När ett företag hanterar personuppgifter felaktigt i Europa sätts konsekvenserna av ett förhållandevis enkelt ramverk. Att förstå GDPR-sanktioner och bötesnivåer hjälper till att förklara varför tillsynsmyndigheter agerar som de gör, och det visar också vanliga människor vilka verktyg de har när ett företag gör fel. Den här guiden, baserad på en nylig översikt från LegalHelp, går igenom hur böterna är strukturerade, hur efterlevnaden fungerar och vilka alternativ som finns utöver tillsynsmyndighetens egna sanktioner.

Hur GDPR-sanktioner och bötesnivåer fungerar

Dataskyddsförordningen delar in sina maximala administrativa böter i två nivåer, fastställda i artikel 83.

  • Lägre nivån: upp till 10 miljoner euro eller 2% av ett företags totala globala årsomsättning, beroende på vilket som är högre.
  • Övre nivån: upp till 20 miljoner euro eller 4% av den globala årsomsättningen, beroende på vilket som är högre.

Två detaljer är viktiga här. För det första är dessa tak, inte fasta priser. Tillsynsmyndigheter beräknar det faktiska beloppet från fall till fall, så en bot kan landa långt under maximibeloppet. För det andra innebär formuleringen "beroende på vilket som är högre" att procentsatsen kan överstiga det fasta eurobeloppet för stora multinationella företag. Enbart ett fast tak skulle vara ett avrundningsfel för ett företag med enorma intäkter, och alternativet baserat på omsättning är vad som ger reglerna verklig tyngd i den skalan.

Den övre nivån är i allmänhet reserverad för de allvarligare överträdelserna. Den lägre nivån täcker mindre allvarliga brister. I praktiken signalerar nivån ett fall hamnar i hur allvarligt tillsynsmyndigheten ser på agerandet.

Vad stora tillsynsärenden avslöjar om felaktig datahantering

Bötesnivåer verkar abstrakta tills man ser dem tillämpas. Tillsynsärenden visar vilka typer av brister som drar till sig mest uppmärksamhet och hur tillsynsmyndigheter väger omständigheterna när de fastställer ett belopp.

Vår bevakning av Ubers GDPR-bot på 825 miljoner euro är ett användbart exempel på hur en påföljd i den övre änden av skalan uppstår och vad den signalerar till andra företag som hanterar data över gränserna. Barns data är ett annat område under hård granskning. Vår artikel om varför kryssruta-efterlevnad misslyckas enligt GDPR:s regler för barns data visar att tillsynsmyndigheter i allt högre grad blickar förbi pappersarbete och ser till vad organisationer faktiskt gör med personuppgifter.

Den gemensamma nämnaren är att tillsynsmyndigheter fokuserar på verklig praxis. En integritetspolicy som finns på papper skyddar inte ett företag om dess faktiska datahantering brister.

Hur man lämnar in ett klagomål till sin dataskyddsmyndighet

Böter utfärdas av tillsynsmyndigheter, men tillsynsmyndigheter får ofta kännedom om problem genom att individer rapporterar dem. Om du anser att en organisation har missbrukat dina uppgifter har du i allmänhet rätt att lämna in ett klagomål till en dataskyddsmyndighet (DPA). Den exakta processen varierar mellan länder, så den bästa utgångspunkten är webbplatsen för DPA:n i din egen EU-medlemsstat.

Några praktiska steg brukar göra ett klagomål starkare:

  1. Börja med företaget. Skicka en skriftlig begäran där du frågar vilka uppgifter det har om dig, hur de används och med vem de delas. Behåll en kopia och datumet du skickade den.
  2. Samla bevis. Spara e-postmeddelanden, skärmbilder, kontosidor och eventuella svar du får, inklusive uteblivet svar.
  3. Var specifik. Beskriv vad som hände, när det hände och vilka av dina uppgifter som berördes.
  4. Skicka till rätt myndighet. Använd din nationella DPA:s klagomålsformulär eller kontaktkanal och bifoga din dokumentation.

Ett klagomål garanterar inte en bot. Tillsynsmyndigheten avgör om den ska utreda och vilka åtgärder som i så fall ska vidtas. Men klagomål är en del av hur mönster av missförhållanden kommer i dagen.

Bortom böter: Privata stämningar och företags överklaganden

Administrativa böter är bara en del av bilden. LegalHelps översikt täcker också tillsynsbefogenheter bortom böter, privata stämningar och överklagandemöjligheter.

På individsidan kan personer som har skadats av en överträdelse ha möjlighet att driva ersättningsanspråk genom domstolarna. Den vägen är separat från en tillsynsmyndighets bot: pengarna från en administrativ påföljd går inte till den drabbade individen. Om du överväger rättsliga åtgärder är det klokt att tala med en kvalificerad advokat i din jurisdiktion, eftersom regler och förfaranden skiljer sig åt.

På företagssidan kan organisationer som får en påföljd vanligtvis överklaga den. Det innebär att en bot i rubrikerna inte alltid är det sista ordet, och belopp eller slutsatser kan bestridas. Läsare som följer ett stort ärende bör betrakta det första tillkännagivandet som en etapp i en längre process.

Vad detta innebär för dig

Tvånivåstrukturen kan verka vara en fråga för företagens efterlevnadsteam, men den formar din hävstång som individ. Eftersom påföljder kan nå 2% eller 4% av den globala omsättningen har företag en stark ekonomisk anledning att agera när dataskyddsmyndigheter blir inblandade. Ditt klagomål eller din begäran om tillgång matar in i det systemet.

Detta gäller även om du inte befinner dig i EU i din vardag. Många globala tjänster hanterar uppgifter från europeiska invånare, och reglerna är utformade för att följa uppgifterna. En VPN eller andra integritetsverktyg kan minska hur mycket information du exponerar, men juridiska rättigheter täcker vad som händer med uppgifter när ett företag redan har dem. De två angreppssätten fungerar bäst tillsammans.

Viktiga slutsatser

  • GDPR-sanktioner och bötesnivåer är tak på 10 miljoner euro eller 2% av den globala omsättningen (lägre nivån) och 20 miljoner euro eller 4% (övre nivån), beroende på vilket som är högre.
  • Dessa siffror är maximibelopp. Tillsynsmyndigheter fastställer faktiska böter utifrån omständigheterna i varje enskilt fall.
  • Du kan skicka en begäran om tillgång till ett företag och, vid behov, lämna in ett klagomål till din nationella dataskyddsmyndighet.
  • Ersättningsanspråk genom domstolarna är separata från tillsynsmyndigheters böter, och företag kan överklaga påföljder.

Om en organisation har hanterat dina uppgifter dåligt, använd dessa rättigheter. Skicka begäran om tillgång, dokumentera svaret och lämna in ett klagomål om det brister. För att se hur efterlevnaden fungerar i praktiken, läs vår analys av Uber-boten och vår rapport om regler för barns data.