Този урок обяснява кой отговаря при нарушаване на правилата, какво може да прави AEPD, какви санкции има и каква роля има длъжностното лице по защита на данните.
Agencia Española de Protección de Datos
AEPD е независимият надзорен орган в Испания. Според член 58 от GDPR и LOPDGDD тя може, наред с другото, да:
- разследва и да изисква информация или достъп до помещения и оборудване
- предупреждава и порицава нарушителя
- нарежда да бъдат удовлетворени правата на хората или обработването да бъде приведено в съответствие с правилата
- ограничава или забранява обработването
- налага административни глоби
Разглежда и жалбите на засегнатите лица. За разлика от други страни, AEPD налага глобите директно. На публичните администрации обаче не налага глоби: издава решение, което установява нарушението, и определя мерки за поправянето му (член 77 от LOPDGDD).
Глобите
Член 83 от GDPR определя две нива:
- до 10 милиона евро или 2 % от общия световен годишен оборот за предходната финансова година, което е по-голямо, за нарушения като неприлагане на мерки за сигурност, неуведомяване за нарушение или неспазване на задълженията на обработващите
- до 20 милиона евро или 4 % от този оборот, което е по-голямо, за нарушения на основните принципи, на основанията за обработване или на правата на хората
Глобата трябва да е ефективна, пропорционална и възпиращо въздействаща. AEPD взема предвид фактори като тежестта, продължителността, умисъла или небрежността, предприетите мерки и сътрудничеството с нея.
Нарушения и давност
LOPDGDD разделя нарушенията на три степени (членове 72–74):
- много тежки: например обработване на данни без валидно правно основание. Погасяват се по давност за три години
- тежки: например неприлагане на подходящи мерки за сигурност, неуведомяване за нарушение или обработване на данни на дете под 14 години без съгласието на упражняващия родителската отговорност. Погасяват се за две години
- леки: например непредоставяне на цялата изисквана информация на хората. Погасяват се за една година
Наложените санкции също се погасяват по давност (член 78): за една година тези до 40 000 евро, за две години тези от 40 001 до 300 000 евро и за три години тези над 300 000 евро.
А аз, като служител или служителка?
Глобата на AEPD обикновено се стоварва върху фирмата, която е администратор. Но това не значи, че вие не отговаряте за нищо:
- Ако нарушите указанията или разкриете данни без разрешение, фирмата може да ви наложи дисциплинарни мерки, включително уволнение, за нарушаване на договорната добросъвестност и злоупотреба с доверие (член 54 от Estatuto de los Trabajadores).
- Неразрешеният достъп до защитени данни или разпространяването им може да е престъпление за разкриване на тайни (членове 197 и следващите от Código Penal, испанския Наказателен кодекс).
- Засегнатите лица могат да поискат обезщетение за претърпените вреди (член 82 от GDPR).
Длъжностното лице по защита на данните (Delegado de Protección de Datos, DPD)
DPD съветва фирмата, следи за спазването, сътрудничи с AEPD и се занимава със засегнатите лица. Трябва да действа независимо и не може да бъде санкционирано или уволнено за изпълнение на задълженията си (член 38 от GDPR).
То е задължително в публичните органи и организации, както и в организации, чиято основна дейност е редовно и систематично мащабно наблюдение на хора или мащабно обработване на специални категории данни (член 37 от GDPR). Член 34 от LOPDGDD изброява и други случаи, като професионални колегии, учебни заведения, застрахователни дружества или спортни федерации, които обработват данни на непълнолетни. Данните му за контакт се публикуват и се съобщават на AEPD: определянето, назначаването и освобождаването се съобщават на органа в срок от десет дни. Ако вашата фирма има DPD, можете да се обръщате към него с въпросите си.
Какво фирмата трябва да продължи да прави
Този курс е общо обучение. Фирмата трябва още: да води регистър на дейностите по обработване (член 30 от GDPR), да информира служителите как обработва данните им, да има вътрешни процедури за правата и нарушенията на сигурността, да дава писмени указания, съобразени с всяка позиция, и да осигурява контакт с DPD, ако има такова.
Запомнете: спазването на правилата е задача на всички хора във фирмата. Правилата съществуват, за да защитават хората, включително вас.