GDPR kazne: koliko su visoke i kako ih izbjeći

Kazne su najvidljiviji dio GDPR-a i razlog zbog kojeg mnoge uprave prvi put sjednu i pitaju koliko nas to može koštati. Odgovor je velik broj: za teže povrede kazne dosežu do 20 milijuna eura ili 4 % ukupnog godišnjeg prometa na svjetskoj razini, ovisno o tome što je veće. No kazna nije ni jedini ni uvijek najveći trošak povrede. Ovaj tekst objašnjava kako se visina određuje, tko kazne izriče u Hrvatskoj i, što je najvažnije, kako ih izbjeći.

Ovo je dio našeg potpunog vodiča kroz GDPR, usmjeren na kazne. Cijeli program zaštite podataka vodimo kroz sigurnosni program i rizik.

Dvije razine kazni

Članak 83. GDPR-a dijeli kazne u dvije razine prema tome koja je obveza prekršena. Navedeni iznosi su gornje granice, a stvarna kazna gotovo je uvijek niža.¹

Uzima se iznos koji je veći, pa za velike grupe postotak prometa može daleko premašiti fiksni iznos. Za male tvrtke u praksi je relevantniji fiksni dio, ali to ne znači da su izuzete.

Što određuje visinu kazne

AZOP i drugi nadzornici ne izriču najveću kaznu automatski. Članak 83. propisuje niz čimbenika koji kaznu povećavaju ili smanjuju.¹

• Narav, težina i trajanje povrede, uključujući broj pogođenih ispitanika i opseg štete.
• Je li povreda počinjena namjerno ili iz nehaja.
• Mjere koje ste poduzeli da ublažite štetu za ispitanike.
• Stupanj odgovornosti s obzirom na tehničke i organizacijske mjere koje ste imali.
• Ranije povrede i stupanj suradnje s nadzornim tijelom tijekom postupka.
• Kategorije pogođenih podataka, posebno posebne kategorije poput zdravstvenih.

Tko izriče kazne u Hrvatskoj

U Hrvatskoj nadzor i kažnjavanje provodi Agencija za zaštitu osobnih podataka (AZOP). AZOP zaprima pritužbe ispitanika, provodi nadzore i izriče upravne mjere i kazne, na temelju GDPR-a i Zakona o provedbi Opće uredbe (NN 42/2018).²³ Postupak najčešće kreće od pritužbe ispitanika ili prijave povrede, pa je dobar odnos i suradnja s AZOP-om dio upravljanja rizikom.

Kazna nije jedini trošak

Tvrtke se često fokusiraju samo na iznos kazne, a previde da povreda podataka nosi i druge troškove. Gubitak povjerenja klijenata, troškovi obavještavanja i sanacije, mogući zastoj poslovanja i tužbe oštećenih pojedinaca zajedno često nadmaše samu kaznu. Za mnoge tvrtke reputacijska šteta najtrajnija je posljedica.

Kako izbjeći kazne

Najbolja obrana od kazne je usklađenost koja počiva na stvarnoj zaštiti podataka, a ne na dokumentaciji. Redoslijed je jasan.

1. 01
   Popišite obradu

   Utvrdite koje osobne podatke obrađujete, zašto, na kojoj osnovi i koliko dugo, u evidenciji aktivnosti obrade.
2. 02
   Odredite pravne osnove

   Za svaku obradu utvrdite valjanu pravnu osnovu; privola nije zadana i često nije najbolja.
3. 03
   Uvedite mjere

   Primijenite tehničke i organizacijske mjere primjerene riziku, kako traži članak 32.
4. 04
   Pripremite postupke

   Uvježbajte ostvarivanje prava ispitanika i prijavu povrede AZOP-u u roku od 72 sata.
5. 05
   Dokažite

   Vodite zapise koji dokazuju da mjere postoje i rade, jer GDPR traži dokazivost.

Kako Raptoric pomaže

Usklađenost gradimo na stvarnoj sigurnosti obrade. Kroz sigurnosni program i rizik slažemo evidencije, pravne osnove i mjere koje opisuju vašu stvarnu tvrtku, a kroz penetracijsko testiranje dokazujemo da mjere iz članka 32. zaista rade. Dogovorite uvodni razgovor i reći ćemo vam gdje stojite.