Gdy firma niewłaściwie obchodzi się z danymi osobowymi w Europie, konsekwencje określa dość prosty system ramowy. Zrozumienie kar RODO i progów grzywien pomaga wyjaśnić, dlaczego organy regulacyjne działają w taki, a nie inny sposób, a także pokazuje zwykłym ludziom, jakie mają narzędzia, gdy firma postąpi niewłaściwie. Ten przewodnik, oparty na niedawnym przeglądzie od LegalHelp, omawia, jak zbudowane są grzywny, jak działa egzekwowanie przepisów i jakie opcje istnieją poza samymi karami nakładanymi przez organ regulacyjny.

Jak działają kary RODO i progi grzywien

Ogólne rozporządzenie o ochronie danych dzieli swoje maksymalne administracyjne kary pieniężne na dwa progi, określone w artykule 83.

  • Niższy próg: do 10 mln euro lub 2% całkowitego rocznego obrotu firmy na całym świecie, w zależności od tego, która kwota jest wyższa.
  • Wyższy próg: do 20 mln euro lub 4% rocznego obrotu na całym świecie, w zależności od tego, która kwota jest wyższa.

Dwa szczegóły mają tu znaczenie. Po pierwsze, są to pułapy, a nie stałe kwoty. Organy regulacyjne obliczają rzeczywistą kwotę indywidualnie dla każdej sprawy, więc grzywna może wynieść znacznie mniej niż maksimum. Po drugie, sformułowanie „w zależności od tego, która kwota jest wyższa" oznacza, że wartość procentowa może przekroczyć stałą kwotę w euro w przypadku dużych firm międzynarodowych. Sam stały limit byłby błędem zaokrąglenia dla firmy o ogromnych przychodach, a opcja oparta na obrocie nadaje przepisom realne znaczenie w tej skali.

Wyższy próg jest zazwyczaj zarezerwowany dla poważniejszych naruszeń. Niższy próg obejmuje mniej poważne uchybienia. W praktyce próg, do którego trafia sprawa, sygnalizuje, jak poważnie organ regulacyjny ocenia dane postępowanie.

Co ujawniają duże sprawy egzekucyjne dotyczące niewłaściwego obchodzenia się z danymi

Progi grzywien wyglądają abstrakcyjnie, dopóki nie zobaczysz ich w zastosowaniu. Sprawy egzekucyjne pokazują, jakie rodzaje uchybień przyciągają największą uwagę i jak organy regulacyjne ważą okoliczności przy ustalaniu kwoty.

Nasze omówienie kary RODO dla Ubera w wysokości 825 mln euro jest użytecznym przykładem tego, jak składa się kara na najwyższym końcu skali i co sygnalizuje innym firmom przetwarzającym dane transgranicznie. Dane dzieci to kolejny obszar poddawany szczególnej kontroli. Nasz artykuł o tym, dlaczego zgodność oparta na zaznaczaniu pól zawodzi w ramach przepisów RODO dotyczących danych dzieci, pokazuje, że organy regulacyjne coraz częściej patrzą poza dokumentację na to, co organizacje faktycznie robią z danymi osobowymi.

Wspólnym wątkiem jest to, że organy regulacyjne koncentrują się na rzeczywistej praktyce. Polityka prywatności istniejąca na papierze nie chroni firmy, jeśli jej faktyczne przetwarzanie danych nie spełnia wymogów.

Jak złożyć skargę do swojego organu ochrony danych

Grzywny nakładają organy regulacyjne, ale często dowiadują się o problemach, ponieważ zgłaszają je osoby fizyczne. Jeśli uważasz, że organizacja niewłaściwie wykorzystała Twoje dane, zasadniczo masz prawo złożyć skargę do organu ochrony danych (DPA). Dokładny proces różni się w zależności od kraju, więc najlepszym punktem wyjścia jest strona internetowa DPA w Twoim państwie członkowskim UE.

Kilka praktycznych kroków zwykle wzmacnia skargę:

  1. Zacznij od firmy. Wyślij pisemne żądanie, pytając, jakie dane o Tobie posiada, jak są wykorzystywane i z kim są udostępniane. Zachowaj kopię i datę wysłania.
  2. Zbierz dowody. Zachowaj e-maile, zrzuty ekranu, strony konta i wszelkie otrzymane odpowiedzi, w tym brak odpowiedzi.
  3. Bądź konkretny. Opisz, co się stało, kiedy się to stało i które z Twoich danych było zaangażowane.
  4. Złóż skargę do właściwego organu. Skorzystaj z formularza skargi lub kanału kontaktowego swojego krajowego DPA i załącz swoją dokumentację.

Skarga nie gwarantuje grzywny. Organ regulacyjny decyduje, czy wszcząć dochodzenie i jakie działania, jeśli w ogóle, podjąć. Ale skargi są częścią tego, jak wzorce niewłaściwego postępowania wychodzą na jaw.

Poza grzywnami: pozwy prywatne i odwołania firm

Administracyjne kary pieniężne to tylko część obrazu. Przegląd LegalHelp obejmuje również uprawnienia egzekucyjne poza grzywnami, pozwy prywatne i opcje odwoławcze.

Po stronie indywidualnej osoby, które zostały poszkodowane w wyniku naruszenia, mogą być w stanie dochodzić roszczeń o odszkodowanie na drodze sądowej. Ta droga jest oddzielna od grzywny organu regulacyjnego: pieniądze z kary administracyjnej nie trafiają do poszkodowanej osoby. Jeśli rozważasz działania prawne, mądrze jest porozmawiać z wykwalifikowanym prawnikiem w swojej jurysdykcji, ponieważ przepisy i procedury się różnią.

Po stronie firm organizacje, które otrzymają karę, mogą zazwyczaj ją zakwestionować. Oznacza to, że głośna grzywna nie zawsze jest ostatnim słowem, a kwoty lub ustalenia mogą być kwestionowane. Czytelnicy śledzący dużą sprawę powinni traktować pierwsze ogłoszenie jako etap dłuższego procesu.

Co to oznacza dla Ciebie

Dwupoziomowa struktura może wydawać się sprawą dla zespołów ds. zgodności korporacyjnej, ale kształtuje Twoją pozycję jako jednostki. Ponieważ kary mogą sięgać 2% lub 4% globalnego obrotu, firmy mają silny finansowy powód, by zareagować, gdy zaangażują się organy ochrony danych. Twoja skarga lub żądanie dostępu zasilają ten system.

Dotyczy to nawet wtedy, gdy na co dzień nie przebywasz w UE. Wiele globalnych usług przetwarza dane mieszkańców Europy, a przepisy są zaprojektowane tak, by podążać za danymi. VPN lub inne narzędzia prywatności mogą ograniczyć ilość informacji, które ujawniasz, ale prawa wynikające z przepisów obejmują to, co dzieje się z danymi, gdy firma już je posiada. Oba podejścia działają najlepiej razem.

Kluczowe wnioski

  • Kary RODO i progi grzywien są ograniczone do 10 mln euro lub 2% obrotu światowego (niższy próg) oraz 20 mln euro lub 4% (wyższy próg), w zależności od tego, która kwota jest wyższa.
  • Te kwoty to maksima. Organy regulacyjne ustalają rzeczywiste grzywny na podstawie szczegółów każdej sprawy.
  • Możesz wysłać żądanie dostępu do firmy, a w razie potrzeby złożyć skargę do krajowego organu ochrony danych.
  • Roszczenia o odszkodowanie na drodze sądowej są oddzielne od kar regulacyjnych, a firmy mogą odwołać się od kar.

Jeśli organizacja niewłaściwie obchodziła się z Twoimi danymi, skorzystaj z tych praw. Wyślij żądanie dostępu, udokumentuj odpowiedź i złóż skargę, jeśli jest niewystarczająca. Aby zobaczyć, jak egzekwowanie przepisów wygląda w praktyce, przeczytaj naszą analizę kary dla Ubera i nasz raport o przepisach dotyczących danych dzieci.