企業が個人データを不適切に扱った場合、ニュースで取り上げられる金額は通常、上限の制裁金です。GDPRに基づく制裁金は、英国では最大1,750万ポンドまたは全世界売上高の4%、EUでは最大2,000万ユーロまたは全世界売上高の4%に達する可能性があります。これらの数字は抽象的にも聞こえますが、あなたを守るために存在しています。本ガイドでは、その意味をわかりやすく説明します。

英国とEUにおけるGDPR制裁金の上限

両制度は同じ基本設計に従っています。それぞれが自国通貨での固定上限額と、組織の全世界売上高に対する割合を定めています。

  • 英国： 最大1,750万ポンドまたは全世界売上高の4%
  • EU： 最大2,000万ユーロまたは全世界売上高の4%

割合が重要である理由は、組織の規模に応じて規模が変わるからです。固定額では非常に大規模な企業にとっては取るに足らないものになってしまうため、売上高に基づく選択肢によって、規制当局は実際に効果のある制裁金を設定できます。この分野の上位ガイドでは、このルールを下位層について「いずれか高い方」と説明しており、同じ論理が大企業にとって主要な上限額を意味のあるものにしています。

これらは上限であり、標準的な制裁金ではありません。ほとんどの制裁金は上限をはるかに下回り、規制当局は案件がどこに位置するかを正当化しなければなりません。

どの違反が各層に該当するか

GDPRは二層構造を採用しています。上位層、つまり1,750万ポンドまたは2,000万ユーロの上限を伴う層は、より深刻な違反のために確保されています。下位層はそれほど深刻でない不備を対象とし、より低い上限を伴います。公開されている概要によると、EUの下位層は1,000万ユーロまたは年間全世界売上高の2%とされています。

大まかに言えば、上位層はデータ処理に関する基本原則の違反や、法律が与える権利の否定など、あなたの権利の核心を突く違反を対象としています。下位層は一般的に、より手続き的または組織的な義務に関連しています。この区分の仕組みについてより詳しく知りたい場合は、二層構造のGDPR制裁金制度の仕組みに関する解説をご覧ください。

規制当局が実際の制裁金をどのように設定するか

上限はあくまで出発点の枠組みにすぎません。規制当局は各案件の状況を考慮し、そのプロセスは単純な照会表ではありません。

知っておく価値のあるルールが一つあります。複数の違反が同時に発生した場合、制裁金の総額は最も重大な違反に対して定められた額を超えるべきではありません。実際には、適用される上限は案件内の最も深刻な違反に紐づけられ、すべての上限の合計ではないということです。

重大性、組織の規模、不備の性質がすべて最終的な金額に影響します。だからこそ、同様の違反を犯した二つの企業が非常に異なる制裁金を受けることがあり、また主要な上限額は予測ではなく上限境界として読むべきなのです。

これがあなたにとって何を意味するか

制裁金は規制当局に支払われるものであり、影響を受けた個人に支払われるものではないため、制裁金そのものがあなたの懐にお金を入れることはありません。あなたにとっての価値は間接的ですが、現実のものです。

  • 抑止力となります。 全世界売上高に紐づけられた上限は、大規模な組織であってもデータ保護を真剣に受け止める理由を与えます。
  • あなたの権利を支えます。 上位層の制裁金は、あなたのデータがどのように使用されるか、あなたの権利が尊重されるかなど、あなたにとって最も重要な違反に結びついています。
  • 行動する道筋を与えます。 組織があなたのデータを悪用したと思う場合、まずその組織に問題を提起し、その後、あなたの国のデータ保護規制当局に持ち込むことができます。英国では、その規制当局はICOです。

期待値を現実的に保つことも役立ちます。非常に大きな上限額は、すべての違反が非常に大きな制裁金を生むという意味ではありません。GDPRの制裁金と二層構造に関する記事では、目を引く数字がなぜ誤解を招きうるのかを探っています。

実践的なポイント

GDPRの制裁金を理解することは、主にあなたの立場がどこにあるかを示してくれるため有用です。いくつかのステップでその知識を活用できます。

  1. 英国とEUのルールの違いを知る。 英国の上限は1,750万ポンドまたは4%、EUの上限は2,000万ユーロまたは4%です。どちらが適用されるかは、組織がどこで事業を行っているか、そしてあなたがどこにいるかによります。
  2. 記録を残す。 データについて企業に連絡する場合は、メール、日付、回答を保存してください。後で規制当局に苦情を申し立てる場合に重要になります。
  3. あなたの権利を使う。 組織があなたについてどのようなデータを保有しているかを尋ね、何かおかしいと思ったら懸念を提起することができます。
  4. 必要に応じてエスカレーションする。 企業があなたの懸念を解決しない場合、国のデータ保護規制当局が次のステップです。
  5. 露出を減らす。 サービスが本当に必要とするデータだけを共有し、強力でユニークなパスワードと二要素認証を使用してください。

GDPRの制裁金は、英国の1,750万ポンドであれEUの2,000万ユーロであれ、あなたの個人データをあなたの管理下に保つために設計されたより広いシステムの目に見える端にすぎません。そのシステムがどのように機能するかを知ることで、それをより容易に活用できるようになります。