A GDPR-bírságok továbbra is az európai adatvédelmi jog egyik leginkább félreértett részét képezik, még évekvel a rendelet hatálybalépése után is. A címlapok általában a szemet gyönyörködtető maximális összegekre fókuszálnak, de a tényleges büntetési struktúra, amelyet a felügyeleti hatóságok alkalmaznak, sokkal árnyaltabb, és ennek megértése fontos, akár kisvállalkozást vezetsz, akár egyszerűen csak tudni szeretnéd, mennyire komolyan védik az adataidat.

A GDPR-bírságok mögötti kétszintű struktúra

A GDPR-szankciók két különálló szintre épülnek, és az, hogy melyik alkalmazandó, a jogsértés jellegétől függ, nem csupán annak mértékétől. Az alsó szint az eljárási hibákat fedi le, mint például a nem megfelelő nyilvántartásvezetés, a szükséges adatvédelmi tisztviselő kinevezésének elmulasztása, vagy a jogsértés nem megfelelő bejelentése. A felső szint a súlyosabb, érdemi jogsértésekre van fenntartva, beleértve az adatkezelés alapelveinek megsértését, a személyes adatok jogellenes továbbítását, vagy az egyének adataikhoz való hozzáféréshez és törléshez fűződő jogainak figyelmen kívül hagyását.

A felügyeleti hatóságoknak nem kötelező egyik szinten sem azonnal a maximális büntetést kiszabniuk. Ehelyett az Európai Adatvédelmi Testület számítási iránymutatásokat állapított meg, amelyeket az adatvédelmi hatóságok a bírság mértékének az eset tényleges körülményeihez igazítására használnak. Olyan tényezők, mint a jogsértés időtartama, hogy szándékos vagy gondatlan volt-e, hány embert érintett, és hogy a szervezet együttműködött-e a vizsgálókkal, mind befolyásolják a végső összeget. Ezért fordulhat elő, hogy két hasonló jogsértést elkövető vállalat végül rendkívül eltérő bírságot kap: a számítás nem egy automatikusan alkalmazott átalányszázalék, hanem az eset sajátosságain alapuló számítás.

Miért ritkán adja a maximális bírság a teljes képet

A GDPR-ral kapcsolatos egyik legmakacsabb tévhit, hogy minden jogsértés 20 millió eurós büntetést kockáztat. A gyakorlatban a felső határértékek a legsúlyosabb és legszándékosabb jogsértések legrosszabb forgatókönyvét jelentik, nem pedig a tipikus eredményt. Amint azt egy kapcsolódó elemzés is tárgyalja miért ritkán alkalmazzák a 20 millió eurós felső határt, a legtöbb végrehajtási intézkedés jóval a maximum alatt marad, és a felügyeleti hatóságok általában a visszaeső elkövetőkre, a nagyszabású adatvisszaélésekre vagy a korábbi figyelmeztetéseket figyelmen kívül hagyó vállalatokra tartják fenn a legnagyobb büntetéseket.

Ennek ellenére néhány címlapra került bírság megmutatja, milyen hatalmasra is nőhetnek ezek a büntetések, amikor a felügyeleti hatóságok úgy döntenek, hogy a jogsértés ezt indokolja. Egy közelmúltbeli példa az Uber 825 millió eurós GDPR-bírsága a sofőradatok miatt, amely a rendelet alapján eddig kiszabott egyik legnagyobb büntetésnek számít. Az ehhez hasonló esetek illusztrálják, hogyan számítják ki a végrehajtási szervek a bírságokat nemcsak a forgalom százalékában, hanem az érintett adatok mértéke és érzékenysége, valamint az alapján, hogy mennyi ideig folyt a helytelen gyakorlat, mielőtt orvosolták volna.

A GDPR-bírságok egy tágabb európai végrehajtási trend részét képezik

A GDPR nem légüres térben létezik. Más európai joghatóságok saját keretrendszereket építettek fel, amelyek tükrözik vagy kölcsönhatásba lépnek vele. Az Egyesült Királyságban például a 2018-as adatvédelmi törvény hét alapelvet és saját büntetési struktúrát határoz meg, amely szorosan követi az EU-modellt még a Brexit után is. Svájc hasonló megközelítést alkalmazott frissített adatvédelmi törvényével, és a határokon átnyúlóan működő szervezeteknek mostantól külön nyomon kell követniük a svájci adatvédelmi törvény szerinti megfelelési kötelezettségeket az EU-s GDPR-kötelezettségektől elkülönítve. Azoknak a vállalkozásoknak, amelyek több országban kezelnek adatokat, ez az átfedő, de különálló szabályokból álló mozaik gyakran nagyobb megfelelési fejfájást okoz, mint maguk a bírságok.

Mit jelent ez az Ön számára

Ha olyan vállalkozást vezet, amely személyes adatokat gyűjt vagy kezel, a GDPR-bírságoknak már jóval azelőtt formálniuk kell a megfelelésről való gondolkodását, hogy bármely felügyeleti hatóság bekapcsolódna. A kétszintű struktúra azokat a szervezeteket jutalmazza, amelyek észszerű biztosítékokat, gyors jogsértés-bejelentést és az adatvédelmi hatóságokkal való együttműködést tudnak felmutatni. Megvárni, amíg egy vizsgálat megindul az adatkezelési gyakorlat hiányosságainak kijavításához, sokkal kockázatosabb, mint azok proaktív kezelése.

A mindennapi fogyasztók számára ezek a bírságok jelzésként szolgálnak arra vonatkozóan, mennyire komolyan veszi (vagy nem veszi) egy vállalat az Ön személyes adatait. A büntetések mintázata, különösen azoké, amelyek az alapvető adatelvekhez kapcsolódnak, nem pedig adminisztratív hibákhoz, hasznos mutatója annak, hogyan kezeli egy vállalat az Ön adatait a mindennapokban.

Főbb következtetések

A GDPR-bírságok kétszintű rendszert követnek, ahol a jogsértés súlyossága – nem csak a vállalat mérete – határozza meg, melyik felső határ alkalmazandó. A felügyeleti hatóságok a büntetéseket olyan iránymutatások alapján számítják ki, amelyek a gondatlanságot, az időtartamot és az együttműködést veszik figyelembe, nem pedig alapértelmezés szerint maximális bírságot szabnak ki. A vállalkozásoknak a megfelelést folyamatos gyakorlatként kell kezelniük, nem pedig a végrehajtásra adott reakcióként, mivel a dokumentált biztosítékok és a gyors jogsértés-bejelentés érdemben csökkentik a kitettséget. A fogyasztók számára pedig annak nyomon követése, hogyan reagálnak a vállalatok a GDPR-végrehajtásra, gyakorlati módot kínál annak megítélésére, mely szervezetek helyezik ténylegesen előtérbe a személyes adatok védelmét.