Tere, Reti

Suured tänud, et pöördusite Andmekaitse Inspektsiooni.

IKÜM-s sätestatud kuni 20 miljoni euro või kuni 4% ülemaailmse aastakäibe suurune ülemmäär on mõeldud selleks, et andmekaitsenormide rikkumise eest määratavad sanktsioonid oleksid tõhusad, proportsionaalsed ja heidutavad ka väga suurte rahvusvaheliste ettevõtete jaoks. Käibepõhine ülemmäär aitab vältida olukorda, kus trahv oleks suurettevõttele lihtsalt üks tavapärane tegevuskulu.

Samas ei tähenda see, et iga rikkumise korral määratakse maksimaalne summa. Sanktsiooni suurus sõltub muu hulgas rikkumise laadist, raskusest, kestusest, tahtlikkusest, tekitatud mõjust ning sellest, kuidas organisatsioon on järelevalveasutusega koostööd teinud.

Euroopas on määratud ka väga suuri andmekaitsetrahve ja isegi suuremaid kui 20 miljonit eurot, sest suurte ettevõtete puhul kohaldatakse käibepõhist ülempiiri.

Eestis on olukord olnud teistsugune. Eesti senine praktika on olnud märksa tagasihoidlikum. Erinevate trahvisummade puhul on oluline mh eristada määratud ja jõustunud trahve. Trahviotsuseid on teatavasti võimalik kohtus vaidlustada ning osa neist võib hiljem muutuda või täielikult tühistatud saada. Suurim jõustunud juriidilise isiku trahv on olnud alla 10 000 euro.

Suurim Eestis määratud andmekaitsevaldkonna sanktsioon oli 2025. aastal Allium UPI-le määratud trahv 3 miljonit eurot, kuid see on hetkel kohtus vaidlustatud.