Hva er den maksimale boten for brudd på personvernforordningen?

GDPR: Bot på 10 millioner eller 20 millioner euro

Å forstå rammene for gebyrer ved brudd på personvernforordningen er avgjørende for virksomheter som behandler personopplysninger. Feilaktig håndtering medfører betydelig økonomisk risiko. Ved å sette seg inn i gjeldende satser for regelbrudd, beskytter bedriften seg mot store tap og sikrer korrekt etterlevelse av lovverket i all daglig drift.

Hva er den maksimale boten for brudd på personvernforordningen?

Å forstå rammene for gebyrer ved brudd på personvernforordningen (GDPR) er viktig for alle virksomheter som behandler personopplysninger. Svaret er at maksimal bot for alvorlige brudd kan utgjøre det høyeste av enten 20 millioner euro eller 4 % av virksomhetens globale årsomsetning. For mindre alvorlige regelbrudd er den øvre grensen 10 millioner euro eller 2 % av omsetning^[2] en.

Vurdering av gebyrets størrelse

Det er ikke slik at myndighetene automatisk ilegger maksimal bot ved ethvert avvik. Beløpet avgjøres basert på en konkret vurdering av bruddets alvorlighetsgrad, varighet og omfang. Myndighetene ser også på om virksomheten har handlet forsettlig eller uaktsomt, samt hvilke tekniske og organisatoriske tiltak som var på plass for å sikre dataene. - Det er en omfattende prosess.

I praksis ser vi at gebyrene ofte tilpasses størrelsen på virksomheten og hvorvidt bruddet har rammet et stort antall individer. Mens de absolutte maksimumsbeløpene kan virke svimlende, er målet med sanksjonene først og fremst å virke avskrekkende og korrigerende. De fleste virksomheter opplever heldigvis langt lavere gebyrer enn de teoretiske maksgrensene.

Når blir sanksjonene strengest?

Noen situasjoner utløser nesten konsekvent de strengeste reaksjonene fra tilsynsmyndighetene. Dette gjelder spesielt når virksomheter mangler grunnleggende rutiner for samtykke eller når store mengder sensitive persondata - slik som helseopplysninger eller biometriske data - kommer på avveie. - Dette skjer dessverre oftere enn man skulle tro.

Jeg har selv sett eksempler der selskaper har nedprioritert sikkerhet i jakten på rask vekst, for så å bli rammet av omfattende datalekkasjer. Når tilsynet oppdager at ledelsen bevisst har valgt bort nødvendige sikringstiltak for å spare kostnader, slår de hardt ned på dette. Å ignorere pålegg fra Datatilsynet er ofte den raskeste veien til et betydelig gebyr.

Alvorlighetsgrader og sanksjonsnivå

Mindre alvorlige brudd

- 2 % av global årsomsetning

- Manglende dokumentasjon eller mindre rutinesvikt

- 10 millioner euro

Alvorlige brudd

- 4 % av global årsomsetning

- Brudd på grunnleggende prinsipper, manglende samtykke, storstilt lekkasje

- 20 millioner euro

Erfaring fra en mellomstor norsk bedrift

En norsk nettbutikk med 50 ansatte oppdaget at kundedata lå åpent grunnet en feilkonfigurert server. De hadde ikke oppdatert rutiner på 2 år og fryktet millionbøter da Datatilsynet tok kontakt.

Ledelsen prøvde først å bagatellisere hendelsen i dialogen med tilsynet, noe som viste seg å være en stor tabbe. Det skapte unødvendig mistillit og forlenget hele prosessen med flere måneder.

Etter hvert endret de tilnærming, erkjente feilen fullt ut og dokumenterte umiddelbare tiltak. De ansatte en ekstern personvernombud for å bygge opp systemene fra bunnen av.

Resultatet ble et gebyr som var vesentlig lavere enn fryktet, da tilsynet la vekt på viljen til endring og åpenhet. De lærte den harde veien at personvern ikke er noe man kan fikse i etterkant.

Denne informasjonen er kun til utdanningsformål og utgjør ikke juridisk rådgivning. Personvernlovgivning er kompleks og kan variere basert på den enkelte virksomhets situasjon. Kontakt alltid en kvalifisert advokat eller personvernombud for vurderinger knyttet til egen virksomhet.