Ủy ban Bảo vệ Dữ liệu Châu Âu (EDPB) đã công bố dự thảo hướng dẫn có thể thay đổi cách thực thi GDPR trên thực tế. Theo bản tóm tắt của dự thảo, đề xuất này đặt ra một giả định của EDPB về việc phạt GDPR đối với các vi phạm không nhỏ, đi kèm với một ngưỡng được thiết kế cố ý thấp để xác lập sự sơ suất. Nói một cách đơn giản, các cơ quan quản lý sẽ bắt đầu từ giả định rằng một vi phạm nghiêm trọng đáng bị phạt, và các công ty sẽ phải gánh nhiều trách nhiệm hơn trong việc chứng minh tại sao không nên phạt.
Tài liệu nguồn có sẵn cho bài viết này chỉ giới hạn ở một bản tóm tắt, vì vậy bài đăng này chỉ dựa vào những gì bản tóm tắt đó nêu ra và giải thích các tác động có thể xảy ra một cách tổng quát.
Những gì dự thảo hướng dẫn của EDPB đề xuất
Cốt lõi của dự thảo là sự thay đổi trong mặc định. Cho đến nay, các cơ quan giám sát có một loạt quyền hạn khắc phục theo GDPR, từ khiển trách và lệnh tuân thủ cho đến các khoản phạt hành chính. Dự thảo hướng dẫn đề xuất rằng đối với các vi phạm không nhỏ, một khoản phạt nên là kết quả được mong đợi thay vì chỉ là một lựa chọn trong nhiều lựa chọn.
Hai yếu tố nổi bật trong bản tóm tắt:
- Một giả định ủng hộ việc phạt đối với các vi phạm không nhỏ.
- Một ngưỡng được thiết kế cố ý thấp đối với sự sơ suất, điều này quan trọng vì lỗi là một điều kiện then chốt để áp đặt một khoản phạt.
Bản tóm tắt cũng lưu ý rằng các tổ chức sẽ cần chứng minh các biện pháp mạnh mẽ để cho thấy họ đã hành động với sự cẩn trọng phù hợp. Dự thảo là một đề xuất, không phải hướng dẫn cuối cùng, vì vậy các chi tiết có thể thay đổi sau khi tham vấn.
Tại sao ngưỡng sơ suất thấp thay đổi việc thực thi
Các khoản phạt theo GDPR thường phụ thuộc vào việc một vi phạm là cố ý hay sơ suất. Nếu việc chứng minh sơ suất là khó khăn, các cơ quan quản lý có thể ngần ngại phạt, hoặc các vụ việc có thể bị đình trệ trong tranh luận về những gì một công ty đã biết hoặc lẽ ra phải biết.
Một ngưỡng thấp thay đổi động lực đó. Nếu một công ty đã không thực hiện các bước mà một tổ chức cẩn trọng hợp lý sẽ thực hiện, sự sơ suất có thể được xác lập mà không cần điều tra thêm nhiều. Kết hợp với một giả định về việc phạt, điều đó sẽ khiến một tổ chức khó lập luận hơn rằng một vi phạm chỉ là vận rủi hoặc một sơ suất chân thành.
Điều này phù hợp với nỗ lực rộng lớn hơn hướng tới tính nhất quán. EDPB đã giới thiệu một phương pháp năm bước để tính toán các khoản phạt, mà chúng tôi đã đề cập trong bài giải thích của chúng tôi về phương pháp phạt GDPR năm bước của EDPB. Phương pháp đó giải quyết việc một khoản phạt nên là bao nhiêu. Dự thảo mới giải quyết câu hỏi trước đó là liệu có nên áp đặt một khoản phạt hay không. Để biết thông tin cơ bản về các mức phạt và vai trò của lỗi, hãy xem hướng dẫn của chúng tôi về các khoản phạt và hình phạt GDPR trong năm 2026.
Điều này có ý nghĩa gì với bạn
Đối với người dân thông thường, tác động thực tế sẽ là gián tiếp nhưng có ý nghĩa. Các quyền riêng tư trên giấy tờ chỉ có ý nghĩa nếu có hậu quả khi chúng bị phớt lờ. Nếu các khoản phạt trở thành phản ứng được mong đợi đối với các vi phạm nghiêm trọng, các công ty có lý do tài chính mạnh mẽ hơn để:
- Thu thập ít dữ liệu cá nhân hơn ngay từ đầu.
- Bảo mật dữ liệu họ lưu giữ, và ghi lại cách thức.
- Phản hồi các yêu cầu truy cập, xóa và phản đối đúng hạn.
- Đào tạo nhân viên và thẩm định các nhà cung cấp xử lý dữ liệu khách hàng.
Điều này không có nghĩa là mọi khiếu nại sẽ kết thúc bằng một hình phạt, và nó không đảm bảo kết quả nhanh hơn cho các cá nhân. Các vi phạm nhỏ được mong đợi sẽ được xử lý khác đi, và các hướng dẫn vẫn còn ở dạng dự thảo. Nhưng hướng đi là hướng tới việc thực thi có trọng lượng thực sự.
Trong khi đó, các tổ chức có thể sẽ tập trung vào bằng chứng. Theo cách tiếp cận này, khả năng trình bày hồ sơ, đánh giá rủi ro và hành động khắc phục kịp thời có thể là sự khác biệt giữa một khoản phạt và một phản ứng nhẹ hơn.
Cách thực hiện quyền GDPR của bạn ngay hôm nay
Bạn không cần phải chờ các hướng dẫn được hoàn thiện. Nếu bạn ở EU hoặc EEA, hoặc một công ty đang xử lý dữ liệu của bạn theo GDPR, bạn đã có thể hành động:
- Yêu cầu truy cập. Gửi yêu cầu truy cập dữ liệu chủ thể để tìm hiểu những gì một công ty lưu giữ về bạn và cách họ sử dụng nó.
- Yêu cầu xóa. Nếu dữ liệu không còn cần thiết hoặc bạn rút lại sự đồng ý, hãy yêu cầu công ty xóa nó.
- Phản đối việc xử lý. Bạn có thể phản đối một số mục đích sử dụng nhất định, bao gồm tiếp thị trực tiếp.
- Lưu giữ hồ sơ. Lưu bản sao các yêu cầu của bạn và các câu trả lời, kèm theo ngày tháng.
- Leo thang nếu bị phớt lờ. Nếu một công ty không phản hồi đúng cách, bạn có thể khiếu nại với cơ quan bảo vệ dữ liệu quốc gia của bạn.
Một khiếu nại có tài liệu, có cơ sở vững chắc là loại bằng chứng mà các cơ quan quản lý có thể hành động, và một lập trường thực thi mạnh mẽ hơn sẽ khiến những khiếu nại đó có hậu quả hơn.
Những điểm chính cần ghi nhớ
Giả định của EDPB về việc phạt GDPR, nếu được thông qua như dự thảo, sẽ khiến các hình phạt trở thành phản ứng bình thường đối với các vi phạm không nhỏ và khiến sự sơ suất dễ được xác lập hơn. Điều đó tạo áp lực lên các công ty trong việc xử lý dữ liệu cá nhân một cách cẩn trọng và mang lại cho các quyền của cá nhân sức mạnh thực tế hơn.
Hãy sử dụng các quyền bạn đã có: yêu cầu truy cập, yêu cầu xóa và phản đối khi thích hợp. Để hiểu cách các hình phạt được tính toán khi một khoản phạt đã được đặt lên bàn, hãy đọc các bài giải thích của chúng tôi về phương pháp phạt năm bước của EDPB và các mức hình phạt GDPR.
