เมื่อบริษัทจัดการข้อมูลส่วนบุคคลในยุโรปอย่างผิดพลาด ผลลัพธ์ที่ตามมาถูกกำหนดโดยกรอบที่ไม่ซับซ้อนนัก การทำความเข้าใจบทลงโทษ GDPR และระดับค่าปรับช่วยอธิบายว่าทำไมหน่วยงานกำกับดูแลจึงดำเนินการเช่นนั้น และยังแสดงให้คนทั่วไปเห็นว่าเครื่องมืออะไรบ้างที่พวกเขามีเมื่อบริษัททำผิด คู่มือนี้ อ้างอิงจากภาพรวมล่าสุดของ LegalHelp จะพาผู้อ่านไปทำความเข้าใจว่าค่าปรับมีโครงสร้างอย่างไร การบังคับใช้ทำงานอย่างไร และมีทางเลือกอะไรบ้างนอกเหนือจากบทลงโทษของหน่วยงานกำกับดูแลเอง
บทลงโทษ GDPR และระดับค่าปรับทำงานอย่างไร
ข้อกำหนดการคุ้มครองข้อมูลทั่วไป (General Data Protection Regulation) แบ่งค่าปรับทางปกครองสูงสุดออกเป็นสองระดับ ตามที่ระบุในมาตรา 83
- ระดับล่าง: สูงสุด €10 ล้าน หรือ 2% ของรายได้รวมต่อปีทั่วโลกของบริษัท แล้วแต่จำนวนใดสูงกว่า
- ระดับบน: สูงสุด €20 ล้าน หรือ 4% ของรายได้รวมต่อปีทั่วโลก แล้วแต่จำนวนใดสูงกว่า
มีสองรายละเอียดที่สำคัญตรงนี้ ประการแรก ตัวเลขเหล่านี้เป็นเพดาน ไม่ใช่ราคาคงที่ หน่วยงานกำกับดูแลคำนวณจำนวนจริงเป็นรายกรณี ดังนั้นค่าปรับอาจต่ำกว่าขีดสูงสุดมากก็ได้ ประการที่สอง ถ้อยคำ "แล้วแต่จำนวนใดสูงกว่า" หมายความว่าเปอร์เซ็นต์อาจสูงกว่าตัวเลขยูโรแบบคงที่สำหรับบริษัทข้ามชาติขนาดใหญ่ เพดานแบบคงที่เพียงอย่างเดียวจะกลายเป็นความคลาดเคลื่อนเล็กน้อยสำหรับบริษัทที่มีรายได้มหาศาล และทางเลือกที่อิงกับรายได้คือสิ่งที่ทำให้กฎมีน้ำหนักจริงในระดับนั้น
ระดับบนโดยทั่วไปสงวนไว้สำหรับการละเมิดที่ร้ายแรงกว่า ระดับล่างครอบคลุมความล้มเหลวที่รุนแรงน้อยกว่า ในทางปฏิบัติ ระดับที่คดีตกอยู่ในนั้นเป็นสัญญาณว่าหน่วยงานกำกับดูแลมองพฤติกรรมนั้นร้ายแรงเพียงใด
คดีบังคับใช้ครั้งใหญ่เปิดเผยอะไรเกี่ยวกับการจัดการข้อมูลผิดพลาด
ระดับค่าปรับดูเป็นนามธรรมจนกว่าคุณจะเห็นมันถูกนำไปใช้ คดีบังคับใช้แสดงให้เห็นว่าความล้มเหลวประเภทใดดึงความสนใจมากที่สุด และหน่วยงานกำกับดูแลชั่งน้ำหนักสถานการณ์อย่างไรเมื่อกำหนดจำนวนเงิน
บทความของเราเกี่ยวกับค่าปรับ GDPR €825 ล้านของ Uber เป็นตัวอย่างที่มีประโยชน์ว่าบทลงโทษที่ปลายบนของมาตรวัดเกิดขึ้นได้อย่างไร และมันส่งสัญญาณอะไรให้บริษัทอื่นที่จัดการข้อมูลข้ามพรมแดน ข้อมูลเด็กเป็นอีกพื้นที่ที่ถูกตรวจสอบอย่างหนัก บทความของเราเกี่ยวกับทำไมการปฏิบัติตามแบบติ๊กถูกจึงล้มเหลวภายใต้กฎข้อมูลเด็กของ GDPR แสดงให้เห็นว่าหน่วยงานกำกับดูแลมองข้ามเอกสารบนกระดาษไปสู่สิ่งที่องค์กรทำจริงกับข้อมูลส่วนบุคคลมากขึ้นเรื่อยๆ
สิ่งที่เหมือนกันคือหน่วยงานกำกับดูแลมุ่งเน้นที่การปฏิบัติจริง นโยบายความเป็นส่วนตัวที่มีอยู่บนกระดาษไม่ปกป้องบริษัทหากการจัดการข้อมูลจริงของบริษัทต่ำกว่ามาตรฐาน
วิธีร้องเรียนต่อหน่วยงานคุ้มครองข้อมูลของคุณ
ค่าปรับถูกเรียกเก็บโดยหน่วยงานกำกับดูแล แต่หน่วยงานกำกับดูแลมักรู้ปัญหาเพราะบุคคลรายงานเข้ามา หากคุณเชื่อว่าองค์กรหนึ่งใช้ข้อมูลของคุณในทางที่ผิด โดยทั่วไปคุณมีสิทธิ์ยื่นเรื่องร้องเรียนต่อหน่วยงานคุ้มครองข้อมูล (DPA) กระบวนการที่แน่นอนแตกต่างกันไปตามประเทศ ดังนั้นจุดเริ่มต้นที่ดีที่สุดคือเว็บไซต์ของ DPA ในประเทศสมาชิก EU ของคุณเอง
ขั้นตอนปฏิบัติบางอย่างมักทำให้เรื่องร้องเรียนมีน้ำหนักมากขึ้น:
- เริ่มจากบริษัทก่อน ส่งคำขอเป็นลายลักษณ์อักษรถามว่าบริษัทถือข้อมูลอะไรเกี่ยวกับคุณ ข้อมูลนั้นถูกใช้อย่างไร และถูกแชร์ให้ใคร เก็บสำเนาและวันที่ที่คุณส่งไว้
- รวบรวมหลักฐาน เก็บอีเมล ภาพหน้าจอ หน้าบัญชี และการตอบกลับใดๆ ที่คุณได้รับ รวมถึงการไม่ตอบกลับด้วย
- ระบุให้ชัดเจน อธิบายว่าเกิดอะไรขึ้น เมื่อไหร่ และข้อมูลใดของคุณที่เกี่ยวข้อง
- ยื่นต่อหน่วยงานที่ถูกต้อง ใช้แบบฟอร์มร้องเรียนหรือช่องทางติดต่อของ DPA ประเทศคุณ และแนบเอกสารประกอบของคุณ
การร้องเรียนไม่ได้ garantีว่าจะมีค่าปรับ หน่วยงานกำกับดูแลเป็นผู้ตัดสินว่าจะสอบสวนหรือไม่ และจะดำเนินการใดหากมี แต่การร้องเรียนเป็นส่วนหนึ่งของวิธีที่รูปแบบการประพฤติมิชอบถูกเปิดเผย
เหนือกว่าค่าปรับ: การฟ้องร้องเอกชนและการอุทธรณ์ของบริษัท
ค่าปรับทางปกครองเป็นเพียงส่วนหนึ่งของภาพรวม ภาพรวมของ LegalHelp ยังครอบคลุมอำนาจบังคับใช้ที่เกินกว่าค่าปรับ การฟ้องร้องเอกชน และทางเลือกในการอุทธรณ์
ในฝั่งของบุคคล บุคคลที่ได้รับความเสียหายจากการละเมิดอาจสามารถเรียกร้องค่าชดเชยผ่านศาลได้ เส้นทางนี้แยกจากค่าปรับของหน่วยงานกำกับดูแล: เงินจากบทลงโทษทางปกครองไม่ได้ไปยังบุคคลที่ได้รับผลกระทบ หากคุณกำลังพิจารณาดำเนินการทางกฎหมาย การปรึกษาทนายความที่มีคุณสมบัติในเขตอำนาจศาลของคุณเป็นเรื่องฉลาด เพราะกฎและขั้นตอนแตกต่างกัน
ในฝั่งของบริษัท องค์กรที่ได้รับบทลงโทษมักสามารถโต้แย้งได้ นั่นหมายความว่าค่าปรับที่เป็นพาดหัวข่าวไม่ใช่คำตัดสินสุดท้ายเสมอไป และจำนวนเงินหรือข้อค้นพบอาจถูกโต้แย้งได้ ผู้อ่านที่ติดตามคดีสำคัญควรถือว่าการประกาศครั้งแรกเป็นเพียงขั้นหนึ่งในกระบวนการที่ยาวกว่า
สิ่งนี้หมายความสำหรับคุณ
โครงสร้างสองระดับอาจดูเหมือนเป็นเรื่องของทีมปฏิบัติตามกฎระเบียบบริษัท แต่จริงๆ แล้วมันกำหนดอำนาจต่อรองของคุณในฐานะบุคคล เพราะบทลงโทษอาจสูงถึง 2% หรือ 4% ของรายได้ทั่วโลก บริษัทจึงมีเหตุผลทางการเงินที่แข็งแกร่งในการตอบสนองเมื่อหน่วยงานคุ้มครองข้อมูลเข้ามาเกี่ยวข้อง การร้องเรียนหรือคำขอเข้าถึงข้อมูลของคุณเป็นส่วนหนึ่งที่ป้อนเข้าสู่ระบบนั้น
สิ่งนี้ใช้ได้แม้คุณไม่ได้อยู่ใน EU ในชีวิตประจำวัน บริการระดับโลกจำนวนมากจัดการข้อมูลของผู้อยู่อาศัยในยุโรป และกฎถูกออกแบบให้ติดตามข้อมูลไป VPN หรือเครื่องมือความเป็นส่วนตัวอื่นๆ สามารถลดปริมาณข้อมูลที่คุณเปิดเผย แต่สิทธิทางกฎหมายครอบคลุมสิ่งที่เกิดขึ้นกับข้อมูลเมื่อบริษัทมีมันอยู่แล้ว สองแนวทางนี้ทำงานร่วมกันได้ดีที่สุด
ประเด็นสำคัญ
- บทลงโทษ GDPR และระดับค่าปรับมีเพดานที่ €10 ล้าน หรือ 2% ของรายได้ทั่วโลก (ระดับล่าง) และ €20 ล้าน หรือ 4% (ระดับบน) แล้วแต่จำนวนใดสูงกว่า
- ตัวเลขเหล่านั้นเป็นขีดสูงสุด หน่วยงานกำกับดูแลกำหนดค่าปรับจริงตามรายละเอียดเฉพาะของแต่ละคดี
- คุณสามารถส่งคำขอเข้าถึงข้อมูลไปยังบริษัท และหากจำเป็น ยื่นเรื่องร้องเรียนต่อหน่วยงานคุ้มครองข้อมูลแห่งชาติของคุณ
- การเรียกร้องค่าชดเชยผ่านศาลแยกจากค่าปรับของหน่วยงานกำกับดูแล และบริษัทสามารถอุทธรณ์บทลงโทษได้
หากองค์กรหนึ่งจัดการข้อมูลของคุณอย่างแย่ ใช้สิทธิเหล่านี้ ส่งคำขอเข้าถึงข้อมูล บันทึกการตอบกลับ และยื่นเรื่องร้องเรียนหากมันไม่เป็นไปตามที่ควร เพื่อดูว่าการบังคับใช้เกิดขึ้นจริงอย่างไร อ่านบทวิเคราะห์ของเราเกี่ยวกับค่าปรับ Uber และรายงานของเราเกี่ยวกับกฎข้อมูลเด็ก
