Artykuł 40

1. Państwa członkowskie ustanawiają przepisy dotyczące kar mających zastosowanie w przypadku naruszeń niniejszego rozporządzenia i podejmują wszelkie niezbędne środki w celu zapewnienia ich wykonywania. Przewidziane kary są skuteczne, proporcjonalne i odstraszające.

2. Do dnia 12 września 2025 r. państwa członkowskie powiadamiają Komisję o tych przepisach i środkach i bezzwłocznie informują ją o wszelkich późniejszych zmianach mających na nie wpływ. Komisja prowadzi i regularnie aktualizuje łatwo dostępny publiczny rejestr tych środków.

3. Państwa członkowskie uwzględniają zalecenia Europejskiej Rady ds. Innowacji w zakresie Danych oraz następujące niewyczerpujące kryteria nakładania kar za naruszenia niniejszego rozporządzenia:

a) charakter, waga, skala i czas trwania naruszenia;

b) wszelkie działania podjęte przez stronę naruszającą w celu złagodzenia skutków lub naprawienia szkody spowodowanej naruszeniem;

c) wszelkie wcześniejsze naruszenia dokonane przez stronę naruszającą;

d) korzyści finansowe uzyskane lub straty uniknięte przez stronę naruszającą w wyniku naruszenia, o ile takie korzyści lub straty można wiarygodnie ustalić;

e) inne czynniki obciążające lub łagodzące mające zastosowanie w okolicznościach danej sprawy;

f) roczny obrót strony naruszającej w Unii w poprzednim roku budżetowym.

4. Za naruszenia obowiązków ustanowionych w rozdziałach II, III i V niniejszego rozporządzenia organy nadzorcze odpowiedzialne za monitorowanie stosowania rozporządzenia (UE) 2016/679, mogą w zakresie swoich kompetencji nakładać administracyjne kary pieniężne zgodnie z art. 83 rozporządzenia (UE) 2016/679 do wysokości, o której mowa w art. 83 ust. 5 tego rozporządzenia.

5. Za naruszenia obowiązków ustanowionych w rozdziale V niniejszego rozporządzenia Europejski Inspektor Ochrony Danych może w zakresie swoich kompetencji nakładać administracyjne kary pieniężne zgodnie z art. 66 rozporządzenia (UE) 2018/1725 do wysokości, o której mowa w art. 66 ust. 3 tego rozporządzenia.