Ostatnia lekcja zbiera wszystko w całość. Czym grozi naruszenie przepisów? I co musi zapewnić twój pracodawca, niezależnie od tego, czego uczy ten kurs?
Uprawnienia Datatilsynet
Na podstawie art. 58 Datatilsynet może kontrolować firmy, żądać informacji i uzyskiwać dostęp do pomieszczeń i systemów. Może też:
- wydać ostrzeżenie lub upomnienie
- wydać nakaz spełnienia prawa osoby albo dostosowania przetwarzania do przepisów
- ograniczyć lub zakazać przetwarzania, tymczasowo lub ostatecznie
Każdy może wnieść skargę do Datatilsynet (art. 77). Ten, kto poniósł szkodę, może otrzymać odszkodowanie od administratora lub podmiotu przetwarzającego (art. 82).
Kary pieniężne: w Danii decydują sądy
Art. 83 rozporządzenia przewiduje kary do 10 mln euro lub 2 % łącznego rocznego obrotu, a za poważniejsze naruszenia do 20 mln euro lub 4 %, zależnie od tego, która kwota jest wyższa. Duński system prawny nie opiera się na administracyjnych karach pieniężnych. Dlatego w Danii co do zasady to sądy wymierzają karę na podstawie § 41 ustawy o ochronie danych:
- Naruszenie podstawowych przepisów rozporządzenia podlega grzywnie lub karze pozbawienia wolności do 6 miesięcy (§ 41 ust. 1 i 2).
- Przy wymiarze kary sąd musi stosować art. 83 ust. 2, np. charakter, wagę i czas trwania naruszenia oraz to, czy było umyślne, czy nieumyślne (§ 41 ust. 3).
- Spółki mogą być karane na podstawie rozdziału 5 kodeksu karnego (straffeloven) (§ 41 ust. 6).
- Sprawy karne przedawniają się po 5 latach (§ 41 ust. 7).
Datatilsynet nie może samo nałożyć grzywny. Jeśli organ uważa, że firmę należy ukarać, kieruje sprawę do policji. Prokuratura decyduje, czy wnieść akt oskarżenia, a sąd wymierza grzywnę. W prostych sprawach Datatilsynet może jednak zaproponować grzywnę bez procesu (bødeforelæg, § 42). Jeśli osoba, która naruszyła przepisy, przyzna się do winy i przyjmie karę, sprawa kończy się bez procesu. W przeciwnym razie sprawa może trafić do policji i sądu. Przepis dotyczy „tego, kto narusza”, więc kara może w zasadzie spotkać zarówno firmy, jak i osoby. Poważne lub umyślne naruszenia, np. sprawdzanie znanych osób w systemie bez potrzeby służbowej, mogą mieć też skutki na gruncie prawa pracy.
Co możesz zrobić samodzielnie?
- Przetwarzaj dane tylko na polecenie pracodawcy i do celów swojej pracy (art. 29).
- Przestrzegaj polityk i procedur, a gdy masz wątpliwości, pytaj.
- Zgłaszaj naruszenia i żądania natychmiast.
- Przestrzegaj obowiązku zachowania tajemnicy. Wiele zawodów ma ponadto własną, ustawową tajemnicę zawodową.
Co musi zrobić pracodawca
Ten kurs to ogólne wprowadzenie. Nie zastępuje obowiązków samej firmy. Pracodawca jako administrator musi między innymi:
- mieć własne polityki i instrukcje dla twojej pracy i twoich systemów, tak aby było jasne, co ci wolno
- prowadzić rejestr czynności przetwarzania (art. 30), gdzie jest to wymagane. Wyłączenie dla małych firm dotyczy tylko wąskich przypadków, więc wiele mniejszych firm też musi go prowadzić
- zawierać umowy powierzenia przetwarzania z dostawcami (art. 28)
- przeprowadzać oceny ryzyka i zapewniać odpowiednie środki techniczne i organizacyjne (art. 32), a w niektórych przypadkach ocenę skutków dla ochrony danych (art. 35)
- wyznaczyć inspektora ochrony danych (IOD, DPO), gdy wymagają tego przepisy (art. 37), np. w organach publicznych
- mieć procedury na wypadek naruszeń i żądań osób, których dane dotyczą
- zapewnić szkolenie dostosowane do twojej pracy. Pracownicy HR, ochrony zdrowia, pomocy społecznej czy marketingu potrzebują czegoś więcej niż ogólnego wprowadzenia
To pracodawca decyduje, czy ten kurs odpowiada potrzebom firmy w zakresie szkoleń.
Podsumowanie: Używaj tylko tego, czego potrzebujesz. Chroń to, co masz. Powiedz, gdy coś pójdzie nie tak.