokolnia, hogy egy adott eset hova esik.

Mely jogsértések tartoznak az egyes szintekbe

A GDPR kétszintű struktúrát használ. A felső szint, amely a 17,5 millió fontos vagy 20 millió eurós összeghatárt hordozza, a súlyosabb jogsértések számára van fenntartva. Az alsó szint a kevésbé súlyos hiányosságokat fedi le, és kisebb összeghatárt hordoz. A nyilvánosan elérhető összefoglalók az EU alsó szintjét 10 millió euróban vagy a világméretű éves forgalom 2%-ában határozzák meg.

Általánosságban a felső szint azokat a jogsértéseket célozza, amelyek a jogaid lényegét érintik, például az adatkezelés alapelveinek megsértését vagy az emberek törvény által biztosított jogainak megtagadását. Az alsó szint általában inkább eljárási vagy szervezeti kötelezettségekhez kapcsolódik. A felosztás működésének részletesebb áttekintéséhez lásd a hogyan működik a kétszintű GDPR-büntetési rendszer című magyarázatunkat.

Hogyan határozzák meg a szabályozók a tényleges bírságot

A maximum csak a kiinduló keret. A szabályozók mérlegelik az egyes esetek körülményeit, és a folyamat nem egy egyszerű keresőtábla.

Egy ismeretre érdemes szabály: ha több jogsértés együtt fordul elő, a teljes bírság nem haladhatja meg a legsúlyosabb jogsértéshez meghatározott összeget. A gyakorlatban ez azt jelenti, hogy az alkalmazandó összeghatár az eset legsúlyosabb jogsértéséhez kötődik, nem pedig az összes összeghatár összegéhez.

A súlyosság, a szervezet mérete és a hiányosság jellege mind szerepet játszik a végső összegben. Ezért kaphat két hasonló jogsértést elkövető vállalat nagyon különböző büntetéseket, és ezért kell a figyelemfelkeltő maximumokat felső határként, nem pedig előrejelzésként értelmezni.

Mit jelent ez számodra

A bírságok a szabályozókhoz kerülnek, nem az érintett egyénekhez, így maga a büntetés nem tesz pénzt a zsebedbe. Az értékük számodra közvetett, de valós.

  • Visszatartó erőt teremtenek. A világméretű forgalomhoz kötött összeghatár még a nagy szervezetek számára is okot ad arra, hogy komolyan vegyék az adatvédelmet.
  • Alátámasztják a jogaidat. A felső szintű büntetések a számodra legfontosabb jogsértésekhez kapcsolódnak, beleértve azt, hogy hogyan használják az adataidat, és hogy tiszteletben tartják-e a jogaidat.
  • Cselekvési utat adnak. Ha úgy gondolod, hogy egy szervezet visszaélt az adataiddal, először a szervezetnél vetheted fel a problémát, majd az országod adatvédelmi szabályozójához fordulhatsz. Az Egyesült Királyságban ez a szabályozó az ICO.

Az is segít, ha reálisak maradnak az elvárások. Egy nagyon nagy maximum nem jelenti azt, hogy minden jogsértés nagyon nagy bírságot eredményez. A GDPR-bírságokról és a kétszintű rendszerről szóló cikkünk azt vizsgálja, miért lehetnek félrevezetők a szemrevaló számok.

Gyakorlati tanulságok

A GDPR-bírságok megértése elsősorban azért hasznos, mert megmutatja, hol van a mozgástered. Néhány lépés hasznosíthatja ezt a tudást:

  1. Ismerd a különbséget az egyesült királyságbeli és az EU-s szabályok között. Az egyesült királyságbeli összeghatár 17,5 millió font vagy 4%, az EU-s összeghatár pedig 20 millió euró vagy 4%. Az, hogy melyik alkalmazandó, attól függ, hol működik a szervezet, és hol vagy te.
  2. Vezess nyilvántartást. Ha kapcsolatba lépsz egy vállalattal az adataiddal kapcsolatban, őrizd meg az e-maileket, a dátumokat és a válaszokat. Ezek számítanak, ha később panaszt teszel egy szabályozónál.
  3. Használd a jogaidat. Megkérdezheted a szervezeteket, milyen adatokat tárolnak rólad, és aggályokat vethetsz fel, ha valami hibásnak tűnik.
  4. Lépj tovább, ha szükséges. Ha egy vállalat nem oldja meg az aggályodat, a nemzeti adatvédelmi szabályozó a következő lépés.
  5. Csökkentsd a kitettségedet. Csak azt az adatot oszd meg, amelyre egy szolgáltatásnak valóban szüksége van, és használj erős, egyedi jelszavakat és kétfaktoros hitelesítést.

A GDPR-bírságok – legyen szó 17,5 millió fontról az Egyesült Királyságban vagy 20 millió euróról az EU-ban – egy szélesebb rendszer látható széle, amelyet arra terveztek, hogy a személyes adataidat az irányításod alatt tartsa. Ha tudod, hogyan működik ez a rendszer, könnyebben használhatod.