66. cikk
Közigazgatási bírságok
(1) Az európai adatvédelmi biztos az egyes esetek körülményeitől függően közigazgatási bírságot szabhat ki az uniós intézményekre és szervekre, amennyiben valamely uniós intézmény vagy szerv nem tesz eleget az európai adatvédelmi biztos által az 58. cikk (2) bekezdésének d) – h) és j) pontja értelmében hozott határozatnak. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:
a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve az adott adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;
b) az uniós intézmény vagy szerv részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;
c) az uniós intézmény vagy szerv felelősségének mértéke, figyelembe véve az általuk a 27. és a 33. cikk értelmében foganatosított technikai és szervezési intézkedéseket;
d) az uniós intézmény vagy szerv által korábban elkövetett hasonló jogsértések;
e) az európai adatvédelmi biztossal a jogsértés orvoslása és a jogsértés esetleges negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke;
f) a jogsértés által érintett személyes adatok kategóriái;
g) az, ahogyan az európai adatvédelmi biztos tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az uniós intézmény vagy szerv jelentette-e be a jogsértést, és ha igen, milyen részletességgel;
h) az érintett uniós intézménnyel vagy szervvel szemben korábban elrendelt, az 58. cikkben említett valamely intézkedésnek való megfelelés. A bírságok kiszabásához vezető eljárásokat az ügy körülményeinek megfelelően észszerű határidőn belül kell lefolytatni, figyelembe véve a 69. cikkben említett vonatkozó fellépéseket és eljárásokat.
(2) Uniós intézmény vagy szerv a 8., a 12., a 27–35., a 39., a 40., a 43., a 44. és a 45. cikk szerinti kötelezettségeinek megsértése esetén az e cikk (1) bekezdésével összhangban jogsértésenként legfeljebb 25 000 EUR összegű közigazgatási bírság szabható ki, és a bírság éves felső határa 250 000 EUR.
(3) Uniós intézmény vagy szerv a következő rendelkezések megsértése esetén az (1) bekezdéssel összhangban jogsértésenként legfeljebb 50 000 EUR, évente összesen legfeljebb 500 000 EUR összegű közigazgatási bírság szabható ki:
a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit is – a 4., az 5., a 7. és a 10. cikk értelmében;
b) az érintettek jogai a 14–24. cikk értelmében;
c) személyes adatok harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 46–50. cikk értelmében.
(4) Ha egy uniós intézmény vagy szerv egyazon adatkezelési művelet vagy egymáshoz kapcsolódó vagy folyamatos adatkezelési műveletek tekintetében e rendelet több rendelkezését, vagy ugyanazon rendelkezését több alkalommal is megsérti, a bírság teljes összege nem haladhatja meg a legsúlyosabb jogsértés esetén meghatározott összeget.
(5) Az e cikk szerinti határozatok meghozatala előtt az európai adatvédelmi biztos biztosítja az európai adatvédelmi biztos által lefolytatott eljárás tárgyát képező uniós intézmény vagy szerv számára a lehetőséget, hogy kifejtse álláspontját azon ügyekben, amelyek ellen az európai adatvédelmi biztos kifogást emelt. Az európai adatvédelmi biztos határozatait csak olyan kifogásokra alapozza, amelyekkel kapcsolatban az érintett felek megtehették észrevételeiket. A panaszosokat szorosan bevonják az eljárásokba.
(6) Az érintett felek védekezéshez való jogát az eljárás során teljes mértékben tiszteletben kell tartani. Az érintett felek jogosultak arra, hogy hozzáférjenek az európai adatvédelmi biztos aktájához, figyelemmel az egyéneknek vagy vállalkozásoknak a személyes adataik vagy üzleti titkaik védeleméhez fűződő jogos érdekére.
(7) Az e cikk szerint kiszabott bírságok révén beszedett összegek az Unió általános költségvetésének bevételét képezik.