Når en virksomhet håndterer personopplysninger feil, er det tallet som oftest nevnes, maksimumsbøten. Under GDPR kan bøter nå 17,5 millioner pund eller 4 % av verdensomspennende omsetning i Storbritannia, og 20 millioner euro eller 4 % av verdensomspennende omsetning i EU. Disse tallene høres abstrakte ut, men de finnes for å beskytte deg. Denne guiden forklarer hva de betyr på klart språk.

Maksimumsbøtene under GDPR i Storbritannia og EU

De to regelverkene følger samme grunnleggende utforming. Hvert av dem fastsetter et fast tak i sin egen valuta og en prosentandel av organisasjonens verdensomspennende omsetning.

  • Storbritannia: opptil 17,5 millioner pund eller 4 % av verdensomspennende omsetning
  • EU: opptil 20 millioner euro eller 4 % av verdensomspennende omsetning

Prosentandelen er viktig fordi den skalerer med organisasjonens størrelse. Et fast beløp ville være trivielt for en svært stor virksomhet, så alternativet basert på omsetning lar tilsynsmyndighetene fastsette en sanksjon som faktisk svir. Ledende guider om emnet beskriver regelen som «det høyeste av» for det lavere nivået, og samme logikk er det som gjør maksimumstaket meningsfullt for store selskaper.

Dette er tak, ikke standardbøter. De fleste bøter ligger godt under maksimumet, og en tilsynsmyndighet må begrunne hvor en sak plasseres.

Hvilke brudd som faller i hvert nivå

GDPR bruker en to-nivåstruktur. Det høyere nivået, det som har taket på 17,5 millioner pund eller 20 millioner euro, er forbeholdt de mer alvorlige overtredelsene. Det lavere nivået dekker mindre alvorlige svikter og har et lavere tak. Offentlig tilgjengelige sammendrag angir EUs lavere nivå til 10 millioner euro eller 2 % av verdensomspennende årlig omsetning.

I grove trekk er det høyere nivået rettet mot brudd som rammer kjernen i rettighetene dine, for eksempel brudd på grunnleggende prinsipper for behandling av opplysninger eller nektelse av rettighetene loven gir folk. Det lavere nivået er vanligvis knyttet til mer prosedyrerelaterte eller organisatoriske plikter. For en grundigere gjennomgang av hvordan inndelingen fungerer, se vår forklaring på hvordan GDPR-systemet med to nivåer for sanksjoner fungerer.

Hvordan tilsynsmyndighetene fastsetter den faktiske bøten

Maksimumet er bare startrammen. Tilsynsmyndighetene veier forholdene i hver sak, og prosessen er ikke en enkel oppslagstabell.

Én regel det er verdt å kjenne: når flere brudd oppstår samtidig, bør den samlede bøten ikke overstige beløpet som er angitt for det alvorligste bruddet. I praksis betyr det at det gjeldende taket er knyttet til det mest alvorlige bruddet i saken, ikke summen av alle tak.

Alvorlighetsgrad, organisasjonens størrelse og arten av svikten spiller alle inn i det endelige beløpet. Det er derfor to selskaper med lignende brudd kan få svært forskjellige sanksjoner, og hvorfor maksimumstallene i overskriftene bør leses som en øvre grense snarere enn en prognose.

Hva dette betyr for deg

Bøter går til tilsynsmyndighetene, ikke til berørte personer, så selve sanksjonen vil ikke gi deg penger i lommen. Verdien for deg er indirekte, men reell.

  • De skaper avskrekking. Et tak knyttet til verdensomspennende omsetning gir selv store organisasjoner en grunn til å ta personvern på alvor.
  • De støtter opp under rettighetene dine. Sanksjonene på høyt nivå er knyttet til bruddene som betyr mest for deg, inkludert hvordan opplysningene dine brukes og hvorvidt rettighetene dine respekteres.
  • De gir deg en vei til handling. Hvis du mener en organisasjon har misbrukt opplysningene dine, kan du først ta opp saken med organisasjonen, deretter bringe den til personverntilsynet i landet ditt. I Storbritannia er dette tilsynet ICO.

Det hjelper også å holde forventningene realistiske. Et svært høyt maksimum betyr ikke at hvert brudd gir en svært høy bøte. Vår dekning av GDPR-bøter og to-nivåsystemet utforsker hvorfor de iøynefallende tallene kan villede.

Praktiske hovedpunkter

Å forstå GDPR-bøter er mest nyttig fordi det viser deg hvor din innflytelse ligger. Noen få steg setter den kunnskapen i arbeid:

  1. Kjenn forskjellen mellom britiske og EU-regler. Det britiske taket er 17,5 millioner pund eller 4 %, og EUs tak er 20 millioner euro eller 4 %. Hvilket som gjelder avhenger av hvor organisasjonen opererer og hvor du befinner deg.
  2. Ta vare på dokumentasjon. Hvis du kontakter et selskap om opplysningene dine, lagre e-postene, datoene og svarene. De er viktige hvis du senere klager til en tilsynsmyndighet.
  3. Bruk rettighetene dine. Du kan spørre organisasjoner hvilke opplysninger de har om deg og ta opp bekymringer når noe virker galt.
  4. Eskaler når det er nødvendig. Hvis et selskap ikke løser bekymringen din, er det nasjonale personverntilsynet neste steg.
  5. Reduser din eksponering. Del bare opplysninger en tjeneste virkelig trenger, og bruk sterke, unike passord og tofaktorautentisering.

GDPR-bøter, enten 17,5 millioner pund i Storbritannia eller 20 millioner euro i EU, er den synlige kanten av et bredere system utformet for å holde personopplysningene dine under din kontroll. Å vite hvordan systemet fungerer gjør det lettere å bruke det.