Штрафы GDPR за утечку данных: правило 72 часов, стоящее компаниям миллионы
По GDPR утечка персональных данных запускает отсчёт времени: статья 33 требует уведомить компетентный надзорный орган без неоправданной задержки и, где это возможно, в течение 72 часов с момента, когда стало известно об утечке. Пропустите или неправильно обработайте это окно — и сбой уведомления становится собственным наказуемым нарушением, отдельным от того, что вызвало утечку. Если утечка создаёт высокий риск для лиц, статья 34 дополнительно требует информирования самих затронутых лиц.
Правоприменение в Германии децентрализовано: каждая федеральная земля управляет собственным органом по защите данных, и они активно штрафуют за позднее, неполное или несостоявшееся уведомление. GDPR достигает компаний из-за пределов ЕС, предлагающих товары или услуги людям в ЕС или отслеживающих их поведение, поэтому международный бизнес с немецкими клиентами подпадает под действие независимо от того, где находятся его серверы или головной офис, — контролёрам из-за пределов ЕС обычно нужен представитель в ЕС именно для этого контакта.
Компании редко могут выбирать, станет ли утечка известной. Обработчики юридически обязаны сообщать об утечках своим контролёрам, затронутые лица жалуются в органы, группы вымогателей публикуют украденные данные, а журналисты звонят регулятору раньше, чем вам. Единственная контролируемая переменная — подготовка: оценённое, задокументированное, своевременное уведомление стабильно заканчивается лучше, чем аврал на 70-м часу.
Diese Sanktionen drohen konkret
За нарушения GDPR грозят штрафы до 20 млн € или 4 % от глобального годового оборота.
О подлежащих уведомлению утечках данных необходимо сообщать надзорному органу без необоснованной задержки, по возможности в течение 72 часов.
При высоком риске затронутых лиц необходимо дополнительно незамедлительно уведомить.
Passendes Tool
Сообщайте о каждой утечке данных в срок и надёжно.
DSGVO 72h Leak Shield → Jetzt kostenlos prüfenHäufige Fragen
Применяются ли правила GDPR об утечках к компаниям без офиса в ЕС?
Да, если GDPR применяется к обработке — а это так для компаний из-за пределов ЕС, предлагающих товары или услуги людям в ЕС или отслеживающих их поведение. Такие компании обычно должны назначить представителя в ЕС, и утечка, затрагивающая лиц в ЕС, запускает те же обязанности уведомления по статье 33, что и для местной компании.
Действительно ли позднее уведомление штрафуется отдельно от самой утечки?
Да. Статья 33 — самостоятельная обязанность: позднее уведомление без обоснованного объяснения, неполное уведомление или отсутствие уведомления вовсе могут наказываться каждое, даже если сама лежащая в основе утечка была в остальном хорошо обработана. Европейские органы, включая немецкие земельные органы, налагали штрафы конкретно за сбои уведомления.
Обязательно ли сообщать о каждой утечке данных в течение 72 часов?
Нет. Уведомление требуется, если только утечка вряд ли приведёт к риску для прав и свобод лиц, — утерянный зашифрованный ноутбук с защищёнными ключами может выпасть. Но эту оценку риска нужно провести быстро и задокументировать, потому что каждая утечка, о которой сообщено или нет, должна быть внутренне зафиксирована по статье 33(5).
Какой орган мы уведомляем в Германии?
Надзорный орган той федеральной земли, где находится ваше ответственное подразделение; в Германии есть отдельные органы по землям плюс федеральный орган для определённых секторов. Трансграничные случаи проходят через механизм ведущего органа по вашему основному подразделению в ЕС. Определение правильного органа заранее само по себе является шагом подготовки — срок не приостанавливается, пока вы его ищете.