Za przestrzeganie RODO odpowiada przede wszystkim administrator, czyli pracodawca. Ale ty także możesz ponieść konsekwencje, jeśli postępujesz z danymi osobowymi bez upoważnienia. Ta lekcja podsumowuje, kto sprawuje nadzór, co może nałożyć i co grozi jednostce.
Czeski Urząd Ochrony Danych Osobowych (ÚOOÚ)
ÚOOÚ to organ nadzorczy według art. 51 RODO i ustawy nr 110/2019 Sb. Według art. 58 RODO może między innymi:
- przeprowadzać kontrole i audyty oraz żądać dostępu do danych i pomieszczeń
- ostrzec administratora, że zamierzone przetwarzanie prawdopodobnie naruszy rozporządzenie
- upomnieć administratora i nakazać, aby dostosował przetwarzanie do rozporządzenia
- ograniczyć lub zakazać przetwarzania
- nałożyć administracyjną karę pieniężną
Urząd rozpatruje też skargi osób, wydaje stanowiska i wytyczne oraz przyjmuje zgłoszenia naruszeń ochrony danych.
Kary według RODO
Art. 83 przewiduje dwa poziomy kar:
- do 10 000 000 EUR lub 2% całkowitego rocznego obrotu na świecie (w zależności od tego, która kwota jest wyższa), na przykład za naruszenie obowiązków administratora i podmiotu przetwarzającego, rejestru czynności przetwarzania i zgłaszania naruszeń
- do 20 000 000 EUR lub 4% obrotu za naruszenie zasad przetwarzania, warunków zgody, praw osób, których dane dotyczą, i niewykonanie nakazu Urzędu
Konkretna wysokość zależy od okoliczności: wagi, czasu trwania, umyślności, liczby osób, współpracy z Urzędem. Kara ma być skuteczna, proporcjonalna i odstraszająca.
Kary nakłada organ administracji, czyli Urząd. W sprawach o wykroczenia według § 62 ustawy nr 110/2019 Sb. postępowanie prowadzi się według czeskich przepisów o karaniu administracyjnym. Art. 83 ust. 7 RODO pozostawia państwom członkowskim decyzję, czy karać organy władzy publicznej i podmioty publiczne. Czechy zdecydowały, że nie: wobec administratorów i podmiotów przetwarzających wymienionych w tym artykule Urząd według § 62 ust. 5 ustawy nr 110/2019 Sb. odstępuje od wymierzenia kary administracyjnej (grzywny). Inne środki naprawcze, na przykład nakaz usunięcia uchybień lub upomnienie, mu pozostają.
Odszkodowanie
Każdy, kto poniósł szkodę majątkową lub niemajątkową w wyniku naruszenia rozporządzenia, ma według art. 82 RODO prawo do odszkodowania od administratora lub podmiotu przetwarzającego. Osoba może zwrócić się do sądu.
Odpowiedzialność karna jednostki
Kodeks karny (trestní zákoník, ustawa nr 40/2009 Sb.) zawiera w § 180 przestępstwo nieuprawnionego postępowania z danymi osobowymi. W skrócie:
- Kto, choćby przez niedbalstwo, bez upoważnienia ujawni, przekaże, udostępni, w inny sposób przetwarza lub przywłaszczy sobie dane osobowe zebrane o innej osobie w związku z wykonywaniem władzy publicznej i spowoduje tym poważną szkodę w prawach lub prawnie chronionych interesach osoby, której dotyczą, grozi mu pozbawienie wolności do trzech lat lub zakaz działalności (ust. 1).
- Tak samo będzie ukarany ten, kto, choćby przez niedbalstwo, naruszy nałożony lub uznany przez państwo obowiązek zachowania tajemnicy, bez upoważnienia ujawniając, przekazując lub udostępniając osobie trzeciej dane osobowe uzyskane przy wykonywaniu zawodu, pracy lub funkcji, i spowoduje tym poważną szkodę (ust. 2).
- Surowsza kara (1 do 5 lat) grozi członkowi zorganizowanej grupy, przy popełnieniu przez prasę, radio, telewizję lub publicznie dostępną sieć komputerową, czyli także w internecie, albo przy znacznej szkodzie lub zamiarze uzyskania znacznej korzyści (ust. 3). Przy szkodzie lub korzyści dużych rozmiarów jest to 3 do 8 lat (ust. 4).
Warunkiem jest więc poważna szkoda. Zwykły błąd bez takich skutków przestępstwem nie będzie. Wykorzystanie, sprzedaż lub ujawnienie danych, które komuś wyrządzi poważną szkodę, już przestępstwem być może.
Skutki z zakresu prawa pracy
Naruszenie obowiązków przy postępowaniu z danymi może być naruszeniem obowiązków z § 301 kodeksu pracy, czyli wykonywania poleceń i przestrzegania przepisów. W zależności od wagi pracodawca może wypowiedzieć umowę (§ 52) lub w wyjątkowych przypadkach rozwiązać stosunek pracy ze skutkiem natychmiastowym, jeśli pracownik w szczególnie rażący sposób naruszył obowiązek wynikający z przepisów prawa (§ 55 ust. 1 lit. b). Może też żądać odszkodowania na warunkach kodeksu pracy.
Co pracodawca musi zrobić sam
Ten kurs nie zastąpi obowiązków twojego pracodawcy. Musi on zapewnić na przykład:
- wewnętrzną politykę lub zasady postępowania z danymi osobowymi
- informację dla pracowników o przetwarzaniu ich danych (art. 13)
- rejestr czynności przetwarzania, jeśli ma obowiązek go prowadzić (art. 30)
- polecenia dotyczące twojego stanowiska: jakie dane, w jakim systemie, komu wolno je przekazać
- kontakt do inspektora ochrony danych lub do osoby, której zgłasza się wnioski i incydenty
- umowy z podmiotami przetwarzającymi, oceny ryzyka i procedurę na wypadek naruszenia ochrony danych
Co zapamiętać
- Nadzór sprawuje ÚOOÚ, kary według RODO sięgają do 20 mln EUR lub 4% obrotu.
- Wobec organów władzy publicznej i podmiotów publicznych Urząd odstępuje od kary (§ 62 ust. 5), pozostałe środki mu zostają.
- § 180 Kodeksu karnego karze nieuprawnione postępowanie z danymi osobowymi, które wyrządza poważną szkodę.
- Pracodawca musi mieć własne polityki, informacje, rejestry i polecenia.