Amenzi GDPR și sancțiuni ANSPDCP: cât riscă firmele și autoritățile publice

Cât de mari pot fi amenzile GDPR?

Art. 83 din GDPR stabilește două plafoane maxime. Pentru întreprinderi se ia în calcul valoarea mai mare dintre suma fixă și procentul din cifra de afaceri mondială anuală totală a exercițiului financiar anterior.

Acestea sunt plafoane, nu tarife. Amenda concretă poate fi mult mai mică și se stabilește de la caz la caz. Art. 83 alin. (1) cere doar ca amenzile să fie eficace, proporționale și disuasive.

Pentru ce se aplică fiecare plafon?

Plafonul de 10 milioane euro sau 2% (art. 83 alin. 4) acoperă încălcările obligațiilor prevăzute, printre altele, la art. 8 și 11 și la art. 25–39. Practic, sunt obligațiile de organizare a conformității:

• protecția datelor începând cu momentul conceperii și în mod implicit (art. 25);
• contractele cu persoanele împuternicite (art. 28);
• registrul evidenței prelucrărilor (art. 30);
• securitatea prelucrării (art. 32);
• notificarea și comunicarea încălcărilor securității datelor (art. 33–34);
• evaluarea impactului (art. 35–36);
• desemnarea, poziția și sarcinile DPO (art. 37–39).

Plafonul de 20 milioane euro sau 4% (art. 83 alin. 5) acoperă încălcările de fond:

• principiile de bază, inclusiv condițiile pentru consimțământ (art. 5, 6, 7 și 9);
• drepturile persoanelor vizate (art. 12–22);
• transferurile de date către țări terțe (art. 44–49);
• obligațiile din legislația națională adoptată în temeiul capitolului IX;
• nerespectarea unui ordin sau a unei limitări impuse de autoritate ori refuzul de a permite accesul autorității (art. 58).

Cum stabilește ANSPDCP cuantumul amenzii?

Cuantumul se stabilește în fiecare caz după criteriile din art. 83 alin. (2). Autoritatea analizează:

1. natura, gravitatea și durata încălcării, ținând cont de scopul prelucrării, numărul persoanelor afectate și nivelul prejudiciului;
2. dacă încălcarea a fost comisă intenționat sau din neglijență;
3. măsurile luate pentru a reduce prejudiciul suferit de persoane;
4. gradul de responsabilitate, ținând cont de măsurile tehnice și organizatorice aplicate conform art. 25 și 32;
5. eventualele încălcări anterioare relevante;
6. gradul de cooperare cu autoritatea pentru remedierea încălcării;
7. categoriile de date afectate;
8. modul în care autoritatea a aflat de încălcare, în special dacă operatorul a notificat-o;
9. respectarea măsurilor dispuse anterior pentru același obiect;
10. aderarea la coduri de conduită sau mecanisme de certificare;
11. alți factori agravanți sau atenuanți, cum ar fi beneficiile financiare obținute sau pierderile evitate.

Dacă aceeași operațiune sau operațiuni legate încalcă mai multe prevederi, valoarea totală a amenzii nu poate depăși plafonul pentru încălcarea cea mai gravă (art. 83 alin. 3). La nivel european, Comitetul European pentru Protecția Datelor a adoptat orientări privind calcularea amenzilor administrative, pentru a apropia practica autorităților naționale.

Criteriile de la punctele 3, 4, 6 și 8 depind direct de ce faceți înainte și după o problemă. O organizație cu documentație, măsuri de securitate demonstrabile și un incident notificat la timp se află în altă poziție decât una care nu poate arăta nimic.

Aplică ANSPDCP doar amenzi?

Nu. Amenda este una dintre măsurile corective prevăzute la art. 58 alin. (2) și poate fi aplicată în plus sau în locul celorlalte măsuri.

Pentru multe organizații, un ordin de interzicere a unei prelucrări, de exemplu a sistemului de supraveghere video sau a unei baze de date de marketing, poate avea un impact operațional mai mare decât amenda.

Ce sancțiuni riscă primăriile și instituțiile publice?

Art. 83 alin. (7) din GDPR lasă statelor membre libertatea de a stabili dacă și în ce măsură se aplică amenzi autorităților publice. România a folosit această posibilitate prin art. 13–14 din Legea 190/2018, care prevăd un regim în două etape:

1. Avertisment și plan de remediere. La constatarea unei încălcări, ANSPDCP încheie un proces-verbal prin care aplică sancțiunea avertismentului și anexează un plan de remediere. Termenul de remediere se stabilește în funcție de riscurile prelucrării și de demersurile necesare.
2. Amendă, dacă măsurile nu sunt îndeplinite. După expirarea termenului, autoritatea poate relua controlul. Dacă planul nu a fost pus în aplicare, se poate aplica amenda.

Limitele amenzilor pentru autoritățile și organismele publice sunt:

Avertismentul nu trebuie tratat ca o formalitate. Planul de remediere devine o listă de obligații cu termen, iar neîndeplinirea lui deschide calea amenzii. Situația specifică a administrației locale este tratată în pagina despre conformitatea GDPR în primării.

De unde pornesc, de obicei, controalele ANSPDCP?

Un control ANSPDCP poate porni din mai multe surse, iar organizația nu alege momentul. Cele mai frecvente căi sunt:

• plângerea unei persoane vizate (art. 77), de exemplu un angajat nemulțumit de camerele video sau un cetățean care nu a primit răspuns la o cerere de acces;
• notificarea unei încălcări a securității datelor făcută chiar de organizație (art. 33), care poate fi urmată de verificări;
• investigații din oficiu, inclusiv controale tematice pe anumite sectoare.

Procesul-verbal de constatare și sancționare poate fi contestat în instanță, în condițiile legii. În practică însă, argumentul cel mai solid în fața autorității rămâne documentația întocmită înainte de control.

Ce alte consecințe poate avea o încălcare GDPR?

Pe lângă măsurile ANSPDCP, orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări are dreptul la despăgubiri din partea operatorului sau a persoanei împuternicite (art. 82). Acțiunea se introduce în instanță și este independentă de sancțiunea administrativă.

Se adaugă costurile de remediere, timpul pierdut de conducere și impactul asupra încrederii cetățenilor sau clienților.

Unde găsiți deciziile și comunicatele ANSPDCP?

ANSPDCP publică pe site-ul oficial dataprotection.ro comunicate de presă despre sancțiunile aplicate, rapoarte anuale de activitate, ghiduri și formulare. Comunicatele sunt utile pentru a înțelege ce tipuri de încălcări sunt sancționate frecvent și ce măsuri a dispus autoritatea. Textul complet al art. 83 poate fi consultat în Regulamentul (UE) 2016/679 pe EUR-Lex.

Cum reduceți riscul de sancțiune?

Riscul se reduce prin aceleași măsuri pe care autoritatea le evaluează conform art. 83 alin. (2):

1. țineți un registru al prelucrărilor actualizat și documentele de bază, conform listei documentelor GDPR obligatorii;
2. informați corect persoanele vizate și răspundeți la cereri în termenul de o lună;
3. aplicați și documentați măsuri de securitate adecvate (art. 32);
4. aveți o procedură pentru incidente și respectați termenul de 72 de ore pentru notificarea ANSPDCP;
5. instruiți periodic personalul care lucrează cu date;
6. dacă sunteți obligat, desemnați un DPO și implicați-l efectiv.

Cum vă putem ajuta

KRASP DPO S.R.L. lucrează din 2018 cu primării, agenții județene și firme private din Călărași și din alte județe. Un audit GDPR identifică încălcările înainte să le identifice autoritatea și vă dă un plan de remediere cu priorități. Dacă ați primit deja un avertisment sau un plan de remediere, vă putem sprijini în punerea lui în aplicare, iar prin serviciul de DPO extern urmărim conformitatea continuu, nu doar la control. Ne puteți contacta la 0735 77 66 73.