Цей курс дає вам знання, але саме роботодавець є контролером і має обов’язки за законом. Прочитайте цей урок, щоб зрозуміти, що має стояти за лаштунками і чого можна очікувати від організації.
Що роботодавець має зробити сам
- Мати правила та процедури щодо захисту даних та інформаційної безпеки, пристосовані до організації.
- Вести реєстр операцій обробки (стаття 30). Організації з менш ніж 250 працівниками за загальним правилом звільнені, але звільнення не діє, якщо обробка може створювати ризик для прав осіб, не є випадковою або охоплює спеціальні категорії чи дані про судимості. Тож на практиці багатьом малим організаціям також доводиться вести реєстр.
- Давати вказівки щодо користування системами та стежити, щоб працівники їх дотримувалися (статті 29 і 32, пункт 4).
- Мати договори про обробку даних з постачальниками, які обробляють дані (стаття 28).
- Проводити оцінки ризиків і, коли обробка ймовірно створює високий ризик, оцінку впливу на захист даних (стаття 35).
- Мати відповідні заходи безпеки: керування доступом, журналювання, шифрування, резервні копії (стаття 32).
- Мати процедуру для порушень і для запитів про права.
- Надавати інформацію тим, кого стосуються дані (повідомлення про конфіденційність, інформація для працівників).
- Призначити відповідальну особу із захисту даних, де цього вимагає закон (стаття 37): публічні органи та організації, основна діяльність яких — регулярне й систематичне масштабне спостереження або масштабна обробка спеціальних категорій чи даних про судимості.
- Подбати, щоб працівники мали необхідні знання. Навчання — поширений і важливий організаційний захід.
Онлайн-курс може бути частиною цього, але він не замінює власне навчання організації щодо її систем, процедур і ризиків.
Що може робити Datatilsynet
Datatilsynet може:
- надавати роз’яснення й відповідати на запитання
- проводити перевірки й вимагати інформацію
- видавати приписи, наприклад зупинити обробку чи виправити порушення
- накладати штрафи за невиконання (норв. tvangsmulkt, § 29 закону про персональні дані)
- накладати адміністративні штрафи (норв. overtredelsesgebyr, § 26)
Адміністративні штрафи
Штрафи ґрунтуються на статті 83. Розмір має бути ефективним, співмірним порушенню й стримувальним. Є два рівні:
- До 10 мільйонів євро або 2 відсотків світового річного обороту організації, залежно від того, що більше, зокрема за порушення вимог щодо безпеки, реєстру, захисту даних за задумом і повідомлення про порушення.
- До 20 мільйонів євро або 4 відсотків, залежно від того, що більше, за порушення основних принципів, умов згоди, прав суб’єктів даних і правил передавання даних до країн за межами ЄЕП.
Datatilsynet може накладати штрафи також на публічні органи. Рішення можна оскаржити до Personvernnemnda (апеляційної ради із захисту даних).
Штрафи накладають на організацію, а не на окремого працівника. Проте це не означає, що працівники можуть діяти як завгодно. Серйозне зловживання, наприклад підглядання в чужі дані, може спричинити наслідки за трудовим правом з боку роботодавця. До того ж можуть діяти й інші закони, наприклад правила про професійну таємницю та кримінальну відповідальність.
Відшкодування
Той, хто зазнав шкоди через порушення правил, має право на відшкодування від відповідальної сторони (стаття 82). Стаття 82 охоплює і майнову, і немайнову шкоду, а § 30 закону про персональні дані каже, що відповідальну сторону також можна зобов’язати виплатити компенсацію (норв. oppreisning) у розумному розмірі.
Ваша роль
- Знайте правила й процедури для вашої посади.
- Обробляйте лише те, що вам потрібно, і лише для мети, визначеної організацією.
- Захищайте дані у щоденній роботі.
- Повідомляйте про порушення швидко й чесно.
- Передавайте далі запити від людей, які хочуть скористатися своїми правами.
- Питайте, коли не впевнені, і проходьте навчання.
Добрі процедури захисту даних — це не бюрократія. Вони будують довіру між організацією, клієнтами та працівниками.