GDPR kazne: koliko su visoke i kako ih izbjeći

Kazne su najvidljiviji dio GDPR-a i razlog zbog kojeg mnoge uprave prvi put ozbiljno sjednu i pitaju koliko ih obrada osobnih podataka može stajati. Odgovor je velik broj. Za teže povrede upravne kazne dosežu do 20 milijuna eura ili 4 % ukupnog godišnjeg prometa na svjetskoj razini, ovisno o tome što je veće. Za reguliranu hrvatsku tvrtku u financijama, zdravstvu ili tehnologiji taj iznos nije apstrakcija, jer upravo te tvrtke obrađuju najosjetljivije podatke i najčešće privlače nadzor.

No kazna nije ni jedini ni uvijek najveći trošak povrede. Gubitak povjerenja klijenata, troškovi sanacije i obavještavanja, zastoj poslovanja i tužbe oštećenih pojedinaca zajedno često nadmaše samu kaznu. Zato kazne treba gledati kao posljedicu lošeg upravljanja podacima, a ne kao izolirani pravni rizik. Ovaj tekst objašnjava kako GDPR kazne funkcioniraju, koje dvije razine iznosa postoje i koje povrede spadaju u koju, što nadzorno tijelo uzima u obzir pri odmjeravanju, tko ih izriče u Hrvatskoj i, što je najvažnije, kako konkretno smanjiti rizik.

Ovo je dio našeg potpunog vodiča kroz GDPR, usmjeren na kazne. Cijeli program zaštite podataka vodimo kroz sigurnosni program i rizik.

Kako GDPR kazne funkcioniraju

Upravne kazne nisu jedina mjera koju nadzorno tijelo ima na raspolaganju. Prije ili uz kaznu može izdati upozorenje, opomenu, nalog za usklađivanje obrade, privremeno ili trajno ograničenje obrade, pa i zabranu obrade. Kazna je zato kraj jednog spektra ovlasti, a ne automatska reakcija na svaku povredu.

Kada do kazne dođe, ona se ne određuje paušalno. Članak 83. GDPR-a postavlja gornje granice i propisuje da kazna u svakom pojedinom slučaju mora biti učinkovita, razmjerna i odvraćajuća.¹ To znači da nadzorno tijelo procjenjuje okolnosti konkretne povrede, a navedeni milijunski iznosi su maksimumi koji se u praksi rijetko izriču u punom opsegu. Za tvrtku to je dobra vijest, jer pokazuje da uloženo u prevenciju i suradnju izravno snižava mogući iznos.

Dvije razine kazni i koje povrede spadaju u koju

Članak 83. dijeli kazne u dvije razine prema tome koja je obveza prekršena. Niža razina pokriva uglavnom proceduralne i organizacijske obveze, a viša razina temeljna načela obrade i prava pojedinaca. Navedeni iznosi su gornje granice, a uzima se onaj koji je veći, fiksni iznos ili postotak prometa.¹

Za velike grupe postotak prometa može daleko premašiti fiksni iznos, jer se 4 % računa na promet cijele grupe na svjetskoj razini. Za male i srednje tvrtke u praksi je relevantniji fiksni dio, ali to ne znači da su izuzete. GDPR nema prag veličine, pa i mala tvrtka može odgovarati za teže povrede ako obrađuje podatke bez osnove ili ignorira prava ispitanika. Više o tome pišemo u tekstu o GDPR-u za male tvrtke.

Kriteriji koje nadzorno tijelo uzima u obzir

Nadzorno tijelo ne izriče najveću kaznu automatski. Članak 83. stavak 2. propisuje niz čimbenika koji kaznu povećavaju ili smanjuju, i upravo oni odlučuju hoće li ishod biti opomena ili visok iznos.¹ Ovi kriteriji su razlog zašto su priprema, dokumentacija i suradnja toliko važni.

• Narav, težina i trajanje povrede, uključujući vrstu obrade, broj pogođenih ispitanika i razinu štete koju su pretrpjeli.
• Je li povreda počinjena namjerno ili iz nehaja, što izravno utječe na ocjenu odgovornosti.
• Radnje koje ste poduzeli da ublažite štetu za ispitanike nakon što ste povredu otkrili.
• Stupanj odgovornosti s obzirom na tehničke i organizacijske mjere koje ste imali uspostavljene prema člancima 25. i 32.
• Ranije povrede, kako biste znali da nadzorno tijelo gleda i povijest, a ne samo trenutni slučaj.
• Stupanj suradnje s nadzornim tijelom tijekom postupka, što kod brze i otvorene suradnje djeluje olakšavajuće.
• Način na koji je nadzorno tijelo saznalo za povredu, posebno jeste li je sami prijavili.
• Kategorije pogođenih podataka, gdje posebne kategorije poput zdravstvenih ili biometrijskih podataka težinu povećavaju.

Iz ovog popisa vidi se obrazac. Tvrtka koja je imala razumne mjere, otkrila povredu, sama je prijavila i surađivala bit će tretirana bitno blaže od one koja je obradu vodila nemarno i pokušala povredu sakriti. Drugim riječima, ponašanje prije i nakon incidenta mijenja ishod jednako koliko i sama povreda.

Tko izriče kazne u Hrvatskoj i koje ovlasti ima

U Hrvatskoj nadzor i kažnjavanje provodi Agencija za zaštitu osobnih podataka (AZOP). AZOP zaprima pritužbe ispitanika, provodi nadzore, izdaje upravne mjere i izriče upravne kazne, na temelju GDPR-a i Zakona o provedbi Opće uredbe (NN 42/2018).²³ Postupak najčešće kreće od pritužbe ispitanika ili od prijave povrede koju tvrtka sama dostavi.

Ovlasti AZOP-a su široke. Osim izricanja kazni, AZOP može naložiti voditelju ili izvršitelju obrade da uskladi obradu, da udovolji zahtjevu ispitanika, da obavijesti ispitanike o povredi, te može privremeno ili trajno ograničiti obradu pa i zabraniti je. Zbog toga je odnos s AZOP-om dio upravljanja rizikom, a ne samo formalnost. Brza i iskrena komunikacija u nadzoru gotovo uvijek je u interesu tvrtke.

Treba znati i da AZOP surađuje s drugim nadzornim tijelima u EU kroz mehanizam jedinstvene kontaktne točke. Ako vaša tvrtka obrađuje podatke ispitanika u više država članica, vodeće nadzorno tijelo i AZOP koordiniraju postupak, pa povreda u jednoj državi može imati posljedice na razini cijele EU. Za hrvatske tvrtke koje rade prekogranično to znači da lokalni opseg poslovanja ne ograničava nužno opseg moguće odgovornosti.

Vrste prekršaja koje najčešće vode do kazni

Iz odluka europskih nadzornih tijela ponavlja se nekoliko obrazaca. Iznose izrečenih kazni namjerno ne navodimo, jer se razlikuju od slučaja do slučaja i lako zavaraju, ali vrste povreda su dosljedne.

• Obrada bez valjane pravne osnove, primjerice slanje marketinga bez privole ili oslanjanje na privolu koja nije bila slobodna i informirana.
• Manjak sigurnosnih mjera koji dovede do povrede podataka, što spada pod kršenje članka 32.
• Nepoštivanje prava ispitanika, kao što su neodgovaranje na zahtjev za pristup ili brisanje u roku.
• Propust prijave povrede nadzornom tijelu u roku od 72 sata ili neobavještavanje ispitanika kada je rizik visok.
• Prekomjerno prikupljanje podataka i čuvanje dulje nego što je potrebno, čime se krši načelo ograničenja.
• Nedostatak transparentnosti, primjerice nejasne ili nepostojeće obavijesti o obradi.

Vrijedi primijetiti da gotovo svaka od ovih povreda ima sigurnosnu pozadinu ili sigurnosnu posljedicu. Slaba sigurnost dovodi do povrede, a povreda otkriva da osnova, evidencije ili rokovi čuvanja nisu bili u redu. Drugi obrazac je da kazne rijetko dolaze iz vedra neba. Najčešće im prethodi pritužba ispitanika ili medijski odjek nakon incidenta, pa tvrtka koja ozbiljno shvati i jedno i drugo bitno snižava izloženost.

Kako smanjiti rizik od kazne

Najbolja obrana od kazne je usklađenost koja počiva na stvarnoj zaštiti podataka, a ne na dokumentaciji koja postoji samo na papiru. Redoslijed je jasan i ponavljiv.

1. 01
   Popišite obradu

   Utvrdite koje osobne podatke obrađujete, zašto, na kojoj osnovi i koliko dugo, u evidenciji aktivnosti obrade. Bez tog popisa ne možete dokazati ništa drugo.
2. 02
   Odredite pravne osnove

   Za svaku obradu utvrdite valjanu pravnu osnovu prema članku 6. Privola nije zadana i često nije najbolja osnova.
3. 03
   Uvedite sigurnosne mjere

   Primijenite tehničke i organizacijske mjere primjerene riziku, kako traži članak 32., od kontrole pristupa i enkripcije do segmentacije i nadzora.
4. 04
   Pripremite postupke

   Uvježbajte ostvarivanje prava ispitanika i brzu prijavu povrede AZOP-u u roku od 72 sata, jer pravovremena prijava djeluje olakšavajuće.
5. 05
   Dokažite usklađenost

   Vodite zapise koji dokazuju da mjere postoje i rade, jer GDPR traži dokazivost, a ne samo postojanje pravila.

Brza prijava povrede zaslužuje poseban naglasak. Tvrtka koja povredu otkrije, prijavi je u roku i jasno pokaže koje je mjere imala i koje poduzima ulazi u nadzor s puno boljom pozicijom od one koja čeka da je netko prijavi. O tome detaljnije pišemo u tekstu o pravima ispitanika prema GDPR-u.

Veza sigurnosti i usklađenosti

GDPR i informacijska sigurnost nisu dvije odvojene discipline. Članak 32. izričito traži sigurnost obrade primjerenu riziku, a većina najtežih povreda u praksi počinje kao sigurnosni incident, od curenja baze podataka do neovlaštenog pristupa. Usklađenost koja ne počiva na stvarnoj sigurnosti je krhka, jer prvi ozbiljan napad otkrije da kontrola zapravo nije bilo.

Zato program zaštite podataka i sigurnosni program treba voditi zajedno. Procjena rizika, kontrole pristupa, enkripcija, nadzor sustava i plan odgovora na incidente istodobno smanjuju vjerojatnost povrede i dokazuju nadzornom tijelu da ste postupali odgovorno. Tehnička provjera tih kontrola, primjerice penetracijsko testiranje, pretvara tvrdnju da mjere rade u dokaz.

Kazna nije cijena koju plaćate regulatoru. Ona je račun za podatke koje niste znali da imate, ili niste znali zaštititi.

Kako Raptoric pomaže

Usklađenost gradimo na stvarnoj sigurnosti obrade. Kroz sigurnosni program i rizik slažemo evidencije, pravne osnove i mjere koje opisuju vašu stvarnu tvrtku, a kroz penetracijsko testiranje dokazujemo da mjere iz članka 32. zaista rade. Tako pripremamo dokumentaciju i kontrole koje izdrže i nadzor i napad. Dogovorite uvodni razgovor i reći ćemo vam gdje stojite i gdje je rizik od kazne najveći.