Когда компания неправильно обращается с персональными данными, в заголовках обычно фигурирует максимальный размер штрафа. В соответствии с GDPR штрафы могут достигать 17,5 млн фунтов стерлингов или 4% мирового оборота в Великобритании и 20 млн евро или 4% мирового оборота в ЕС. Эти цифры звучат абстрактно, но они существуют для вашей защиты. В этом руководстве простым языком объясняется, что они означают.

Максимальные штрафы GDPR в Великобритании и ЕС

Оба режима следуют одной и той же базовой схеме. Каждый устанавливает фиксированный потолок в своей валюте и процент от мирового оборота организации.

  • Великобритания: до 17,5 млн фунтов стерлингов или 4% мирового оборота
  • ЕС: до 20 млн евро или 4% мирового оборота

Процент имеет значение, потому что он масштабируется в зависимости от размера организации. Фиксированная сумма была бы ничтожной для очень крупной компании, поэтому вариант на основе оборота позволяет регуляторам назначить штраф, который действительно ощутим. Ведущие руководства по этой теме описывают правило как «в зависимости от того, что выше» для нижнего уровня, и та же логика делает максимальный потолок значимым для крупных компаний.

Это потолки, а не стандартные штрафы. Большинство штрафов значительно ниже максимума, и регулятор должен обосновать, к какому уровню относится дело.

Какие нарушения относятся к каждому уровню

GDPR использует двухуровневую структуру. Высший уровень — тот, что предусматривает потолок в 17,5 млн фунтов стерлингов или 20 млн евро, — предназначен для более серьёзных нарушений. Низший уровень охватывает менее серьёзные нарушения и предусматривает меньший потолок. Общедоступные сводки указывают, что нижний уровень в ЕС составляет 10 млн евро или 2% мирового годового оборота.

В общих чертах высший уровень направлен на нарушения, которые затрагивают саму суть ваших прав, например на нарушение основных принципов обработки данных или отказ людям в правах, предоставленных законом. Низший уровень обычно связан с более процедурными или организационными обязанностями. Для более подробного разбора того, как работает это разделение, см. наше объяснение о том, как работает двухуровневая система штрафов GDPR.

Как регуляторы устанавливают фактический размер штрафа

Максимум — это лишь отправная рамка. Регуляторы взвешивают обстоятельства каждого дела, и процесс не сводится к простой таблице соответствий.

Одно правило, которое стоит знать: если несколько нарушений происходят одновременно, общий штраф не должен превышать сумму, установленную за самое серьёзное нарушение. На практике это означает, что применимый потолок привязан к наиболее серьёзному нарушению в деле, а не к сумме всех потолков.

Серьёзность, размер организации и характер нарушения — всё это влияет на итоговую цифру. Вот почему две компании со схожими нарушениями могут получить очень разные штрафы и почему максимальные значения из заголовков следует воспринимать как верхнюю границу, а не как прогноз.

Что это значит для вас

Штрафы идут регуляторам, а не пострадавшим лицам, поэтому сам штраф не положит деньги в ваш карман. Их ценность для вас косвенна, но реальна.

  • Они создают сдерживающий эффект. Потолок, привязанный к мировому обороту, даёт даже крупным организациям причину серьёзно относиться к защите данных.
  • Они подкрепляют ваши права. Штрафы высшего уровня связаны с нарушениями, которые наиболее важны для вас, включая то, как используются ваши данные и соблюдаются ли ваши права.
  • Они дают вам возможность действовать. Если вы считаете, что организация неправильно использовала ваши данные, вы можете сначала поднять вопрос перед организацией, а затем обратиться к регулятору по защите данных в вашей стране. В Великобритании таким регулятором является ICO.

Также полезно сохранять реалистичные ожидания. Очень большой максимум не означает, что каждое нарушение влечёт очень большой штраф. В нашем материале о штрафах GDPR и двухуровневой системе рассматривается, почему броские цифры могут вводить в заблуждение.

Практические выводы

Понимание штрафов GDPR полезно главным образом потому, что показывает, где находятся ваши рычаги влияния. Несколько шагов помогут применить эти знания на практике:

  1. Знайте разницу между правилами Великобритании и ЕС. Потолок в Великобритании составляет 17,5 млн фунтов стерлингов или 4%, а в ЕС — 20 млн евро или 4%. Что применяется, зависит от того, где работает организация и где находитесь вы.
  2. Ведите записи. Если вы связываетесь с компанией по поводу своих данных, сохраняйте письма, даты и ответы. Они важны, если вы позже пожалуетесь регулятору.
  3. Используйте свои права. Вы можете запрашивать у организаций, какие данные они о вас хранят, и поднимать вопросы, когда что-то выглядит неправильно.
  4. Эскалируйте при необходимости. Если компания не решает вашу проблему, следующий шаг — национальный регулятор по защите данных.
  5. Снижайте свою уязвимость. Делитесь только теми данными, которые действительно нужны сервису, и используйте надёжные уникальные пароли и двухфакторную аутентификацию.

Штрафы GDPR — будь то 17,5 млн фунтов стерлингов в Великобритании или 20 млн евро в ЕС — это видимый край более широкой системы, предназначенной для того, чтобы ваши персональные данные оставались под вашим контролем. Понимание того, как работает эта система, облегчает её использование.