ค่าปรับตาม GDPR ยังคงเป็นส่วนหนึ่งของกฎหมายคุ้มครองข้อมูลยุโรปที่คนเข้าใจผิดมากที่สุด แม้เวลาจะผ่านไปหลายปีหลังจากกฎระเบียบนี้มีผลบังคับใช้ พาดหัวข่าวมักให้ความสนใจกับตัวเลขสูงสุดที่ดึงดูดสายตา แต่โครงสร้างบทลงโทษที่แท้จริงซึ่งหน่วยงานกำกับดูแลใช้นั้นมีความละเอียดอ่อนกว่า และการเข้าใจเรื่องนี้มีความสำคัญไม่ว่าคุณจะดำเนินธุรกิจขนาดเล็กหรือเพียงแค่อยากรู้ว่าข้อมูลของคุณได้รับการคุ้มครองอย่างจริงจังแค่ไหน
โครงสร้างสองระดับเบื้องหลังค่าปรับ GDPR
บทลงโทษตาม GDPR สร้างขึ้นจากสองระดับที่ชัดเจน และระดับใดจะถูกนำมาใช้ขึ้นอยู่กับลักษณะของการละเมิด ไม่ใช่แค่ขนาดของเหตุการณ์เท่านั้น ระดับล่างครอบคลุมความล้มเหลวเชิงกระบวนการ เช่น การจัดเก็บเอกสารที่ไม่เพียงพอ การไม่แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลเมื่อกฎหมายกำหนด หรือการไม่รายงานการละเมิดอย่างถูกต้อง ระดับบนสงวนไว้สำหรับการละเมิดเชิงเนื้อหาที่ร้ายแรงกว่า รวมถึงการละเมิดหลักการพื้นฐานของการประมวลผลข้อมูล การโอนข้อมูลส่วนบุคคลโดยไม่ชอบด้วยกฎหมาย หรือการเพิกเฉยต่อสิทธิของบุคคลในการเข้าถึงหรือลบข้อมูลของตน
หน่วยงานกำกับดูแลไม่จำเป็นต้องข้ามไปใช้บทลงโทษสูงสุดในทุกระดับโดยตรง แต่คณะกรรมการคุ้มครองข้อมูลยุโรปได้กำหนดแนวทางการคำนวณที่หน่วยงานคุ้มครองข้อมูลใช้เพื่อปรับขนาดค่าปรับให้เข้ากับสถานการณ์จริงของแต่ละกรณี ปัจจัยต่างๆ เช่น ระยะเวลาของการละเมิด การกระทำโดยเจตนาหรือประมาทเลินเล่อ จำนวนผู้ที่ได้รับผลกระทบ และการที่องค์กรให้ความร่วมมือกับผู้สืบสวนหรือไม่ ล้วนมีผลต่อตัวเลขสุดท้าย นี่คือเหตุผลว่าทำไมบริษัทสองแห่งที่กระทำการละเมิดคล้ายกันจึงอาจได้รับค่าปรับที่แตกต่างกันอย่างมาก เพราะการคำนวณไม่ใช่เปอร์เซ็นต์คงที่ที่นำมาใช้โดยอัตโนมัติ แต่เป็นการคำนวณที่ตั้งอยู่บนรายละเอียดเฉพาะของแต่ละกรณี
ทำไมค่าปรับสูงสุดจึงแทบไม่เคยบอกเรื่องราวทั้งหมด
หนึ่งในความเข้าใจผิดที่ฝังรากลึกที่สุดเกี่ยวกับ GDPR คือการที่ทุกการละเมิดมีความเสี่ยงที่จะถูกปรับ 20 ล้านยูโร ในทางปฏิบัติ ตัวเลขเพดานเหล่านี้แสดงถึงสถานการณ์เลวร้ายที่สุดสำหรับการละเมิดที่ร้ายแรงและจงใจที่สุด ไม่ใช่ผลลัพธ์ทั่วไป ดังที่ได้อธิบายไว้ในบทวิเคราะห์ที่เกี่ยวข้องเกี่ยวกับ เหตุใดเพดาน 20 ล้านยูโรจึงไม่ค่อยถูกนำมาใช้ การบังคับใช้ส่วนใหญ่ยังต่ำกว่าเพดานสูงสุดมาก และหน่วยงานกำกับดูแลมักสงวนบทลงโทษที่ใหญ่ที่สุดไว้สำหรับผู้กระทำผิดซ้ำ การใช้ข้อมูลในทางที่ผิดในวงกว้าง หรือบริษัทที่เพิกเฉยต่อคำเตือนก่อนหน้านี้
อย่างไรก็ตาม ค่าปรับบางส่วนที่กลายเป็นพาดหัวข่าวแสดงให้เห็นว่าบทลงโทษเหล่านี้สามารถใหญ่โตได้เพียงใดเมื่อหน่วยงานกำกับดูแลตัดสินใจว่าการละเมิดนั้นสมควรได้รับ ตัวอย่างล่าสุดคือกรณีของ ค่าปรับ GDPR จำนวน 825 ล้านยูโรของ Uber เกี่ยวกับข้อมูลผู้ขับขี่ ซึ่งถือเป็นหนึ่งในบทลงโทษที่ใหญ่ที่สุดที่ออกภายใต้กฎระเบียบนี้จนถึงปัจจุบัน กรณีเช่นนี้แสดงให้เห็นว่าหน่วยงานบังคับใช้กฎหมายคำนวณค่าปรับไม่เพียงแค่จากเปอร์เซ็นต์ของรายได้ แต่คำนวณจากขนาดและความอ่อนไหวของข้อมูลที่เกี่ยวข้อง และระยะเวลาที่การปฏิบัติที่ไม่เหมาะสมดำเนินต่อไปก่อนที่จะได้รับการแก้ไข
ค่าปรับ GDPR เป็นส่วนหนึ่งของแนวโน้มการบังคับใช้กฎหมายในวงกว้างของยุโรป
GDPR ไม่ได้ดำเนินการอย่างโดดเดี่ยว เขตอำนาจศาลอื่นๆ ทั่วยุโรปได้สร้างกรอบกฎหมายของตนเองที่สะท้อนหรือเชื่อมโยงกับ GDPR ในสหราชอาณาจักร พระราชบัญญัติคุ้มครองข้อมูล 2018 กำหนดหลักการสำคัญเจ็ดประการและโครงสร้างบทลงโทษของตนเอง ซึ่งใกล้เคียงกับแบบจำลองของสหภาพยุโรปแม้หลัง Brexit แล้วก็ตาม สวิตเซอร์แลนด์ใช้แนวทางคล้ายกันกับกฎหมายความเป็นส่วนตัวที่ได้รับการปรับปรุง และองค์กรที่ดำเนินงานข้ามพรมแดนในปัจจุบันจำเป็นต้องติดตาม ข้อกำหนดการปฏิบัติตามภายใต้พระราชบัญญัติคุ้มครองข้อมูลสวิส แยกต่างหากจากข้อผูกพัน GDPR ของสหภาพยุโรป สำหรับธุรกิจใดๆ ที่จัดการข้อมูลในหลายประเทศ กฎเกณฑ์ที่ทับซ้อนกันแต่แตกต่างกันนี้มักเป็นปัญหาปวดหัวด้านการปฏิบัติตามมากกว่าตัวค่าปรับเอง
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณดำเนินธุรกิจที่เก็บรวบรวมหรือประมวลผลข้อมูลส่วนบุคคล ค่าปรับ GDPR ควรกำหนดวิธีที่คุณคิดเกี่ยวกับการปฏิบัติตามกฎหมายนานก่อนที่หน่วยงานกำกับดูแลจะเข้ามาเกี่ยวข้อง โครงสร้างแบบสองระดับให้รางวัลแก่องค์กรที่สามารถแสดงให้เห็นถึงมาตรการป้องกันที่สมเหตุสมผล การรายงานการละเมิดอย่างรวดเร็ว และความร่วมมือกับหน่วยงานคุ้มครองข้อมูล การรอจนกว่าการสอบสวนจะเริ่มต้นเพื่อแก้ไขช่องโหว่ในแนวทางการจัดการข้อมูลของคุณนั้นเสี่ยงกว่าการแก้ไขเชิงรุกมาก
สำหรับผู้บริโภคทั่วไป ค่าปรับเหล่านี้ทำหน้าที่เป็นสัญญาณว่าบริษัทให้ความสำคัญกับข้อมูลส่วนบุคคลของคุณมากน้อยเพียงใด รูปแบบของการถูกลงโทษ โดยเฉพาะค่าปรับขนาดใหญ่ที่เกี่ยวข้องกับหลักการข้อมูลหลักมากกว่าข้อผิดพลาดทางเอกสาร เป็นตัวชี้วัดที่เป็นประโยชน์ว่าบริษัทจัดการข้อมูลของคุณในแต่ละวันอย่างไร
ประเด็นสำคัญ
ค่าปรับ GDPR เป็นไปตามระบบสองระดับซึ่งความรุนแรงของการละเมิด ไม่ใช่แค่ขนาดของบริษัท เป็นตัวกำหนดว่าเพดานใดจะถูกนำมาใช้ หน่วยงานกำกับดูแลคำนวณบทลงโทษโดยใช้แนวทางที่ชั่งน้ำหนักความประมาทเลินเล่อ ระยะเวลา และความร่วมมือ แทนที่จะออกค่าปรับสูงสุดแบบคงที่โดยอัตโนมัติ ธุรกิจควรปฏิบัติต่อการปฏิบัติตามกฎหมายเป็นแนวทางปฏิบัติที่ต่อเนื่องมากกว่าการตอบสนองต่อการบังคับใช้ เนื่องจากมาตรการป้องกันที่บันทึกไว้และการรายงานการละเมิดอย่างรวดเร็วช่วยลดความเสี่ยงได้อย่างมีความหมาย และสำหรับผู้บริโภค การติดตามว่าบริษัทตอบสนองต่อการบังคับใช้ GDPR อย่างไรเป็นวิธีที่ใช้ได้จริงในการตัดสินว่าองค์กรใดให้ความสำคัญกับการปกป้องข้อมูลส่วนบุคคลจริงๆ
