Den sidste lektion samler trådene. Hvad risikerer man, hvis reglerne overtrædes? Og hvad skal din arbejdsgiver selv sørge for, uanset hvad du har lært her?
Datatilsynets beføjelser
Datatilsynet kan efter artikel 58 undersøge virksomheder, bede om oplysninger og få adgang til lokaler og systemer. Tilsynet kan også:
- udstede en advarsel eller en irettesættelse
- give påbud om, at en virksomhed skal efterkomme en rettighed eller bringe behandlingen i orden
- begrænse eller forbyde behandling, midlertidigt eller endeligt
Enhver kan klage til Datatilsynet (artikel 77). Den, der har lidt skade, kan få erstatning af den dataansvarlige eller databehandleren (artikel 82).
Bøder: i Danmark afgør domstolene
Forordningens artikel 83 fastsætter bøder på op til 10 mio. euro eller 2 % af den samlede årlige omsætning og for de grovere overtrædelser op til 20 mio. euro eller 4 %, hvis beløbet er højere. Det danske retssystem bygger ikke på administrative bøder. I Danmark er det derfor som udgangspunkt domstolene, der idømmer bøden efter databeskyttelseslovens § 41:
- Overtrædelser af forordningens væsentlige regler straffes med bøde eller fængsel indtil 6 måneder (§ 41, stk. 1 og 2).
- Ved udmålingen skal retten følge artikel 83, stk. 2, f.eks. overtrædelsens karakter, alvor og varighed samt om den var forsætlig eller uagtsom (§ 41, stk. 3).
- Selskaber kan straffes efter straffelovens kapitel 5 (§ 41, stk. 6).
- Straffesager forældes efter 5 år (§ 41, stk. 7).
Datatilsynet kan ikke selv pålægge en bøde. Hvis tilsynet mener, at en virksomhed bør straffes, indstiller det sagen til politiet. Anklagemyndigheden afgør, om der skal rejses tiltale, og en domstol fastsætter bøden. I enkle sager kan Datatilsynet dog tilbyde et bødeforelæg (§ 42). Hvis den, der har overtrådt reglerne, erklærer sig skyldig og vedtager bøden, slutter sagen uden retssag. Ellers kan sagen gå videre til politiet og retten. Bestemmelsen retter sig mod "den, der overtræder", så straf kan i princippet ramme både virksomheder og personer. Alvorlige eller bevidste overtrædelser, f.eks. at du uden arbejdsmæssigt behov slår kendte personer op i et system, kan også få ansættelsesretlige konsekvenser.
Hvad kan du selv gøre?
- Behandl kun oplysninger efter din arbejdsgivers instruks og til dit arbejdes formål (artikel 29).
- Følg politikker og procedurer, og spørg, når du er i tvivl.
- Meld brud og anmodninger straks.
- Overhold tavshedspligt. Mange fag har desuden en egen, lovbestemt tavshedspligt.
Hvad arbejdsgiveren selv skal gøre
Dette kursus er en generel introduktion. Det erstatter ikke virksomhedens egne pligter. Arbejdsgiveren, som dataansvarlig, skal blandt andet:
- have egne politikker og instrukser for dit job og dine systemer, så du ved, hvad du må
- føre en fortegnelse over behandlingsaktiviteter (artikel 30), hvor det er påkrævet. Undtagelsen for små virksomheder gælder kun i snævre tilfælde, så mange mindre virksomheder skal også have en
- indgå databehandleraftaler med leverandører (artikel 28)
- foretage risikovurderinger og sikre passende tekniske og organisatoriske foranstaltninger (artikel 32), og i visse tilfælde en konsekvensanalyse (artikel 35)
- udpege en databeskyttelsesrådgiver (DPO), hvor reglerne kræver det (artikel 37), f.eks. i offentlige myndigheder
- have procedurer for brud og anmodninger fra registrerede
- give uddannelse, der passer til netop dit job. Medarbejdere i HR, sundhed, social eller marketing har brug for mere end en generel introduktion
Det er arbejdsgiveren, der afgør, om dette kursus dækker virksomhedens behov for oplæring.
Opsummering: Brug kun det, du skal. Beskyt det, du har. Sig til, hvis noget går galt.