Коли компанія неправильно поводиться з персональними даними, цифра в заголовках зазвичай є максимальним штрафом. За GDPR штрафи можуть сягати 17,5 мільйона фунтів стерлінгів або 4% світового обороту у Великій Британії, та 20 мільйонів євро або 4% світового обороту в ЄС. Ці цифри звучать абстрактно, але вони існують, щоб захистити вас. Цей посібник пояснює, що вони означають простою мовою.

Максимальні штрафи GDPR у Великій Британії та ЄС

Обидва режими побудовані за однаковою базовою схемою. Кожен встановлює фіксовану стелю у власній валюті та відсоток від світового обороту організації.

  • Велика Британія: до 17,5 мільйона фунтів стерлінгів або 4% світового обороту
  • ЄС: до 20 мільйонів євро або 4% світового обороту

Відсоток має значення, оскільки він масштабується відповідно до розміру організації. Фіксована сума була б незначною для дуже великої компанії, тому варіант на основі обороту дозволяє регуляторам встановити штраф, який справді відчутний. Провідні посібники з цієї теми описують правило як «залежно від того, що вище» для нижчого рівня, і саме ця логіка робить максимальну стелю значущою для великих компаній.

Це граничні межі, а не стандартні штрафи. Більшість штрафів значно нижчі за максимум, і регулятор повинен обґрунтувати, де саме знаходиться справа в цьому діапазоні.

Які порушення належать до кожного рівня

GDPR використовує дворівневу структуру. Вищий рівень, той, що передбачає стелю у 17,5 мільйона фунтів стерлінгів або 20 мільйонів євро, призначений для більш серйозних порушень. Нижчий рівень охоплює менш серйозні недоліки та має меншу стелю. Загальнодоступні резюме вказують, що нижчий рівень у ЄС становить 10 мільйонів євро або 2% світового річного обороту.

Загалом, вищий рівень спрямований на порушення, які зачіпають саму суть ваших прав, наприклад, порушення базових принципів обробки даних або відмову людям у правах, наданих їм законом. Нижчий рівень зазвичай пов'язаний з більш процедурними або організаційними обов'язками. Для детальнішого розгляду того, як працює цей поділ, дивіться наш пояснювальний матеріал про те, як працює дворівнева система штрафів GDPR.

Як регулятори визначають фактичний розмір штрафу

Максимум — це лише початкова рамка. Регулятори зважують обставини кожної справи, і цей процес не є простою таблицею пошуку.

Одне правило, яке варто знати: якщо кілька порушень відбуваються разом, загальний штраф не повинен перевищувати суму, визначену для найтяжчого порушення. На практиці це означає, що застосовна стеля прив'язана до найсерйознішого порушення у справі, а не до суми всіх стель.

Серйозність, розмір організації та характер недоліку — все це впливає на остаточну цифру. Саме тому дві компанії зі схожими порушеннями можуть отримати дуже різні штрафи, і саме тому максимальні цифри в заголовках слід розуміти як верхню межу, а не як прогноз.

Що це означає для вас

Штрафи надходять регуляторам, а не постраждалим особам, тому сам штраф не принесе вам грошей. Їхня цінність для вас є непрямою, але реальною.

  • Вони створюють стримувальний ефект. Стеля, прив'язана до світового обороту, дає навіть великим організаціям причину серйозно ставитися до захисту даних.
  • Вони підкріплюють ваші права. Штрафи вищого рівня пов'язані з порушеннями, які найбільше вас стосуються, зокрема з тим, як використовуються ваші дані та чи поважаються ваші права.
  • Вони дають вам шлях до дій. Якщо ви вважаєте, що організація неправильно використала ваші дані, ви можете спершу порушити питання перед організацією, а потім звернутися до регулятора захисту даних у вашій країні. У Великій Британії цим регулятором є ICO.

Також корисно зберігати реалістичні очікування. Дуже великий максимум не означає, що кожне порушення призводить до дуже великого штрафу. Наш матеріал про штрафи GDPR і дворівневу систему досліджує, чому цифри, що привертають увагу, можуть вводити в оману.

Практичні висновки

Розуміння штрафів GDPR корисне переважно тому, що воно показує вам, де знаходиться ваша сила впливу. Кілька кроків допоможуть застосувати ці знання на практиці:

  1. Знайте різницю між правилами Великої Британії та ЄС. Стеля у Великій Британії становить 17,5 мільйона фунтів стерлінгів або 4%, а стеля в ЄС — 20 мільйонів євро або 4%. Яка застосовується, залежить від того, де працює організація і де перебуваєте ви.
  2. Зберігайте записи. Якщо ви звертаєтеся до компанії щодо ваших даних, зберігайте електронні листи, дати та відповіді. Вони важливі, якщо ви згодом поскаржитеся регулятору.
  3. Використовуйте свої права. Ви можете запитати в організацій, які дані про вас вони зберігають, і порушувати питання, коли щось виглядає неправильно.
  4. Ескалюйте за потреби. Якщо компанія не вирішує ваше питання, національний регулятор захисту даних — наступний крок.
  5. Зменшуйте свою вразливість. Діліться лише тими даними, які справді потрібні сервісу, і використовуйте надійні унікальні паролі та двофакторну автентифікацію.

Штрафи GDPR, чи то 17,5 мільйона фунтів стерлінгів у Великій Британії, чи 20 мільйонів євро в ЄС, є видимим краєм ширшої системи, покликаної тримати ваші персональні дані під вашим контролем. Знання того, як працює ця система, полегшує її використання.