Khi một công ty xử lý dữ liệu cá nhân sai cách, con số được nhắc đến thường là mức phạt tối đa. Theo GDPR, tiền phạt có thể lên tới 17,5 triệu Bảng Anh hoặc 4% doanh thu toàn cầu tại Vương quốc Anh, và 20 triệu Euro hoặc 4% doanh thu toàn cầu tại EU. Những con số này nghe có vẻ trừu tượng, nhưng chúng tồn tại để bảo vệ bạn. Hướng dẫn này giải thích ý nghĩa của chúng bằng ngôn ngữ đơn giản.
Mức phạt GDPR tối đa tại Vương quốc Anh và EU
Hai chế độ tuân theo cùng một thiết kế cơ bản. Mỗi chế độ đặt ra một mức trần cố định bằng đơn vị tiền tệ của mình và một tỷ lệ phần trăm doanh thu toàn cầu của tổ chức.
- Vương quốc Anh: lên tới 17,5 triệu Bảng Anh hoặc 4% doanh thu toàn cầu
- EU: lên tới 20 triệu Euro hoặc 4% doanh thu toàn cầu
Tỷ lệ phần trăm quan trọng vì nó tăng theo quy mô của tổ chức. Một khoản tiền cố định sẽ là không đáng kể đối với một công ty rất lớn, vì vậy lựa chọn dựa trên doanh thu cho phép cơ quan quản lý đặt ra một hình phạt thực sự có tác động. Các hướng dẫn hàng đầu về chủ đề này mô tả quy tắc là "mức nào cao hơn" đối với bậc thấp hơn, và cùng logic đó là điều khiến mức trần được nhắc đến trở nên có ý nghĩa đối với các công ty lớn.
Đây là các mức trần, không phải hình phạt tiêu chuẩn. Hầu hết các khoản phạt đều thấp hơn nhiều so với mức tối đa, và cơ quan quản lý phải biện minh cho vị trí của một vụ việc.
Những vi phạm nào thuộc từng bậc
GDPR sử dụng cấu trúc hai bậc. Bậc cao hơn, bậc mang mức trần 17,5 triệu Bảng Anh hoặc 20 triệu Euro, được dành cho các vi phạm nghiêm trọng hơn. Bậc thấp hơn bao gồm các sai sót ít nghiêm trọng hơn và mang mức trần nhỏ hơn. Các bản tóm tắt công khai đặt bậc thấp hơn của EU ở mức 10 triệu Euro hoặc 2% doanh thu hàng năm toàn cầu.
Nói chung, bậc cao hơn nhắm vào các vi phạm tấn công vào cốt lõi quyền của bạn, chẳng hạn như vi phạm các nguyên tắc cơ bản về xử lý dữ liệu hoặc từ chối trao cho mọi người các quyền mà pháp luật ban cho họ. Bậc thấp hơn thường gắn với các nghĩa vụ mang tính thủ tục hoặc tổ chức hơn. Để có hướng dẫn sâu hơn về cách phân chia này hoạt động, hãy xem bài giải thích của chúng tôi về cách hệ thống hình phạt hai bậc của GDPR hoạt động.
Cách cơ quan quản lý xác định mức phạt thực tế
Mức tối đa chỉ là khung khởi đầu. Cơ quan quản lý cân nhắc các hoàn cảnh của từng vụ việc, và quy trình này không phải là một bảng tra cứu đơn giản.
Một quy tắc đáng biết: khi nhiều vi phạm xảy ra cùng nhau, tổng tiền phạt không được vượt quá số tiền được quy định cho vi phạm nghiêm trọng nhất. Trên thực tế, điều đó có nghĩa là mức trần áp dụng được gắn với vi phạm nghiêm trọng nhất trong vụ việc, chứ không phải tổng của mọi mức trần.
Mức độ nghiêm trọng, quy mô của tổ chức và bản chất của sai sót đều góp phần vào con số cuối cùng. Đó là lý do tại sao hai công ty có vi phạm tương tự có thể nhận được các hình phạt rất khác nhau, và tại sao các mức tối đa được nhắc đến nên được đọc như một ranh giới trên chứ không phải một dự đoán.
Điều này có ý nghĩa gì đối với bạn
Tiền phạt được trao cho cơ quan quản lý, không phải cho các cá nhân bị ảnh hưởng, vì vậy bản thân hình phạt sẽ không mang tiền đến túi bạn. Giá trị của chúng đối với bạn là gián tiếp, nhưng có thật.
- Chúng tạo ra sự răn đe. Một mức trần gắn với doanh thu toàn cầu cho cả các tổ chức lớn lý do để coi trọng việc bảo vệ dữ liệu.
- Chúng củng cố quyền của bạn. Các hình phạt bậc cao hơn được liên kết với những vi phạm quan trọng nhất đối với bạn, bao gồm cách dữ liệu của bạn được sử dụng và liệu quyền của bạn có được tôn trọng hay không.
- Chúng cho bạn một con đường để hành động. Nếu bạn cho rằng một tổ chức đã lạm dụng dữ liệu của bạn, bạn có thể nêu vấn đề với tổ chức đó trước, sau đó đưa đến cơ quan bảo vệ dữ liệu tại quốc gia của bạn. Tại Vương quốc Anh, cơ quan quản lý đó là ICO.
Cũng hữu ích khi giữ kỳ vọng thực tế. Một mức tối đa rất lớn không có nghĩa là mọi vi phạm đều tạo ra một khoản phạt rất lớn. Bài viết của chúng tôi về tiền phạt GDPR và hệ thống hai bậc khám phá lý do tại sao những con số gây chú ý có thể gây hiểu lầm.
Những điểm thực hành cần nắm
Hiểu về tiền phạt GDPR chủ yếu hữu ích vì nó cho bạn thấy đòn bẩy của bạn nằm ở đâu. Một vài bước đưa kiến thức đó vào thực tế:
- Biết sự khác biệt giữa quy tắc của Vương quốc Anh và EU. Mức trần của Vương quốc Anh là 17,5 triệu Bảng Anh hoặc 4%, và mức trần của EU là 20 triệu Euro hoặc 4%. Áp dụng mức nào phụ thuộc vào nơi tổ chức hoạt động và nơi bạn ở.
- Lưu giữ hồ sơ. Nếu bạn liên hệ với một công ty về dữ liệu của mình, hãy lưu lại email, ngày tháng và phản hồi. Chúng quan trọng nếu sau này bạn khiếu nại với cơ quan quản lý.
- Sử dụng quyền của bạn. Bạn có thể hỏi các tổ chức xem họ lưu giữ dữ liệu gì về bạn và nêu lo ngại khi có điều gì đó có vẻ sai.
- Leo thang khi cần thiết. Nếu một công ty không giải quyết mối lo ngại của bạn, cơ quan bảo vệ dữ liệu quốc gia là bước tiếp theo.
- Giảm thiểu rủi ro của bạn. Chỉ chia sẻ dữ liệu mà một dịch vụ thực sự cần, và sử dụng mật khẩu mạnh, duy nhất cùng xác thực hai yếu tố.
Tiền phạt GDPR, dù là 17,5 triệu Bảng Anh tại Vương quốc Anh hay 20 triệu Euro tại EU, là rìa hữu hình của một hệ thống rộng lớn hơn được thiết kế để giữ dữ liệu cá nhân của bạn trong tầm kiểm soát của bạn. Hiểu cách hệ thống đó hoạt động giúp bạn dễ sử dụng nó hơn.
