Amikor egy vállalat Európában helytelenül kezeli a személyes adatokat, a következményeket egy meglehetősen egyszerű keretrendszer határozza meg. A GDPR-bírságok és bírságsávok megértése segít megmagyarázni, miért cselekszenek úgy a szabályozók, ahogy teszik, és azt is megmutatja a hétköznapi embereknek, milyen eszközök állnak rendelkezésükre, amikor egy vállalat hibázik. Ez az útmutató, amely a LegalHelp nemrégiben készült áttekintésén alapul, végigveszi, hogyan épülnek fel a bírságok, hogyan működik a végrehajtás, és milyen lehetőségek léteznek a szabályozó saját büntetésein túl.

Hogyan működnek a GDPR-bírságok és bírságsávok

Az Általános Adatvédelmi Rendelet a maximális közigazgatási bírságokat két sávba sorolja, amelyeket a 83. cikk határoz meg.

  • Alsó sáv: legfeljebb 10 millió euró vagy a vállalat teljes éves globális árbevételének 2%-a, amelyik magasabb.
  • Felső sáv: legfeljebb 20 millió euró vagy a globális éves árbevétel 4%-a, amelyik magasabb.

Két részlet számít itt. Először is, ezek felső határok, nem fix összegek. A szabályozók az tényleges összeget esetenként számítják ki, így a bírság jóval a maximum alatt is lehet. Másodszor, a „amelyik magasabb" megfogalmazás azt jelenti, hogy a százalék meghaladhatja a fix euróösszeget a nagy multinacionális cégek esetében. Egy önmagában álló fix felső határ kerekítési hiba lenne egy hatalmas árbevételű vállalat számára, és az árbevétel-alapú opció az, amely valódi súlyt ad a szabályoknak ebben a léptékben.

A felső sáv általában a súlyosabb jogsértések számára van fenntartva. Az alsó sáv a kevésbé súlyos hiányosságokat fedi le. A gyakorlatban az, hogy egy ügy melyik sávba esik, jelzi, mennyire súlyosnak tekinti a szabályozó a magatartást.

Mit árulnak el a nagy végrehajtási ügyek az adatok helytelen kezeléséről

A bírságsávok elvontnak tűnnek, amíg nem látja őket alkalmazva. A végrehajtási ügyek megmutatják, milyen típusú hiányosságok vonzzák a legnagyobb figyelmet, és hogyan mérlegelik a szabályozók a körülményeket az összeg meghatározásakor.

Az Uber 825 millió eurós GDPR-bírságáról szóló tudósításunk hasznos példa arra, hogyan áll össze a skála felső végén lévő büntetés, és mit jelez más, határokon átnyúlóan adatokat kezelő vállalatoknak. A gyermekek adatai egy másik, szigorú vizsgálat alá eső terület. A miért vall kudarcot a checkbox-megfelelés a GDPR gyermekadatokra vonatkozó szabályai alatt című írásunk megmutatja, hogy a szabályozók egyre inkább a papírmunka mögé néznek, és azt vizsgálják, mit tesznek valójában a szervezetek a személyes információkkal.

A közös szál az, hogy a szabályozók a valós gyakorlatra összpontosítanak. Egy papíron létező adatvédelmi szabályzat nem védi meg a vállalatot, ha a tényleges adatkezelése elmarad a követelményektől.

Hogyan nyújtson be panaszt adatvédelmi hatóságánál

A bírságokat a szabályozók szabják ki, de a szabályozók gyakran magánszemélyek bejelentései révén értesülnek a problémákról. Ha úgy véli, hogy egy szervezet visszaélt az adataival, általában jogában áll panaszt benyújtani egy adatvédelmi hatóságnál (DPA). A pontos folyamat országonként változik, ezért a legjobb kiindulópont a saját EU-tagállama DPA-jának weboldala.

Néhány gyakorlati lépés általában erősebbé teszi a panaszt:

  1. Kezdje a vállalattal. Küldjön írásos kérést, amelyben megkérdezi, milyen adatokat tárol Önről, hogyan használják fel azokat, és kikkel osztják meg. Őrizze meg a másolatot és a feladás dátumát.
  2. Gyűjtsön bizonyítékot. Mentse el az e-maileket, képernyőképeket, fiókoldalakat és a kapott válaszokat, beleértve a válasz hiányát is.
  3. Legyen konkrét. Írja le, mi történt, mikor történt, és mely adatai érintettek.
  4. A megfelelő hatósághoz nyújtsa be. Használja nemzeti DPA-jának panaszűrlapját vagy kapcsolattartási csatornáját, és csatolja a dokumentációját.

A panasz nem garantál bírságot. A szabályozó dönti el, hogy vizsgálódik-e, és milyen intézkedést tesz, ha egyáltalán tesz. De a panaszok részei annak, hogy a visszaélések mintázatai napvilágra kerüljenek.

A bírságokon túl: magánperek és vállalati fellebbezések

A közigazgatási bírságok csak egy részét képezik a képnek. A LegalHelp áttekintése a bírságokon túli végrehajtási hatásköröket, a magánpereket és a fellebbezési lehetőségeket is tárgyalja.

Az egyéni oldalon azok, akiket egy jogsértés kárt szenvedett, bíróságon keresztül kártérítési igényeket érvényesíthetnek. Ez az út különáll a szabályozó bírságától: a közigazgatási büntetésből származó pénz nem az érintett magánszemélyhez kerül. Ha jogi lépéseket fontolgat, érdemes egy joghatóságában működő képzett ügyvéddel beszélnie, mivel a szabályok és eljárások eltérőek.

A vállalati oldalon azok a szervezetek, amelyek büntetést kapnak, általában megtámadhatják azt. Ez azt jelenti, hogy egy címlapos bírság nem mindig a végső szó, és az összegek vagy megállapítások vitathatók. Azoknak az olvasóknak, akik egy jelentős ügyet követnek, az első bejelentést egy hosszabb folyamat egy szakaszaként kell kezelniük.

Mit jelent ez Önnek

A kétszintű struktúra a vállalati megfelelési csapatok ügyének tűnhet, de alakítja az Ön egyéni mozgásterét. Mivel a büntetések elérhetik a globális árbevétel 2%-át vagy 4%-át, a vállalatoknak erős pénzügyi okuk van reagálni, amikor az adatvédelmi hatóságok érintettek. Az Ön panasza vagy hozzáférési kérelme táplálja ezt a rendszert.

Ez akkor is érvényes, ha a mindennapi életében nem az EU-ban van. Sok globális szolgáltatás kezeli európai lakosok adatait, és a szabályokat úgy tervezték, hogy kövessék az adatokat. Egy VPN vagy más adatvédelmi eszközök csökkenthetik, mennyi információt tesz közzé, de a jogi jogok lefedik azt, ami az adatokkal történik, miután egy vállalat már birtokolja azokat. A két megközelítés együtt működik a legjobban.

Kulcsfontosságú tanulságok

  • A GDPR-bírságok és bírságsávok felső határa 10 millió euró vagy a globális árbevétel 2%-a (alsó sáv) és 20 millió euró vagy 4% (felső sáv), amelyik magasabb.
  • Ezek az összegek maximumok. A szabályozók az egyes ügyek sajátosságai alapján határozzák meg a tényleges bírságokat.
  • Küldhet hozzáférési kérelmet egy vállalatnak, és szükség esetén panaszt nyújthat be nemzeti adatvédelmi hatóságánál.
  • A bíróságon keresztüli kártérítési igények különállnak a szabályozói bírságoktól, és a vállalatok fellebbezhetnek a büntetések ellen.

Ha egy szervezet rosszul kezelte az adatait, éljen ezekkel a jogokkal. Küldje el a hozzáférési kérelmet, dokumentálja a választ, és nyújtson be panaszt, ha az nem megfelelő. Ha látni szeretné, hogyan alakul a végrehajtás a gyakorlatban, olvassa el elemzésünket az Uber-bírságról és jelentésünket a gyermekadatokra vonatkozó szabályokról.