Σε συντομία:
- Το πρόστιμο για παραβίαση προσωπικών δεδομένων δεν είναι σταθερό. Ο Γενικός Κανονισμός Προστασίας Δεδομένων (ΓΚΠΔ) ορίζει δύο ανώτατα όρια, έως 10 εκατομμύρια ευρώ ή 2% του παγκόσμιου κύκλου εργασιών και έως 20 εκατομμύρια ευρώ ή 4%, αλλά το πραγματικό ποσό κρίνεται κατά περίπτωση.
- Το ύψος καθορίζεται από τους παράγοντες του άρθρου 83 παρ. 2 και τη μεθοδολογία πέντε σταδίων του EDPB, με βασικό μέγεθος τον κύκλο εργασιών της επιχείρησης ή και ολόκληρου του ομίλου.
- Η ευθύνη δεν είναι αυτόματη. Το Δικαστήριο της ΕΕ απαιτεί δόλο ή αμέλεια, όμως η επιχείρηση φέρει το βάρος να αποδείξει ότι τα μέτρα ασφάλειας ήταν κατάλληλα.
- Στην υπόθεση Cosmote και ΟΤΕ (ΑΠΔΠΧ 4/2022) τα 6 και 3,25 εκατομμύρια προέκυψαν από συγκεκριμένες αστοχίες, όχι από τη διαρροή καθαυτή.
- Πέρα από το διοικητικό πρόστιμο, η επιχείρηση εκτίθεται σε αγωγές αποζημίωσης κατά το άρθρο 82, που σε μαζικές διαρροές μπορεί να το υπερβούν.
Τι πρόστιμο κινδυνεύει η επιχείρηση για παραβίαση προσωπικών δεδομένων;
Το ύψος του προστίμου δεν είναι προκαθορισμένο. Ο Γενικός Κανονισμός Προστασίας Δεδομένων ορίζει δύο ανώτατα όρια στο άρθρο 83, έως 10 εκατομμύρια ευρώ ή 2% του συνολικού παγκόσμιου κύκλου εργασιών για ορισμένες παραβάσεις ή μη συμμόρφωση και έως 20 εκατομμύρια ευρώ ή 4% για τις σοβαρότερες. Το πραγματικό ποσό κρίνεται κατά περίπτωση και στην ελληνική πράξη κυμαίνεται από μερικές χιλιάδες έως εκατομμύρια ευρώ.
Τα δύο όρια αντιστοιχούν σε δύο κατηγορίες παραβάσεων.
- Η πρώτη κλίμακα καλύπτει παραβάσεις υποχρεώσεων του υπευθύνου επεξεργασίας (controller) και του εκτελούντος την επεξεργασία (processor), όπως η ασφάλεια της επεξεργασίας κατά το άρθρο 32 ή η γνωστοποίηση περιστατικών κατά τα άρθρα 33 και 34.
- Η δεύτερη κλίμακα καλύπτει παραβάσεις των θεμελιωδών αρχών και των δικαιωμάτων των υποκειμένων, όπως η νομιμότητα της επεξεργασίας ή η διαφάνεια.
Εφαρμόζεται πάντοτε όποιο από τα δύο μεγέθη, το απόλυτο ποσό ή το ποσοστό, είναι υψηλότερο.
| Κλίμακα | Ανώτατο όριο | Ενδεικτικές παραβάσεις |
|---|---|---|
| Πρώτη (άρθρο 83 παρ. 4) | Έως 10 εκατ. ευρώ ή 2% του παγκόσμιου τζίρου | Ασφάλεια επεξεργασίας (άρ. 32), γνωστοποίηση παραβίασης (άρ. 33-34), αρχείο δραστηριοτήτων (άρ. 30), εκτίμηση αντικτύπου (άρ. 35) |
| Δεύτερη (άρθρο 83 παρ. 5) | Έως 20 εκατ. ευρώ ή 4% του παγκόσμιου τζίρου | Νομιμότητα και διαφάνεια (αρχές άρ. 5), νόμιμη βάση και συγκατάθεση, δικαιώματα υποκειμένων (άρ. 12-22) |
Η διάκριση που έχει τη μεγαλύτερη σημασία αφορά τη βάση υπολογισμού του ποσοστού. Το όριο σε ποσοστό υπολογίζεται στον συνολικό παγκόσμιο κύκλο εργασιών, όχι στον κύκλο εργασιών της συγκεκριμένης δραστηριότητας που αφορά το περιστατικό.
Για μια επιχείρηση με ετήσιο τζίρο 50 εκατομμύρια ευρώ, το 4% ανέρχεται σε 2 εκατομμύρια ευρώ ως θεωρητικό ανώτατο. Για όμιλο με τζίρο δισεκατομμυρίων, το ίδιο ποσοστό μεταφράζεται σε εκατοντάδες εκατομμύρια.
Το πρόστιμο, ωστόσο, είναι μόνο μία από τις συνέπειες. Η Αρχή μπορεί να επιβάλει και λειτουργικές κυρώσεις, όπως διακοπή της επεξεργασίας, καταστροφή δεδομένων ή προσωρινό περιορισμό, που για μια επιχείρηση εξαρτημένη από τα δεδομένα της μπορεί να αποδειχθούν βαρύτερες από το ίδιο το ποσό.
Παράλληλα, τα ίδια περιστατικά θεμελιώνουν αγωγές αποζημίωσης των θιγόμενων. Η συνολική έκθεση, επομένως, δεν εξαντλείται στο νούμερο του προστίμου.
Πώς υπολογίζεται το ύψος του προστίμου;
Το ύψος προκύπτει από μεθοδολογία πέντε σταδίων που τυποποίησε το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (EDPB) το 2023.
Η Αρχή προσδιορίζει τις παραβάσεις, καθορίζει σημείο εκκίνησης με βάση την κατηγορία και τη σοβαρότητα της παράβασης και τον κύκλο εργασιών, σταθμίζει επιβαρυντικούς και ελαφρυντικούς παράγοντες, εφαρμόζει τα ανώτατα όρια και ελέγχει αν το αποτέλεσμα είναι αναλογικό και αποτρεπτικό.
Το κρίσιμο στάδιο για τον επιχειρηματία είναι η στάθμιση των παραγόντων του άρθρου 83 παρ. 2. Ο κατάλογος αυτός μετατρέπει τα αφηρημένα όρια σε συγκεκριμένο ποσό και κάθε στοιχείο του αντιστοιχεί σε μια πραγματική επιλογή ή παράλειψη της επιχείρησης.
| Επιβαρυντικοί παράγοντες | Ελαφρυντικοί παράγοντες |
|---|---|
| Δόλος αντί απλής αμέλειας | Έγκαιρη γνωστοποίηση και συνεργασία με την Αρχή |
| Μεγάλος αριθμός θιγόμενων και σοβαρότητα της ζημίας | Ενέργειες μετριασμού της ζημίας |
| Ειδικές κατηγορίες δεδομένων | Τεκμηριωμένα τεχνικά και οργανωτικά μέτρα πριν το συμβάν |
| Παράλειψη ή καθυστέρηση γνωστοποίησης | Τήρηση εγκεκριμένων κωδίκων δεοντολογίας |
| Προηγούμενες παραβάσεις και οικονομικό όφελος από την παράβαση | Άμεση αποκατάσταση της ευπάθειας |
Το μέγεθος της επιχείρησης δεν είναι ουδέτερο στοιχείο. Το σημείο εκκίνησης του υπολογισμού συνδέεται με τον κύκλο εργασιών και το Δικαστήριο της ΕΕ έχει διευκρινίσει με την απόφαση C-807/21 (Deutsche Wohnen) ότι για τον καθορισμό του ανώτατου ορίου λαμβάνεται υπόψη ο κύκλος εργασιών ολόκληρης της επιχείρησης με την έννοια του δικαίου του ανταγωνισμού, δηλαδή της ενιαίας οικονομικής οντότητας.
Για εταιρεία που ανήκει σε όμιλο, αυτό σημαίνει ότι το ανώτατο όριο μπορεί να υπολογιστεί στον ενοποιημένο τζίρο του ομίλου και όχι της μεμονωμένης εταιρείας.
Η μεθοδολογία αφήνει σημαντικό περιθώριο εκτίμησης στην Αρχή. Δύο επιχειρήσεις με πανομοιότυπο περιστατικό μπορεί να καταλήξουν σε πολύ διαφορετικά ποσά, ανάλογα με το πόσο τεκμηριωμένα αποδεικνύεται η διαφορά ανάμεσα σε αμέλεια και δόλο, η ένταση των μέτρων μετριασμού και η ιστορία συμμόρφωσης καθεμιάς.
Γιατί η Cosmote πλήρωσε 6 εκατομμύρια και ο ΟΤΕ 3,25;
Το ύψος αντανακλά συγκεκριμένες, εντοπίσιμες αστοχίες και όχι το γεγονός της διαρροής καθαυτό. Η Αρχή Προστασίας Δεδομένων, με την απόφαση 4/2022, διαπίστωσε πλήθος διακριτών παραβάσεων ύστερα από τη διαρροή αρχείου με δεδομένα κλήσεων συνδρομητών.
Επέβαλε στην Cosmote πρόστιμο 6.000.000 ευρώ και στον ΟΤΕ 3.250.000 ευρώ, μαζί με διακοπή της επεξεργασίας και καταστροφή δεδομένων. Καθεμία παράβαση αντιστοιχεί σε μια απόφαση που είχε λάβει η επιχείρηση.
Η πρώτη ομάδα παραβάσεων αφορούσε τη νόμιμη βάση. Η εταιρεία τηρούσε το σύνολο των δεδομένων κίνησης επί τρίμηνο για σκοπούς διαχείρισης βλαβών, χωρίς νομική βάση για μια τόσο εκτεταμένη τήρηση.
Για τα τηλεπικοινωνιακά δεδομένα κίνησης εφαρμοζόταν ο Ν. 3471/2006, που ενσωμάτωσε την Οδηγία 2002/58/ΕΚ και η Αρχή έκρινε ότι επιτρεπτή θα ήταν μόνο η τήρηση περιορισμένου υποσυνόλου, για όσο απαιτείται ο εντοπισμός συγκεκριμένων βλαβών. Η απόφαση για το τι και για πόσο τηρείται ήταν, δηλαδή, η γενεσιουργός αιτία.
Η δεύτερη ομάδα αφορούσε τη διαφάνεια. Η ενημέρωση των συνδρομητών ήταν ασαφής ως προς τον σκοπό και τον χρόνο τήρησης, κατά παράβαση των άρθρων 13 και 14 του ΓΚΠΔ.
Η τρίτη αφορούσε την εκτίμηση αντικτύπου του άρθρου 35 παρ. 7. Η μεθοδολογία υπήρχε, αλλά οι απαντήσεις δεν ήταν τεκμηριωμένες, οπότε δεν αποδεικνυόταν ότι είχαν εξεταστεί όλοι οι κίνδυνοι.
Η τέταρτη ομάδα αφορούσε την ασφάλεια και την ψευδωνυμοποίηση. Η διαδικασία που η εταιρεία περιέγραφε ως ανωνυμοποίηση ήταν στην πραγματικότητα ψευδωνυμοποίηση, καθώς το κλειδί που επέτρεπε την ταυτοποίηση διατηρούνταν.
Τα δεδομένα παρέμεναν προσωπικά και η μη εφαρμογή κατάλληλων μέτρων προστασίας από τον σχεδιασμό στοιχειοθέτησε παράβαση του άρθρου 25 παρ. 1.
Η αιτία που τιμωρήθηκαν δύο εταιρείες βρίσκεται στην κατανομή ρόλων. Cosmote και ΟΤΕ λειτουργούσαν από κοινού ως προς τα συστήματα, αλλά χωρίς καταγεγραμμένη συμφωνία που να ορίζει ποιος ευθύνεται για τα ουσιώδη μέσα της επεξεργασίας.
Χωρίς σύμβαση του άρθρου 26 για τους από κοινού υπευθύνους ή του άρθρου 28 για την ανάθεση σε εκτελούντα, η Αρχή διαπίστωσε παράβαση της αρχής της λογοδοσίας και κατένειμε την ευθύνη, αντιμετωπίζοντας τη μία εταιρεία ως υπεύθυνο επεξεργασίας και την άλλη ως συνυπεύθυνη για τις υποδομές ασφάλειας.
Η ασάφεια στη σχέση των δύο εταιρειών, όχι μόνο το ίδιο το περιστατικό, οδήγησε στο διπλό πρόστιμο.
Πότε ευθύνεται πραγματικά η επιχείρηση μετά από διαρροή;
Η ευθύνη δεν προκύπτει αυτόματα από τη διαρροή. Το Δικαστήριο της ΕΕ έκρινε με την απόφαση C-807/21 (Deutsche Wohnen) ότι πρόστιμο επιβάλλεται μόνο για παράβαση που τελέστηκε από δόλο ή αμέλεια, απορρίπτοντας την αντικειμενική ευθύνη.
Ταυτόχρονα δέχθηκε ότι δεν απαιτείται η παράβαση να αποδοθεί σε συγκεκριμένο φυσικό πρόσωπο. Το πρόστιμο μπορεί να επιβληθεί απευθείας στην επιχείρηση, εφόσον αποδεικνύεται η υπαιτιότητα.
Το ερώτημα μετατοπίζεται, έτσι, στο ποιος αποδεικνύει τι. Για το θέμα αυτό, το Δικαστήριο της ΕΕ, με την απόφαση C-340/21, έδωσε μια απάντηση δυσμενή για τις επιχειρήσεις.
Έκρινε ότι το γεγονός της παραβίασης δεν συνεπάγεται αυτομάτως ότι τα μέτρα ασφάλειας ήταν ανεπαρκή, αλλά ότι η επίθεση από τρίτο, για παράδειγμα από εισβολέα (hacker), δεν απαλλάσσει από μόνη της την επιχείρηση.
Κυρίως, σε αγωγή αποζημίωσης το βάρος να αποδείξει ότι τα τεχνικά και οργανωτικά μέτρα ήταν κατάλληλα το φέρει ο υπεύθυνος επεξεργασίας, όχι ο θιγόμενος.
Το πρακτικό συμπέρασμα είναι ότι η επιχείρηση δεν προστατεύεται λέγοντας απλώς ότι έπεσε θύμα επίθεσης. Οφείλει να αποδείξει τι μέτρα είχε λάβει και γιατί ήταν κατάλληλα σε σχέση με το επίπεδο κινδύνου, το κόστος υλοποίησης και την εξέλιξη της τεχνολογίας.
Η οργάνωση της ασφάλειας των δεδομένων διαφοροποιείται κατά περίπτωση και η ίδια υποδομή μπορεί να θεωρηθεί επαρκής για μια επιχείρηση και ανεπαρκής για μια άλλη με διαφορετικό όγκο ή είδος δεδομένων.
Η εμπειρία από υποθέσεις διαχείρισης περιστατικών ασφάλειας δείχνει ότι κρίσιμη είναι η τεκμηρίωση των μέτρων που είχαν ληφθεί πριν τη διαρροή, όχι η εκ των υστέρων εξήγηση.
Ποιες αποφάσεις μειώνουν τον κίνδυνο, πριν και μετά τη διαρροή;
Την έκθεση την καθορίζουν αποφάσεις σε δύο χρονικές στιγμές.
- Πριν το συμβάν κρίνονται η νόμιμη βάση της επεξεργασίας, η ελαχιστοποίηση και ο χρόνος τήρησης των δεδομένων, η εκτίμηση αντικτύπου, τα μέτρα ασφάλειας και η σαφήνεια των συμβάσεων με τους παρόχους.
- Μετά το συμβάν κρίνει η γνωστοποίηση στην Αρχή εντός 72 ωρών, η ενημέρωση των υποκειμένων και ο βαθμός συνεργασίας και μετριασμού.
Οι αποφάσεις πριν τη διαρροή είναι εκείνες που μετρούν περισσότερο, γιατί ακριβώς αυτές αξιολογεί η Αρχή ως επιβαρυντικές ή ελαφρυντικές:
- Κάθε επεξεργασία στηρίζεται σε συγκεκριμένη νόμιμη βάση του άρθρου 6 και τα δεδομένα δεν τηρούνται πέρα από όσο απαιτεί ο σκοπός. Η υπόθεση της Cosmote δείχνει ότι η υπερβολική τήρηση είναι από μόνη της παράβαση.
- Όπου η επεξεργασία ενέχει υψηλό κίνδυνο, η τεκμηριωμένη εκτίμηση αντικτύπου του άρθρου 35 δεν είναι τυπικότητα, αλλά το έγγραφο που αποδεικνύει ότι οι κίνδυνοι εξετάστηκαν.
- Τα τεχνικά και οργανωτικά μέτρα καταγράφονται πριν το συμβάν, ώστε να μπορούν να τεκμηριωθούν μετά.
- Όταν η επεξεργασία ανατίθεται σε εξωτερικό πάροχο, για παράδειγμα υπηρεσιών cloud ή μισθοδοσίας, η σύμβαση του άρθρου 28 οφείλει να ορίζει με ακρίβεια τις πράξεις επεξεργασίας, τις κατηγορίες δεδομένων και τις υποχρεώσεις ασφάλειας.
Η εμπειρία από υποθέσεις σύνταξης συμβάσεων επεξεργασίας δείχνει ότι η ασάφεια στην κατανομή ρόλων εμφανίζεται ως κενό ακριβώς τη στιγμή του συμβάντος.
Οι αποφάσεις μετά τη διαρροή έχουν στενά χρονικά περιθώρια:
- Ο υπεύθυνος επεξεργασίας γνωστοποιεί την παραβίαση στην Αρχή χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 72 ωρών, εκτός αν η παραβίαση δεν ενέχει κίνδυνο για τα δικαιώματα των υποκειμένων (άρθρο 33).
- Όταν η παραβίαση ενέχει υψηλό κίνδυνο, ενημερώνονται και τα ίδια τα υποκείμενα των δεδομένων (άρθρο 34).
- Η ταχεία αποκατάσταση της ευπάθειας και η συνεργασία με την Αρχή σταθμίζονται ως ελαφρυντικά κατά τον υπολογισμό.
Η ίδια η απόφαση για το αν, πότε και τι γνωστοποιείται δεν είναι προφανής. Απαιτεί εκτίμηση του κινδύνου για τα υποκείμενα υπό πίεση χρόνου και η λανθασμένη κρίση προς οποιαδήποτε κατεύθυνση, είτε παράλειψη γνωστοποίησης είτε υπερβολική ανακοίνωση, έχει διαφορετικές συνέπειες. Η καθυστέρηση ή η απόκρυψη λειτουργεί ως επιβαρυντικός παράγοντας κατά το άρθρο 83 παρ. 2.
Πέρα από το πρόστιμο: τι κοστίζει η αστική ευθύνη;
Το διοικητικό πρόστιμο δεν εξαντλεί το κόστος μιας διαρροής. Το άρθρο 82 του ΓΚΠΔ θεμελιώνει δικαίωμα αποζημίωσης κάθε προσώπου που υπέστη υλική ή μη υλική ζημία και το Δικαστήριο της ΕΕ δέχθηκε ότι ακόμη και ο βάσιμος φόβος κακής χρήσης των δεδομένων, όπως πχ για προωθητικά μηνύματα, μπορεί να συνιστά μη υλική ζημία. Σε μαζικές διαρροές με πολλούς θιγόμενους, η αθροιστική αστική έκθεση μπορεί να υπερβεί το ίδιο το πρόστιμο.
Η ίδια νομολογία, στην υπόθεση C-340/21, όρισε τα άκρα του κινδύνου προς δύο κατευθύνσεις. Από τη μία, ο φόβος δεν χρειάζεται να έχει υλοποιηθεί σε συγκεκριμένη βλάβη για να αποζημιωθεί. Από την άλλη, ο φόβος πρέπει να είναι βάσιμος και όχι υποθετικός και το βάρος να αποδείξει την πραγματική ζημία το φέρει ο ενάγων. Η αστική ευθύνη, δηλαδή, είναι υπαρκτή αλλά όχι απεριόριστη.
Στην πράξη, η διαρροή της Cosmote ήδη τροφοδότησε οργανωμένες αξιώσεις αποζημίωσης από συνδρομητές. Για την επιχείρηση, η άμυνα απέναντι σε πολλές μεμονωμένες αγωγές είναι στρατηγική άσκηση, καθώς κάθε αγωγή κρίνεται στα δικά της πραγματικά περιστατικά, με διαφορετική απόδειξη ζημίας και αιτιώδους συνδέσμου και η ενιαία γραμμή υπεράσπισης σε όλες μαζί καθορίζει τη συνολική έκθεση. Το διοικητικό και το αστικό σκέλος τρέχουν παράλληλα, με διαφορετικά κριτήρια το καθένα.
Συχνές ερωτήσεις
Πότε θεωρείται ότι υπάρχει παραβίαση προσωπικών δεδομένων;
Παραβίαση υπάρχει όταν συμβαίνει παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, μη εξουσιοδοτημένη κοινολόγηση ή πρόσβαση σε προσωπικά δεδομένα (άρθρο 4 σημείο 12 του ΓΚΠΔ). Δεν απαιτείται εξωτερική επίθεση, καθώς και μια εσωτερική διαρροή ή η απώλεια συσκευής συνιστά παραβίαση. Ο ορισμός έχει σημασία γιατί από τη στιγμή που η επιχείρηση αντιληφθεί το περιστατικό αρχίζει να τρέχει η προθεσμία γνωστοποίησης.
Ποια είναι η προθεσμία γνωστοποίησης της παραβίασης στην Αρχή;
Ο υπεύθυνος επεξεργασίας γνωστοποιεί την παραβίαση στην Αρχή χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, εντός 72 ωρών από τη στιγμή που έλαβε γνώση (άρθρο 33 του ΓΚΠΔ). Εξαίρεση ισχύει μόνο αν η παραβίαση δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα των υποκειμένων. Όταν ο κίνδυνος είναι υψηλός, ενημερώνονται και τα ίδια τα υποκείμενα κατά το άρθρο 34.
Ευθύνεται η επιχείρηση αν την έπληξε hacker;
Ενδεχομένως ναι. Το Δικαστήριο της ΕΕ έκρινε ότι η επίθεση από τρίτο δεν απαλλάσσει από μόνη της τον υπεύθυνο επεξεργασίας και ότι το βάρος να αποδείξει πως τα μέτρα ασφάλειας ήταν κατάλληλα το φέρει η επιχείρηση, όχι ο θιγόμενος. Το γεγονός της διαρροής δεν σημαίνει αυτομάτως ανεπάρκεια μέτρων, αλλά η επιχείρηση πρέπει να μπορεί να τεκμηριώσει ότι είχε λάβει κατάλληλα μέτρα για το επίπεδο κινδύνου.
Μπορεί η συνεργασία με την Αρχή να μειώσει το πρόστιμο;
Ναι. Η έγκαιρη γνωστοποίηση, η συνεργασία κατά τη διερεύνηση και οι ενέργειες μετριασμού της ζημίας αποτελούν ρητούς ελαφρυντικούς παράγοντες κατά το άρθρο 83 παρ. 2 του ΓΚΠΔ. Αντίστροφα, η απόκρυψη ή η καθυστερημένη γνωστοποίηση λειτουργούν επιβαρυντικά. Στη μεθοδολογία του EDPB, οι παράγοντες αυτοί σταθμίζονται αφού καθοριστεί το σημείο εκκίνησης του υπολογισμού.
Πρακτικές επισημάνσεις
Το πρόστιμο δεν είναι σταθερό: Τα δύο ανώτατα όρια του άρθρου 83 (10 εκατ. ή 2%, 20 εκατ. ή 4%) είναι πλαφόν, όχι ποσά. Το πραγματικό ύψος κρίνεται κατά περίπτωση με βάση τους παράγοντες του άρθρου 83 παρ. 2.
Ο κύκλος εργασιών του ομίλου μετράει: Για εταιρεία που ανήκει σε όμιλο, το ανώτατο όριο μπορεί να υπολογιστεί στον ενοποιημένο τζίρο και όχι της μεμονωμένης εταιρείας, όπως προκύπτει από την απόφαση C-807/21.
Η τεκμηρίωση προηγείται του συμβάντος: Η επιχείρηση φέρει το βάρος να αποδείξει ότι τα μέτρα ασφάλειας ήταν κατάλληλα, κατά την απόφαση C-340/21. Ό,τι δεν καταγράφηκε πριν τη διαρροή δύσκολα αποδεικνύεται μετά.
Η 72ωρη προθεσμία τρέχει από τη γνώση: Η γνωστοποίηση στην Αρχή γίνεται εντός 72 ωρών από τη στιγμή που η επιχείρηση αντιληφθεί το περιστατικό (άρθρο 33). Η καθυστέρηση επιβαρύνει.
Το κόστος είναι διπλό: Πέρα από το διοικητικό πρόστιμο, η επιχείρηση εκτίθεται σε αγωγές αποζημίωσης κατά το άρθρο 82, που σε μαζικές διαρροές μπορεί να υπερβούν το πρόστιμο.
Το Δικηγορικό μας Γραφείο, για περισσότερα από 20 χρόνια εξειδικεύεται στο Εταιρικό και Εμπορικό Δίκαιο. Επικοινωνήστε μαζί μας για σας καθοδηγήσουμε και να σας συμβουλεύσουμε σε κάθε θέμα σχετικά με το πρόστιμο για παραβίαση προσωπικών δεδομένων .