Amendamentele GDPR rămân una dintre cele mai prost înțelese părți ale legislației europene privind protecția datelor, chiar și la ani de la intrarea în vigoare a regulamentului. Titlurile din presă tind să se concentreze pe cifrele maxime spectaculoase, dar structura reală a sancțiunilor folosită de autoritățile de reglementare este mai nuanțată, iar înțelegerea ei contează fie că conduci o afacere mică, fie că vrei pur și simplu să știi cât de serios sunt protejate datele tale.

Structura pe două niveluri din spatele amenzilor GDPR

Sancțiunile GDPR sunt construite în jurul a două niveluri distincte, iar care dintre ele se aplică depinde de natura încălcării, nu doar de amploarea acesteia. Nivelul inferior acoperă eșecurile procedurale, cum ar fi evidențe inadecvate, numirea unui responsabil cu protecția datelor atunci când este necesar sau raportarea necorespunzătoare a unei breșe de securitate. Nivelul superior este rezervat încălcărilor substanțiale mai grave, inclusiv breșelor ale principiilor fundamentale ale prelucrării datelor, transferurilor ilegale de date personale sau ignorării drepturilor persoanelor de a accesa sau șterge informațiile lor.

Autoritățile de reglementare nu sunt obligate să aplice direct sancțiunea maximă în niciunul dintre cele două niveluri. În schimb, Comitetul European pentru Protecția Datelor a stabilit orientări de calcul pe care autoritățile de protecție a datelor le folosesc pentru a dimensiona amenda în funcție de circumstanțele reale ale cazului. Factori precum durata încălcării, dacă aceasta a fost intenționată sau din neglijență, câte persoane au fost afectate și dacă organizația a cooperat cu anchetatorii influențează toți cifra finală. De aceea, două companii care comit încălcări similare pot ajunge să primească amenzi extrem de diferite: calculul nu este un procent fix aplicat automat, ci o evaluare fundamentată pe specificul cazului.

De ce amenda maximă rareori spune întreaga poveste

Una dintre cele mai persistente concepții greșite despre GDPR este că fiecare încălcare riscă o amendă de 20 de milioane de euro. În practică, cifrele-plafon reprezintă un scenariu de cel mai rău caz pentru cele mai grave și intenționate încălcări, nu un rezultat tipic. După cum este explorat într-o analiză conexă despre de ce plafonul de 20 de milioane de euro rareori se aplică, majoritatea acțiunilor de aplicare a legii ajung cu mult sub maxim, iar autoritățile de reglementare tind să rezerve cele mai mari sancțiuni pentru infractorii recidiviști, utilizarea pe scară largă a datelor în mod abuziv sau companiile care au ignorat avertismentele anterioare.

Totuși, unele dintre amenzile care au făcut titluri demonstrează cât de mari pot ajunge aceste sancțiuni atunci când autoritățile de reglementare decid că încălcarea o justifică. Un exemplu recent este cazul privind amenda GDPR de 825 de milioane de euro dată Uber pentru datele șoferilor, care rămâne una dintre cele mai mari sancțiuni emise sub acest regulament până în prezent. Cazuri ca acesta ilustrează modul în care organismele de aplicare a legii calculează amenzile nu doar pe baza unui procent din cifra de afaceri, ci și pe baza amplorii și sensibilității datelor implicate și a duratei practicii necorespunzătoare înainte de a fi soluționată.

Amenzile GDPR fac parte dintr-o tendință europeană mai largă de aplicare a legii

GDPR nu există în mod izolat. Alte jurisdicții din Europa și-au construit propriile cadre care îl oglindesc sau interacționează cu el. În Regatul Unit, de exemplu, Legea privind protecția datelor din 2018 stabilește șapte principii fundamentale și propria structură de sancțiuni care urmărește îndeaproape modelul UE chiar și după Brexit. Elveția a adoptat o abordare similară cu legea sa actualizată privind confidențialitatea, iar organizațiile care operează transfrontalier trebuie acum să urmărească obligațiile de conformitate în temeiul Legii elvețiene privind protecția datelor separat de obligațiile lor GDPR din UE. Pentru orice afacere care gestionează date în mai multe țări, acest mozaic de reguli suprapuse, dar distincte, este adesea o durere de cap mai mare pentru conformitate decât amenzile în sine.

Ce înseamnă acest lucru pentru tine

Dacă conduci o afacere care colectează sau prelucrează date personale, amenzile GDPR ar trebui să modeleze modul în care gândești conformitatea cu mult înainte ca o autoritate de reglementare să se implice. Structura pe niveluri recompensează organizațiile care pot demonstra garanții rezonabile, raportarea promptă a breșelor și cooperarea cu autoritățile de protecție a datelor. Așteptarea până când începe o investigație pentru a remedia lacunele din practicile tale de gestionare a datelor este mult mai riscantă decât abordarea lor proactivă.

Pentru consumatorii de zi cu zi, aceste amenzi servesc ca un semnal al cât de serios (sau nu) tratează o companie informațiile tale personale. Un tipar de sancțiuni, în special cele mari legate de principiile fundamentale ale datelor, nu de erorile birocratice, este un indicator util al modului în care o companie îți gestionează datele zi de zi.

Concluzii cheie

Amendamentele GDPR urmează un sistem pe două niveluri în care gravitatea încălcării, nu doar dimensiunea companiei, determină care plafon se aplică. Autoritățile de reglementare calculează sancțiunile folosind orientări care ponderează neglijența, durata și cooperarea, mai degrabă decât să emită amenzi maxime fixe în mod implicit. Companiile ar trebui să trateze conformitatea ca pe o practică continuă, nu ca pe o reacție la aplicarea legii, deoarece garanțiile documentate și raportarea promptă a breșelor reduc semnificativ expunerea. Iar pentru consumatori, urmărirea modului în care companiile răspund la aplicarea GDPR oferă o modalitate practică de a judeca care organizații prioritizează cu adevărat protejarea datelor personale.