Sanktionsavgifter och skadestånd

Den personuppgiftsansvarige som bryter mot regleringen i dataskyddsförordningen kan komma att påföras administrativa sanktionsavgifter. De administrativa sanktionsavgifterna kan som mest uppgå till 20 miljoner euro eller för vissa företag fyra procent av den globala årsomsättningen. Beroende på graden av allvarlighet med avseende på överträdelsen kan olika summor av administrativa sanktionsavgifter komma att tas ut. Om överträdelsen betraktas som allvarlig kan maxbeloppet (20 miljoner euro eller fyra procent av årsomsättningen) tas ut. För mindre allvarliga överträdelser är den administrativa sanktionsavgiften begränsad till 10 miljoner euro.

Även om det är möjligt att dessa höga sanktionsavgifter kan komma att påföras, är det bra att vara medveten om att en bedömning av hur stor sanktionsavgiften ska vara för den enskilda personuppgiftsansvarige kommer att göras i varje enskilt fall. Hänsyn ska tas till bland annat vilken bestämmelse i dataskyddsförordningen som den personuppgiftsansvarige har brutit emot, hur den personuppgiftsansvarige har arbetat med att lindra den skada som har uppstått samt om överträdelsen har skett med uppsåt eller genom oaktsamhet m.m.

Privatpersoner kan inte drabbas av administrativa sanktionsavgifter, med undantag för om privatpersonen bedriver ekonomisk verksamhet. Med andra ord innebär det att privatpersoner som har en enskild firma kan drabbas av administrativa sanktionsavgifter. En enskild firma kan dock erhålla lättnader avseende sanktionerna. Bland annat kan enskilda firmor få en reprimand, vilket är att likställa med en varning, vid en mindre överträdelse eller om överträdelsen skulle leda till en oskälig börda för den enskilda firman. Även organisationer kan tilldelas reprimander för det fall att de gör sig skyldiga till en mindre överträdelse av förordningens regler.

För det fall att en enskild person har åsamkats skada till följd av att företagets, organisationens eller myndighetens behandling av dennes personuppgifter har skett i strid med förordningen, kan den enskilda personen rikta skadeståndsanspråk mot den personuppgiftsansvarige. Även personuppgiftsbiträdet kan bli skadeståndsskyldigt.