GDPR-bøter: hva et brudd faktisk kan koste bedriften

Hva en GDPR-bot er, og hvem som kan gi den

Et overtredelsesgebyr er en økonomisk sanksjon som et forvaltningsorgan pålegger som reaksjon på et lovbrudd. I Norge er det Datatilsynet som fører tilsyn med personvernforordningen og som kan ilegge slike gebyrer. Vedtaket er ikke en dom fra domstolene, men et forvaltningsvedtak du kan klage på og få prøvd.

Gebyret er likevel bare én av flere mulige reaksjoner. Datatilsynet kan også gi pålegg om retting, kritikk, midlertidige begrensninger i behandlingen og krav om at opplysninger slettes. I praksis er det ofte påleggene som koster mest tid og penger for en liten virksomhet, fordi de må gjennomføres innen en frist mens den daglige driften går videre.

Begrepene går igjen i flere varianter. Noen søker etter «GDPR bot», andre etter «GDPR fine» eller «GDPR bøter», men det er samme type reaksjon det handler om. Reglene gjelder også små virksomheter, også enkeltpersonforetak og nettbutikker med få ansatte. Regler for nettsider og netthandel: komplett guide for bedrifter gir en samlet oversikt over hva som faktisk kreves av en vanlig norsk nettside.

Slik er gebyrene bygget opp

Personvernforordningen har to nivåer for overtredelsesgebyr. Det laveste nivået gjelder mindre alvorlige brudd, for eksempel på dokumentasjonsplikten. Det høyeste nivået gjelder brudd på de grunnleggende prinsippene, som behandlingsgrunnlag, samtykke og sikkerhet. Begge nivåene er knyttet til virksomhetens årsomsetning og ikke til en fast sum, og derfor blir samme type regelbrudd ulikt dyrt for to bedrifter med ulik størrelse.

Størrelsen avgjøres etter en helhetsvurdering. Tilsynet ser blant annet på hvor alvorlig bruddet er, hvor mange personer som er berørt, hvilken type opplysninger det gjelder, om bruddet skyldes uaktsomhet eller forsett, om virksomheten har gjort noe for å begrense skaden, og hvor godt den har samarbeidet underveis. Å ha dokumentasjon i orden og å rette opp raskt trekker i formildende retning. Å la det skure og gå i flere år trekker motsatt vei.

En detalj som overrasker mange små selskaper: EU-domstolen har slått fast at gebyret kan beregnes ut fra hele konsernets omsetning, ikke bare det selskapet som brøt reglene. Et lite datterselskap i en større kjede bærer dermed en risiko som ikke står i forhold til egen størrelse. Er du del av en kjede, bør du avklare med morselskapet hvem som har ansvar for personvernarbeidet.

GDPR-bøter i Norge og hvem som har fått dem

Datatilsynet har ilagt overtredelsesgebyr siden forordningen trådte i kraft i 2018, og både private og offentlige virksomheter har fått dem. Blant de største sakene finner vi kommuner og statlige aktører, blant annet et større kommunalt arkivsystem og Stortinget, som fikk gebyr for manglende sikkerhetstiltak. Det største gebyret så langt gikk til den internasjonale appvirksomheten Grindr, for mangelfullt samtykke.

Mønsteret er verdt å merke seg. Privat næringsliv står for de største enkeltbeløpene, men stat og kommune er godt representert i antall saker. Forklaringen er sjelden vond vilje. Det handler oftere om gamle systemer, uklare ansvarsforhold og mangel på oversikt over hvilke personopplysninger som faktisk behandles. Små bedrifter har ofte de samme svakhetene, bare i mindre skala. GDPR-bøter i Norge og bøtenivå går nærmere inn på sakene og på hvordan nivået har utviklet seg.

Samlet sett er gebyrene i Norge langt lavere enn i EU som helhet, og antallet saker er begrenset. Utviklingen i Europa går samtidig mot færre, men større vedtak, og de største sakene gjelder internasjonale konsern. For en liten norsk virksomhet er det ikke de enorme konsernbøtene som er den realistiske risikoen. Det er de mange små tingene som til sammen utgjør et brudd.

Konsekvensene går lenger enn selve gebyret

Et gebyr er en engangskostnad. Omdømmetapet kan vare i årevis. Kunder som oppdager at opplysningene deres har ligget åpent, er langt mindre tilbøyelige til å bestille på nytt, og en sak i lokalavisen kan koste mer enn det et ryddig personvernarbeid ville ha gjort. For håndverkere og lokale tjenesteytere er tillit selve forretningsmodellen.

I tillegg kommer kravene til opprydding. Tilsynet kan kreve at behandlingen stanses midlertidig, at opplysninger slettes, at rutiner skrives om og at avvik dokumenteres. Ved brudd på sikkerheten må du også varsle, og du må vurdere om de registrerte skal informeres. Databrudd og brudd på GDPR: hva må bedriften gjøre? beskriver stegene du må gjennom når noe først har skjedd.

Kostnadene som ikke synes på noen faktura er ofte de største: timer brukt på å svare tilsynet, konsulenter leid inn på kort varsel, kampanjer som må stoppes fordi samtykket ikke holder, og anbud du ikke kan levere fordi du ikke kan dokumentere hvordan dataene behandles. Mange oppdragsgivere spør direkte om dette før de signerer.

Dette ser Datatilsynet etter i praksis

Det første tilsynet spør om, er oversikten. Kan du fortelle hvilke personopplysninger du behandler, hvor de kommer fra, hvem du deler dem med og hvor lenge du lagrer dem? Har du ikke dette skriftlig, starter saken dårlig uansett hvor god intensjonen er. En behandlingsprotokoll trenger ikke være avansert, men den må finnes og være oppdatert.

Det andre er grunnlaget for behandlingen. For en nettbutikk betyr det at personvernerklæringen må stemme med det som faktisk skjer på nettstedet, og at du har et lovlig grunnlag for markedsføring, kundeoppfølging og analyse. Samtykke er ikke alltid riktig løsning, og et samtykke som er innhentet på feil måte er like ubrukelig som ingen samtykke. Informasjonskapsler på nettsiden: dette sier reglene viser hvordan dette slår ut for sporing og statistikk.

Det tredje er sikkerheten. Tilgangsstyring, sikkerhetskopier og kryptering er de tiltakene som oftest avgjør utfallet av en sak, fordi de viser om virksomheten har tatt risikoen på alvor. GDPR og kryptering: hva kreves? forklarer hva som faktisk forventes, og hva som er godt nok for en liten virksomhet. Har du leverandører som behandler data for deg, må du også kunne vise databehandleravtaler.

Hva det koster å forebygge, og hva du bør gjøre først

Hva det koster å bli compliant varierer mye. Det avhenger av hvor mange systemer du bruker, hvor mange kunder du har, om du behandler sensitive opplysninger, om du gjør jobben selv eller leier noen, og hvor ryddig det allerede er. To bedrifter med samme omsetning kan få svært ulike regninger, og det er ingen grunn til å sammenligne seg blindt med naboen.

For en nettside eller nettbutikk kan prisen ligge et sted mellom rundt 10 000 og 250 000 kroner, avhengig av omfang, funksjoner og hvem som lager den. En enkel informasjonsside med oppdatert personvernerklæring og en ryddig samtykkeløsning er noe ganske annet enn en butikk med kundekontoer, nyhetsbrev, flere betalingsløsninger og koblinger mot regnskap og lager. Hva koster GDPR-compliance for en liten bedrift? bryter ned hva du betaler for, og hva du kan gjøre selv.

En fornuftig rekkefølge er å starte med oversikten, deretter personvernerklæringen, så leverandøravtalene, tilgangene og rutinene for innsyn, sletting og avvik. Det er de samme punktene tilsynet spør om. Skal du først bygge ny nettside eller nettbutikk, er det billigere å få personvernhensynene inn i strukturen fra start enn å reparere i etterkant. Nettside er stedet å begynne hvis du vil ha dette bygget riktig fra første versjon, og du kan booke en demo på /book-demo/ for å gå gjennom hva som gjelder din virksomhet.

Vanlige spørsmål

Hvor store kan GDPR-bøter bli?

Gebyrnivåene er knyttet til virksomhetens årsomsetning og til hvor alvorlig bruddet er, ikke til en fast sum. Derfor kan samme type regelbrudd gi svært ulike beløp for to bedrifter. For små virksomheter er pålegg om retting og tapt tid ofte en større kostnad enn selve gebyret.

Kan små bedrifter få GDPR-bøter i Norge?

Ja. Personvernforordningen gjelder alle virksomheter som behandler personopplysninger, uavhengig av størrelse, også enkeltpersonforetak og små nettbutikker. Datatilsynet har gitt gebyrer til både små og store aktører, men de fleste små saker ender med pålegg, kritikk eller krav om retting.

Hvem gir GDPR-bøter i Norge?

Datatilsynet fører tilsyn med personvernforordningen i Norge og er den som vedtar overtredelsesgebyr. Vedtaket er et forvaltningsvedtak som kan klages på, og saken kan også bringes inn for domstolene.

Er et databrudd det samme som et GDPR-brudd?

Nei. Et databrudd er en sikkerhetshendelse, for eksempel at opplysninger kommer på avveie. Et GDPR-brudd er et brudd på selve regelverket, som kan skje uten at det har vært noen sikkerhetshendelse, for eksempel ved mangelfullt samtykke eller manglende personvernerklæring.

Hva bør jeg gjøre først for å redusere risikoen?

Lag en oversikt over hvilke personopplysninger du behandler og hvorfor, oppdater personvernerklæringen, sikre at leverandøravtaler er på plass, begrens tilganger og lag rutiner for innsyn, sletting og avvik. Det er de samme punktene tilsynet etterspør i en sak.