Data Protection Commission
DPC — незалежний ірландський орган із захисту даних, створений відповідно до Data Protection Act 2018. Багато великих технологічних компаній мають свої європейські штаб-квартири в Ірландії, тому DPC також є провідним органом у багатьох транскордонних справах. Щодо звичайних роботодавців його робота охоплює:
- публікацію роз’яснень і підвищення обізнаності;
- розгляд скарг від громадськості (часто спершу намагається владнати їх неформально);
- проведення розслідувань та аудитів;
- використання слідчих повноважень, як-от вимагати інформацію, опитувати людей і заходити в приміщення;
- використання коригувальних повноважень за статтею 58, як-от попередження, догани, приписи про виконання, тимчасові чи постійні заборони обробки та штрафи;
- переслідування за певні правопорушення, як-от порушення ePrivacy Regulations.
Штрафи
За статтею 83 максимальний адміністративний штраф становить:
- до 10 мільйонів € або 2 % світового річного обороту, залежно від того, що більше, за порушення на кшталт неповідомлення про порушення, збоїв у безпеці чи неведення реєстрів;
- до 20 мільйонів € або 4 % світового річного обороту, залежно від того, що більше, за порушення принципів, правил щодо правової підстави чи прав людей.
Штрафи мають бути «ефективними, пропорційними й стримувальними». DPC враховує характер, тяжкість і тривалість порушення, чи воно було навмисним, що зроблено для обмеження шкоди, співпрацю організації та її попередню поведінку.
Державні органи
За розділом 141 Data Protection Act 2018 DPC може також штрафувати державні органи та установи, які не діють як комерційні підприємства, із межею 1 мільйон €. Отже, державні органи не звільнені.
Підтвердження судом
Організація може оскаржити штраф DPC до суду протягом 28 днів (розділ 142). Якщо не оскаржує, DPC мусить звернутися до Circuit Court (окружного суду) для підтвердження штрафу (розділ 143). Штраф набуває чинності лише після підтвердження судом.
Компенсація та судові позови
Люди можуть вимагати компенсації за шкоду, зокрема нематеріальну, як-от моральні страждання, через позов про захист даних у суді (розділ 117 Закону 2018 року та стаття 82 GDPR).
Кримінальні правопорушення
Data Protection Act 2018 передбачає правопорушення, зокрема:
- Розділ 145: отримання персональних даних без попереднього дозволу контролера чи обробника та розкриття їх іншій особі, а також продаж таких даних або пропонування їх до продажу. У спрощеному провадженні — штраф класу A (class A fine) або до 12 місяців ув’язнення, чи обидва; за обвинувальним актом — штраф до 50 000 € або до 5 років ув’язнення, чи обидва.
- Розділ 144: розкриття обробником або його працівником без попереднього дозволу контролера.
- Розділ 146: посадові особи компанії можуть нести відповідальність, коли правопорушення компанії сталося через їхню згоду, змову чи недбалість.
Відповідно до ePrivacy Regulations 2011 кожне небажане маркетингове повідомлення — окреме правопорушення зі штрафом до 5000 € у спрощеному провадженні. За обвинувальним актом межа — 50 000 € для фізичної особи та 250 000 € для компанії.
Працівник може нести особисту відповідальність і зазнати дисциплінарного стягнення від роботодавця за доступ до даних або їх передавання без дозволу.
Ваша роль
Вам не обов’язково бути експертом. Кожен працівник має:
- Дотримуватися політик роботодавця із захисту даних та вказівок для своєї ролі.
- Використовувати персональні дані лише для своєї роботи.
- Забезпечувати їхню безпеку (урок 5).
- Розпізнавати запити людей і передавати їх того ж дня (урок 4).
- Повідомляти про порушення, випадки, що ледь не стали порушеннями, і втрачені пристрої негайно (урок 6).
- Питати DPO чи керівника, якщо не впевнені.
- Ніколи не звертатися до даних із цікавості й не забирати їх із собою, залишаючи роботу.
Що роботодавець усе одно мусить зробити
Цей курс викладає загальні правила. Він не замінює того, що роботодавець мусить зробити сам. Роботодавець має надати вам:
- власні політики захисту даних і процедури (безпека, зберігання, віддалена робота, моніторинг);
- повідомлення про конфіденційність для клієнтів і працівників;
- реєстр операцій обробки, де це вимагається (стаття 30);
- інструктаж для вашої ролі, наприклад для кадрів, маркетингу, фінансів, охорони здоров’я чи обслуговування клієнтів;
- контакти DPO або відповідальної за захист даних особи, якщо така є, та оприлюднення даних DPO там, де його призначення обов’язкове;
- процедуру щодо порушень і спосіб обробки запитів людей;
- договори з обробниками та DPIA, де потрібно.
Закон не називає конкретного курсу чи сертифіката. Роботодавець вирішує, яке навчання достатнє для вашої роботи.
Що запам’ятати
- DPC може розслідувати й штрафувати: до 20 мільйонів € або 4 % обороту, а державні органи — до 1 мільйона €.
- Штрафи набувають чинності лише після підтвердження судом. Люди також можуть вимагати компенсації.
- Розкриття даних, отриманих без дозволу, — злочин.
- Ваша частина: дотримуватися правил, захищати дані, розпізнавати запити людей, повідомляти про порушення й питати, коли не впевнені.