Quando uma empresa trata mal os dados pessoais, o número de manchete é geralmente a multa máxima. Ao abrigo do GDPR, as multas podem atingir £17,5 milhões ou 4% do volume de negócios mundial no Reino Unido, e 20 milhões EUR ou 4% do volume de negócios mundial na UE. Esses valores parecem abstratos, mas existem para o proteger. Este guia explica o que significam em linguagem simples.

As multas máximas do GDPR no Reino Unido e na UE

Os dois regimes seguem o mesmo desenho básico. Cada um estabelece um limite fixo na sua própria moeda e uma percentagem do volume de negócios mundial da organização.

  • Reino Unido: até £17,5 milhões ou 4% do volume de negócios mundial
  • UE: até 20 milhões EUR ou 4% do volume de negócios mundial

A percentagem é importante porque escala com a dimensão da organização. Uma soma fixa seria trivial para uma empresa muito grande, pelo que a opção baseada no volume de negócios permite aos reguladores definir uma penalização que realmente tenha impacto. Os principais guias sobre o tema descrevem a regra como "o que for mais elevado" para o nível inferior, e a mesma lógica é o que torna o limite de manchete significativo para as grandes empresas.

Estes são tetos, não penalizações padrão. A maioria das multas fica bem abaixo do máximo, e um regulador tem de justificar onde um caso se enquadra.

Que violações se enquadram em cada nível

O GDPR utiliza uma estrutura de dois níveis. O nível superior, aquele que comporta o limite de £17,5 milhões ou 20 milhões EUR, está reservado para as infrações mais graves. O nível inferior abrange falhas menos graves e comporta um limite menor. Resumos disponíveis publicamente indicam que o nível inferior da UE é de 10 milhões EUR ou 2% do volume de negócios anual mundial.

Em termos gerais, o nível superior visa violações que atingem o cerne dos seus direitos, como quebrar os princípios básicos para o tratamento de dados ou negar às pessoas os direitos que a lei lhes confere. O nível inferior está geralmente associado a deveres mais procedimentais ou organizacionais. Para uma análise mais aprofundada de como funciona esta divisão, consulte a nossa explicação sobre como funciona o sistema de penalizações de dois níveis do GDPR.

Como os reguladores definem a multa efetiva

O máximo é apenas o enquadramento inicial. Os reguladores ponderam as circunstâncias de cada caso, e o processo não é uma simples tabela de consulta.

Uma regra que vale a pena conhecer: quando várias violações ocorrem em conjunto, a multa total não deve exceder o montante especificado para a infração mais grave. Na prática, isso significa que o limite aplicável está ligado à violação mais grave do caso, e não à soma de todos os limites.

A gravidade, a dimensão da organização e a natureza da falha contribuem para o valor final. É por isso que duas empresas com violações semelhantes podem receber penalizações muito diferentes, e por que os máximos de manchete devem ser lidos como um limite superior e não como uma previsão.

O que isto significa para si

As multas vão para os reguladores, não para os indivíduos afetados, pelo que a penalização em si não lhe colocará dinheiro no bolso. O seu valor para si é indireto, mas real.

  • Criam um efeito dissuasor. Um limite ligado ao volume de negócios mundial dá mesmo às grandes organizações uma razão para levar a proteção de dados a sério.
  • Reforçam os seus direitos. As penalizações de nível superior estão ligadas às violações que mais lhe importam, incluindo como os seus dados são utilizados e se os seus direitos são respeitados.
  • Dão-lhe uma via para agir. Se considera que uma organização utilizou indevidamente os seus dados, pode levantar a questão primeiro com a organização e depois recorrer à autoridade de proteção de dados do seu país. No Reino Unido, essa autoridade é a ICO.

Também ajuda manter expectativas realistas. Um máximo muito elevado não significa que cada violação produza uma multa muito elevada. A nossa cobertura sobre multas GDPR e o sistema de dois níveis explora por que os números chamativos podem induzir em erro.

Conclusões práticas

Compreender as multas do GDPR é útil sobretudo porque lhe mostra onde está a sua alavancagem. Alguns passos põem esse conhecimento a funcionar:

  1. Conheça a diferença entre as regras do Reino Unido e da UE. O limite do Reino Unido é £17,5 milhões ou 4%, e o limite da UE é 20 milhões EUR ou 4%. Qual se aplica depende de onde a organização opera e de onde você está.
  2. Mantenha registos. Se contactar uma empresa sobre os seus dados, guarde os e-mails, as datas e as respostas. São importantes se mais tarde apresentar queixa a um regulador.
  3. Use os seus direitos. Pode perguntar às organizações que dados têm sobre si e levantar preocupações quando algo parecer errado.
  4. Escale quando necessário. Se uma empresa não resolver a sua preocupação, a autoridade nacional de proteção de dados é o passo seguinte.
  5. Reduza a sua exposição. Partilhe apenas os dados de que um serviço realmente necessita e use palavras-passe fortes e únicas e autenticação de dois fatores.

As multas do GDPR, quer sejam £17,5 milhões no Reino Unido ou 20 milhões EUR na UE, são a borda visível de um sistema mais amplo concebido para manter os seus dados pessoais sob o seu controlo. Saber como esse sistema funciona torna mais fácil utilizá-lo.