Bir şirket Avrupa'da kişisel verileri kötü yönettiğinde, sonuçlar oldukça basit bir çerçeveyle belirlenir. GDPR cezalarını ve para cezası kademelerini anlamak, düzenleyicilerin neden bu şekilde hareket ettiğini açıklamaya yardımcı olur ve aynı zamanda sıradan insanlara bir şirket yanlış yaptığında hangi araçlara sahip olduklarını gösterir. LegalHelp'in yakın tarihli bir genel bakışına dayanan bu kılavuz, cezaların nasıl yapılandırıldığını, yaptırımın nasıl işlediğini ve düzenleyicinin kendi cezalarının ötesinde hangi seçeneklerin bulunduğunu ele alıyor.

GDPR Cezaları ve Para Cezası Kademeleri Nasıl İşler

Genel Veri Koruma Tüzüğü, azami idari para cezalarını Madde 83'te belirtilen iki kademeye ayırır.

  • Alt kademe: 10 milyon €'ya kadar veya bir şirketin toplam dünya çapındaki yıllık cirosunun %2'si, hangisi daha yüksekse.
  • Üst kademe: 20 milyon €'ya kadar veya dünya çapındaki yıllık cironun %4'ü, hangisi daha yüksekse.

Burada iki ayrıntı önemlidir. Birincisi, bunlar sabit fiyatlar değil, üst sınırlardır. Düzenleyiciler gerçek tutarı her durumda ayrı ayrı hesaplar, dolayısıyla bir ceza azaminin oldukça altında kalabilir. İkincisi, "hangisi daha yüksekse" ifadesi, büyük çok uluslu şirketler için yüzdenin sabit euro tutarını aşabileceği anlamına gelir. Tek başına sabit bir üst sınır, muazzam gelire sahip bir şirket için yuvarlama hatası olurdu ve ciroya dayalı seçenek, kurallara bu ölçekte gerçek ağırlığını veren şeydir.

Üst kademe genellikle daha ağır ihlaller için ayrılmıştır. Alt kademe daha az ciddi ihlalleri kapsar. Uygulamada, bir davranışın hangi kademeye girdiği, düzenleyicinin söz konusu davranışı ne kadar ciddi gördüğünün işaretidir.

Büyük Yaptırım Davaları Veri Kötü Yönetimi Hakkında Neleri Ortaya Koyuyor

Para cezası kademeleri, uygulandığını görünceye kadar soyut görünür. Yaptırım davaları, hangi tür ihlallerin en fazla dikkat çektiğini ve düzenleyicilerin bir tutar belirlerken koşulları nasıl değerlendirdiğini gösterir.

Uber'in 825 milyon €'luk GDPR cezası haberimiz, ölçeğin en üst ucundaki bir cezanın nasıl oluştuğunun ve sınırlar ötesinde veri işleyen diğer şirketlere neyi işaret ettiğinin faydalı bir örneğidir. Çocuklara ait veriler, yoğun inceleme altındaki bir diğer alandır. GDPR çocuk verisi kuralları kapsamında onay kutusu uyumunun neden başarısız olduğu hakkındaki yazımız, düzenleyicilerin giderek evrak işlerinin ötesine bakarak kuruluşların kişisel bilgilerle gerçekte ne yaptığına odaklandığını gösteriyor.

Ortak nokta, düzenleyicilerin gerçek dünyadaki uygulamaya odaklanmasıdır. Kâğıt üzerinde var olan bir gizlilik politikası, fiili veri işleme yetersiz kalıyorsa bir şirketi korumaz.

Veri Koruma Otoritenize Nasıl Şikâyette Bulunulur

Para cezaları düzenleyiciler tarafından verilir, ancak düzenleyiciler sorunları genellikle bireylerin bildirmesi sayesinde öğrenir. Bir kuruluşun verilerinizi kötüye kullandığını düşünüyorsanız, genellikle bir veri koruma otoritesine (DPA) şikâyette bulunma hakkınız vardır. Kesin süreç ülkeye göre değişir, bu nedenle en iyi başlangıç noktası kendi AB üye devletinizdeki DPA'nın web sitesidir.

Birkaç pratik adım, bir şikâyeti güçlendirme eğilimindedir:

  1. Şirketle başlayın. Hakkınızda hangi verileri tuttuğunu, nasıl kullanıldığını ve kimlerle paylaşıldığını soran yazılı bir talep gönderin. Bir kopyasını ve gönderdiğiniz tarihi saklayın.
  2. Kanıt toplayın. E-postaları, ekran görüntülerini, hesap sayfalarını ve aldığınız tüm yanıtları, yanıt alamama dahil, kaydedin.
  3. Spesifik olun. Ne olduğunu, ne zaman olduğunu ve hangi verilerinizin söz konusu olduğunu açıklayın.
  4. Doğru otoriteye gönderin. Ulusal DPA'nızın şikâyet formunu veya iletişim kanalını kullanın ve belgelerinizi ekleyin.

Bir şikâyet para cezasını garanti etmez. Düzenleyici, soruşturma yapılıp yapılmayacağına ve varsa hangi işlemin uygulanacağına karar verir. Ancak şikâyetler, kötü uygulama kalıplarının gün yüzüne çıkma biçiminin bir parçasıdır.

Cezaların Ötesinde: Özel Davalar ve Şirket İtirazları

İdari para cezaları tablonun yalnızca bir parçasıdır. LegalHelp'in genel bakışı ayrıca para cezalarının ötesindeki yaptırım yetkilerini, özel davaları ve itiraz seçeneklerini de kapsar.

Bireysel tarafta, bir ihlalden zarar gören kişiler mahkemeler aracılığıyla tazminat talebinde bulunabilir. Bu yol, bir düzenleyicinin para cezasından ayrıdır: idari cezadan gelen para, etkilenen bireye gitmez. Yasal işlem başlatmayı düşünüyorsanız, kurallar ve prosedürler farklılık gösterdiğinden, yargı yetkinizdeki yetkin bir avukatla konuşmanız akıllıca olur.

Şirket tarafında, ceza alan kuruluşlar genellikle buna itiraz edebilir. Bu, manşetlere taşınan bir cezanın her zaman son söz olmadığı ve tutarların veya tespitlerin itiraz edilebileceği anlamına gelir. Büyük bir davayı takip eden okuyucular, ilk duyuruyu daha uzun bir sürecin bir aşaması olarak görmelidir.

Bunun Sizin İçin Anlamı

İki kademeli yapı, kurumsal uyum ekipleri için bir mesele gibi görünebilir, ancak birey olarak sizin kaldıraç gücünüzü şekillendirir. Cezalar küresel cironun %2'sine veya %4'üne ulaşabildiğinden, veri koruma otoriteleri devreye girdiğinde şirketlerin yanıt vermesi için güçlü bir finansal nedeni vardır. Şikâyetiniz veya erişim talebiniz bu sisteme katkıda bulunur.

Bu, günlük yaşamınızda AB'de olmasanız bile geçerlidir. Birçok küresel hizmet, Avrupa'da ikamet edenlerin verilerini işler ve kurallar veriyi takip edecek şekilde tasarlanmıştır. Bir VPN veya diğer gizlilik araçları, ne kadar bilgi açığa çıkardığınızı azaltabilir, ancak yasal haklar bir şirket veriye zaten sahip olduktan sonra veriye ne olduğunu kapsar. İki yaklaşım en iyi birlikte çalışır.

Önemli Çıkarımlar

  • GDPR cezaları ve para cezası kademeleri 10 milyon € veya dünya çapındaki cironun %2'si (alt kademe) ve 20 milyon € veya %4'ü (üst kademe) ile sınırlıdır, hangisi daha yüksekse.
  • Bu rakamlar azamidir. Düzenleyiciler gerçek cezaları her davanın özelliklerine göre belirler.
  • Bir şirkete erişim talebi gönderebilir ve gerekirse ulusal veri koruma otoritenize şikâyette bulunabilirsiniz.
  • Mahkemeler aracılığıyla tazminat talepleri, düzenleyici para cezalarından ayrıdır ve şirketler cezalara itiraz edebilir.

Bir kuruluş verilerinizi kötü yönettiyseniz, bu hakları kullanın. Erişim talebini gönderin, yanıtı belgeleyin ve yetersiz kalırsa şikâyette bulunun. Yaptırımın pratikte nasıl sonuçlandığını görmek için Uber cezası analizimizi ve çocuk verisi kuralları raporumuzu okuyun.