Nedodržanie povinností podľa GDPR môže byť sankcionované pokutou do výšky 20 000 000 €, alebo prípadne až do výšky 4 % z celosvetového obratu za minulé účtovné obdobie, podľa toho, ktorá suma bude pre podnikateľský subjekt vyššia. Áno, dobre čítate.
Pokutu je možné uložiť do dvoch rokov odo dňa, keď úrad porušenie povinnosti zistil, najneskôr však do piatich rokov odo dňa, keď k porušeniu povinnosti došlo.
Úrad bude pri ukladaní pokút zohľadňovať najmä:
- povahu, závažnosť a trvanie porušenia, povahu, rozsah alebo účel spracúvania osobných údajov, ako aj počet dotknutých osôb, na ktoré malo vplyv, a rozsah škody, ak vznikla,
- prípadné zavinenie porušenia ochrany osobných údajov,
- opatrenia, ktoré prevádzkovateľ alebo sprostredkovateľ prijal na zmiernenie škody, ktorú dotknuté osoby utrpeli,
- mieru zodpovednosti prevádzkovateľa alebo sprostredkovateľa so zreteľom na technické a organizačné opatrenia, ktoré prijal,
- predchádzajúce porušenia ochrany osobných údajov zo strany prevádzkovateľa alebo sprostredkovateľa,
- mieru spolupráce s úradom pri náprave porušenia ochrany osobných údajov a zmiernení možných nepriaznivých dôsledkov porušenia ochrany osobných údajov,
- kategóriu osobných údajov, ktorých sa porušenie ochrany osobných údajov týka,
- spôsob, akým sa úrad o porušení ochrany osobných údajov dozvedel, a najmä to, či prevádzkovateľ alebo sprostredkovateľ porušenie ochrany osobných údajov oznámili, a ak áno, v akom rozsahu,
- splnenie opatrení prevádzkovateľom alebo sprostredkovateľom, ak boli v konaní o ochrane osobných údajov predtým také opatrenia uložené (napr. odňať certifikát, nariadiť certifikačnému subjektu odňatie certifikátu),
- dodržiavanie schválených kódexov správania alebo vydaných certifikátov,
- priťažujúce okolnosti alebo poľahčujúce okolnosti, najmä finančné výhody alebo straty, ktorým sa zabránilo, priamo alebo nepriamo v súvislosti s porušením ochrany osobných údajov.