Sista lektionen handlar om vad som händer när reglerna inte följs, och om vad som är arbetsgivarens uppgift och vad som är din.
IMY:s befogenheter
Integritetsskyddsmyndigheten (IMY) kan enligt artikel 58:
- utreda klagomål och göra granskningar (tillsyn)
- begära information och få tillgång till uppgifter och lokaler
- ge förelägganden, varningar och reprimander
- förbjuda en viss behandling eller besluta att uppgifter ska rättas eller raderas
- besluta om sanktionsavgift
IMY väljer åtgärd utifrån hur allvarlig överträdelsen är. Alla fall leder inte till en sanktionsavgift. En reprimand eller ett föreläggande är vanligt.
Sanktionsavgifter
Beloppen i artikel 83 är maxbelopp:
- upp till 10 miljoner euro eller 2 procent av företagets globala årsomsättning, det högre beloppet, vid brister i bland annat säkerhet, registerföring, inbyggt dataskydd och anmälan av incidenter
- upp till 20 miljoner euro eller 4 procent, det högre beloppet, vid brott mot grundprinciperna, den rättsliga grunden, de registrerades rättigheter och regler om överföring till tredjeland
För myndigheter i Sverige är taken lägre: 5 miljoner kronor respektive 10 miljoner kronor (6 kap. 2 § dataskyddslagen).
Avgiften bestäms efter överträdelsens art, hur länge den pågick, hur många som drabbades och hur organisationen agerade.
Skadestånd och andra följder
- Den som har lidit skada på grund av en överträdelse kan få skadestånd (artikel 82).
- Organisationens anseende och förtroende skadas.
- För dig som anställd kan det ge arbetsrättsliga följder. Den som medvetet tittar på uppgifter utan arbetsskäl eller sprider dem vidare kan till exempel varnas eller sägas upp. I vissa fall kan obehörig åtkomst till uppgifter vara ett brott, till exempel dataintrång enligt 4 kap. 9 c § brottsbalken, och tystnadsplikt kan också gälla.
Det här ansvarar arbetsgivaren för
Utbildningen du går nu ger kunskaper om reglerna. Den ersätter inte det som arbetsgivaren själv ska göra:
- ta fram egna riktlinjer och rutiner för personuppgifter
- föra register över behandlingar (artikel 30), om skyldigheten gäller
- utse ett dataskyddsombud när det krävs (artiklarna 37 till 39)
- göra konsekvensbedömningar när en behandling medför hög risk (artikel 35)
- teckna biträdesavtal och bedöma leverantörer
- ge instruktioner för de system ni använder och styra vem som har åtkomst
- ha rutiner för incidenter och för begäranden från registrerade
- ge roll- och verksamhetsanpassad utbildning, till exempel för personal inom HR, vård, skola eller marknadsföring
Din checklista
- Behandla personuppgifter bara för det jobbet kräver.
- Tänk på principerna: syfte, minimering, korrekthet, lagring och säkerhet.
- Fråga om du är osäker på om du får samla in, dela eller spara något.
- Skydda lösenord, skärmar, papper och e-post. Var misstänksam mot oväntade meddelanden.
- Känn igen en begäran från en registrerad och skicka den vidare direkt.
- Rapportera en incident genast, hellre en gång för mycket än en gång för lite.
- Titta aldrig på uppgifter bara av nyfikenhet.
- Ta reda på vem som är dataskyddsombud eller kontaktperson hos er och var riktlinjerna finns.
Slutord
Dataskydd handlar om respekt för människor. När du hanterar uppgifter varsamt skyddar du dem som litar på din arbetsplats, och du skyddar dig själv och din arbetsgivare.