当一家公司在欧洲处理个人数据不当，其后果由一个相当简单的框架所决定。了解GDPR罚款与罚款层级有助于解释监管机构为何如此行事，同时也让普通人明白当公司出错时他们拥有哪些工具。本指南基于LegalHelp近期的一篇概述，详细介绍了罚款的结构、执法方式，以及监管机构自身处罚之外还有哪些选择。
GDPR罚款与罚款层级如何运作
《通用数据保护条例》将其最高行政罚款分为两个层级，规定于第83条。
- 较低层级： 最高1000万欧元或公司全球年度总营业额的2%，以较高者为准。
- 较高层级： 最高2000万欧元或全球年度总营业额的4%，以较高者为准。
这里有两点需要注意。首先，这些是上限，而非固定价格。监管机构会根据具体案件逐案计算实际金额，因此罚款可能远低于上限。其次，“以较高者为准”的表述意味着，对于大型跨国公司而言，按百分比计算的金额可能超过固定的欧元数额。仅设定固定上限对于收入庞大的公司来说不过是舍入误差，而基于营业额的选项正是让规则在这一规模上具有真正分量的原因。
较高层级通常保留给更为严重的违规行为。较低层级则涵盖不太严重的失误。在实践中，案件所属的层级表明监管机构对相关行为的重视程度。
重大执法案例揭示了数据处理不当的哪些问题
罚款层级在未被实际适用之前显得抽象。执法案例展示了哪些类型的失误最受关注，以及监管机构在确定金额时如何权衡各种情节。
我们对Uber 8.25亿欧元GDPR罚款的报道是一个有用的例子，展示了最高等级的处罚是如何形成的，以及它向其他跨境处理数据的公司传递了什么信号。儿童数据是另一个受到严格审查的领域。我们关于为何在GDPR儿童数据规则下勾选框式合规会失败的文章表明，监管机构越来越多地越过纸面文件，关注组织实际如何处理个人信息。
共同点在于，监管机构关注的是现实世界的实践。如果公司实际的数据处理不达标，纸面上存在的隐私政策并不能保护它。
如何向你的数据保护机构投诉
罚款由监管机构施加，但监管机构往往是因为个人举报才得知问题。如果你认为某个组织滥用了你的数据，你通常有权向数据保护机构（DPA）提出投诉。具体流程因国家而异，因此最佳起点是你所在欧盟成员国的DPA网站。
以下几个实用步骤往往能让投诉更有力：
- 先从公司入手。 发送书面请求，询问它持有你的哪些数据、如何使用以及分享给了谁。保留副本及发送日期。
- 收集证据。 保存电子邮件、截图、账户页面以及你收到的任何回复，包括未回复的情况。
- 具体描述。 说明发生了什么、何时发生以及涉及你的哪些数据。
- 提交给正确的机构。 使用你所在国家DPA的投诉表格或联系渠道，并附上你的文件材料。
投诉并不保证会有罚款。监管机构决定是否调查以及采取何种行动（如有）。但投诉是让不当行为模式浮出水面的一部分途径。
罚款之外：私人诉讼与公司上诉
行政罚款只是全貌的一部分。LegalHelp的概述还涵盖了罚款之外的执法权力、私人诉讼和上诉选项。
在个人方面，因违规行为而受到损害的人可能可以通过法院寻求赔偿。这一途径与监管机构的罚款是分开的：行政罚款的款项不会给到受影响的个人。如果你正在考虑法律行动，咨询你所在司法管辖区的合格律师是明智之举，因为规则和程序各不相同。
在公司方面，收到处罚的组织通常可以提出异议。这意味着头条新闻中的罚款并不总是最终结果，金额或裁定都可能受到质疑。关注重大案件的读者应将首次公告视为更长过程中的一个阶段。
这对你意味着什么
双层结构看似是企业合规团队的事情，但它塑造了你作为个人的杠杆。由于罚款可达全球营业额的2%或4%，当数据保护机构介入时，公司有强烈的财务动机作出回应。你的投诉或访问请求正是这一系统的输入。
即使你日常生活中不在欧盟，这也适用。许多全球性服务处理欧洲居民的数据，而规则的设计是跟随数据的。VPN或其他隐私工具可以减少你暴露的信息量，但法律权利涵盖的是公司已经获取数据后对这些数据的处理。两种方法配合使用效果最佳。
关键要点
- GDPR罚款与罚款层级的上限为1000万欧元或全球营业额的2%（较低层级）以及2000万欧元或4%（较高层级），以较高者为准。
- 这些数字是最高限额。监管机构根据每个案件的具体情况确定实际罚款。
- 你可以向公司发送访问请求，如有需要，可向你的国家数据保护机构提出投诉。
- 通过法院提出的赔偿索赔与监管罚款是分开的，公司可以就处罚提出上诉。
如果某个组织对你的数据处理不当，请使用这些权利。发送访问请求，记录回复，如果回复不达标就提出投诉。要了解执法在实践中的运作方式，请阅读我们对Uber罚款的分析以及我们关于儿童数据规则的报告。
