Når et selskap håndterer personopplysninger feil i Europa, fastsettes konsekvensene av et ganske enkelt rammeverk. Å forstå GDPR-bøter og botnivåer hjelper med å forklare hvorfor tilsynsmyndighetene handler som de gjør, og det viser også vanlige folk hvilke verktøy de har når et selskap gjør feil. Denne veiledningen, basert på en nylig oversikt fra LegalHelp, går gjennom hvordan bøtene er strukturert, hvordan håndhevelsen fungerer, og hvilke alternativer som finnes utover tilsynsmyndighetens egne sanksjoner.

Hvordan GDPR-bøter og botnivåer fungerer

Personvernforordningen deler sine maksimale administrative bøter inn i to nivåer, fastsatt i artikkel 83.

  • Lavere nivå: opptil €10 millioner eller 2 % av et selskaps totale globale årlige omsetning, avhengig av hva som er høyest.
  • Høyere nivå: opptil €20 millioner eller 4 % av global årlig omsetning, avhengig av hva som er høyest.

To detaljer er viktige her. For det første er dette tak, ikke faste priser. Tilsynsmyndighetene beregner det faktiske beløpet fra sak til sak, så en bot kan ende godt under maksimumet. For det andre betyr formuleringen «avhengig av hva som er høyest» at prosentandelen kan overstige det faste eurobeløpet for store multinasjonale selskaper. Et fast tak alene ville være en avrundingsfeil for et selskap med enorme inntekter, og alternativet basert på omsetning er det som gir reglene reell tyngde i den skalaen.

Det høyere nivået er generelt forbeholdt de mer alvorlige overtredelsene. Det lavere nivået dekker mindre alvorlige svikt. I praksis signaliserer nivået en sak faller inn under hvor alvorlig tilsynsmyndigheten ser på atferden.

Hva store håndhevelsessaker avslører om feilhåndtering av data

Botnivåer virker abstrakte til man ser dem anvendt. Håndhevelsessaker viser hvilke typer svikt som trekker mest oppmerksomhet, og hvordan tilsynsmyndighetene veier omstendighetene når de fastsetter et beløp.

Vår dekning av Ubers GDPR-bot på €825M er et nyttig eksempel på hvordan en sanksjon i toppen av skalaen settes sammen, og hva den signaliserer til andre selskaper som håndterer data på tvers av landegrenser. Barns data er et annet område under streng gransking. Vår artikkel om hvorfor avkryssingsbasert etterlevelse feiler under GDPRs regler for barns data viser at tilsynsmyndighetene i økende grad ser forbi papirarbeid og til hva organisasjoner faktisk gjør med personopplysninger.

Den røde tråden er at tilsynsmyndighetene fokuserer på praksis i den virkelige verden. En personvernerklæring som eksisterer på papiret, beskytter ikke et selskap hvis den faktiske datahåndteringen kommer til kort.

Hvordan klage til din datatilsynsmyndighet

Bøter ilegges av tilsynsmyndigheter, men tilsynsmyndigheter får ofte kjennskap til problemer fordi enkeltpersoner rapporterer dem. Hvis du mener at en organisasjon har misbrukt dataene dine, har du generelt rett til å klage til en datatilsynsmyndighet (DPA). Den nøyaktige prosessen varierer fra land til land, så det beste utgangspunktet er nettstedet til DPA-en i din egen EU-medlemsstat.

Noen praktiske trinn gjør vanligvis en klage sterkere:

  1. Start med selskapet. Send en skriftlig forespørsel der du spør hvilke data det har om deg, hvordan de brukes, og hvem de deles med. Ta vare på en kopi og datoen du sendte den.
  2. Samle bevis. Lagre e-poster, skjermbilder, kontosider og eventuelle svar du mottar, inkludert manglende svar.
  3. Vær spesifikk. Beskriv hva som skjedde, når det skjedde, og hvilke av dine data som var involvert.
  4. Send til riktig myndighet. Bruk din nasjonale DPAs klageskjema eller kontaktkanal, og legg ved dokumentasjonen din.

En klage garanterer ikke en bot. Tilsynsmyndigheten avgjør om den skal etterforske og hvilke tiltak som eventuelt skal iverksettes. Men klager er en del av hvordan mønstre av misligheter kommer for dagen.

Utover bøter: Private søksmål og selskapers klager

Administrative bøter er bare en del av bildet. LegalHelps oversikt dekker også håndhevelsesfullmakter utover bøter, private søksmål og klagealternativer.

På individualsiden kan personer som er blitt skadet av en overtredelse, kunne fremme krav om erstatning gjennom domstolene. Denne veien er separat fra en tilsynsmyndighets bot: pengene fra en administrativ sanksjon går ikke til den berørte personen. Hvis du vurderer rettslige skritt, er det klokt å snakke med en kvalifisert advokat i din jurisdiksjon, siden regler og prosedyrer varierer.

På selskapssiden kan organisasjoner som mottar en sanksjon, vanligvis utfordre den. Det betyr at en bot i overskriftene ikke alltid er det endelige ordet, og beløp eller funn kan bestrides. Lesere som følger en stor sak, bør behandle den første kunngjøringen som en fase i en lengre prosess.

Hva dette betyr for deg

Tostrukturen kan virke som en sak for bedriftens compliance-team, men den former din innflytelse som individ. Fordi sanksjoner kan nå 2 % eller 4 % av global omsetning, har selskaper en sterk økonomisk grunn til å respondere når datatilsynsmyndigheter blir involvert. Din klage eller tilgangsforespørsel mater inn i dette systemet.

Dette gjelder selv om du ikke er i EU i dagliglivet. Mange globale tjenester håndterer dataene til europeiske innbyggere, og reglene er utformet for å følge dataene. En VPN eller andre personvernverktøy kan redusere hvor mye informasjon du eksponerer, men juridiske rettigheter dekker hva som skjer med data når et selskap allerede har dem. De to tilnærmingene fungerer best sammen.

Viktige punkter

  • GDPR-bøter og botnivåer er begrenset til €10 millioner eller 2 % av global omsetning (lavere nivå) og €20 millioner eller 4 % (høyere nivå), avhengig av hva som er høyest.
  • Disse tallene er maksimumer. Tilsynsmyndighetene fastsetter faktiske bøter basert på detaljene i hver sak.
  • Du kan sende en tilgangsforespørsel til et selskap og, om nødvendig, klage til din nasjonale datatilsynsmyndighet.
  • Erstatningskrav gjennom domstolene er separate fra regulatoriske bøter, og selskaper kan anke sanksjoner.

Hvis en organisasjon har håndtert dataene dine dårlig, bruk disse rettighetene. Send tilgangsforespørselen, dokumenter svaret, og klag hvis det kommer til kort. For å se hvordan håndhevelse utspiller seg i praksis, les vår analyse av Uber-boten og vår rapport om regler for barns data.