Frågor och svar om sanktionsavgifter
Vad är en sanktionsavgift?
En administrativ sanktionsavgift i GDPR kallas ibland i vanligt tal för "GDPR-böter". Det är en av flera korrigerande åtgärder som IMY kan besluta om när vi efter en granskning kommer fram till att en aktör har brutit mot GDPR.
När kan ett företag drabbas av en sanktionsavgift?
I princip alla överträdelser av GDPR kan leda till sanktionsavgifter om överträdelsen har skett avsiktligt eller på grund av oaktsamhet.
Generellt sett brukar dock mindre överträdelser inte leda till en sanktionsavgift. För sådana överträdelser är det vanligare att vi ger en reprimand, vilket kan beskrivas som en form av tillrättavisning. Ramarna för detta sätts i en av riktlinjerna från Europeiska dataskyddsstyrelsen (EDPB) som gäller sanktionsavgifter, den om påförande (04/2026).
IMY har även fler korrigerande befogenheter och kan till exempel förelägga en aktör att vidta en viss åtgärd eller förbjuda den att hantera personuppgifter på det sätt som visat sig vara fel.
Om det däremot inte handlar om en mindre överträdelse talar det starkt för att den kan leda till en sanktionsavgift. En sanktionsavgift ska vara effektiv, proportionerlig och avskräckande. Därför ska IMY bedöma från fall till fall om en sanktionsavgift är lämplig i förhållande till överträdelsen.
Varför varierar beloppen så mycket?
Sanktionsavgiftens storlek beror bland annat på hur allvarlig överträdelsen är och hur stor ekonomisk omsättning aktören har. En allvarlig överträdelse ska ge en hög sanktionsavgift, vilket betyder hög i förhållande till aktörens omsättning. Det går därför inte att jämföra summor rakt av mellan olika fall för att bedöma hur allvarlig överträdelsen är. Om ett större företag gör samma överträdelse som ett mindre så får det i allmänhet en högre avgift.
Hur bedömer IMY sanktionsavgiftens storlek?
Sanktionsavgiftens storlek bedöms utifrån regler i GDPR och den andra riktlinjen från EDPB som gäller sanktionsavgifter, som handlar om beräkning (04/2022). Det finns ingen bestämd summa för hur hög en sanktionsavgift ska vara för en viss överträdelse, men det finns olika maxbelopp beroende på hur allvarlig överträdelsen är. Maxbeloppen varierar också beroende på vilken typ av aktör som begått överträdelsen.
Vilka maxbelopp kan IMY besluta om?
För myndigheter är högsta maxbeloppet 10 miljoner kronor och för de något mindre allvarliga överträdelserna 5 miljoner kronor. För aktörer som inte är myndigheter är högsta maxbeloppet 20 miljoner euro eller, om det gäller ett företag, fyra procent av den globala årsomsättningen, beroende på vilket belopp som är högst.
För de något mindre allvarliga överträdelserna är maxbeloppet 10 miljoner euro eller, om det gäller ett företag, två procent av den globala årsomsättningen, beroende på vilket belopp som är högst.
Vad avgör om IMY beslutar om maxbelopp eller inte?
Med maxbeloppet som utgångspunkt justeras sedan spannet ytterligare utifrån hur allvarlig överträdelsen är och det aktuella företagets omsättning. Ramarna för detta sätts i riktlinjen från EDPB som gäller beräkning. Spannet för hur stor en sanktionsavgift kan bli varierar alltså från fall till fall.
Slutbeloppet kan också höjas eller sänkas beroende på vad IMY anser är effektivt, avskräckande och proportionerligt. De högsta beloppen är dock tänkta för de allra allvarligaste överträdelserna och för de allra största organisationerna.