Когда компания неправильно обращается с персональными данными в Европе, последствия определяются довольно простой структурой. Понимание штрафов GDPR и уровней штрафов помогает объяснить, почему регуляторы действуют именно так, а также показывает обычным людям, какие инструменты у них есть, когда компания допускает ошибку. Это руководство, основанное на недавнем обзоре от LegalHelp, рассматривает, как устроены штрафы, как работает правоприменение и какие возможности существуют помимо собственных санкций регулятора.

Как работают штрафы GDPR и уровни штрафов

Общий регламент по защите данных делит свои максимальные административные штрафы на два уровня, установленные в статье 83.

  • Нижний уровень: до €10 миллионов или 2% от общего мирового годового оборота компании, в зависимости от того, что выше.
  • Верхний уровень: до €20 миллионов или 4% от мирового годового оборота, в зависимости от того, что выше.

Здесь важны две детали. Во-первых, это потолки, а не фиксированные цены. Регуляторы рассчитывают фактическую сумму в каждом конкретном случае, поэтому штраф может оказаться значительно ниже максимума. Во-вторых, формулировка «в зависимости от того, что выше» означает, что процент может превысить фиксированную сумму в евро для крупных multinational companies. Только фиксированный потолок был бы погрешностью округления для компании с огромной выручкой, и именно вариант на основе оборота придаёт правилам реальный вес в таком масштабе.

Верхний уровень обычно предназначен для более серьёзных нарушений. Нижний уровень охватывает менее серьёзные нарушения. На практике уровень, к которому относится дело, сигнализирует о том, насколько серьёзно регулятор оценивает поведение.

Что крупные правоприменительные дела говорят о неправильном обращении с данными

Уровни штрафов выглядят абстрактно, пока вы не увидите их применение. Правоприменительные дела показывают, какие виды нарушений привлекают наибольшее внимание и как регуляторы взвешивают обстоятельства при определении суммы.

Наш материал о штрафе Uber в €825 млн по GDPR — полезный пример того, как складывается штраф на верхней границе шкалы и что это сигнализирует другим компаниям, обрабатывающим данные через границы. Детские данные — ещё одна область под пристальным вниманием. Наша статья о том, почему соответствие через галочку не работает по правилам GDPR о детских данных, показывает, что регуляторы всё чаще смотрят мимо бумаг на то, что организации на самом деле делают с персональной информацией.

Общая нить в том, что регуляторы сосредотачиваются на реальной практике. Политика конфиденциальности, существующая на бумаге, не защищает компанию, если её фактическая обработка данных не соответствует требованиям.

Как подать жалобу в ваш орган по защите данных

Штрафы налагаются регуляторами, но регуляторы часто узнают о проблемах потому, что люди сообщают о них. Если вы считаете, что организация неправомерно использовала ваши данные, у вас, как правило, есть право подать жалобу в орган по защите данных (DPA). Точный процесс различается по странам, поэтому лучшая отправная точка — сайт DPA в вашем собственном государстве-члене ЕС.

Несколько практических шагов обычно делают жалобу сильнее:

  1. Начните с компании. Отправьте письменный запрос с вопросом, какие данные о вас у неё есть, как они используются и с кем передаются. Сохраните копию и дату отправки.
  2. Соберите доказательства. Сохраните электронные письма, скриншоты, страницы аккаунта и любые полученные ответы, включая отсутствие ответа.
  3. Будьте конкретны. Опишите, что произошло, когда это произошло и какие именно ваши данные были затронуты.
  4. Подайте в правильный орган. Используйте форму жалобы или контактный канал вашего национального DPA и приложите свою документацию.

Жалоба не гарантирует штраф. Регулятор решает, проводить ли расследование и какие меры, если вообще какие-либо, предпринять. Но жалобы — часть того, как становятся известны модели неправомерного поведения.

Помимо штрафов: частные иски и апелляции компаний

Административные штрафы — лишь часть картины. Обзор LegalHelp также охватывает правоприменительные полномочия помимо штрафов, частные иски и варианты апелляции.

Со стороны отдельных лиц люди, которым был причинён вред нарушением, могут иметь возможность добиваться компенсации через суды. Этот путь отделён от штрафа регулятора: деньги от административного наказания не идут пострадавшему лицу. Если вы рассматриваете судебный иск, разумно поговорить с квалифицированным юристом в вашей юрисдикции, поскольку правила и процедуры различаются.

Со стороны компаний организации, получившие наказание, обычно могут его оспорить. Это означает, что громкий штраф не всегда является окончательным словом, и суммы или выводы могут быть оспорены. Читателям, следящим за крупным делом, следует рассматривать первое объявление как этап более длительного процесса.

Что это значит для вас

Двухуровневая структура может показаться делом для корпоративных комплаенс-команд, но она формирует ваши рычаги как отдельного человека. Поскольку штрафы могут достигать 2% или 4% глобального оборота, у компаний есть сильный финансовый стимул реагировать, когда в дело вмешиваются органы по защите данных. Ваша жалоба или запрос доступа питают эту систему.

Это применимо, даже если вы не находитесь в ЕС в повседневной жизни. Многие глобальные сервисы обрабатывают данные европейских резидентов, и правила устроены так, чтобы следовать за данными. VPN или другие инструменты приватности могут уменьшить объём информации, которую вы раскрываете, но юридические права охватывают то, что происходит с данными, когда компания уже ими располагает. Оба подхода лучше всего работают вместе.

Ключевые выводы

  • Штрафы GDPR и уровни штрафов ограничены €10 миллионов или 2% мирового оборота (нижний уровень) и €20 миллионов или 4% (верхний уровень), в зависимости от того, что выше.
  • Эти цифры — максимумы. Регуляторы устанавливают фактические штрафы исходя из особенностей каждого дела.
  • Вы можете отправить компании запрос доступа и, при необходимости, подать жалобу в ваш национальный орган по защите данных.
  • Требования о компенсации через суды отделены от регуляторных штрафов, и компании могут обжаловать наказания.

Если организация плохо обращалась с вашими данными, используйте эти права. Отправьте запрос доступа, задокументируйте ответ и подайте жалобу, если он окажется недостаточным. Чтобы увидеть, как правоприменение работает на практике, прочитайте наш анализ штрафа Uber и наш отчёт о правилах для детских данных.