За спазването на GDPR отговаря преди всичко администраторът, тоест работодателят. Но и вие можете да понесете последици, ако боравите с лични данни неправомерно. Този урок обобщава кой осъществява надзор, какво може да бъде наложено и какво грози отделния човек.
Úřad pro ochranu osobních údajů
ÚOOÚ е надзорният орган по чл. 51 от GDPR и закон № 110/2019 Sb. Според чл. 58 от GDPR той може, наред с другото:
- да извършва проверки и одити и да изисква достъп до данни и помещения
- да предупреди администратора, че планираното обработване вероятно нарушава регламента
- да порицае администратора и да разпореди да приведе обработването в съответствие с регламента
- да ограничи или забрани обработването
- да наложи административна глоба
ÚOOÚ разглежда и жалби на хора, издава становища и методики и приема уведомления за нарушения на сигурността.
Глоби по GDPR
Чл. 83 определя две нива на глоби:
- до 10 000 000 EUR или 2 % от световния годишен оборот (което е по-високо), например за нарушаване на задълженията на администратора и обработващия, на регистрите на дейностите и на уведомяването за нарушения
- до 20 000 000 EUR или 4 % от оборота при нарушаване на принципите на обработването, условията за съгласие, правата на субектите на данни и при неизпълнение на разпореждане на ÚOOÚ
Конкретният размер зависи от обстоятелствата: тежест, продължителност, умисъл, брой на хората, сътрудничество със ÚOOÚ. Глобата трябва да е ефективна, пропорционална и възпираща.
Глобите налага административен орган, тоест ÚOOÚ. За нарушенията по § 62 от закон № 110/2019 Sb. производството се води по чешките правила за административно наказване. Чл. 83, пар. 7 от GDPR оставя на държавите членки да решат дали да налагат глоби на публичните органи и публичните субекти. Чехия е решила, че не: спрямо администраторите и обработващите данни, посочени в тази разпоредба, ÚOOÚ по § 62, ал. 5 от закон № 110/2019 Sb. се отказва от налагане на административно наказание (глоба). Други коригиращи мерки, например разпореждане за поправяне или порицание, му остават.
Обезщетение за вреди
Всеки, който е претърпял имуществени или неимуществени вреди в резултат на нарушение на регламента, има според чл. 82 от GDPR право на обезщетение от администратора или обработващия данните. Човекът може да се обърне към съд.
Наказателна отговорност на отделния човек
Наказателният кодекс (закон № 40/2009 Sb.) съдържа в § 180 престъплението неправомерно боравене с лични данни. Накратко:
- Който, макар и по небрежност, неправомерно публикува, съобщи, направи достъпни, обработва по друг начин или присвои лични данни, събрани за друг човек във връзка с упражняване на публична власт, и по този начин причини сериозна вреда на правата или законните интереси на засегнатото лице, се наказва с лишаване от свобода до три години или забрана за упражняване на дейност (ал. 1).
- Със същото наказание се наказва този, който, макар и по небрежност, наруши наложено или признато от държавата задължение за запазване на тайна, като неправомерно публикува, съобщи или направи достъпни на трето лице лични данни, получени при упражняване на професия, работа или длъжност, и причини сериозна вреда (ал. 2).
- По-тежко наказание (от 1 до 5 години) грози член на организирана група, при извършване чрез печата, радиото, телевизията или публично достъпна компютърна мрежа, тоест и в интернет, или при значителна вреда или намерение за получаване на значителна облага (ал. 3). При вреда или облага в голям размер наказанието е от 3 до 8 години (ал. 4).
Условието е следователно сериозна вреда. Обикновена грешка без такива последици няма да бъде престъпление. Злоупотребата, продажбата или публикуването на данни, които причиняват на някого сериозна вреда, обаче може да бъде престъпление.
Трудовоправни последици
Нарушаването на задълженията при боравене с данни може да е нарушение на задълженията по § 301 от Кодекса на труда, тоест да се изпълняват указания и да се спазват разпоредбите. Според тежестта работодателят може да даде предизвестие (§ 52) или в изключителни случаи да прекрати незабавно трудовото правоотношение, ако служителят е нарушил особено грубо задължение, произтичащо от правна разпоредба (§ 55, ал. 1, б. b). Той може да търси и обезщетение за вреди при условията на Кодекса на труда.
Какво трябва да направи сам работодателят
Този курс не замества задълженията на вашия работодател. Той трябва да осигури например:
- вътрешни правила за боравене с лични данни
- информация за служителите за обработването на техните данни (чл. 13)
- регистър на дейностите по обработване, ако е длъжен да го води (чл. 30)
- указания за вашето работно място: какви данни, в коя система, на кого може да ги предавате
- контакт с длъжностното лице по защита на данните или с лице, на което да се съобщават искания и инциденти
- договори с обработващите данни, оценка на рисковете и процедура при нарушение на сигурността
Какво да запомните
- Надзор осъществява ÚOOÚ, глобите по GDPR достигат до 20 млн. EUR или 4 % от оборота.
- При публичните органи и публичните субекти ÚOOÚ се отказва от глоба (§ 62, ал. 5), останалите мерки му остават.
- § 180 от Наказателния кодекс наказва неправомерното боравене с лични данни, което причинява сериозна вреда.
- Работодателят трябва да има собствени правила, информация, регистри и указания.