Ostatnia lekcja pokazuje, co się dzieje, gdy coś pójdzie nie tak, oraz co należy, a czego nie należy robić.
Uprawnienia ICO
Information Commissioner's Office (ICO) to brytyjski organ ochrony danych. Może:
- badać skargi i przeprowadzać audyty;
- udzielać porad, ostrzeżeń i upomnień (reprimands);
- wydawać nakazy egzekucyjne (enforcement notices), zobowiązujące organizację do zmiany postępowania;
- wydawać decyzje o karze (penalty notices, grzywny);
- ścigać niektóre przestępstwa.
Większość spraw nie kończy się karą. ICO często najpierw bada, czy organizacja była otwarta, przeszkoliła pracowników i naprawiła problem. Mimo to wysokie kary zostały nałożone na organizacje z poważnymi uchybieniami.
Maksymalne kary
- Wyższy limit: do 17,5 mln £ lub 4% światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Dotyczy naruszeń zasad, podstaw prawnych, praw osób i transferów międzynarodowych.
- Standardowy limit: do 8,7 mln £ lub 2% światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Obejmuje obowiązki takie jak bezpieczeństwo, zgłaszanie naruszeń, rejestry i inspektor ochrony danych.
To są maksima. Faktyczna kara zależy od sprawy: jak poważne było naruszenie, jak długo trwało, ilu osób dotyczyło i jak zachowała się organizacja. Te same maksima obowiązują teraz za naruszenia PECR.
Inne konsekwencje
- Odszkodowanie. Ludzie mogą dochodzić w sądzie odszkodowania za szkodę lub cierpienie spowodowane naruszeniem.
- Reputacja. Klienci tracą zaufanie, a ICO publikuje wiele swoich decyzji.
- Utrata klientów i koszty reakcji.
- Dyscyplina. Pracownicy łamiący politykę mogą zostać ukarani dyscyplinarnie lub zwolnieni.
Przestępstwa popełniane przez osoby fizyczne
Zgodnie z sekcją 170 DPA 2018 przestępstwem jest świadome lub lekkomyślne pozyskanie, ujawnienie lub przechowywanie danych osobowych bez zgody administratora albo ich sprzedaż. Przykłady to zabranie list klientów do nowego pracodawcy lub sprawdzanie czyichś rekordów z własnych powodów. Sekcja 173 dotyczy niszczenia lub ukrywania danych, aby uniemożliwić odpowiedź na wniosek o dostęp. Za te przestępstwa sąd może nałożyć grzywnę. Odpowiadać karnie możesz ty osobiście, nie tylko pracodawca.
Co nadal musi robić pracodawca
Ten kurs daje ogólną świadomość. Pracodawca nadal odpowiada za:
- własne polityki ochrony danych i procedury;
- informację o prywatności i wybór podstawy prawnej dla każdego wykorzystania;
- inspektora ochrony danych, gdy prawo tego wymaga, np. w organach publicznych, przy monitorowaniu osób na dużą skalę lub przetwarzaniu danych szczególnych kategorii na dużą skalę;
- rejestry przetwarzania i oceny ryzyka (DPIA) przy wykorzystaniu o wysokim ryzyku;
- opłacanie opłaty za ochronę danych na rzecz ICO, tam gdzie ma zastosowanie;
- umowy z podmiotami przetwarzającymi;
- procedurę postępowania w razie naruszeń i sposób obsługi wniosków o dostęp oraz skarg;
- szkolenia dla ról i szkolenia odświeżające, np. dla pracowników kadr, marketingu, ochrony zdrowia i opieki.
Co należy robić
- Korzystaj z danych osobowych tylko do swojej pracy i tylko z tego, czego potrzebujesz.
- Blokuj ekrany, dokumenty i urządzenia.
- Sprawdzaj przed wysłaniem. Sprawdzaj, z kim rozmawiasz.
- Zgłaszaj naruszenia, sytuacje o włos od błędu i prośby od osób z zewnątrz od razu.
- Pytaj, gdy nie masz pewności.
- Stosuj polityki i szkolenia, które daje pracodawca.
Czego nie należy robić
- Nie zaglądaj do rekordów z ciekawości.
- Nie udostępniaj hasła ani nie pozwalaj innym korzystać ze swojego konta.
- Nie zabieraj danych do domu ani do nowej pracy bez zgody.
- Nie ignoruj prośby klienta, pacjenta lub współpracownika dotyczącej jego danych.
- Nie ukrywaj błędu ani nie usuwaj dowodów.
- Nie wprowadzaj danych osobowych do nieautoryzowanych aplikacji, prywatnej poczty ani publicznych narzędzi AI.
Gdzie szukać więcej
ICO publikuje bezpłatne wytyczne na ico.org.uk, w tym przewodnik dla małych organizacji. W codziennej pracy najważniejsza jest polityka twojego pracodawcy.