W nawiązaniu do wycieku danych klientów MISBHV (pisaliśmy o tym tutaj), postanowiliśmy sprawdzić, jakie kary grożą podmiotom, które nie zastosują się do regulacji RODO. Z pytaniem zwróciliśmy się do współpracującego z nami Jakuba Kończaka, eksperta ds. ochrony danych z firmy Kiran.

Już 25 maja w życie wejdzie ogólnoeuropejska regulacja prawna RODO, czyli Ogólne Rozporządzenie o Ochronie Danych. Wspomniane RODO w art. 83 określa kary, które po jego wejściu w życie będą mogły znaleźć zastosowanie w takim przypadku, jak na przykład wspomniana sprawa MISBHV. Wynika zeń, iż maksymalny pułap tych kar to 10 milionów euro lub 2 proc. światowego obrotu firmy. W określonych przypadkach wartości te mogą nawet wzrosnąć do odpowiednio: 20 milionów euro i 4 proc. obrotu. Warto jednak mieć na uwadze, że kwoty te stanowią jedynie górną granicę, a same grzywny będą ustalane w każdej sytuacji indywidualnie. W Polsce zajmować się tym będzie powołany w miejsce GIODO nowy urząd – UODO (Urząd Ochrony Danych Osobowych).

Na wysokość kary w jednostkowym przypadku wpływ mieć będzie bowiem szereg czynników określonych przez RODO, takich jak:

• Charakter, czas trwania, i wagę naruszenia;
• Liczbę osób których dotyczy i rozmiar szkód;
• Działania podjęte przez administratora danych w celu minimalizacji szkód;
• Czy było to pierwsze naruszenie, środki jakie zastosowano w celu ochrony danych;
• Czy administrator sam zgłosił incydent;
• Czy odniósł na skutek naruszenia jakieś korzyści.

– Choć hipotetyczna wartość maksymalnych kwot może budzić obawy u przetwarzających dane podmiotów, to rzeczywisty wymiar nakładanych kar pokaże dopiero praktyka – dodaje Kończak.