Grzywny GDPR pozostają jedną z najbardziej niezrozumianych części europejskiego prawa ochrony danych, nawet kilka lat po wejściu rozporządzenia w życie. Nagłówki zwykle skupiają się na efektownych maksymalnych kwotach, ale rzeczywista struktura kar stosowana przez organy nadzorcze jest bardziej zniuansowana, a jej zrozumienie ma znaczenie, niezależnie od tego, czy prowadzisz małą firmę, czy po prostu chcesz wiedzieć, jak poważnie traktowana jest ochrona Twoich danych.

Dwupoziomowa struktura grzywien GDPR

Kary GDPR opierają się na dwóch odrębnych poziomach, a to, który z nich ma zastosowanie, zależy od charakteru naruszenia, a nie tylko od jego skali. Niższy poziom obejmuje uchybienia proceduralne, takie jak niewłaściwe prowadzenie rejestrów, niepowołanie inspektora ochrony danych, gdy jest to wymagane, lub nieprawidłowe zgłoszenie naruszenia. Wyższy poziom jest zarezerwowany dla poważniejszych naruszeń merytorycznych, w tym naruszeń podstawowych zasad przetwarzania danych, niezgodnego z prawem przekazywania danych osobowych lub ignorowania praw osób do dostępu do ich informacji lub ich usunięcia.

Organy nadzorcze nie są zobowiązane do nakładania maksymalnej kary od razu w żadnym z poziomów. Zamiast tego Europejska Rada Ochrony Danych ustanowiła wytyczne dotyczące obliczania kar, które organy nadzorcze wykorzystują do dostosowania wysokości grzywny do rzeczywistych okoliczności sprawy. Czynniki takie jak czas trwania naruszenia, to, czy było ono celowe czy wynikające z zaniedbania, liczba osób dotkniętych naruszeniem oraz to, czy organizacja współpracowała z organami śledczymi, wpływają na ostateczną kwotę. Dlatego dwie firmy popełniające podobne naruszenia mogą otrzymać zupełnie różne grzywny: matematyka nie polega na automatycznym zastosowaniu stałego procentu, ale na kalkulacji opartej na szczegółach konkretnej sprawy.

Dlaczego maksymalna grzywna rzadko opowiada całą historię

Jednym z najbardziej trwałych mitów na temat GDPR jest przekonanie, że każde naruszenie grozi karą w wysokości 20 milionów euro. W praktyce górne limity stanowią scenariusz najgorszego przypadku dla najpoważniejszych i celowych naruszeń, a nie typowy wynik. Jak omówiono w powiązanym artykule na temat dlaczego górny limit 20 mln euro rzadko ma zastosowanie, większość działań egzekucyjnych kończy się karami znacznie poniżej maksimum, a organy nadzorcze zwykle rezerwują najwyższe grzywny dla recydywistów, naruszeń na dużą skalę lub firm, które zignorowały wcześniejsze ostrzeżenia.

To powiedziawszy, niektóre grzywny, które trafiły na nagłówki gazet, pokazują, jak wysokie mogą być te kary, gdy organy nadzorcze uznają, że naruszenie tego wymaga. Niedawnym przykładem jest sprawa grzywny GDPR w wysokości 825 milionów euro nałożonej na Ubera za dane kierowców, która pozostaje jedną z najwyższych kar nałożonych na mocy tego rozporządzenia do tej pory. Przypadki takie jak ten pokazują, jak organy egzekucyjne obliczają grzywny nie tylko na podstawie procentu obrotu, ale także skali i wrażliwości danych oraz tego, jak długo nieprawidłowa praktyka była stosowana, zanim została rozwiązana.

Grzywny GDPR są częścią szerszego europejskiego trendu egzekwowania przepisów

GDPR nie funkcjonuje w izolacji. Inne jurysdykcje w Europie zbudowały własne ramy prawne, które je odzwierciedlają lub z nim współdziałają. W Wielkiej Brytanii na przykład ustawa o ochronie danych z 2018 r. określa siedem podstawowych zasad i własną strukturę kar, która ściśle odwzorowuje model UE nawet po Brexicie. Szwajcaria przyjęła podobne podejście w swojej zaktualizowanej ustawie o prywatności, a organizacje działające transgranicznie muszą obecnie śledzić obowiązki zgodności wynikające ze szwajcarskiej ustawy o ochronie danych oddzielnie od ich obowiązków wynikających z GDPR w UE. Dla każdej firmy przetwarzającej dane w wielu krajach ta mozaika nakładających się, ale odrębnych przepisów jest często większym problemem dla zgodności niż same grzywny.

Co to oznacza dla Ciebie

Jeśli prowadzisz firmę, która gromadzi lub przetwarza dane osobowe, grzywny GDPR powinny kształtować Twoje podejście do zgodności na długo przed tym, zanim jakikolwiek organ nadzorczy się zaangażuje. Struktura poziomów nagradza organizacje, które mogą wykazać się rozsądnymi zabezpieczeniami, szybkim zgłaszaniem naruszeń i współpracą z organami ochrony danych. Czekanie z usunięciem luk w praktykach przetwarzania danych do czasu rozpoczęcia postępowania jest znacznie bardziej ryzykowne niż proaktywne ich rozwiązywanie.

Dla zwykłych konsumentów grzywny te stanowią sygnał, jak poważnie (lub nie) firma traktuje Twoje dane osobowe. Wzór kar, zwłaszcza wysokich, związanych z podstawowymi zasadami ochrony danych, a nie błędami papierkowymi, jest użytecznym wskaźnikiem tego, jak firma traktuje Twoje dane na co dzień.

Kluczowe wnioski

Grzywny GDPR opierają się na systemie dwupoziomowym, w którym to dotkliwość naruszenia, a nie tylko wielkość firmy, decyduje o tym, który limit ma zastosowanie. Organy nadzorcze obliczają kary przy użyciu wytycznych, które uwzględniają zaniedbanie, czas trwania i współpracę, zamiast domyślnie nakładać płaskie maksymalne grzywny. Firmy powinny traktować zgodność jako ciągłą praktykę, a nie reakcję na działania egzekucyjne, ponieważ udokumentowane zabezpieczenia i szybkie zgłaszanie naruszeń w znaczący sposób zmniejszają ekspozycję. A dla konsumentów śledzenie reakcji firm na egzekwowanie GDPR oferuje praktyczny sposób oceny, które organizacje faktycznie priorytetowo traktują ochronę danych osobowych.