Bardzo wysokie kary za naruszenie przepisów rozporządzenia RODO są dla wielu przedsiębiorców istotną motywacją do podjęcia współpracy z profesjonalnymi firmami doradczymi.
Organem nadzorczym stojącym na straży przestrzegania przepisów rozporządzenia RODO jest Prezes Urzędu Ochrony Danych Osobowych. Jego podstawowym zadaniem jest stanie na straży prawa do ochrony danych osobowych. Jednym z ważnych elementów działalności prezesa UODO jest również podnoszenie świadomości społeczeństwa w zakresie konieczności ochrony danych.
W przypadku stwierdzenia naruszeń przepisów, obowiązkiem prezesa UODO jest reakcja proporcjonalna do wagi naruszenia. Niewielkie naruszenia prawdopodobnie będą skutkować sankcjami niefinansowymi, określonymi w artykule 58 ust. 2 rozporządzenia. Są to na przykład: ostrzeżenia dotyczące możliwości naruszenia, upomnienia, nakazy spełnienia żądań osób, których dotyczą dane a także czasowe lub całkowite ograniczenie lub zakaz przetwarzania danych osobowych.
Ponadto organ kontrolny ma uprawnienia do stosowania administracyjnych kar pieniężnych. Czynniki, jakie są brane pod uwagę przy ustalaniu wysokości kary pieniężnej to między innymi: charakter, waga oraz czas trwania naruszenia, jego umyślny lub nieumyślny charakter, działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody a także współpraca z poszkodowanymi i organem kontrolnym. Przepisy rozporządzenia RODO wymagają od podmiotu przetwarzającego dochowania i udokumentowania szczególnej staranności podczas procesu gromadzenia i przetwarzania danych osobowych.
Zgodnie z duchem przepisów, szczególnie istotna jest współpraca administratora danych z osobami poszkodowanymi i organem kontrolnym. Naruszenia mogą się zdarzyć, jednak najgorsze możliwe zachowanie, to ukrywanie ich, odnoszenie z nich korzyści i brak reakcji na sygnały o nich.
Rozporządzenie RODO określa maksymalne poziomy kar. W przypadku nieprawidłowości w zakresie powierzenia przetwarzania danych, niewłaściwego prowadzenia rejestru czynności, niezgłoszenia naruszeń lub niezawiadomienia o naruszeniu osób, których dane dotyczą, maksymalna kara wynosi 10 000 000 euro lub 2% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku. Aż 20 000 000 euro lub 4% obrotu może zapłacić przedsiębiorca, który przetwarza dane osobowe niezgodne z zasadami RODO, nie dotrzymuje warunków wyrażenia zgody na przetwarzanie danych, nie dotrzymuje warunków przetwarzania szczególnych kategorii danych (na przykład o stanie zdrowia, wyznaniu czy orientacji seksualnej) a także nie dopełnia obowiązku informacyjnego lub nie zapewnia prawa do sprostowania. Obniżone maksymalne poziomy kar obowiązują instytucje z sektora finansów publicznych oraz państwowe i samorządowe instytucje kultury. Są to odpowiednio 100 000 i 10 000 złotych.
Należy pamiętać, że niezależnie od kar administracyjnych, przedsiębiorcom grozi również odpowiedzialność cywilna z tytułu pozwów sądowych osób poszkodowanych.
