Hvor store bøter kan det gis for brudd på personopplysningsloven og/eller GDPR?

Hvor store bøter for brudd på GDPR: 2-trinns system

Å forstå hvor store bøter for brudd på GDPR kan bli er avgjørende for enhver virksomhet. Ved å sette seg inn i hvordan sanksjoner beregnes, reduserer man risikoen for alvorlige økonomiske konsekvenser og rettslige reaksjoner. Lær mer om hvordan disse kravene fungerer for å sikre full etterlevelse av regelverket.

Hvor store bøter kan det gis for brudd på personopplysningsloven og GDPR?

Brudd på personopplysningsloven og GDPR kan medføre svært strenge sanksjoner fra Datatilsynet. De økonomiske konsekvensene er utformet for å ha en reell avskrekkende effekt på både små og store virksomheter.

Rammeverket for overtredelsesgebyr

Det maksimale gebyret avhenger av alvorlighetsgraden i det enkelte avvik. Ved de mest alvorlige overtredelsene kan Datatilsynet ilegge gebyrer på inntil 20 millioner euro, eller opptil 4 % av virksomhetens globale årsomsetning, avhengig av hva som er høyest.^[1]

For mindre alvorlige brudd er den øvre rammen 10 millioner euro, eller 2 % av den globale årsomsetningen.^[2] Dette to-trinns systemet sikrer at sanksjonene står i forhold til både lovbruddets natur og virksomhetens størrelse. Det er viktig å merke seg at for konserner beregnes GDPR bot årsomsetning ut fra hele konsernets samlede inntekter.

Faktorer som påvirker botens størrelse

Datatilsynet fastsetter ikke bøter basert på en automatisk tabell. I stedet foretas en helhetlig vurdering av saken. De ser spesielt på om bruddet var forsettlig eller uaktsomt, hvor mange personer som ble berørt, og hvor lenge avviket varte. Hvis en bedrift har tatt umiddelbare skritt for å begrense skadeomfanget, kan dette i mange tilfeller virke forsonende på det endelige beløpet.

Konkrete eksempler fra norsk praksis

Norske myndigheter har de siste årene håndhevet regelverket strengt. Grindr ble ilagt et gebyr på 65 millioner kroner for ulovlig utlevering av personopplysninger til markedsføring, selv om beløpet senere ble redusert etter klage. Videre har Sats ASA måttet betale 10 millioner kroner som følge av manglende overholdelse av de registrertes rettigheter til innsyn og sletting.^[4] Trumf AS fikk et gebyr på 5 millioner kroner etter en sikkerhetsbrist som ga uvedkommende tilgang til handlehistorikk. ^[5] I slike saker ser vi ofte Datatilsynet bøter eksempler som illustrerer de faktiske konsekvenser av brudd på personopplysningsloven.

Hva kan mindre virksomheter gjøre for å sikre seg?

Mange mindre aktører føler seg overveldet, men personvern handler ofte om struktur fremfor dyre systemer. Nøkkelen ligger i å dokumentere rutiner for behandling av data, sørge for at ansatte forstår kravene, og ha en klar prosedyre for hva man gjør hvis et avvik først oppstår.

Sanksjonsnivåer under GDPR

Alvorlige brudd (opptil 4%)

• 20 millioner euro eller 4 % av global årsomsetning
• Brudd på grunnleggende prinsipper, manglende samtykke eller ignorerte rettigheter

Mindre alvorlige brudd (opptil 2%)

• 10 millioner euro eller 2 % av global årsomsetning
• Administrative feil, manglende databehandleravtaler eller mangelfull internkontroll

Erfaring fra en mellomstor nettbutikk

Erik, daglig leder i en nettbutikk i Drammen, opplevde marerittet da en database med kundedata ble eksponert på grunn av en feilkonfigurert server. Han var sikker på at bedriften ville gå konkurs etter boten fra Datatilsynet.

De første to dagene var preget av kaos og fullstendig lammelse. Erik visste ikke hvem han skulle kontakte først, og kundesenteret ble nedringt av bekymrede brukere.

Han valgte å være helt åpen om feilen umiddelbart. I stedet for å skjule saken, publiserte han en grundig forklaring på nettsiden og kontaktet Datatilsynet selv. Det viste seg å være den viktigste avgjørelsen han tok.

Datatilsynet la vekt på den raske og ærlige håndteringen da de vurderte saken. Gebyret ble betydelig lavere enn fryktet, og nettbutikken overlevde fordi kundene satte pris på at de tok ansvar.

Dette innholdet er kun ment for informasjonsformål og utgjør ikke juridisk rådgivning. Personvernlovgivning er kompleks, og vurderinger gjøres individuelt av tilsynsmyndigheter. Ta kontakt med en advokat eller personvernrådgiver for vurdering av din virksomhets konkrete situasjon.