Când o companie gestionează greșit datele personale în Europa, consecințele sunt stabilite de un cadru destul de simplu. Înțelegerea penalităților GDPR și a nivelurilor de amenzi ajută la explicarea motivului pentru care autoritățile de reglementare acționează așa cum o fac și, de asemenea, arată oamenilor obișnuiți ce instrumente au atunci când o companie greșește. Acest ghid, bazat pe o prezentare recentă de la LegalHelp, parcurge modul în care sunt structurate amenzile, cum funcționează aplicarea și ce opțiuni există dincolo de penalitățile autorității de reglementare.

Cum funcționează penalitățile GDPR și nivelurile de amenzi

Regulamentul general privind protecția datelor împarte amenzile administrative maxime în două niveluri, stabilite în Articolul 83.

  • Nivelul inferior: până la 10 milioane € sau 2% din cifra de afaceri anuală totală mondială a unei companii, oricare este mai mare.
  • Nivelul superior: până la 20 de milioane € sau 4% din cifra de afaceri anuală mondială, oricare este mai mare.

Două detalii contează aici. În primul rând, acestea sunt plafoane, nu prețuri fixe. Autoritățile de reglementare calculează suma reală caz cu caz, astfel încât o amendă poate fi cu mult sub maxim. În al doilea rând, formularea „oricare este mai mare" înseamnă că procentul poate depăși suma fixă în euro pentru marile firme multinaționale. Un plafon fix singur ar fi o eroare de rotunjire pentru o companie cu venituri enorme, iar opțiunea bazată pe cifra de afaceri este cea care conferă regulilor o greutate reală la acea scară.

Nivelul superior este în general rezervat pentru încălcările mai grave. Nivelul inferior acoperă deficiențele mai puțin serioase. În practică, nivelul în care se încadrează un caz semnalează cât de grav percepe autoritatea de reglementare conduita.

Ce dezvăluie marile cazuri de aplicare despre gestionarea greșită a datelor

Nivelurile de amenzi par abstracte până când le vezi aplicate. Cazurile de aplicare arată ce tipuri de deficiențe atrag cea mai mare atenție și cum cântăresc autoritățile de reglementare circumstanțele atunci când stabilesc o sumă.

Articolul nostru despre amenda GDPR de 825 de milioane € a Uber este un exemplu util despre cum se conjugă o penalitate la capătul superior al scalei și ce semnalează altor companii care gestionează date transfrontaliere. Datele copiilor sunt o altă zonă supusă unei atenții intense. Articolul nostru despre de ce conformitatea de tip bifă eșuează în regulile GDPR privind datele copiilor arată că autoritățile de reglementare privesc din ce în ce mai mult dincolo de documente, la ceea ce organizațiile fac de fapt cu informațiile personale.

Firul comun este că autoritățile de reglementare se concentrează pe practica reală. O politică de confidențialitate care există pe hârtie nu protejează o companie dacă gestionarea efectivă a datelor este deficitară.

Cum să depui o plângere la autoritatea ta de protecție a datelor

Amenzile sunt impuse de autoritățile de reglementare, dar acestea află adesea despre probleme pentru că persoanele le raportează. Dacă crezi că o organizație ți-a utilizat abuziv datele, în general ai dreptul de a depune o plângere la o autoritate de protecție a datelor (APD). Procesul exact variază de la țară la țară, așa că cel mai bun punct de plecare este site-ul web al APD din statul tău membru UE.

Câțiva pași practici tind să facă o plângere mai solidă:

  1. Începe cu compania. Trimite o solicitare scrisă întrebând ce date deține despre tine, cum sunt utilizate și cu cine sunt partajate. Păstrează o copie și data la care ai trimis-o.
  2. Adună dovezi. Salvează e-mailurile, capturile de ecran, paginile contului și orice răspuns pe care îl primești, inclusiv lipsa unui răspuns.
  3. Fii specific. Descrie ce s-a întâmplat, când s-a întâmplat și care dintre datele tale au fost implicate.
  4. Trimite autorității potrivite. Folosește formularul de plângere sau canalul de contact al APD naționale și atașează documentația ta.

O plângere nu garantează o amendă. Autoritatea de reglementare decide dacă investighează și ce măsuri, dacă există, să ia. Dar plângerile fac parte din modul în care ies la iveală tiparele de conduită abuzivă.

Dincolo de amenzi: procese private și contestații ale companiilor

Amenzile administrative sunt doar o parte a tabloului. Prezentarea LegalHelp acoperă, de asemenea, puterile de aplicare dincolo de amenzi, procesele private și opțiunile de contestație.

Pe partea individuală, persoanele care au fost prejudiciate de o încălcare pot fi eligibile să urmărească despăgubiri prin instanțe. Această cale este separată de amenda unei autorități de reglementare: banii din sancțiunea administrativă nu ajung la persoana afectată. Dacă iei în considerare acțiunea legală, este înțelept să discuți cu un avocat calificat din jurisdicția ta, deoarece regulile și procedurile diferă.

Pe partea companiei, organizațiile care primesc o penalitate o pot contesta de obicei. Aceasta înseamnă că o amendă de senzație nu este întotdeauna cuvântul final, iar sumele sau constatările pot fi contestate. Cititorii care urmăresc un caz major ar trebui să trateze primul anunț ca pe o etapă într-un proces mai lung.

Ce înseamnă asta pentru tine

Structura cu două niveluri poate părea o chestiune pentru echipele de conformitate corporativă, dar ea modelează pârghia ta ca individ. Deoarece penalitățile pot ajunge la 2% sau 4% din cifra de afaceri globală, companiile au un motiv financiar puternic să reacționeze atunci când autoritățile de protecție a datelor se implică. Plângerea sau cererea ta de acces alimentează acest sistem.

Acest lucru se aplică chiar dacă nu te afli în UE în viața de zi cu zi. Multe servicii globale gestionează datele rezidenților europeni, iar regulile sunt concepute să urmărească datele. Un VPN sau alte instrumente de confidențialitate pot reduce cât de multe informații expui, dar drepturile legale acoperă ce se întâmplă cu datele odată ce o companie le deține deja. Cele două abordări funcționează cel mai bine împreună.

Principalele concluzii

  • Penalitățile GDPR și nivelurile de amenzi sunt plafonate la 10 milioane € sau 2% din cifra de afaceri mondială (nivelul inferior) și 20 de milioane € sau 4% (nivelul superior), oricare este mai mare.
  • Aceste cifre sunt maxime. Autoritățile de reglementare stabilesc amenzile reale pe baza specificului fiecărui caz.
  • Poți trimite o cerere de acces către o companie și, dacă este necesar, poți depune o plângere la autoritatea ta națională de protecție a datelor.
  • Cererile de despăgubire prin instanțe sunt separate de amenzile de reglementare, iar companiile pot contesta penalitățile.

Dacă o organizație ți-a gestionat prost datele, folosește aceste drepturi. Trimite cererea de acces, documentează răspunsul și depune o plângere dacă acesta este deficitar. Pentru a vedea cum se desfășoară aplicarea în practică, citește analiza noastră despre amenda Uber și raportul nostru despre regulile privind datele copiilor.