Khi một công ty xử lý dữ liệu cá nhân sai cách ở châu Âu, hậu quả được quy định bởi một khuôn khổ khá đơn giản. Hiểu rõ các hình phạt và bậc xử phạt GDPR giúp giải thích tại sao các cơ quan quản lý hành động như họ làm, và nó cũng cho thấy người dân bình thường có những công cụ gì khi một công ty làm sai. Hướng dẫn này, dựa trên tổng quan gần đây từ LegalHelp, sẽ đi qua cách các khoản phạt được cấu trúc, cách thực thi hoạt động, và những lựa chọn nào tồn tại ngoài các hình phạt của chính cơ quan quản lý.
Các Hình Phạt và Bậc Xử Phạt GDPR Hoạt Động Như Thế Nào
Quy định Bảo vệ Dữ liệu Chung chia mức phạt hành chính tối đa thành hai bậc, được quy định trong Điều 83.
- Bậc thấp hơn: lên đến €10 triệu hoặc 2% tổng doanh thu hàng năm trên toàn cầu của công ty, tùy theo mức nào cao hơn.
- Bậc cao hơn: lên đến €20 triệu hoặc 4% doanh thu hàng năm trên toàn cầu, tùy theo mức nào cao hơn.
Hai chi tiết quan trọng ở đây. Thứ nhất, đây là mức trần, không phải giá cố định. Các cơ quan quản lý tính toán số tiền thực tế theo từng trường hợp, vì vậy một khoản phạt có thể thấp hơn nhiều so với mức tối đa. Thứ hai, cụm từ "tùy theo mức nào cao hơn" có nghĩa là tỷ lệ phần trăm có thể vượt quá con số euro cố định đối với các công ty đa quốc gia lớn. Chỉ một mức trần cố định sẽ là một sai số làm tròn đối với một công ty có doanh thu khổng lồ, và lựa chọn dựa trên doanh thu là điều mang lại trọng lượng thực sự cho các quy tắc ở quy mô đó.
Bậc cao hơn thường được dành cho các vi phạm nghiêm trọng hơn. Bậc thấp hơn bao gồm các thất bại ít nghiêm trọng hơn. Trong thực tế, bậc mà một trường hợp thuộc về báo hiệu mức độ nghiêm trọng mà cơ quan quản lý nhìn nhận hành vi đó.
Những Vụ Thực Thi Lớn Tiết Lộ Gì Về Việc Xử Lý Dữ Liệu Sai
Các bậc xử phạt trông trừu tượng cho đến khi bạn thấy chúng được áp dụng. Các vụ thực thi cho thấy những loại thất bại nào thu hút sự chú ý nặng nề nhất và cách các cơ quan quản lý cân nhắc các tình huống khi ấn định số tiền.
Bài viết của chúng tôi về khoản phạt GDPR €825 triệu của Uber là một ví dụ hữu ích về cách một hình phạt ở mức cao nhất của thang đo được hình thành và nó báo hiệu điều gì cho các công ty khác xử lý dữ liệu xuyên biên giới. Dữ liệu trẻ em là một lĩnh vực khác đang bị giám sát chặt chẽ. Bài viết của chúng tôi về tại sao tuân thủ theo kiểu đánh dấu ô không hiệu quả theo quy tắc dữ liệu trẻ em GDPR cho thấy rằng các cơ quan quản lý ngày càng nhìn xa hơn giấy tờ để xem các tổ chức thực sự làm gì với thông tin cá nhân.
Điểm chung là các cơ quan quản lý tập trung vào thực tiễn thực tế. Một chính sách bảo mật tồn tại trên giấy không bảo vệ được một công ty nếu việc xử lý dữ liệu thực tế của họ không đạt yêu cầu.
Cách Nộp Khiếu Nại Với Cơ Quan Bảo Vệ Dữ Liệu Của Bạn
Các khoản phạt được áp đặt bởi các cơ quan quản lý, nhưng các cơ quan quản lý thường biết về các vấn đề vì các cá nhân báo cáo chúng. Nếu bạn tin rằng một tổ chức đã lạm dụng dữ liệu của bạn, bạn thường có quyền nộp khiếu nại với cơ quan bảo vệ dữ liệu (DPA). Quy trình chính xác thay đổi theo quốc gia, vì vậy điểm khởi đầu tốt nhất là trang web của DPA tại quốc gia thành viên EU của bạn.
Một vài bước thực tế có xu hướng làm cho khiếu nại mạnh mẽ hơn:
- Bắt đầu với công ty. Gửi yêu cầu bằng văn bản hỏi họ giữ dữ liệu gì về bạn, cách nó được sử dụng, và nó được chia sẻ với ai. Giữ một bản sao và ngày bạn gửi.
- Thu thập bằng chứng. Lưu email, ảnh chụp màn hình, trang tài khoản, và bất kỳ phản hồi nào bạn nhận được, bao gồm cả việc không có phản hồi.
- Cụ thể. Mô tả điều gì đã xảy ra, khi nào nó xảy ra, và dữ liệu nào của bạn có liên quan.
- Gửi đến cơ quan đúng. Sử dụng mẫu khiếu nại hoặc kênh liên lạc của DPA quốc gia bạn, và đính kèm tài liệu của bạn.
Một khiếu nại không đảm bảo một khoản phạt. Cơ quan quản lý quyết định có điều tra hay không và hành động gì, nếu có. Nhưng các khiếu nại là một phần của cách các mô hình hành vi sai trái được đưa ra ánh sáng.
Ngoài Phạt: Kiện Tụng Tư Nhân và Kháng Cáo Của Công Ty
Phạt hành chính chỉ là một phần của bức tranh. Tổng quan của LegalHelp cũng bao gồm các quyền thực thi ngoài phạt, kiện tụng tư nhân, và các lựa chọn kháng cáo.
Về phía cá nhân, những người bị tổn hại bởi vi phạm có thể theo đuổi yêu cầu bồi thường thông qua tòa án. Con đường này tách biệt với khoản phạt của cơ quan quản lý: tiền từ hình phạt hành chính không đi đến cá nhân bị ảnh hưởng. Nếu bạn đang cân nhắc hành động pháp lý, việc nói chuyện với một luật sư có trình độ tại khu vực tài phán của bạn là khôn ngoan, vì các quy tắc và thủ tục khác nhau.
Về phía công ty, các tổ chức nhận hình phạt thường có thể thách thức nó. Điều đó có nghĩa là một khoản phạt trên tiêu đề không phải lúc nào cũng là lời cuối cùng, và số tiền hoặc phát hiện có thể bị tranh chấp. Độc giả theo dõi một vụ án lớn nên coi thông báo đầu tiên như một giai đoạn trong một quá trình dài hơn.
Điều Này Có Ý Nghĩa Gì Với Bạn
Cấu trúc hai bậc có vẻ như là vấn đề của các nhóm tuân thủ doanh nghiệp, nhưng nó định hình đòn bẩy của bạn với tư cách cá nhân. Vì các hình phạt có thể đạt 2% hoặc 4% doanh thu toàn cầu, các công ty có lý do tài chính mạnh mẽ để phản hồi khi các cơ quan bảo vệ dữ liệu tham gia. Khiếu nại hoặc yêu cầu truy cập của bạn góp phần vào hệ thống đó.
Điều này áp dụng ngay cả khi bạn không ở EU trong cuộc sống hàng ngày. Nhiều dịch vụ toàn cầu xử lý dữ liệu của cư dân châu Âu, và các quy tắc được thiết kế để theo dữ liệu. Một VPN hoặc các công cụ bảo mật khác có thể giảm lượng thông tin bạn tiết lộ, nhưng quyền pháp lý bao gồm những gì xảy ra với dữ liệu một khi một công ty đã có nó. Hai cách tiếp cận hoạt động tốt nhất cùng nhau.
Những Điểm Chính
- Các hình phạt và bậc xử phạt GDPR được giới hạn ở €10 triệu hoặc 2% doanh thu toàn cầu (bậc thấp hơn) và €20 triệu hoặc 4% (bậc cao hơn), tùy theo mức nào cao hơn.
- Những con số đó là mức tối đa. Các cơ quan quản lý ấn định phạt thực tế dựa trên chi tiết cụ thể của từng trường hợp.
- Bạn có thể gửi yêu cầu truy cập đến một công ty và, nếu cần, nộp khiếu nại với cơ quan bảo vệ dữ liệu quốc gia của bạn.
- Yêu cầu bồi thường thông qua tòa án tách biệt với phạt quản lý, và các công ty có thể kháng cáo hình phạt.
Nếu một tổ chức đã xử lý dữ liệu của bạn kém, hãy sử dụng các quyền này. Gửi yêu cầu truy cập, ghi lại phản hồi, và nộp khiếu nại nếu nó không đạt yêu cầu. Để xem thực thi diễn ra như thế nào trong thực tế, hãy đọc phân tích của chúng tôi về khoản phạt Uber và báo cáo của chúng tôi về quy tắc dữ liệu trẻ em.
