Data Protection Commission
DPC to niezależny irlandzki organ ochrony danych, utworzony na podstawie Data Protection Act 2018. Wiele dużych firm technologicznych ma w Irlandii swoje europejskie siedziby, więc DPC jest też wiodącym organem w wielu sprawach transgranicznych. Wobec zwykłych pracodawców jego działania obejmują:
- publikowanie wytycznych i promowanie świadomości;
- rozpatrywanie skarg od obywateli (często najpierw próbuje je załatwić polubownie);
- prowadzenie postępowań wyjaśniających i audytów;
- korzystanie z uprawnień dochodzeniowych, takich jak żądanie informacji, przesłuchiwanie osób i wchodzenie do pomieszczeń;
- korzystanie z uprawnień naprawczych z art. 58, takich jak ostrzeżenia, upomnienia, nakazy zastosowania się do przepisów, czasowe lub stałe zakazy przetwarzania i kary pieniężne;
- ściganie niektórych przestępstw, takich jak naruszenia ePrivacy Regulations.
Kary
Zgodnie z art. 83 maksymalna administracyjna kara pieniężna wynosi:
- do 10 milionów € lub 2% światowego rocznego obrotu, zależnie od tego, co jest wyższe, za naruszenia takie jak niezgłoszenie naruszenia, uchybienia w zabezpieczeniach lub nieprowadzenie rejestrów;
- do 20 milionów € lub 4% światowego rocznego obrotu, zależnie od tego, co jest wyższe, za naruszenia zasad, reguł dotyczących podstawy prawnej lub praw osób.
Kary muszą być „skuteczne, proporcjonalne i odstraszające”. DPC bierze pod uwagę charakter, wagę i czas trwania naruszenia, to, czy było umyślne, co zrobiono, by ograniczyć szkodę, współpracę organizacji i jej wcześniejsze postępowanie.
Podmioty publiczne
Zgodnie z sekcją 141 Data Protection Act 2018 DPC może też nakładać kary na organy i podmioty publiczne, które nie działają jako przedsiębiorstwa komercyjne, z górną granicą 1 miliona €. Podmioty publiczne nie są więc zwolnione.
Potwierdzenie przez sąd
Organizacja może odwołać się od kary DPC do sądu w ciągu 28 dni (sekcja 142). Jeśli się nie odwoła, DPC musi zwrócić się do Circuit Court (sądu okręgowego) o potwierdzenie kary (sekcja 143). Kara wchodzi w życie dopiero po potwierdzeniu przez sąd.
Odszkodowanie i powództwa sądowe
Ludzie mogą dochodzić odszkodowania za szkodę, w tym niemajątkową, taką jak cierpienie psychiczne, w drodze powództwa z zakresu ochrony danych przed sądem (sekcja 117 ustawy z 2018 r. i art. 82 RODO).
Przestępstwa
Data Protection Act 2018 tworzy przestępstwa, w tym:
- Sekcja 145: uzyskanie danych osobowych bez uprzedniego upoważnienia administratora lub podmiotu przetwarzającego i ujawnienie ich innej osobie oraz sprzedaż takich danych lub oferowanie ich do sprzedaży. W trybie uproszczonym grozi grzywna klasy A (class A fine) lub do 12 miesięcy więzienia albo obie kary łącznie; w trybie aktu oskarżenia grzywna do 50 000 € lub do 5 lat więzienia albo obie kary łącznie.
- Sekcja 144: ujawnienie przez podmiot przetwarzający lub jego pracownika bez uprzedniego upoważnienia administratora.
- Sekcja 146: członkowie zarządu spółki mogą ponosić odpowiedzialność, gdy przestępstwo spółki wynika z ich zgody, współdziałania lub zaniedbania.
Zgodnie z ePrivacy Regulations 2011 każda niezamówiona wiadomość marketingowa to osobne przestępstwo, zagrożone grzywną do 5000 € w trybie uproszczonym. W trybie aktu oskarżenia górna granica to 50 000 € dla osoby fizycznej i 250 000 € dla spółki.
Pracownik może ponosić osobistą odpowiedzialność i podlegać karom dyscyplinarnym za dostęp do danych lub ich przekazywanie bez upoważnienia.
Twoja rola
Nie musisz być ekspertem. Każdy pracownik powinien:
- Przestrzegać polityk ochrony danych pracodawcy i instrukcji dla swojej roli.
- Używać danych osobowych tylko do swojej pracy.
- Zabezpieczać je (lekcja 5).
- Rozpoznawać wnioski osób i przekazywać je tego samego dnia (lekcja 4).
- Zgłaszać naruszenia, sytuacje o włos od naruszenia i utracone urządzenia natychmiast (lekcja 6).
- Pytać inspektora ochrony danych lub przełożonego w razie wątpliwości.
- Nigdy nie sięgać po dane z ciekawości ani nie zabierać ich ze sobą, odchodząc z pracy.
Co nadal musi zrobić pracodawca
Ten kurs uczy zasad ogólnych. Nie zastępuje tego, co pracodawca musi zrobić sam. Pracodawca powinien zapewnić ci:
- własne polityki ochrony danych i procedury (bezpieczeństwo, przechowywanie, praca zdalna, monitorowanie);
- informacje o prywatności dla klientów i pracowników;
- rejestry czynności przetwarzania, gdy są wymagane (art. 30);
- instruktaż do twojej roli, na przykład dla kadr, marketingu, finansów, ochrony zdrowia lub obsługi klienta;
- dane kontaktowe inspektora ochrony danych lub osoby odpowiedzialnej za ochronę danych, jeśli taka jest, oraz opublikowanie danych inspektora tam, gdzie jego wyznaczenie jest obowiązkowe;
- procedurę postępowania z naruszeniami i sposób obsługi wniosków osób;
- umowy z podmiotami przetwarzającymi oraz oceny DPIA, gdy są potrzebne.
Prawo nie wskazuje konkretnego kursu ani certyfikatu. Pracodawca decyduje, jakie szkolenie wystarcza do twojej pracy.
Co zapamiętać
- DPC może prowadzić postępowania i nakładać kary: do 20 milionów € lub 4% obrotu, a podmiotom publicznym do 1 miliona €.
- Kary wchodzą w życie dopiero po potwierdzeniu przez sąd. Ludzie mogą też dochodzić odszkodowania.
- Ujawnienie danych uzyskanych bez upoważnienia jest przestępstwem.
- Twoja część: przestrzegać zasad, chronić dane, rozpoznawać wnioski osób, zgłaszać naruszenia i pytać w razie wątpliwości.