GDPR-bøter i Norge: slik fastsettes bøtenivået

To bøtenivåer og et tak som ikke er en fast sats

Personvernforordningen deler bruddene i to grupper, og det er gruppen som bestemmer taket. For den ene gruppen er taket 10 millioner euro eller 2 prosent av den globale årsomsetningen, for den andre 20 millioner euro eller 4 prosent. Gir de to beregningene ulikt resultat, gjelder det høyeste beløpet.

Norge har i tillegg lagt til noe i personopplysningsloven § 26: nivået for de alvorligste bruddene gjelder også brudd på artikkel 10 om opplysninger om straffedommer og artikkel 24 om den behandlingsansvarliges generelle ansvar og internkontroll. Svikt i internkontroll og ansvarsfordeling er altså ikke en teknisk detalj, men ligger innenfor det høyeste nivået. En ryddig oversikt over hvilke regler som gjelder for nettsiden og netthandelen finnes i guiden for regler for nettsider og netthandel.

Taket er ikke en prisliste, men et maksimum for den groveste saken. Det er knyttet til global årsomsetning, ikke til norsk omsetning eller antall ansatte. En liten bedrift får dermed ikke et lavere tak, men et lavt tak beskytter ikke mot et gebyr som er merkbart i en liten driftsmargin.

Hva som avgjør nivået i den enkelte saken

Forordningen lister opp momenter tilsynet skal legge vekt på. Det handler blant annet om hvor alvorlig og omfattende bruddet er, hvor lenge det har pågått, om det er gjort med vilje eller uaktsomt, hvilke tiltak virksomheten hadde på plass, hvordan den har samarbeidet med tilsynet, og hvilken økonomisk evne den har. Momentene virker sammen, og derfor kan to saker med tilsynelatende likt brudd ende med svært ulike beløp.

I praksis teller dokumentasjon. En virksomhet som kan vise protokoll over behandlinger, risikovurdering, rutiner for tilgang og en navngitt ansvarlig, står i en helt annen posisjon enn en som ikke vet hvor personopplysningene ligger. Det er også forskjell på et engangsavvik som ryddes opp samme uke, og en praksis som har fått stå i årevis fordi ingen følger med.

Et vanlig misforstått punkt er at manglende samtykke eller manglende behandlingsgrunnlag bare er et papirproblem. Grindr ble ilagt 65 millioner kroner nettopp for brudd på kravene til et samtykke. Når grunnlaget for behandlingen mangler, faller hele behandlingen, og god sikkerhet ellers kompenserer ikke for det. Flere eksempler står i oversikten over hva brudd på personvernreglene koster.

Norske vedtak: færre saker, større beløp

Datatilsynet har siden 2018 ilagt gebyrer som til sammen tilsvarer 12,2 millioner euro, ifølge advokatfirmaet DLA Pipers årlige gjennomgang. Rapporten beskriver utviklingen i Norge som færre og større bøter. Det er et mønster verdt å merke seg, for det er ikke mange små saker som driver tallet opp.

I en oversikt over Datatilsynets største vedtak varierer beløpene fra 65 millioner kroner og ned til 400 000 kroner. Stortinget ble ilagt 2 millioner kroner for manglende sikkerhetstiltak, og Innovasjon Norge fikk et gebyr på 1 million kroner i 2021. Også kommuner har fått vedtak mot seg, blant annet Bergen kommune og Oslo kommune, og offentlig sektor er godt representert blant de høyeste beløpene.

Sammenlignet med resten av Europa er de norske beløpene moderate. Europeiske tilsynsmyndigheter utstedte i løpet av ett år bøter for nesten 1,8 milliarder euro, en økning på mer enn 14 prosent fra året før, og økningen skyldes i stor grad en enkeltbot på 1,2 milliarder euro til Meta. Norske vedtak må leses i den sammenhengen: nivået er lavere, men retningen er den samme.

Gebyret er sjelden det eneste utfallet

Datatilsynet kan også gi pålegg, kritikk, midlertidige begrensninger og krav om retting. For mange virksomheter er det mer inngripende enn selve gebyret: en behandling kan måtte stanse, nettsiden må endres, og oppryddingen legger beslag på tid og folk. I tillegg kommer omdømmetapet og arbeidet med å gjenopprette tillit hos kunder og samarbeidspartnere.

Et forhold små bedrifter ofte overser, er at boten kan regnes av konsernets omsetning. EU-domstolen har slått fast at bryter et lite datterselskap personvernlovgivningen, kan boten bli fire prosent av hele konsernets omsetning. For en liten enhet i et større konsern står altså ikke risikoen i forhold til egen størrelse.

Sikkerhet er en gjenganger i sakene. Stortingsvedtaket på 2 millioner kroner handlet om manglende sikkerhetstiltak, ikke om manglende policy. Kravet til sikkerhet handler ikke om å kjøpe det dyreste verktøyet, men om at tiltakene står i forhold til risikoen. Hva som kreves av kryptering og andre tiltak er beskrevet i artikkelen om GDPR og kryptering.

Slik reduserer en liten bedrift risikoen

Start med å kartlegge. Lag en protokoll over hvilke personopplysninger dere behandler, hvor de kommer fra, hvor de lagres og hvem som har tilgang. De fleste små virksomheter finner at listen er kortere enn fryktet, men at det er hull: et regneark med kunder, en delt mappe med CV-er, et skjema på nettsiden som samler inn mer enn nødvendig.

Gå deretter gjennom grunnlaget for hver behandling. Kundedata trenger et grunnlag, markedsføring trenger samtykke eller eksisterende kundeforhold, og informasjonskapsler krever sitt eget opplegg. Bruk artikkelen om informasjonskapsler og samtykke for å sjekke at løsningen faktisk samler inn det den skal, og ikke mer.

Til slutt: gjør dette til noe som skjer hvert år, ikke noe som gjøres én gang. Inngå databehandleravtaler med leverandørene, skriv ned rutinene for tilgang og sletting, og sett opp en fast gjennomgang. Årshjulet for etterlevelse viser hvordan det kan legges opp uten at det blir et eget prosjekt.

Nettsaga bygger nettsider for små bedrifter, håndverkere og lokale tjenesteleverandører, med skjemaer og samtykkeløsninger som er enkle å holde oversikt over. Se nettsideløsningen eller book en demo hvis du vil gjennomgå oppsettet ditt.

Vanlige spørsmål

Hvor høye kan GDPR-bøter bli i Norge?

Taket er 10 millioner euro eller 2 prosent av global årsomsetning for én gruppe brudd, og 20 millioner euro eller 4 prosent for den andre. Ved motstrid gjelder det høyeste beløpet. Det faktiske gebyret fastsettes konkret i hver sak og ligger ofte langt under taket.

Har Datatilsynet ilagt GDPR-bøter i Norge?

Ja. Datatilsynet har ilagt gebyrer siden 2018, til sammen 12,2 millioner euro ifølge DLA Pipers gjennomgang. Blant de mest kjente er 65 millioner kroner til Grindr, 2 millioner kroner til Stortinget og 1 million kroner til Innovasjon Norge. Også kommuner som Bergen og Oslo har fått vedtak mot seg.

Er GDPR-boten en fast prosent av omsetningen?

Nei. Prosentsatsen er et tak, ikke en sats som brukes automatisk. Tilsynet vurderer blant annet hvor alvorlig bruddet er, hvor lenge det har pågått, skyld, hvilke tiltak som var på plass, samarbeid med tilsynet og virksomhetens økonomiske evne.

Kan små bedrifter slippe GDPR-bøter?

Nei, regelverket har ingen nedre grense for størrelse, og GDPR gjelder også små virksomheter og foreninger. En liten bedrift kan ha lavere risiko enn et stort konsern, men manglende behandlingsgrunnlag, manglende databehandleravtale eller markedsføring uten gyldig samtykke er brudd uansett størrelse.

Kan boten regnes av konsernets omsetning?

Ja. EU-domstolen har slått fast at bryter et lite datterselskap personvernlovgivningen, kan boten bli fire prosent av hele konsernets omsetning. For en liten enhet i et større konsern betyr det at risikoen ikke står i forhold til egen omsetning.