Gdy firma niewłaściwie przetwarza dane osobowe, nagłówki zwykle podają maksymalną wysokość kary. Na mocy RODO kary mogą sięgać 17,5 mln funtów lub 4% światowego obrotu w Wielkiej Brytanii oraz 20 mln EUR lub 4% światowego obrotu w UE. Te liczby brzmią abstrakcyjnie, ale istnieją po to, by cię chronić. Ten przewodnik wyjaśnia, co oznaczają prostym językiem.

Maksymalne kary RODO w Wielkiej Brytanii i UE

Oba reżimy opierają się na tej samej podstawowej konstrukcji. Każdy ustala stały limit w swojej walucie oraz procent światowego obrotu organizacji.

  • Wielka Brytania: do 17,5 mln funtów lub 4% światowego obrotu
  • UE: do 20 mln EUR lub 4% światowego obrotu

Procent ma znaczenie, ponieważ skaluje się wraz z wielkością organizacji. Stała kwota byłaby nieistotna dla bardzo dużej firmy, więc opcja oparta na obrocie pozwala regulatorom ustalić karę, która naprawdę zaboli. Najpopularniejsze przewodniki na ten temat opisują zasadę jako „wyższa z dwóch wartości" dla niższego poziomu, i ta sama logika sprawia, że nagłówkowy limit ma znaczenie dla dużych firm.

To są pułapy, a nie standardowe kary. Większość kar jest znacznie poniżej maksimum, a regulator musi uzasadnić, gdzie plasuje się dana sprawa.

Które naruszenia mieszczą się w każdym poziomie

RODO stosuje strukturę dwupoziomową. Wyższy poziom, ten z limitem 17,5 mln funtów lub 20 mln EUR, jest zarezerwowany dla poważniejszych naruszeń. Niższy poziom obejmuje mniej poważne uchybienia i ma niższy limit. Publicznie dostępne podsumowania podają, że niższy poziom w UE wynosi 10 mln EUR lub 2% rocznego światowego obrotu.

Ogólnie rzecz biorąc, wyższy poziom jest skierowany przeciwko naruszeniom godzącym w rdzeń twoich praw, takim jak łamanie podstawowych zasad przetwarzania danych czy odmawianie ludziom praw przyznanych im przez prawo. Niższy poziom jest zazwyczaj związany z bardziej proceduralnymi lub organizacyjnymi obowiązkami. Aby uzyskać głębsze omówienie tego podziału, zobacz nasz artykuł o tym, jak działa dwupoziomowy system kar RODO.

Jak regulatorzy ustalają rzeczywistą karę

Maksimum to tylko rama wyjściowa. Regulatorzy ważą okoliczności każdej sprawy, a proces nie jest prostą tabelą wyszukiwania.

Warto znać jedną zasadę: gdy kilka naruszeń występuje łącznie, łączna kara nie powinna przekraczać kwoty określonej dla najpoważniejszego naruszenia. W praktyce oznacza to, że obowiązujący limit jest powiązany z najpoważniejszym naruszeniem w sprawie, a nie z sumą wszystkich limitów.

Waga naruszenia, wielkość organizacji i charakter uchybienia — wszystko to wpływa na ostateczną kwotę. Dlatego dwie firmy z podobnymi naruszeniami mogą otrzymać bardzo różne kary i dlatego nagłówkowe maksima należy czytać jako górną granicę, a nie prognozę.

Co to oznacza dla ciebie

Kary trafiają do regulatorów, a nie do poszkodowanych osób, więc sama kara nie zasili twojej kieszeni. Ich wartość dla ciebie jest pośrednia, ale realna.

  • Tworzą odstraszający efekt. Limit powiązany ze światowym obrotem daje nawet dużym organizacjom powód, by poważnie traktować ochronę danych.
  • Wspierają twoje prawa. Kary wyższego poziomu są powiązane z naruszeniami, które mają dla ciebie największe znaczenie, w tym ze sposobem wykorzystania twoich danych i tym, czy twoje prawa są respektowane.
  • Dają ci drogę do działania. Jeśli uważasz, że organizacja niewłaściwie wykorzystała twoje dane, możesz najpierw zgłosić sprawę organizacji, a następnie zwrócić się do organu ochrony danych w swoim kraju. W Wielkiej Brytanii tym organem jest ICO.

Pomaga też zachowanie realistycznych oczekiwań. Bardzo wysokie maksimum nie oznacza, że każde naruszenie skutkuje bardzo wysoką karą. Nasze omówienie kar RODO i systemu dwupoziomowego bada, dlaczego przyciągające uwagę liczby mogą wprowadzać w błąd.

Praktyczne wnioski

Zrozumienie kar RODO jest przydatne głównie dlatego, że pokazuje, gdzie leży twoja dźwignia. Kilka kroków pozwala wykorzystać tę wiedzę:

  1. Znaj różnicę między przepisami brytyjskimi a unijnymi. Limit w Wielkiej Brytanii to 17,5 mln funtów lub 4%, a limit w UE to 20 mln EUR lub 4%. Który ma zastosowanie, zależy od tego, gdzie działa organizacja i gdzie ty jesteś.
  2. Prowadź dokumentację. Jeśli kontaktujesz się z firmą w sprawie swoich danych, zachowaj e-maile, daty i odpowiedzi. Mają znaczenie, jeśli później złożysz skargę do regulatora.
  3. Korzystaj ze swoich praw. Możesz pytać organizacje, jakie dane o tobie przechowują, i zgłaszać zastrzeżenia, gdy coś wygląda nieprawidłowo.
  4. Eskaluj, gdy to konieczne. Jeśli firma nie rozwiąże twojego problemu, kolejnym krokiem jest krajowy organ ochrony danych.
  5. Ograniczaj swoją ekspozycję. Udostępniaj tylko te dane, których usługa naprawdę potrzebuje, i używaj silnych, unikalnych haseł oraz uwierzytelniania dwuskładnikowego.

Kary RODO, czy to 17,5 mln funtów w Wielkiej Brytanii, czy 20 mln EUR w UE, to widoczna krawędź szerszego systemu zaprojektowanego tak, by twoje dane osobowe pozostawały pod twoją kontrolą. Znajomość działania tego systemu ułatwia korzystanie z niego.