Den siste leksjonen handler om hva som skjer når reglene ikke følges, og om hva som er arbeidsgiverens oppgave og hva som er din.
IMYs fullmakter
Integritetsskyddsmyndigheten (IMY) kan etter artikkel 58:
- utrede klager og gjennomføre kontroller (tilsyn)
- be om informasjon og få tilgang til opplysninger og lokaler
- gi pålegg, advarsler og irettesettelser
- forby en bestemt behandling eller vedta at opplysninger skal rettes eller slettes
- vedta sanksjonsavgift
IMY velger tiltak ut fra hvor alvorlig overtredelsen er. Ikke alle saker ender med en sanksjonsavgift. En irettesettelse eller et pålegg er vanlig.
Sanksjonsavgifter
Beløpene i artikkel 83 er maksimumsbeløp:
- opptil 10 millioner euro eller 2 prosent av virksomhetens globale årsomsetning, det høyeste beløpet, ved mangler i blant annet sikkerhet, protokoller over behandlingsaktiviteter, innebygd personvern og varsling av brudd
- opptil 20 millioner euro eller 4 prosent, det høyeste beløpet, ved brudd på grunnprinsippene, behandlingsgrunnlaget, de registrertes rettigheter og reglene om overføring til tredjeland
For myndigheter i Sverige er taket lavere: 5 millioner svenske kroner og 10 millioner svenske kroner (6 kap. 2 § dataskyddslagen).
Avgiften fastsettes ut fra overtredelsens art, hvor lenge den varte, hvor mange som ble rammet og hvordan organisasjonen opptrådte.
Erstatning og andre følger
- Den som har lidd skade på grunn av en overtredelse, kan få erstatning (artikkel 82).
- Omdømmet og tilliten til organisasjonen skades.
- For deg som ansatt kan det gi arbeidsrettslige følger. Den som bevisst ser på opplysninger uten arbeidsmessig grunn eller sprer dem videre, kan for eksempel få en advarsel eller bli sagt opp. I noen tilfeller kan uautorisert tilgang til opplysninger være en straffbar handling, for eksempel datainnbrudd etter 4 kap. 9 c § brottsbalken (den svenske straffeloven), og taushetsplikt kan også gjelde.
Dette er arbeidsgiverens ansvar
Opplæringen du tar nå, gir kunnskap om reglene. Den erstatter ikke det arbeidsgiveren selv skal gjøre:
- utarbeide egne retningslinjer og rutiner for personopplysninger
- føre protokoll over behandlingsaktiviteter (artikkel 30), hvis plikten gjelder
- utpeke et personvernombud når det kreves (artiklene 37 til 39)
- gjennomføre personvernkonsekvensvurderinger når en behandling innebærer høy risiko (artikkel 35)
- inngå databehandleravtaler og vurdere leverandører
- gi instruksjoner for systemene dere bruker og styre hvem som har tilgang
- ha rutiner for brudd og for forespørsler fra registrerte
- gi rolle- og virksomhetstilpasset opplæring, for eksempel for ansatte i HR, helse, skole eller markedsføring
Din sjekkliste
- Behandle personopplysninger bare for det jobben krever.
- Tenk på prinsippene: formål, minimering, riktighet, lagring og sikkerhet.
- Spør hvis du er usikker på om du kan samle inn, dele eller lagre noe.
- Beskytt passord, skjermer, papirer og e-post. Vær skeptisk til uventede meldinger.
- Kjenn igjen en forespørsel fra en registrert og send den videre med en gang.
- Rapporter et brudd umiddelbart, heller en gang for mye enn en gang for lite.
- Se aldri på opplysninger bare av nysgjerrighet.
- Finn ut hvem som er personvernombud eller kontaktperson hos dere, og hvor retningslinjene finnes.
Avslutning
Personvern handler om respekt for mennesker. Når du håndterer opplysninger varsomt, beskytter du dem som stoler på arbeidsplassen din, og du beskytter deg selv og arbeidsgiveren din.