Kary za naruszenie RODO w Europie wzrosły siedmiokrotnie

Europejskie organy regulacyjne nałożyły w 2021 roku niemal 1,1 mld EUR kar z tytułu naruszeń Rozporządzenia o Ochronie Danych (RODO), co oznacza siedmiokrotny wzrost w porównaniu z rokiem wcześniej, wynika z najnowszego raportu międzynarodowej kancelarii prawnej DLA Piper

Rekordowa kara w kwocie 746 mln EUR została nałożona w ubiegłym roku w Luksemburgu, jak również przez organ regulacyjny w Irlandii w kwocie 225 mln EUR. W obu przypadkach toczą się obecnie postępowania odwoławcze. Trzecia najwyższa w historii kara za naruszenie przepisów RODO została nałożona we Francji i wyniosła 50 mln EUR. Polska zajmuje 13. miejsce pod względem łącznej wysokości kar nałożonych od chwili wejścia w życie przepisów RODO w 2018 roku. Wartość kar nałożonych w tym czasie przez Urząd Ochrony Danych Osobowych wyniosła prawie 2,2 mln EUR. W regionie Europy Środkowo-Wschodniej wyższe łączne kary nałożył jedynie regulator w Bułgarii i wyniosły 3,2 mln EUR.

W porównaniu z Luksemburgiem zajmującym pierwsze miejsce w zestawieniu, wartości kar w Polsce wydają się skromne. Należy jednak pamiętać, że polski regulator nadzoruje znacznie mniejsze podmioty niż regulatorzy w Luksemburgu czy Irlandii kontrolujący światowych gigantów, a wysokość kar jest m.in. uzależniona od obrotu – mówi Ewa Kurowska-Tober, partner DLA Piper w Warszawie i współkierująca Globalnym Zespołem Ochrony Danych Osobowych, Prywatności i Cyberbezpieczeństwa w międzynarodowych strukturach kancelarii.

Kara za złamanie przepisów o ochronie danych może wynieść nawet 4 proc. całkowitego rocznego obrotu firmy za poprzedni rok.

Eksperci kancelarii zwracają uwagę, że chociaż wzrost grzywien jest znaczący, to jeszcze większym wyzwaniem dla spółek, w szczególności z branży e-commerce oraz działających online, jest transfer danych osobowych do państw spoza terytorium Europejskiego Obszaru Gospodarczego, np. USA. Konkretnie chodzi o wyrok Trybunału Sprawiedliwości Unii Europejskiej (TSUE) w sprawie Data Protection Commissioner przeciwko Facebook Ireland Limited, Maximillian Schrems z lipca 2020 roku, znany jako „Schrems II”.

Wyrok nakłada na organizacje eksportujące dane osobowe obowiązek kompleksowego mapowania transferów oraz szczegółowej oceny prawnego i praktycznego ryzyka przechwycenia ich przez organy publiczne w krajach, w których znajdują się importerzy danych. Schrems II nie tylko zwiększa ryzyko kar i roszczeń odszkodowawczych, ale również w przypadku konieczności zawieszanie transferu danych może wiązać się z zakłóceniem w świadczeniu usług i tym samym mieć konsekwencje dla ciągłości prowadzenia działalności gospodarczej, uważają eksperci DLA Piper.

Wyrok w sprawie Schrems II skutecznie przeniósł problem i ciężar fundamentalnego konfliktu prawa - z polityków i ustawodawców na indywidualnych eksporterów i importerów danych. Spełnienie wymogów Schrems II jest wyzwaniem nawet dla najbardziej wyrafinowanych i dobrze wyposażonych organizacji i będzie poza zasięgiem możliwości wielu małych i średnich przedsiębiorstw. Tym, czego naprawdę potrzeba, jest rozwiązanie zasadniczego konfliktu przepisów prawa, a nie nakładanie na przedsiębiorstwa nierealistycznego obciążenia dotyczącego zgodności z przepisami i kolejnego utrudnienia dla handlu międzynarodowego w czasie wychodzenia z ogólnoświatowej pandemii – komentuje Ewa Kurowska-Tober.

Badanie DLA Piper objęło 27 państw członkowskich Unii Europejskiej oraz Wielką Brytanię, Norwegię, Islandię i Liechtenstein.

Najnowszy raport DLA Piper GDPR Fines and Data Breach Survey dostępny jest: https://www.dlapiper.com/pl/poland/insights/publications/2022/1/dla-piper-gdpr-fines-and-data-breach-survey-2022/

Mat.Pras/KG