Den sidste lektion handler om, hvad der sker, når reglerne ikke overholdes, og om, hvad der er arbejdsgiverens opgave, og hvad der er din.
IMY's beføjelser
Integritetsskyddsmyndigheten (IMY) kan efter artikel 58:
- undersøge klager og foretage kontroller (tilsyn)
- anmode om oplysninger og få adgang til oplysninger og lokaler
- give påbud, advarsler og irettesættelser
- forbyde en bestemt behandling eller beslutte, at oplysninger skal berigtiges eller slettes
- træffe afgørelse om bøde (sanktionsavgift)
IMY vælger foranstaltning ud fra, hvor alvorlig overtrædelsen er. Ikke alle sager ender med en bøde. En irettesættelse eller et påbud er almindeligt.
Bøder
Beløbene i artikel 83 er maksimumbeløb:
- op til 10 millioner euro eller 2 procent af virksomhedens globale årsomsætning, det højeste beløb, ved mangler i blandt andet sikkerhed, fortegnelser, databeskyttelse gennem design og anmeldelse af brud
- op til 20 millioner euro eller 4 procent, det højeste beløb, ved overtrædelse af grundprincipperne, behandlingsgrundlaget, de registreredes rettigheder og reglerne om overførsel til tredjeland
For myndigheder i Sverige er lofterne lavere: 5 millioner svenske kroner henholdsvis 10 millioner svenske kroner (6 kap. 2 § dataskyddslagen).
Bøden fastsættes efter overtrædelsens karakter, hvor længe den varede, hvor mange der blev ramt, og hvordan organisationen handlede.
Erstatning og andre følger
- Den, der har lidt skade på grund af en overtrædelse, kan få erstatning (artikel 82).
- Organisationens omdømme og tillid skades.
- For dig som ansat kan det give ansættelsesretlige følger. Den, der bevidst kigger på oplysninger uden arbejdsmæssig grund eller spreder dem videre, kan for eksempel få en advarsel eller blive opsagt. I visse tilfælde kan uautoriseret adgang til oplysninger være en strafbar handling, for eksempel dataindbrud efter 4 kap. 9 c § brottsbalken (den svenske straffelov), og tavshedspligt kan også gælde.
Det er arbejdsgiverens ansvar
Den uddannelse, du tager nu, giver viden om reglerne. Den erstatter ikke det, arbejdsgiveren selv skal gøre:
- udarbejde egne retningslinjer og procedurer for personoplysninger
- føre fortegnelse over behandlinger (artikel 30), hvis forpligtelsen gælder
- udpege en databeskyttelsesrådgiver, når det kræves (artiklerne 37 til 39)
- foretage konsekvensanalyser når en behandling indebærer høj risiko (artikel 35)
- indgå databehandleraftaler og vurdere leverandører
- give instrukser til de systemer, I bruger, og styre, hvem der har adgang
- have procedurer for brud og for anmodninger fra registrerede
- give rolle- og virksomhedstilpasset uddannelse, for eksempel til ansatte i HR, sundhed, skole eller markedsføring
Din tjekliste
- Behandl kun personoplysninger til det, arbejdet kræver.
- Tænk på principperne: formål, minimering, rigtighed, opbevaring og sikkerhed.
- Spørg, hvis du er usikker på, om du må indsamle, dele eller gemme noget.
- Beskyt adgangskoder, skærme, papirer og e-mail. Vær mistænksom over for uventede beskeder.
- Genkend en anmodning fra en registreret, og send den videre med det samme.
- Rapportér et brud øjeblikkeligt, hellere en gang for meget end en gang for lidt.
- Kig aldrig på oplysninger bare af nysgerrighed.
- Find ud af, hvem der er databeskyttelsesrådgiver eller kontaktperson hos jer, og hvor retningslinjerne findes.
Afslutning
Databeskyttelse handler om respekt for mennesker. Når du håndterer oplysninger varsomt, beskytter du dem, der stoler på din arbejdsplads, og du beskytter dig selv og din arbejdsgiver.