Artykuł 83 Rozporządzenia określa między innymi ogólne zasady, którymi powinien kierować się organ nakładając kary administracyjne na podmioty w przypadku stwierdzenia naruszeń. W każdym indywidualnym przypadku należy wziąć pod uwagę charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczbę poszkodowanych osób, których dane dotyczą i rozmiaru poniesionej przez nie szkody. Organ powinien uwzględniać również umyślny lub nieumyślny charakter naruszenia i to, jakie działania podjął podmiot w celu zminimalizowania szkód poniesionych przez osoby, których dane dotyczą.
Nie bez znaczenia jest również stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem wdrożonych przez niego środków technicznych i organizacyjnych. Kolejno, organ powinien uwzględniać również wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego oraz stopień współpracy z organem nadzorczym w celu usunięcia naruszenia lub złagodzenia jego ewentualnych negatywnych skutków.
Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach
Istotną kwestią są również kategorie danych osobowych, których dotyczyło naruszenie. Informacje dotyczące naszego pochodzenia etnicznego lub rasowego, ujawniajcie poglądy polityczne, przekonania religijne lub światopoglądowe, ujawniające przynależność do związków zawodowych, dane genetyczne, biometryczne, czy dotyczące zdrowia, seksualności i orientacji seksualnej są tzw. danymi wrażliwymi podlegającymi szczególnej ochronie. Naruszenie związane z danymi wrażliwymi będzie traktowane surowiej niż w przypadku danych, które takowymi nie są.
Należy również wziąć pod uwagę to, w jaki sposób organ dowiedział się o naruszeniu, a w szczególności czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie. Jeśli kara administracyjna ma być nałożona na podmiot, wobec którego w przeszłości zastosowano środki naprawcze, organ powinien uwzględnić fakt, czy są one przestrzegane. Jeśli istnieje zatwierdzony kodeks postępowania, fakt jego stosowania również powinien być uwzględniany przy nakładaniu kar na podmiot. Finalnie, organ powinien uwzględnić wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty. Rozporządzenie w art. 83 ust. 1 wskazuje również, iż kary nakładane na podmioty powinny być w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające.
Wyżej przedstawione zasady pokazują, iż kary, które będą nakładane przez organ nie muszą osiągać górnego pułapu, wszystko zależne jest bowiem od wielu czynników. Bezsprzecznie jednak należy jak najlepiej przygotować się na zmiany, które będą miały zastosowanie od 25 maja 2018 r., aby uniknąć lub chociaż zminimalizować wysokość kar.
Zobacz: Prawo dla firm