Quando uma empresa trata mal os dados pessoais na Europa, as consequências são definidas por um quadro bastante simples. Compreender as sanções e os níveis de coimas do RGPD ajuda a explicar por que razão os reguladores agem como agem, e também mostra às pessoas comuns que ferramentas têm quando uma empresa falha. Este guia, baseado numa visão geral recente da LegalHelp, percorre a forma como as coimas estão estruturadas, como funciona a aplicação da lei e que opções existem para além das próprias sanções do regulador.

Como Funcionam as Sanções e os Níveis de Coimas do RGPD

O Regulamento Geral sobre a Proteção de Dados divide as suas coimas administrativas máximas em dois níveis, estabelecidos no Artigo 83.º.

  • Nível inferior: até 10 milhões de euros ou 2% do volume de negócios anual total mundial de uma empresa, consoante o que for mais elevado.
  • Nível superior: até 20 milhões de euros ou 4% do volume de negócios anual mundial, consoante o que for mais elevado.

Dois detalhes importam aqui. Primeiro, estes são limites máximos, não preços fixos. Os reguladores calculam o montante real caso a caso, pelo que uma coima pode ficar bem abaixo do máximo. Segundo, a expressão "consoante o que for mais elevado" significa que a percentagem pode exceder o valor fixo em euros para grandes empresas multinacionais. Um limite fixo por si só seria um erro de arredondamento para uma empresa com receitas enormes, e a opção baseada no volume de negócios é o que dá verdadeiro peso às regras a essa escala.

O nível superior é geralmente reservado para as infrações mais graves. O nível inferior abrange falhas menos graves. Na prática, o nível em que um caso se enquadra sinaliza quão seriamente o regulador encara a conduta.

O Que os Grandes Casos de Aplicação da Lei Revelam Sobre o Mau Tratamento de Dados

Os níveis de coimas parecem abstratos até os vermos aplicados. Os casos de aplicação da lei mostram que tipos de falhas atraem a atenção mais pesada e como os reguladores ponderam as circunstâncias ao fixar um montante.

A nossa cobertura da coima de 825 M€ do RGPD ao Uber é um exemplo útil de como uma sanção no topo da escala se conjuga e o que sinaliza a outras empresas que tratam dados além-fronteiras. Os dados de crianças são outra área sob forte escrutínio. O nosso artigo sobre por que a conformidade de caixa de seleção falha nas regras do RGPD sobre dados de crianças mostra que os reguladores olham cada vez mais para além da papelada e para o que as organizações realmente fazem com as informações pessoais.

O fio condutor comum é que os reguladores se focam na prática do mundo real. Uma política de privacidade que existe no papel não protege uma empresa se o seu tratamento efetivo de dados ficar aquém.

Como Apresentar uma Reclamação à Sua Autoridade de Proteção de Dados

As coimas são impostas pelos reguladores, mas os reguladores frequentemente ficam a saber dos problemas porque os indivíduos os reportam. Se acredita que uma organização fez mau uso dos seus dados, geralmente tem o direito de apresentar uma reclamação a uma autoridade de proteção de dados (APD). O processo exato varia consoante o país, pelo que o melhor ponto de partida é o site da APD do seu próprio Estado-Membro da UE.

Alguns passos práticos tendem a tornar uma reclamação mais forte:

  1. Comece pela empresa. Envie um pedido por escrito a perguntar que dados detém sobre si, como são utilizados e com quem são partilhados. Guarde uma cópia e a data em que o enviou.
  2. Reúna provas. Guarde e-mails, capturas de ecrã, páginas de conta e quaisquer respostas que receba, incluindo a ausência de resposta.
  3. Seja específico. Descreva o que aconteceu, quando aconteceu e quais dos seus dados estiveram envolvidos.
  4. Submeta à autoridade certa. Utilize o formulário de reclamação ou o canal de contacto da sua APD nacional e anexe a sua documentação.

Uma reclamação não garante uma coima. O regulador decide se investiga e que medidas, se algumas, tomar. Mas as reclamações fazem parte da forma como os padrões de má conduta vêm à luz.

Para Além das Coimas: Ações Judiciais Privadas e Recursos das Empresas

As coimas administrativas são apenas uma parte do quadro. A visão geral da LegalHelp também abrange poderes de execução para além das coimas, ações judiciais privadas e opções de recurso.

Do lado individual, as pessoas que foram prejudicadas por uma violação podem conseguir prosseguir pedidos de indemnização através dos tribunais. Esta via é separada da coima de um regulador: o dinheiro de uma sanção administrativa não vai para o indivíduo afetado. Se está a considerar ação judicial, é sensato falar com um advogado qualificado na sua jurisdição, uma vez que as regras e os procedimentos diferem.

Do lado das empresas, as organizações que recebem uma sanção podem geralmente contestá-la. Isto significa que uma coima manchete nem sempre é a palavra final, e os montantes ou as conclusões podem ser contestados. Os leitores que acompanham um caso importante devem tratar o primeiro anúncio como uma etapa de um processo mais longo.

O Que Isto Significa Para Si

A estrutura de dois níveis pode parecer uma questão para as equipas de conformidade corporativa, mas molda a sua alavancagem enquanto indivíduo. Como as sanções podem atingir 2% ou 4% do volume de negócios global, as empresas têm uma forte razão financeira para responder quando as autoridades de proteção de dados se envolvem. A sua reclamação ou pedido de acesso alimenta esse sistema.

Isto aplica-se mesmo que não esteja na UE no dia a dia. Muitos serviços globais tratam dados de residentes europeus, e as regras foram concebidas para seguir os dados. Uma VPN ou outras ferramentas de privacidade podem reduzir quanta informação expõe, mas os direitos legais abrangem o que acontece aos dados depois de uma empresa já os ter. As duas abordagens funcionam melhor em conjunto.

Principais Conclusões

  • As sanções e os níveis de coimas do RGPD estão limitados a 10 milhões de euros ou 2% do volume de negócios mundial (nível inferior) e 20 milhões de euros ou 4% (nível superior), consoante o que for mais elevado.
  • Esses valores são máximos. Os reguladores fixam as coimas reais com base nas especificidades de cada caso.
  • Pode enviar um pedido de acesso a uma empresa e, se necessário, apresentar uma reclamação à sua autoridade nacional de proteção de dados.
  • Os pedidos de indemnização através dos tribunais são separados das coimas regulatórias, e as empresas podem recorrer das sanções.

Se uma organização tratou mal os seus dados, use estes direitos. Envie o pedido de acesso, documente a resposta e apresente uma reclamação se ficar aquém. Para ver como a aplicação da lei se desenrola na prática, leia a nossa análise da coima ao Uber e o nosso relatório sobre regras de dados de crianças.