Quando un'azienda gestisce male i dati personali in Europa, le conseguenze sono stabilite da un quadro piuttosto semplice. Comprendere le sanzioni e i livelli di multa del GDPR aiuta a spiegare perché le autorità di regolamentazione agiscono in un certo modo, e mostra anche alle persone comuni quali strumenti hanno quando un'azienda sbaglia. Questa guida, basata su una recente panoramica di LegalHelp, illustra come sono strutturate le multe, come funziona l'applicazione e quali opzioni esistono oltre alle sanzioni dell'autorità di regolamentazione stessa.
Come funzionano le sanzioni e i livelli di multa del GDPR
Il Regolamento generale sulla protezione dei dati suddivide le sue multe amministrative massime in due livelli, stabiliti dall'articolo 83.
- Livello inferiore: fino a 10 milioni di euro o al 2% del fatturato annuo totale mondiale di un'azienda, se superiore.
- Livello superiore: fino a 20 milioni di euro o al 4% del fatturato annuo mondiale, se superiore.
Due dettagli contano qui. Primo, questi sono tetti massimi, non prezzi fissi. Le autorità di regolamentazione calcolano l'importo effettivo caso per caso, quindi una multa può risultare ben al di sotto del massimo. Secondo, la formula "se superiore" significa che la percentuale può superare la cifra fissa in euro per le grandi imprese multinazionali. Un tetto fisso da solo sarebbe un errore di arrotondamento per un'azienda con ricavi enormi, e l'opzione basata sul fatturato è ciò che dà alle regole un peso reale a quella scala.
Il livello superiore è generalmente riservato alle violazioni più gravi. Il livello inferiore copre le mancanze meno serie. In pratica, il livello in cui ricade un caso segnala quanto seriamente l'autorità di regolamentazione considera la condotta.
Cosa rivelano i grandi casi di applicazione sulla gestione scorretta dei dati
I livelli di multa sembrano astratti finché non li si vede applicati. I casi di applicazione mostrano quali tipi di mancanze attirano la massima attenzione e come le autorità di regolamentazione valutano le circostanze nel determinare un importo.
La nostra trattazione della multa GDPR di 825 milioni di euro a Uber è un utile esempio di come si compone una sanzione al limite superiore della scala e di cosa segnala alle altre aziende che gestiscono dati oltre i confini. I dati dei minori sono un'altra area sotto forte esame. Il nostro articolo sul perché la conformità basata su caselle di spunta fallisce secondo le regole del GDPR sui dati dei minori mostra che le autorità di regolamentazione guardano sempre più oltre la carta al comportamento effettivo delle organizzazioni nei confronti delle informazioni personali.
Il filo conduttore è che le autorità di regolamentazione si concentrano sulla pratica reale. Un'informativa sulla privacy che esiste solo sulla carta non protegge un'azienda se la sua effettiva gestione dei dati è carente.
Come presentare un reclamo alla tua autorità di protezione dei dati
Le multe sono imposte dalle autorità di regolamentazione, ma queste spesso vengono a conoscenza dei problemi perché sono gli individui a segnalarli. Se ritieni che un'organizzazione abbia fatto un uso improprio dei tuoi dati, generalmente hai il diritto di presentare un reclamo a un'autorità di protezione dei dati (DPA). Il procedimento esatto varia da paese a paese, quindi il punto di partenza migliore è il sito web della DPA del tuo Stato membro dell'UE.
Alcuni passaggi pratici tendono a rendere un reclamo più forte:
- Inizia dall'azienda. Invia una richiesta scritta chiedendo quali dati detiene su di te, come vengono utilizzati e con chi vengono condivisi. Conserva una copia e la data in cui l'hai inviata.
- Raccogli le prove. Salva email, screenshot, pagine dell'account e tutte le risposte che ricevi, compresa l'assenza di risposta.
- Sii specifico. Descrivi cosa è successo, quando è successo e quali dei tuoi dati sono stati coinvolti.
- Invia all'autorità giusta. Usa il modulo di reclamo o il canale di contatto della tua DPA nazionale e allega la tua documentazione.
Un reclamo non garantisce una multa. L'autorità di regolamentazione decide se indagare e quali azioni, se del caso, intraprendere. Ma i reclami fanno parte di come emergono i modelli di condotta scorretta.
Oltre le multe: cause private e ricorsi aziendali
Le multe amministrative sono solo una parte del quadro. La panoramica di LegalHelp copre anche i poteri di applicazione oltre le multe, le cause private e le opzioni di ricorso.
Dal lato individuale, le persone che hanno subito un danno da una violazione possono essere in grado di perseguire richieste di risarcimento tramite i tribunali. Questa strada è separata dalla multa di un'autorità di regolamentazione: il denaro di una sanzione amministrativa non va all'individuo leso. Se stai considerando un'azione legale, è saggio parlare con un avvocato qualificato nella tua giurisdizione, poiché regole e procedure differiscono.
Dal lato aziendale, le organizzazioni che ricevono una sanzione di solito possono contestarla. Ciò significa che una multa da prima pagina non è sempre l'ultima parola, e importi o conclusioni possono essere contestati. I lettori che seguono un caso importante dovrebbero considerare il primo annuncio come una fase di un processo più lungo.
Cosa significa questo per te
La struttura a due livelli può sembrare una questione per i team di conformità aziendale, ma plasma la tua leva come individuo. Poiché le sanzioni possono raggiungere il 2% o il 4% del fatturato globale, le aziende hanno una forte ragione finanziaria per rispondere quando le autorità di protezione dei dati intervengono. Il tuo reclamo o la tua richiesta di accesso alimentano quel sistema.
Questo vale anche se non vivi nell'UE quotidianamente. Molti servizi globali gestiscono i dati dei residenti europei, e le regole sono progettate per seguire i dati. Una VPN o altri strumenti per la privacy possono ridurre quante informazioni esponi, ma i diritti legali coprono ciò che accade ai dati una volta che un'azienda li possiede già. I due approcci funzionano meglio insieme.
Punti chiave
- Le sanzioni e i livelli di multa del GDPR sono limitati a 10 milioni di euro o al 2% del fatturato mondiale (livello inferiore) e a 20 milioni di euro o al 4% (livello superiore), se superiore.
- Queste cifre sono massimi. Le autorità di regolamentazione fissano le multe effettive in base alle specificità di ogni caso.
- Puoi inviare una richiesta di accesso a un'azienda e, se necessario, presentare un reclamo alla tua autorità nazionale di protezione dei dati.
- Le richieste di risarcimento tramite i tribunali sono separate dalle multe regolatorie, e le aziende possono impugnare le sanzioni.
Se un'organizzazione ha gestito male i tuoi dati, usa questi diritti. Invia la richiesta di accesso, documenta la risposta e presenta un reclamo se è insufficiente. Per vedere come si svolge l'applicazione nella pratica, leggi la nostra analisi della multa a Uber e il nostro report sulle regole sui dati dei minori.
