Cześć, to ja – Dokrates!
Rok 2018 upłynął nam pod znakiem RODO: wielu przedsiębiorców z obawy na grożące im za naruszenia kary pieniężne przeprowadzało istną rewolucję w procesach związanym z przetwarzaniem danych. Trudno się dziwić – przedstawione w rozporządzeniu kwoty mogą przysporzyć bólu głowy. Opowiem Ci dziś trochę o tym, jakie działania mogą poskutkować nałożeniem takich kar i jaka może być ich maksymalna wysokość.
Kary za naruszenie RODO
Na początek warto zaznaczyć, że nie ma sztywno wskazanych wartości kar za poszczególne naruszenia. Ich wysokość zależna będzie od wielu czynników, takich jak m.in.:
- charakter, waga i czas trwania naruszenia,
- liczba osób poszkodowanych w jego wyniku oraz rozmiaru szkody,
- umyślny lub nieumyślny charakter naruszenia,
- działania podjęte przez administratora (lub podmiot przetwarzający) w celu zminimalizowania szkody,
- kategorie danych, których dotyczyło naruszenie,
- stopień współpracy z organem nadzorczym,
- sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, a więc czy administrator (lub podmiot przetwarzający) sam zgłosił naruszenie.
Jeżeli więc skala Twojej działalności nie jest duża, a przetwarzane przez Ciebie dane nie są w żadnym sensie newralgiczne (przede wszystkim nie są danymi szczególnych kategorii), w przypadku ewentualnego naruszenia organ nadzorczy prawdopodobnie nie wymierzy najwyższej możliwej kary. Zgodnie z rozporządzeniem ma ona być jednak skuteczna, proporcjonalna i odstraszająca, a więc możesz spodziewać się, że będzie dotkliwa.
Kategorie kar finansowych
W RODO rozróżniono dwie kategorie kar finansowych:
- Do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego (zastosowanie będzie miała kwota wyższa) za naruszenia dotyczące:
- podstawowych zasad przetwarzania, jak np. przetwarzanie bez legalnej podstawy prawnej (o podstawach przetwarzania pisałem więcej tutaj: Przetwarzamy dane – ale na jakiej podstawie?),
- praw osób, których dane dotyczą, jak np. prawo do usunięcia danych,
- przekazywania danych osobowych do państwa trzeciego.
- Do 10 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego (zastosowanie będzie miała kwota wyższa) za naruszenie obowiązków administratora lub podmiotu przetwarzającego dotyczących:
- wyrażenia zgody przez dziecko,
- stosowania privacy by design i privacy by default (te zagadnienia także wyjaśniałem już w tym wpisie: Privacy by Design i Privacy by Default – co to takiego?),
- zasad powierzenia przetwarzania danych.
Temat kar jest zdecydowanie najmniej przyjemną częścią rozmowy o ochronie danych osobowych, jednak jestem przekonany, że odpowiednie zabezpieczenie procesów przetwarzania i wywiązanie się z wymogów rozporządzenia skutecznie Cię przed nimi ochroni. Jeśli jednak do tej pory uciekałeś przed RODO, ale chcesz uniknąć ryzyka nieprzyjemnych sankcji, mogę Ci w tym pomóc: mój Pakiet Wzorów Dokumentów RODO zawiera łatwe do wypełnienia wzory, dzięki którym w szybki sposób stworzysz wymaganą przez rozporządzenie dokumentację!
