Штрафи GDPR залишаються однією з найбільш неправильно зрозумілих частин європейського законодавства про захист даних, навіть через роки після набуття чинності регламентом. Заголовки новин зазвичай зосереджуються на вражаючих максимальних сумах, але фактична структура покарань, яку використовують регулятори, є більш нюансною, і її розуміння має значення, чи керуєте ви малим бізнесом, чи просто хочете знати, наскільки серйозно захищені ваші дані.
Дворівнева структура штрафів GDPR
Штрафи GDPR побудовані навколо двох окремих рівнів, і те, який із них застосовується, залежить від характеру порушення, а не лише від його масштабу. Нижчий рівень охоплює процедурні порушення, такі як неналежне ведення записів, не призначення офіцера із захисту даних, коли це вимагається, або неналежне повідомлення про порушення. Верхній рівень призначений для серйозніших суттєвих порушень, включаючи порушення основних принципів обробки даних, незаконну передачу персональних даних або ігнорування прав осіб на доступ до своєї інформації чи її видалення.
Регулятори не зобов'язані одразу застосовувати максимальне покарання в межах будь-якого рівня. Натомість Європейська рада із захисту даних встановила рекомендації щодо розрахунку, які органи із захисту даних використовують для масштабування штрафу відповідно до фактичних обставин справи. Такі фактори, як тривалість порушення, чи було воно навмисним або необережним, скільки людей постраждало та чи співпрацювала організація зі слідчими, — усе це впливає на остаточну суму. Саме тому дві компанії, які вчинили подібні порушення, можуть отримати дуже різні штрафи: розрахунок не є фіксованим відсотком, що застосовується автоматично, це обчислення, засноване на конкретних обставинах справи.
Чому максимальний штраф рідко розповідає всю історію
Одне з найпоширеніших помилкових уявлень про GDPR полягає в тому, що кожне порушення загрожує штрафом у розмірі 20 мільйонів євро. На практиці граничні суми є найгіршим сценарієм для найсерйозніших і навмисних порушень, а не типовим результатом. Як розглянуто в суміжному матеріалі про чому верхня межа у 20 мільйонів євро рідко застосовується, більшість заходів примусового виконання завершуються сумами, значно нижчими за максимум, і регулятори, як правило, приберігають найбільші штрафи для повторних порушників, масштабних зловживань даними або компаній, які проігнорували попередні попередження.
Тим не менш, деякі штрафи, які потрапили в заголовки новин, демонструють, наскільки великими можуть бути ці покарання, коли регулятори вирішують, що порушення цього заслуговує. Нещодавній приклад — справа штрафу Uber у розмірі 825 мільйонів євро за даними водіїв, який є одним із найбільших покарань, накладених згідно з регламентом на сьогодні. Подібні справи ілюструють, як органи примусового виконання розраховують штрафи не лише на основі відсотка від обороту, але й з огляду на масштаб і чутливість залучених даних, а також на те, як довго тривала неналежна практика, перш ніж її було виправлено.
Штрафи GDPR є частиною ширшої європейської тенденції примусового виконання
GDPR не існує ізольовано. Інші юрисдикції по всій Європі створили власні правові рамки, які віддзеркалюють його або взаємодіють із ним. У Великій Британії, наприклад, Закон про захист даних 2018 року визначає сім основних принципів і власну структуру штрафів, яка тісно наслідує модель ЄС навіть після Brexit. Швейцарія застосувала подібний підхід зі своїм оновленим законом про конфіденційність, і організації, що працюють через кордони, тепер повинні відстежувати вимоги відповідності згідно зі Швейцарським законом про захист даних окремо від своїх зобов'язань за GDPR ЄС. Для будь-якого бізнесу, який обробляє дані в кількох країнах, цей клаптиковий набір переплетених, але окремих правил часто є більшим головним болем для відповідності, ніж самі штрафи.
Що це означає для вас
Якщо ви керуєте бізнесом, який збирає або обробляє персональні дані, штрафи GDPR мають формувати ваше ставлення до відповідності задовго до того, як регулятор взагалі втрутиться. Рівнева структура винагороджує організації, які можуть продемонструвати розумні запобіжні заходи, своєчасне повідомлення про порушення та співпрацю з органами із захисту даних. Чекати, поки розпочнеться розслідування, щоб усунути прогалини у практиках обробки даних, набагато ризикованіше, ніж вирішувати їх проактивно.
Для пересічних споживачів ці штрафи слугують сигналом того, наскільки серйозно (або ні) компанія ставиться до вашої особистої інформації. Сукупність покарань, особливо великих, пов'язаних із основними принципами захисту даних, а не з помилками в документації, є корисним індикатором того, як компанія поводиться з вашими даними щодня.
Ключові висновки
Штрафи GDPR слідують дворівневій системі, де серйозність порушення, а не лише розмір компанії, визначає, який поріг застосовується. Регулятори розраховують покарання, використовуючи рекомендації, які зважують необережність, тривалість і співпрацю, а не видають фіксовані максимальні штрафи за замовчуванням. Бізнес має розглядати відповідність як постійну практику, а не як реакцію на примусові заходи, оскільки задокументовані запобіжні заходи та своєчасне повідомлення про порушення суттєво знижують ризики. А для споживачів відстеження того, як компанії реагують на примусове виконання GDPR, пропонує практичний спосіб оцінити, які організації насправді пріоритетизують захист персональних даних.
