当企业不当处理个人数据时，新闻标题中的数字通常是最高罚款额。根据GDPR，英国的罚款最高可达1750万英镑或全球营业额的4%，欧盟则为2000万欧元或全球营业额的4%。这些数字听起来很抽象，但它们的存在是为了保护你。本指南用通俗易懂的语言解释它们的含义。

英国和欧盟的GDPR最高罚款

这两种制度遵循相同的基本设计。每种制度都以各自货币设定固定上限，并规定组织全球营业额的一定百分比。

  • 英国： 最高1750万英镑或全球营业额的4%
  • 欧盟： 最高2000万欧元或全球营业额的4%

百分比之所以重要，是因为它随组织规模而变化。固定金额对超大型企业来说微不足道，因此基于营业额的选择让监管机构能够设定真正有威慑力的罚款。该领域排名靠前的指南将较低层级的规则描述为“以较高者为准”，正是同样的逻辑使这一上限对大型企业具有实际意义。

这些是上限，而非标准罚款。大多数罚款远低于最高值，监管机构必须说明案件所处层级的原因。

哪些违规行为属于哪个层级

GDPR采用两级结构。较高层级——即适用1750万英镑或2000万欧元上限的层级——保留给更严重的违规行为。较低层级涵盖较轻的过失，适用较小的上限。公开可查的摘要显示，欧盟较低层级为1000万欧元或全球年营业额的2%。

总体而言，较高层级针对的是触及你权利核心的违规行为，例如违反数据处理的基本原则或剥夺法律赋予人们的权利。较低层级通常与更多程序性或组织性义务相关。如需深入了解这种划分方式的运作机制，请参阅我们的解释文章GDPR两级处罚制度如何运作。

监管机构如何确定实际罚款金额

最高值只是起始框架。监管机构会权衡每个案件的具体情况，这一过程并非简单的查表。

有一条规则值得了解：当多项违规行为同时发生时，罚款总额不应超过对最严重违规行为所规定的金额。在实践中，这意味着适用的上限与案件中最严重的违规行为挂钩，而非各项上限之和。

严重程度、组织规模以及过失的性质都会影响最终数字。这就是为什么违规行为相似的两家公司可能受到截然不同的处罚，也是为什么新闻标题中的最高值应被理解为上限而非预测。

这对你意味着什么

罚款归监管机构所有，而非受影响个人，因此罚款本身不会让你获得任何金钱。它们对你的价值是间接的，但却是真实的。

  • 它们形成威慑。 与全球营业额挂钩的上限让即使是大型组织也有理由认真对待数据保护。
  • 它们支撑你的权利。 较高层级的处罚与你最关心的违规行为相关联，包括你的数据如何被使用以及你的权利是否得到尊重。
  • 它们为你提供了行动途径。 如果你认为某个组织滥用了你的数据，你可以先向该组织提出问题，然后向所在国家的数据保护监管机构投诉。在英国，该监管机构是ICO。

保持合理的期望也有帮助。非常高的上限并不意味着每次违规都会产生巨额罚款。我们对GDPR罚款与两级制度的报道探讨了为什么那些引人注目的数字可能具有误导性。

实用要点

了解GDPR罚款之所以有用，主要是因为它让你看清自己的 leverage 所在。以下几个步骤可以将这些知识付诸实践：

  1. 了解英国与欧盟规则的区别。 英国上限为1750万英镑或4%，欧盟上限为2000万欧元或4%。适用哪一种取决于组织的运营地以及你所在的地点。
  2. 保留记录。 如果你就自己的数据联系某家公司，请保存邮件、日期和回复。如果你日后向监管机构投诉，这些都很重要。
  3. 行使你的权利。 你可以要求组织告知他们持有哪些关于你的数据，并在发现问题时提出疑虑。
  4. 必要时升级。 如果公司未能解决你的疑虑，国家数据保护监管机构是下一步。
  5. 减少你的暴露风险。 只分享服务真正需要的数据，并使用强密码、唯一密码和双重身份验证。

GDPR罚款——无论是英国的1750万英镑还是欧盟的2000万欧元——都是一个更广泛体系的可视边缘，该体系旨在让你的个人数据处于你的掌控之中。了解该体系的运作方式，就能更容易地运用它。