Коли компанія неналежно поводиться з персональними даними в Європі, наслідки визначаються досить простою структурою. Розуміння штрафів GDPR та рівнів штрафів допомагає пояснити, чому регулятори діють саме так, а також показує пересічним людям, які інструменти вони мають, коли компанія чинить неправильно. Цей посібник, заснований на нещодавньому огляді від LegalHelp, розглядає, як структуровані штрафи, як працює правозастосування та які варіанти існують поза межами власних стягнень регулятора.

Як працюють штрафи GDPR та рівні штрафів

Загальний регламент про захист даних поділяє свої максимальні адміністративні штрафи на два рівні, визначені у статті 83.

  • Нижчий рівень: до €10 мільйонів або 2% від загального річного світового обороту компанії, залежно від того, яка сума більша.
  • Вищий рівень: до €20 мільйонів або 4% від річного світового обороту, залежно від того, яка сума більша.

Тут важливі дві деталі. По-перше, це граничні суми, а не фіксовані ціни. Регулятори розраховують фактичну суму в кожному конкретному випадку, тому штраф може бути значно нижчим за максимум. По-друге, формулювання «залежно від того, яка сума більша» означає, що відсоток може перевищувати фіксовану суму в євро для великих транснаціональних компаній. Лише фіксована стеля була б похибкою округлення для компанії з величезним доходом, і саме варіант на основі обороту надає правилам реальної ваги в такому масштабі.

Вищий рівень, як правило, призначений для більш серйозних порушень. Нижчий рівень охоплює менш серйозні недоліки. На практиці рівень, до якого належить справа, сигналізує про те, наскільки серйозно регулятор оцінює поведінку.

Що розкривають великі справи про правозастосування щодо неналежного поводження з даними

Рівні штрафів виглядають абстрактно, доки ви не побачите їх застосування. Справи про правозастосування показують, які види недоліків привертають найбільшу увагу та як регулятори зважують обставини при визначенні суми.

Наше висвітлення штрафу Uber у розмірі €825 млн за GDPR є корисним прикладом того, як складається штраф на верхньому кінці шкали та що він сигналізує іншим компаніям, які обробляють дані через кордони. Дані дітей — ще одна сфера під пильною увагою. Наша стаття про чому формальне дотримання вимог не працює за правилами GDPR щодо даних дітей показує, що регулятори дедалі частіше дивляться поза паперову документацію на те, що організації фактично роблять з персональною інформацією.

Спільна риса полягає в тому, що регулятори зосереджуються на реальній практиці. Політика конфіденційності, яка існує лише на папері, не захищає компанію, якщо її фактичне поводження з даними не відповідає вимогам.

Як подати скаргу до вашого органу із захисту даних

Штрафи накладаються регуляторами, але регулятори часто дізнаються про проблеми, тому що окремі особи повідомляють про них. Якщо ви вважаєте, що організація неправомірно використала ваші дані, ви, як правило, маєте право подати скаргу до органу із захисту даних (DPA). Точний процес відрізняється залежно від країни, тому найкращою відправною точкою є вебсайт DPA у вашій власній державі-члені ЄС.

Кілька практичних кроків, як правило, роблять скаргу сильнішою:

  1. Почніть з компанії. Надішліть письмовий запит із проханням повідомити, які дані вона зберігає про вас, як вони використовуються та з ким вони передаються. Збережіть копію та дату відправлення.
  2. Зберіть докази. Збережіть електронні листи, скриншоти, сторінки облікового запису та будь-які відповіді, які ви отримаєте, включно з відсутністю відповіді.
  3. Будьте конкретними. Опишіть, що сталося, коли це сталося та які саме ваші дані були задіяні.
  4. Подайте до правильного органу. Скористайтеся формою скарги або каналом зв'язку вашого національного DPA та додайте свою документацію.

Скарга не гарантує штрафу. Регулятор вирішує, чи проводити розслідування та яких заходів, якщо такі будуть, вжити. Але скарги є частиною того, як виявляються моделі неправомірної поведінки.

Поза штрафами: приватні позови та апеляції компаній

Адміністративні штрафи — лише частина картини. Огляд LegalHelp також охоплює повноваження щодо правозастосування поза межами штрафів, приватні позови та варіанти апеляції.

З боку окремої особи люди, які зазнали шкоди внаслідок порушення, можуть мати можливість домагатися компенсації через суди. Цей шлях відокремлений від штрафу регулятора: кошти від адміністративного стягнення не надходять постраждалій особі. Якщо ви розглядаєте можливість судового позову, розумно проконсультуватися з кваліфікованим юристом у вашій юрисдикції, оскільки правила та процедури відрізняються.

З боку компанії організації, які отримали стягнення, зазвичай можуть його оскаржити. Це означає, що гучний штраф не завжди є остаточним рішенням, і суми або висновки можуть бути оскаржені. Читачам, які стежать за великою справою, слід сприймати перше оголошення як етап у тривалішому процесі.

Що це означає для вас

Дворівнева структура може здатися справою для корпоративних відділів комплаєнсу, але вона формує ваші важелі впливу як окремої особи. Оскільки штрафи можуть сягати 2% або 4% світового обороту, компанії мають сильний фінансовий стимул реагувати, коли до справи залучаються органи із захисту даних. Ваша скарга або запит на доступ живлять цю систему.

Це стосується навіть якщо ви не перебуваєте в ЄС у повсякденному житті. Багато глобальних сервісів обробляють дані європейських резидентів, і правила розроблені так, щоб слідувати за даними. VPN або інші інструменти конфіденційності можуть зменшити обсяг інформації, яку ви розкриваєте, але юридичні права охоплюють те, що відбувається з даними, коли компанія вже їх має. Обидва підходи працюють найкраще разом.

Ключові висновки

  • Штрафи GDPR та рівні штрафів обмежені €10 мільйонами або 2% світового обороту (нижчий рівень) та €20 мільйонами або 4% (вищий рівень), залежно від того, яка сума більша.
  • Ці цифри є максимумами. Регулятори встановлюють фактичні штрафи на основі конкретних обставин кожної справи.
  • Ви можете надіслати запит на доступ до компанії та, за потреби, подати скаргу до вашого національного органу із захисту даних.
  • Позови про компенсацію через суди відокремлені від регуляторних штрафів, і компанії можуть оскаржувати стягнення.

Якщо організація неналежно поводилася з вашими даними, скористайтеся цими правами. Надішліть запит на доступ, задокументуйте відповідь і подайте скаргу, якщо вона недостатня. Щоб побачити, як правозастосування відбувається на практиці, прочитайте наш аналіз штрафу Uber та нашу доповідь про правила щодо даних дітей.