REP27 · Egzekucja
Artykuł 83(4)(a) · Egzekucja
Artykuł 27 jest nietypowy wśród obowiązków GDPR: można go sprawdzić z zewnątrz, w przeglądarce, w około dziesięć sekund. Nie ma potrzeby audytowania swoich systemów ani czytania umów — albo Twoje powiadomienie o prywatności wymienia podmiot ustanowiony w Unii, albo nie. Ta widoczność jest powodem, dla którego brakująca oznaczenie pojawia się tak często w egzekucji i dlaczego traktuje się to jako naruszenie samo w sobie.
To jest praktyczny powód, dla którego sformułowanie na Twojej stronie ma znaczenie tak samo jak mandat za nim stojący. Oznaczenie, które istnieje, ale nie jest publikowane, jest niewidoczne dla dokładnie tych osób, dla których zostało stworzone.
Artykuł 83(2) wymienia czynniki. Cztery z nich są bezpośrednio dotknięte tym, jak szybko działasz.
| Czynnik | Co to oznacza tutaj |
|---|---|
| Charakter i powaga | Czy osoby, których dane dotyczą, miały jakąkolwiek drogę, aby się z Tobą skontaktować |
| Czas trwania | Jak długo przetwarzanie trwało bez oznaczenia |
| Umysłowe lub niedbałe | Czy obowiązek był znany i pozostawiony bez reakcji |
| Kroki łagodzące | Szybkie wyznaczenie po zidentyfikowaniu liczy się tutaj |
| Współpraca | Odpowiadanie przez działający punkt kontaktowy zamiast milczenia |
| Poprzednie naruszenia | Czy ta sama luka była wcześniej zgłaszana |
Z naszego doświadczenia wynika, że organ regulacyjny rzadko jest pierwszą konsekwencją. Europejski nabywca przedsiębiorstwa pyta o nazwisko przedstawiciela w kwestionariuszu bezpieczeństwa, pole wraca puste, a plik trafia do działu prawnego. Umowa nie umiera — ślizga się, a ślizg jest mierzony w kwartałach.
To jest argument, który przekonuje zespoły finansowe: nie teoretyczny sufit na podstawie Artykułu 83, ale umowa, która przestała się poruszać z powodu brakującej linii w powiadomieniu o prywatności.
Organy nadzorcze mają ograniczone zasoby i duży mandat. To, co mogą egzekwować tanio, egzekwują częściej — a Artykuł 27 jest najtańszą rzeczą w regulacji do weryfikacji.
Ustalenie, czy środki bezpieczeństwa firmy są odpowiednie na podstawie Artykułu 32, wymaga dochodzenia, wiedzy technicznej i miesięcy. Ustalenie, czy powiadomienie o prywatności wymienia przedstawiciela ustanowionego w Unii, wymaga przeglądarki i minuty, w dowolnym języku, bez powiadamiania kogokolwiek. Organ może zbadać sto stron internetowych spoza UE obsługujących jego rynek w jedno popołudnie.
Ta asymetria kształtuje egzekucję w sposób wart zrozumienia. Brakujące oznaczenie rzadko jest powodem rozpoczęcia dochodzenia, ale bardzo często jest pierwszą rzeczą zarejestrowaną, gdy już się ono rozpoczęło, ponieważ jest już ustalone przed wysłaniem pierwszego listu. To także wpływa na wszystko, co następuje: firma, która nigdy nie zapewniła punktu kontaktowego, jest trudniejsza do scharakteryzowania jako staranna w odniesieniu do innych czynników z Artykułu 83(2).
Odwrócone jest równie prawdziwe. Oznaczenie opublikowane w sposób jasny, weryfikowalne niezależnie i obecne od początku, jest najtańszym dowodem dobrej woli dostępnym w całej regulacji.
Tak. Artykuł 83(4)(a) wymienia Artykuł 27 wśród przepisów, których naruszenie przyciąga niższy poziom kar, a Wytyczne EDPB 3/2018 stwierdzają, że brak oznaczenia jest naruszeniem samo w sobie. Nie musi towarzyszyć naruszeniu danych ani żadnej innej awarii.
Do 10 milionów euro lub 2% światowego rocznego obrotu z poprzedniego roku finansowego, w zależności od tego, która kwota jest wyższa. Obrót oceniany jest na poziomie grupy, a nie dla podmiotu, który podpisał umowę.
Tak. Kilka organów nadzorczych nałożyło kary, gdzie brakujący przedstawiciel był jednym z naruszeń stwierdzonych w trakcie kontroli, a jest to standardowe ustalenie w badaniach dotyczących stron internetowych spoza UE. To także jedna z najłatwiejszych rzeczy do ustalenia przez organ: informacja o prywatności jest publiczna.
Zwykle skarga od osoby, której dane nie mogły znaleźć nikogo, do kogo mogłyby się zwrócić, lub kontrola przeprowadzana przez organ, który przegląda informacje o prywatności na swoim rynku. Oba przypadki zaczynają się od tego, co twoja strona mówi publicznie.
Zatrzymuje trwające naruszenie, co ma znaczenie: organy biorą pod uwagę czas trwania naruszenia oraz podjęte kroki. Nie usuwa to okresu, w którym nie istniało żadne powołanie.
Dla większości firm koszty komercyjne pojawiają się jako pierwsze. Europejscy nabywcy pytają o przedstawiciela podczas onboardingu dostawcy, a brak odpowiedzi wstrzymuje umowy na długo przed tym, jak jakikolwiek organ się zaangażuje.
Limit jest proporcjonalny, ponieważ 2% małego obrotu to mała kwota, ale alternatywa 10 milionów euro ma zastosowanie, gdy jest wyższa. Organy biorą również pod uwagę współpracę i czas trwania, dlatego szybkie powołanie ma większe znaczenie niż rozmiar.
Powołanie podpisane w ciągu 24 godzin, z treścią, której potrzebuje twoja informacja oraz certyfikatem, który każdy może zweryfikować.
Powołaj nas Sprawdź najpierw swoją informację