Applicazione, sanzioni e il Suo ruolo

Quest'ultima lezione tratta di che cosa succede quando le cose vanno male, e di che cosa Lei deve e non deve fare.

I poteri dell'ICO

L'Information Commissioner's Office (ICO) è l'autorità britannica per la protezione dei dati. Può:

• indagare sui reclami ed eseguire verifiche;
• dare consigli, avvertimenti e ammonimenti;
• emettere ordini di adeguamento (enforcement notices) che impongono a un'organizzazione di cambiare ciò che fa;
• emettere avvisi di sanzione (multe);
• perseguire determinati reati.

La maggior parte dei casi non si conclude con una multa. L'ICO spesso guarda prima se l'organizzazione è stata trasparente, ha formato il personale e ha risolto il problema. Tuttavia sono state inflitte multe pesanti a organizzazioni con gravi carenze.

Sanzioni massime

• Massimo più alto: fino a 17,5 milioni di sterline o al 4 % del fatturato annuo mondiale, se superiore. Si applica alle violazioni dei principi, delle basi giuridiche, dei diritti delle persone e dei trasferimenti internazionali.
• Massimo standard: fino a 8,7 milioni di sterline o al 2 % del fatturato annuo mondiale, se superiore. Riguarda obblighi come sicurezza, notifica delle violazioni, registri e responsabile della protezione dei dati.

Sono massimi. La multa effettiva dipende dal caso: quanto era grave, quanto è durato, quante persone ha coinvolto e come ha agito l'organizzazione. Gli stessi massimi ora valgono per le violazioni del PECR.

Altre conseguenze

• Risarcimento. Le persone possono chiedere in tribunale il risarcimento di danni o sofferenze causati da una violazione.
• Reputazione. I clienti perdono fiducia, e l'ICO pubblica molte delle sue decisioni.
• Perdita di affari e costo della risposta.
• Provvedimenti disciplinari. I dipendenti che violano la politica possono essere sanzionati o licenziati.

Reati commessi da singole persone

Ai sensi della section 170 del DPA 2018 è reato ottenere, divulgare o conservare consapevolmente o con imprudenza dati personali senza il consenso del titolare, o venderli. Esempi sono portare liste di clienti a un nuovo datore di lavoro, o cercare la scheda di una persona per motivi propri. La section 173 riguarda la distruzione o l'occultamento di dati per impedire una richiesta di accesso. Questi reati possono comportare una multa in tribunale. Può essere perseguito Lei personalmente, non solo il datore di lavoro.

Che cosa deve ancora fare il datore di lavoro

Questo corso dà una consapevolezza generale. Il Suo datore di lavoro resta responsabile di:

• le proprie politiche sulla protezione dei dati e procedure;
• un'informativa sulla privacy e la scelta di una base giuridica per ogni uso;
• un responsabile della protezione dei dati dove la legge lo richiede, per esempio per le autorità pubbliche, o per il monitoraggio su larga scala delle persone o l'uso su larga scala di categorie particolari di dati;
• registri dei trattamenti e verifiche dei rischi (DPIA) per gli usi ad alto rischio;
• il pagamento della tassa sulla protezione dei dati all'ICO, dove si applica;
• i contratti con i responsabili del trattamento;
• una procedura per le violazioni e un modo per gestire le richieste di accesso e i reclami;
• una formazione specifica per il ruolo e di ripasso, per esempio per il personale delle risorse umane, del marketing, della sanità e dell'assistenza.

Che cosa deve fare

• Usi i dati personali solo per il Suo lavoro, e solo quelli che Le servono.
• Blocchi schermi, documenti e dispositivi.
• Controlli prima di inviare. Controlli con chi sta parlando.
• Segnali subito violazioni, quasi incidenti e richieste del pubblico.
• Chieda quando non è sicuro.
• Segua le politiche e la formazione del Suo datore di lavoro.

Che cosa non deve fare

• Non guardi schede per curiosità.
• Non condivida la Sua password e non lasci che altri usino il Suo account.
• Non porti dati a casa o in un nuovo lavoro senza permesso.
• Non ignori la richiesta di un cliente, paziente o collega sui propri dati.
• Non nasconda un errore e non cancelli prove.
• Non inserisca dati personali in app non autorizzate, e-mail personale o strumenti di IA pubblici.

Dove trovare altro

L'ICO pubblica indicazioni gratuite su ico.org.uk, compresa una guida per le piccole organizzazioni. Per il Suo lavoro quotidiano prevale la politica del Suo datore di lavoro.