Questa lezione spiega chi risponde se le norme non sono rispettate, che cosa può fare l'AEPD, quali sanzioni esistono e che ruolo ha il responsabile della protezione dei dati.
La Agencia Española de Protección de Datos
L'AEPD è l'autorità di controllo indipendente in Spagna. Secondo l'articolo 58 del GDPR e la LOPDGDD, può, tra l'altro:
- indagare e chiedere informazioni o accedere a locali e apparecchiature
- avvertire e ammonire chi non rispetta le norme
- ordinare che si soddisfino i diritti delle persone o che un trattamento sia conforme alle norme
- limitare o vietare un trattamento
- imporre sanzioni amministrative pecuniarie
Tratta anche i reclami delle persone interessate. A differenza di quanto accade in altri Paesi, l'AEPD irroga direttamente le sanzioni. Alle pubbliche amministrazioni, invece, non applica sanzioni pecuniarie: emette una risoluzione che dichiara la violazione e stabilisce le misure per correggerla (articolo 77 della LOPDGDD).
Le sanzioni pecuniarie
L'articolo 83 del GDPR fissa due livelli:
- fino a 10 milioni di euro o al 2 % del fatturato mondiale annuo dell'esercizio precedente, se superiore, per violazioni come la mancata applicazione di misure di sicurezza, la mancata notifica di una violazione o l'inosservanza degli obblighi dei responsabili del trattamento
- fino a 20 milioni di euro o al 4 % di quel fatturato, se superiore, per violazioni dei principi di base, delle basi giuridiche del trattamento o dei diritti delle persone
La sanzione deve essere effettiva, proporzionata e dissuasiva. L'AEPD tiene conto di fattori come la gravità, la durata, il dolo o la colpa, le misure adottate e la collaborazione con essa.
Violazioni e prescrizione
La LOPDGDD classifica le violazioni in tre gradi (articoli da 72 a 74):
- molto gravi: per esempio, trattare dati senza una base giuridica valida. Si prescrivono in tre anni
- gravi: per esempio, non applicare misure di sicurezza adeguate, non notificare una violazione o trattare dati di un minore di 14 anni senza il consenso di chi esercita la responsabilità genitoriale. Si prescrivono in due anni
- lievi: per esempio, non dare alle persone tutte le informazioni richieste. Si prescrivono in un anno
Anche le sanzioni irrogate si prescrivono (articolo 78): in un anno quelle fino a 40.000 euro, in due anni quelle da 40.001 a 300.000 euro e in tre anni quelle superiori a 300.000 euro.
E io, come lavoratore o lavoratrice?
La sanzione dell'AEPD ricade normalmente sull'azienda, che è il titolare. Ma questo non significa che Lei non risponda di nulla:
- Se non rispetta le istruzioni o rivela dati senza permesso, l'azienda può applicarLe provvedimenti disciplinari, compreso il licenziamento, per violazione della buona fede contrattuale e abuso di fiducia (articolo 54 dell'Estatuto de los Trabajadores).
- Accedere a dati riservati senza autorizzazione o diffonderli può costituire il reato di scoperta e rivelazione di segreti (articoli 197 e seguenti del Código Penal, il codice penale spagnolo).
- Le persone interessate possono chiedere un risarcimento per i danni subiti (articolo 82 del GDPR).
Il responsabile della protezione dei dati (RPD)
Il RPD consiglia l'azienda, sorveglia l'osservanza delle norme, collabora con l'AEPD e assiste le persone interessate. Deve agire con indipendenza e non può essere sanzionato né licenziato per aver svolto le sue funzioni (articolo 38 del GDPR).
È obbligatorio per le autorità e gli organismi pubblici e per gli enti la cui attività principale consiste nel monitorare regolarmente e sistematicamente le persone su larga scala o nel trattare su larga scala categorie particolari di dati (articolo 37 del GDPR). L'articolo 34 della LOPDGDD elenca inoltre altri casi, come gli ordini professionali, gli istituti scolastici, le compagnie di assicurazione o le federazioni sportive che trattano dati di minori. I suoi dati di contatto sono pubblicati e comunicati all'AEPD: la designazione, la nomina e la cessazione si comunicano all'Agenzia entro dieci giorni. Se la Sua azienda ha un RPD, può rivolgersi a lui con i Suoi dubbi.
Ciò che l'azienda deve continuare a fare
Questo corso è una formazione generale. L'azienda deve inoltre: tenere il registro delle attività di trattamento (articolo 30 del GDPR), informare il personale su come ne tratta i dati, avere protocolli interni per i diritti e le violazioni, dare istruzioni scritte adatte a ciascun posto e agevolare il contatto con il RPD, se c'è.
Ricordi: rispettare la norma è compito di tutte le persone dell'azienda. Le norme esistono per proteggere le persone, anche Lei.