Den siste leksjonen samler trådene. Hva risikerer man hvis reglene brytes? Og hva må arbeidsgiveren din selv sørge for, uansett hva du har lært her?
Datatilsynets fullmakter
Datatilsynet kan etter artikkel 58 undersøke virksomheter, be om opplysninger og få tilgang til lokaler og systemer. Tilsynet kan også:
- gi en advarsel eller en irettesettelse
- gi pålegg om at en virksomhet skal etterkomme en rettighet eller bringe behandlingen i orden
- begrense eller forby behandling, midlertidig eller endelig
Enhver kan klage til Datatilsynet (artikkel 77). Den som har lidd skade, kan få erstatning av den behandlingsansvarlige eller databehandleren (artikkel 82).
Bøter: i Danmark er det domstolene som avgjør
Forordningens artikkel 83 fastsetter bøter på inntil 10 millioner euro eller 2 % av samlet årlig omsetning, og for de grovere overtredelsene inntil 20 millioner euro eller 4 %, avhengig av hva som er høyest. Det danske rettssystemet bygger ikke på administrative bøter. I Danmark er det derfor som utgangspunkt domstolene som ilegger boten etter databeskyttelseslovens § 41:
- Overtredelser av forordningens vesentlige regler straffes med bot eller fengsel inntil 6 måneder (§ 41, stk. 1 og 2).
- Ved utmålingen skal retten følge artikkel 83 nr. 2, for eksempel overtredelsens art, alvorlighet og varighet samt om den var forsettlig eller uaktsom (§ 41, stk. 3).
- Selskaper kan straffes etter straffelovens kapittel 5 (§ 41, stk. 6).
- Straffesaker foreldes etter 5 år (§ 41, stk. 7).
Datatilsynet kan ikke selv ilegge en bot. Hvis tilsynet mener at en virksomhet bør straffes, anbefaler det at saken sendes til politiet. Påtalemyndigheten avgjør om det skal tas ut tiltale, og en domstol fastsetter boten. I enkle saker kan Datatilsynet likevel tilby et bødeforelæg (tilbud om å vedta en bot uten rettssak, § 42). Hvis den som har overtrådt reglene erklærer seg skyldig og vedtar boten, avsluttes saken uten rettssak. Ellers kan saken gå videre til politiet og retten. Bestemmelsen rettes mot «den, der overtræder» (den som overtrer), så straff kan i prinsippet ramme både virksomheter og enkeltpersoner. Alvorlige eller bevisste overtredelser, for eksempel at du uten arbeidsmessig behov slår opp kjente personer i et system, kan også få arbeidsrettslige konsekvenser.
Hva kan du selv gjøre?
- Behandl bare opplysninger etter arbeidsgiverens instruks og til arbeidets formål (artikkel 29).
- Følg retningslinjer og rutiner, og spør når du er i tvil.
- Meld fra om brudd og henvendelser straks.
- Overhold taushetsplikten. Mange yrker har dessuten en egen, lovfestet taushetsplikt.
Hva arbeidsgiveren selv må gjøre
Dette kurset er en generell introduksjon. Det erstatter ikke virksomhetens egne plikter. Arbeidsgiveren, som behandlingsansvarlig, skal blant annet:
- ha egne retningslinjer og instrukser for jobben din og systemene dine, slik at du vet hva du kan gjøre
- føre en protokoll over behandlingsaktiviteter (artikkel 30) der det er påkrevd. Unntaket for små virksomheter gjelder bare i snevre tilfeller, så mange mindre virksomheter må også ha en
- inngå databehandleravtaler med leverandører (artikkel 28)
- gjøre risikovurderinger og sikre egnede tekniske og organisatoriske tiltak (artikkel 32), og i visse tilfeller en personvernkonsekvensvurdering (artikkel 35)
- utpeke et personvernombud (DPO) der reglene krever det (artikkel 37), for eksempel i offentlige myndigheter
- ha rutiner for brudd og henvendelser fra registrerte
- gi opplæring som passer til akkurat din jobb. Ansatte i HR, helse, sosialsektoren eller markedsføring trenger mer enn en generell introduksjon
Det er arbeidsgiveren som avgjør om dette kurset dekker virksomhetens behov for opplæring.
Oppsummering: Bruk bare det du trenger. Beskytt det du har. Si fra hvis noe går galt.