Dette kursus giver dig viden, men det er arbejdsgiveren, der er dataansvarlig og har pligterne efter loven. Læs denne lektion for at forstå, hvad der skal ligge bag, og hvad du kan forvente af virksomheden.
Hvad arbejdsgiveren selv skal gøre
- Have retningslinjer og rutiner for databeskyttelse og informationssikkerhed, der er tilpasset virksomheden.
- Føre fortegnelse over behandlingsaktiviteter (artikel 30). Virksomheder med under 250 ansatte er som udgangspunkt undtaget, men undtagelsen gælder ikke, hvis behandlingen kan indebære en risiko for personers rettigheder, ikke er lejlighedsvis, eller omfatter særlige kategorier eller oplysninger om straffedomme. I praksis skal derfor mange små virksomheder også have en fortegnelse.
- Give instrukser om, hvordan systemerne skal bruges, og sørge for, at medarbejderne følger dem (artikel 29 og 32, stk. 4).
- Have databehandleraftaler med leverandører, der behandler oplysninger (artikel 28).
- Gennemføre risikovurderinger og, når behandlingen sandsynligvis giver høj risiko, en konsekvensanalyse vedrørende databeskyttelse (artikel 35).
- Have passende sikkerhedsforanstaltninger: adgangsstyring, logning, kryptering, sikkerhedskopier (artikel 32).
- Have en rutine for brud på persondatasikkerheden og for anmodninger om rettigheder.
- Give information til dem, oplysningerne handler om (privatlivspolitik, medarbejderinformation).
- Udpege databeskyttelsesrådgiver, hvor loven kræver det (artikel 37): offentlige myndigheder og virksomheder, hvis kerneaktivitet er regelmæssig og systematisk overvågning i stort omfang eller behandling i stort omfang af særlige kategorier eller oplysninger om straffedomme.
- Sørge for, at medarbejderne har den nødvendige viden. Undervisning er en almindelig og vigtig organisatorisk foranstaltning.
Et netkursus kan være en del af dette, men det erstatter ikke virksomhedens egen undervisning om egne systemer, rutiner og risici.
Hvad Datatilsynet kan gøre
Datatilsynet kan:
- give vejledning og besvare spørgsmål
- føre tilsyn og kræve oplysninger
- give påbud, for eksempel om at stoppe en behandling eller rette op
- pålægge tvangsbøder (på norsk »tvangsmulkt«, personopplysningsloven § 29)
- pålægge overtredelsesgebyr (§ 26)
Overtredelsesgebyr
Gebyrerne følger artikel 83. Størrelsen skal være effektiv, stå i forhold til overtrædelsen og have afskrækkende virkning. Der er to niveauer:
- Op til 10 millioner euro eller 2 procent af virksomhedens samlede globale årsomsætning, alt efter hvad der er højest, blandt andet for brud på krav til sikkerhed, fortegnelse, databeskyttelse gennem design og anmeldelse af brud.
- Op til 20 millioner euro eller 4 procent, alt efter hvad der er højest, for brud på grundprincipperne, betingelser for samtykke, de registreredes rettigheder og regler om overførsel til lande uden for EØS.
Datatilsynet kan også pålægge gebyr til offentlige myndigheder. Afgørelser kan påklages til Personvernnemnda.
Gebyrer pålægges virksomheden, ikke den enkelte medarbejder. Det er dog ikke sådan, at medarbejdere kan gøre, som de vil. Alvorligt misbrug, for eksempel snagen, kan føre til ansættelsesretlige reaktioner fra arbejdsgiveren. Derudover kan andre love, for eksempel regler om tavshedspligt og straf, gælde.
Erstatning
Den, der har lidt skade på grund af brud på reglerne, har ret til erstatning fra den ansvarlige (artikel 82). Artikel 82 omfatter både økonomisk og ikke-økonomisk skade, og personopplysningsloven § 30 siger, at den ansvarlige også kan pålægges at betale godtgørelse efter det, der skønnes rimeligt.
Din rolle
- Kend reglerne og rutinerne for din stilling.
- Behandl kun det, du har brug for, og kun til det formål, virksomheden har bestemt.
- Beskyt oplysningerne i hverdagen.
- Meld brud hurtigt og ærligt.
- Videresend henvendelser fra personer, der vil udøve deres rettigheder.
- Spørg, når du er usikker, og tag imod undervisning.
Gode databeskyttelsesrutiner er ikke bureaukrati. De bygger tillid mellem virksomheden, kunderne og medarbejderne.