ヨーロッパで企業が個人データを誤って扱った場合、その結果はかなりシンプルな枠組みによって定められる。GDPRの制裁金と罰金の段階を理解することは、規制当局がなぜそのように行動するのかを説明する助けとなり、また企業が過ちを犯したときに一般の人々がどのような手段を持っているかを示してくれる。本ガイドでは、LegalHelpによる最近の概説に基づき、制裁金がどのように構成されているか、執行がどのように機能するか、そして規制当局自身の制裁金以外にどのような選択肢があるかを解説する。

GDPRの制裁金と罰金の段階はどのように機能するか

一般データ保護規則は、その行政上の制裁金の上限を、第83条に定められた2つの段階に分けている。

  • 下位段階： 最大1,000万ユーロまたは企業の全世界年間総売上高の2%のいずれか高い方。
  • 上位段階： 最大2,000万ユーロまたは全世界年間総売上高の4%のいずれか高い方。

ここでは2つの点が重要である。第一に、これらは上限であり、固定価格ではない。規制当局は実際の金額をケースバイケースで算出するため、制裁金は上限を大きく下回ることもある。第二に、「いずれか高い方」という文言は、大規模な多国籍企業にとっては割合が定額のユーロ額を超える可能性があることを意味する。固定上限だけでは、巨額の収益を持つ企業にとっては端数に過ぎず、売上高ベースの選択肢がその規模においてルールに実質的な重みを与えている。

上位段階は一般的に、より重大な違反のために確保されている。下位段階はそれほど深刻でない違反を対象とする。実際には、ある案件がどの段階に該当するかは、規制当局がその行為をどれほど深刻に捉えているかを示すシグナルとなる。

大規模な執行事例がデータの誤処理について明らかにするもの

罰金の段階は、それが適用されるのを見るまでは抽象的である。執行事例は、どのような種類の違反が最も厳しい注目を集めるか、また規制当局が金額を設定する際に状況をどのように衡量するかを示している。

当社のUberに対する8億2,500万ユーロのGDPR制裁金に関する報道は、最高水準の制裁金がどのようにして決まるのか、そして国境を越えてデータを扱う他の企業に何を伝えるのかを示す有用な例である。子どものデータも厳しい監視下にある分野である。GDPRの子どものデータ規則の下でチェックボックス型のコンプライアンスがなぜ失敗するのかに関する記事は、規制当局が書類上の対応を超えて、組織が個人情報を実際にどう扱っているかを見るようになっていることを示している。

共通しているのは、規制当局が現実の慣行に焦点を当てているという点である。書類上に存在するプライバシーポリシーは、実際のデータ処理が不十分であれば企業を守らない。

データ保護機関に苦情を申し立てる方法

制裁金は規制当局によって課されるが、規制当局は多くの場合、個人が報告することで問題を把握する。組織があなたのデータを悪用したと考える場合、一般的にデータ保護機関（DPA）に苦情を申し立てる権利がある。正確な手続きは国によって異なるため、最善の出発点は、あなた自身のEU加盟国のDPAのウェブサイトである。

いくつかの実践的なステップが、苦情をより強力にする傾向がある。

  1. まず企業に連絡する。 あなたについてどのようなデータを保有しているか、それがどのように使用されているか、誰と共有されているかを尋ねる書面による請求を送る。コピーと送付日を保管する。
  2. 証拠を集める。 メール、スクリーンショット、アカウントページ、受け取った返信（無回答を含む）を保存する。
  3. 具体的に述べる。 何が起きたか、いつ起きたか、あなたのどのデータが関係していたかを説明する。
  4. 適切な機関に提出する。 自国のDPAの苦情申立フォームまたは連絡チャネルを利用し、文書を添付する。

苦情は制裁金を保証するものではない。規制当局が調査するかどうか、またどのような措置を取るか（取る場合）を決定する。しかし苦情は、不正行為のパターンが明るみに出る方法の一部である。

制裁金以外：民事訴訟と企業の異議申立て

行政上の制裁金は全体像の一部に過ぎない。LegalHelpの概説では、制裁金以外の執行権限、民事訴訟、および異議申立ての選択肢についても扱っている。

個人の側では、違反によって害を受けた人々は、裁判所を通じて補償を求める請求を追求できる場合がある。このルートは規制当局の制裁金とは別であり、行政上の制裁金による金銭は影響を受けた個人には渡らない。法的措置を検討している場合は、規則や手続きが異なるため、あなたの管轄区域の資格ある弁護士に相談することが賢明である。

企業の側では、制裁金を受けた組織は通常、それに異議を申し立てることができる。つまり、見出しを飾る制裁金が常に最終的な結論とは限らず、金額や認定が争われる可能性がある。主要な案件を追う読者は、最初の発表をより長いプロセスの一段階として捉えるべきである。

これがあなたにとって意味すること

二段階構造は企業のコンプライアンスチーム向けの問題のように思えるかもしれないが、それは個人としてのあなたの交渉力を形作る。制裁金は全世界売上高の2%または4%に達する可能性があるため、データ保護機関が関与した場合、企業には対応する強い経済的理由がある。あなたの苦情やアクセス請求はそのシステムに組み込まれている。

これは、日常生活でEUにいない場合でも当てはまる。多くのグローバルサービスがヨーロッパ居住者のデータを扱っており、ルールはデータに追随するように設計されている。VPNやその他のプライバシーツールは、あなたが露出する情報の量を減らすことができるが、法的権利は、企業がすでにデータを保有した後にそのデータがどうなるかをカバーしている。2つのアプローチは組み合わせてこそ最もよく機能する。

主なポイント

  • GDPRの制裁金と罰金の段階は、1,000万ユーロまたは全世界売上高の2%（下位段階）、および2,000万ユーロまたは4%（上位段階）のいずれか高い方が上限である。
  • これらの数字は上限である。規制当局は各案件の具体的な事情に基づいて実際の制裁金を設定する。
  • 企業にアクセス請求を送ることができ、必要であれば自国のデータ保護機関に苦情を申し立てることができる。
  • 裁判所を通じた補償請求は規制上の制裁金とは別であり、企業は制裁金に異議を申し立てることができる。

組織があなたのデータを不適切に扱った場合、これらの権利を使おう。アクセス請求を送り、回答を記録し、不十分であれば苦情を申し立てよう。執行が実際にどのように展開するかを見るには、Uberの制裁金に関する分析と、子どものデータ規則に関する報告をお読みください。