GPDR-böter: så undviker du sanktionsavgifter

Att hantera personuppgifter är vardag för många företag och hemsidor. Det kan vara allt från enkla kontaktformulär till avancerad datainsamling för trafikanalys. Nästan alla hemsidor samlar någon typ av personuppgift och behöver tänka på hur GDPR påverkar dem.

Om ditt företag inte följer de strikta regler som GDPR innehåller, riskerar du att tvingas betala tunga böter. I denna artikel ska vi förklara hur du kan skydda dina kunders personuppgifter, hur du skyddar dig juridiskt och vad som händer om du bryter mot GDPR.

Vilka lagar gäller för dataskydd?

Innan vi går in på överträdelser och böter ska vi gå igenom de grundläggande regler som måste följas när det gäller skydd av digitala personuppgifter. Sedan 2018 gäller dataskyddsförordningen (GDPR) inom Europeiska unionen. GDPR reglerar allt som rör personuppgifter och deras fria rörlighet inom EU och Europeiska ekonomiska samarbetsområdet (EES).

I Sverige gäller GDPR som EU-förordning och kompletteras av den svenska dataskyddslagen (2018:218), som innehåller särskilda regler för Sverige. Den mynidghet som ansvarar för dataskydd i Sverige är Integritetsskyddsmyndigheten (IMY).

Både GDPR och den svenska dataskyddslagen fokuserar på att skydda individens personuppgifter och reglerar bland annat:

• Samtycke till behandling av personuppgifter
• Användning av cookies på hemsidor
• Krav på en tydlig och lättillgänglig integritetspolicy som informerar användaren om hur deras uppgifter hanteras

Vilka överträdelser av dataskyddslagstiftningen finns?

Dataskyddslagstiftningen i Sverige (GDPR tillsammans med kompletteringslagen) delar upp överträdelser i tre nivåer: mycket allvarliga, allvarliga och mindre allvarliga. Här är en översikt:

Mycket allvarliga överträdelser

I denna kategori ingår brott mot grundläggande principer i dataskyddsförordningen. Exempel:

• Behandling av personuppgifter utan rättslig grund, till exempel utan samtycke eller utan att informera individen.
• Otillåten behandling av personuppgifter.
• Användning av personuppgifter för andra syften än vad individen informerats om eller samtyckt till.
• Behandling av känsliga personuppgifter (till exempel hälsa, etniskt ursprung, politiska åsikter) utan att uppfylla de rättsliga kraven.
• Överföring av personuppgifter till länder utanför EU/EES utan adekvat skydd.
• Att försvåra eller hindra Integritetsskyddsmyndighetens tillsyn.

Allvarliga överträdelser

Dessa bedöms som medelhög allvarlighetsgrad. Exempel:

• Behandling av barns uppgifter utan samtycke från vårdnadshavare.
• Bristande säkerhetsåtgärder vid hantering av personuppgifter.
• Underlåtenhet att införa lämpliga tekniska och organisatoriska skyddsåtgärder inom organisationen.
• Underlåtenhet att utse ett dataskyddsombud (DPO) när det krävs.
• Att inte svara på eller följa IMY:s förelägganden eller begäran.
• Att låta ett personuppgiftsbiträde behandla uppgifter utan ett korrekt personuppgiftsbiträdesavtal.
• Underlåtenhet att anmäla personuppgiftsincidenter till IMY inom den föreskrivna tiden.

Mindre allvarliga överträdelser

Dessa är överträdelser av formell eller administrativ karaktär. Exempel:

• Bristande eller felaktig information till registrerade om hur deras uppgifter används.
• Att inte svara på begäran om tillgång, rättelse eller radering av uppgifter.
• Att ta ut avgifter för att ge registrerade tillgång till sina uppgifter.
• Att inte publicera kontaktuppgifter till dataskyddsombudet (DPO).

Sanktioner och böter vid brott mot dataskyddsregler

Eftersom dataskyddslagar skyddar rätten till integritet och säker hantering av personuppgifter kan företag som inte följer reglerna stöta på allvarliga konsekvenser.

Enligt både dataskyddsförordningen (GDPR) och svensk lagstiftning kan böter uppgå till 20 miljoner Euro eller fyra procent av den globala årsomsättningen – beroende på vilket belopp som är högst. Vid allvarliga överträdelser kan sanktionsavgiften uppgå till flera hundratusen kronor, medan mindre överträdelser kan leda till böter på lägre belopp.

Ytterligare sanktioner kan inkludera tillfälligt förbud mot behandling av personuppgifter eller krav på att vidta specifika säkerhetsåtgärder.

Böter beslutas av Integritetsskyddsmyndigheten (IMY) och bedöms utifrån överträdelsens allvar. Vid beslut beaktas bland annat:

• Den skada som överträdelsen har orsakat.
• Mängden och typen av personuppgifter som berörs.
• Om uppgifter om barn eller andra särskilt skyddsvärda grupper har påverkats.
• Om det finns tidigare överträdelser från samma aktör.
• I vilken utsträckning den ansvariga parten har samarbetat med myndigheten.
• Vilka åtgärder som vidtagits för att begränsa skadan.

Exempel på sanktionsavgifter vid överträdelser

Flera stora teknikföretag har fått kännbara böter för brott mot GDPR. Den högsta sanktionsavgiften hittills utdelades till Meta för upprepade överträdelser i sina tjänster (Facebook, Instagram och WhatsApp). Enligt The Guardian bötfälldes Facebook med 1,2 miljarder euro i maj 2023.

I Sverige rapporterade Integritetsskyddsmyndigheten (IMY) ett antal betydande ärenden under 2023 och 2024. Bland annat:

• Klarna fick en sanktionsavgift på 7,5 miljoner kronor 2021 för bristande information i sin dataskyddspolicy.
• Polismyndigheten ålades 2022 en sanktionsavgift på 10 miljoner kronor för olaglig användning av ansiktsigenkänning.

Men det är inte bara stora företag som bötfälls. Enligt IMY riktar sig en stor del av tillsynen mot små och medelstora företag, inklusive enskilda näringsidkare. Dessa avgifter kan variera från några tusenlappar till flera hundratusen kronor. Exempel:

• Ett mindre gymföretag fick en sanktionsavgift på 200 000 kronor för att ha installerat övervakningskameror i omklädningsrum.
• En lokal vårdcentral bötfälldes med 120 000 kronor för bristande åtkomstkontroller till journalsystemet.
• Ett företag inom hemtjänst fick betala 300 000 kronor för att ha delat personuppgifter via osäkra kommunikationskanaler.

Dessa exempel visar att även mindre aktörer måste ta dataskydd på allvar och följa GDPR och svensk kompletterande lagstiftning.

Så undviker du GDPR-böter

Det första du behöver tänka på är att ha alla juridiska dokument för din hemsida. Du behöver till exempel en integritetspolicy. Den kan vara svår att skriva men det finns verktyg som gör det enkelt. Termly kan skanna din hemsida och skapa anpassade dokument, cookiebanners, policydokument och andra juridiska dokument som du behöver för din hemsida.

När din hemsida är publicerad, är korrekt dataskydd och hantering avgörande. Data Management Association (DAMA), en global ideell organisation med fokus på dataskydd som erbjuder råd för att undvika överträdelser och sanktioner:

• Skriv en tydlig integritetspolicy för att skydda kund- och medarbetardata.
• Beskriv åtkomstkontroller så att endast behörig personal hanterar känslig information.
• Begränsa insamling av personuppgifter – be endast om nödvändig information.
• Övervaka dataintegritet för att förhindra obehöriga ändringar.
• Ha en incidentplan för dataintrång eller cyberattacker.
• Erbjud kontinuerlig utbildning för medarbetare om vikten av dataskydd.
• Genomför regelbundna säkerhetsrevisioner inom ditt företag.

Skyddad data för ökad tillit

Att misslyckas med att skydda kunders data kan leda till stora konsekvenser för dig och dina kunder. När du lyckas kan du å andra sidan stärka kunders tillit till dig och visa att du tar ansvar. Väl skyddad data kan alltså både hjälpa dig och se till att du undvikor onödiga skador.