Z samego założenia kary  mają być dotkliwe i odstraszające. Przy ich wymierzaniu decydować jednak musi indywidualna ocena każdego z naruszeń. I zanim dojdzie do jej nałożenia, Prezes UODO bierze pod uwagę 11 czynników, których wymaga RODO.  Ocenia się więc charakter, wagę i czas trwania naruszenia. Znaczenie ma więc liczba poszkodowanych osób czy rozmiar poniesionej przez nie szkody, ale i to, jaki był cel i zakres przetwarzania danych, których dotyczyło naruszenie Konieczne jest zbadanie, czy miało ono charakter umyślny, czy też nie.  Istotne dla ustaleń jest również przeanalizowanie działań, jakie w związku z naruszeniem podjął administrator bądź podmiot przetwarzający. Prezes UODO bierze więc pod uwagę, czy np. podmiot po swojej stronie podjął działania zmierzające do naprawy stwierdzonych nieprawidłowości, czy powiadomił osoby, których dane przetwarza np. o wycieku informacji z bazy dennych. 

Ustalany jest też stopień odpowiedzialności administratora lub podmiotu przetwarzania. Dlatego Prezes UODO zwraca przy tym uwagę na to, jak np. dane były chronione zarówno od strony technicznej, jak i proceduralnej. Znaczenie ma tu również podejście do przewidzianych w RODO zasad privacy by default oraz privacy by design. A więc znaczenie ma, czy ochrona danych osobowych była brana pod uwagę już na etapie projektowania produktu czy usługi.  

RODO wyszczególnia dwa stopnie kar:

Pierwszy – zakłada przyznanie grzywny w wysokości do 10 milionów euro lub 2% rocznego obrotu przedsiębiorstwa, np.:

• zaniedbanie bezpieczeństwa przetwarzania danych osobowych (art. 32);
• przetwarzanie danych osobowych osób nieletnich bez zgody ich rodziców lub opiekunów (art. 8);

Drugi próg kar – do 20 milionów euro lub 4% rocznego obrotu firmy, np.:

• nieprzestrzeganie podstawowych zasad przetwarzania danych osobowych (art. 5);
• brak podstawy prawnej pozwalającej na gromadzenie i przetwarzanie danych osobowych (art. 6);

Przykłady pierwszych kar nałożonych w Polsce przez UODO:

• 55 tys. zł zapłaci związek za ujawnienie zbyt szerokiego zakresu danych osobowych
• 943 tys. zł kary zapłaci Firma za złamanie przepisów RODO.

Do Urzędu Ochrony Danych Osobowych do  konca maja 2019 r. wpłynęło ok. 10 000 skarg, a  kwietnia 2019 r. - 3855 zgłoszeń.