Ten kurs daje ci wiedzę, ale to pracodawca jest administratorem i to on ma obowiązki wynikające z prawa. Przeczytaj tę lekcję, by zrozumieć, co musi stać za kulisami i czego możesz oczekiwać od organizacji.
Co pracodawca musi zrobić sam
- Mieć zasady i procedury ochrony danych oraz bezpieczeństwa informacji dostosowane do organizacji.
- Prowadzić rejestr czynności przetwarzania (art. 30). Organizacje zatrudniające mniej niż 250 osób są co do zasady zwolnione, ale zwolnienie nie dotyczy sytuacji, gdy przetwarzanie może powodować ryzyko dla praw osób, nie ma charakteru sporadycznego lub obejmuje szczególne kategorie albo dane o wyrokach skazujących. W praktyce wiele małych organizacji też musi więc prowadzić rejestr.
- Wydawać polecenia dotyczące korzystania z systemów i dopilnować, by pracownicy się do nich stosowali (art. 29 i 32 ust. 4).
- Zawierać umowy powierzenia przetwarzania danych z dostawcami, którzy przetwarzają dane (art. 28).
- Przeprowadzać oceny ryzyka oraz, gdy przetwarzanie może powodować wysokie ryzyko, ocenę skutków dla ochrony danych (art. 35).
- Stosować odpowiednie środki bezpieczeństwa: zarządzanie dostępem, rejestrowanie zdarzeń, szyfrowanie, kopie zapasowe (art. 32).
- Mieć procedurę na wypadek naruszeń i wniosków o realizację praw.
- Udzielać informacji osobom, których dane dotyczą (informacja o prywatności, informacja dla pracowników).
- Wyznaczyć inspektora ochrony danych tam, gdzie wymaga tego prawo (art. 37): organy publiczne oraz organizacje, których główna działalność polega na regularnym i systematycznym monitorowaniu na dużą skalę albo na przetwarzaniu na dużą skalę szczególnych kategorii lub danych o wyrokach skazujących.
- Zadbać, by pracownicy mieli niezbędną wiedzę. Szkolenie to częsty i ważny środek organizacyjny.
Kurs online może być częścią tego wszystkiego, ale nie zastępuje własnego szkolenia organizacji o jej systemach, procedurach i ryzyku.
Co może zrobić Datatilsynet
Datatilsynet może:
- udzielać wskazówek i odpowiadać na pytania
- prowadzić kontrole i żądać informacji
- wydawać nakazy, np. wstrzymania przetwarzania lub naprawienia uchybień
- nakładać grzywny przymuszające (norw. tvangsmulkt, § 29 ustawy o danych osobowych)
- nakładać administracyjne kary pieniężne (norw. overtredelsesgebyr, § 26)
Administracyjne kary pieniężne
Kary opierają się na art. 83. Ich wysokość ma być skuteczna, proporcjonalna do naruszenia i odstraszająca. Są dwa poziomy:
- Do 10 milionów euro lub 2 procent światowego rocznego obrotu organizacji, w zależności od tego, która kwota jest wyższa, m.in. za naruszenie wymogów dotyczących bezpieczeństwa, rejestru, uwzględniania ochrony danych w fazie projektowania i zgłaszania naruszeń.
- Do 20 milionów euro lub 4 procent, w zależności od tego, która kwota jest wyższa, za naruszenie podstawowych zasad, warunków zgody, praw osób, których dane dotyczą, oraz przepisów o przekazywaniu danych do państw spoza EOG.
Datatilsynet może nakładać kary także na organy publiczne. Od decyzji można się odwołać do Personvernnemnda (rady odwoławczej ds. ochrony danych).
Kary nakłada się na organizację, a nie na pojedynczego pracownika. Nie znaczy to jednak, że pracownicy mogą działać, jak chcą. Poważne nadużycia, np. wścibskie zaglądanie do danych, mogą skutkować konsekwencjami z prawa pracy ze strony pracodawcy. Dodatkowo mogą mieć zastosowanie inne przepisy, np. o tajemnicy zawodowej i odpowiedzialności karnej.
Odszkodowanie
Każdy, kto poniósł szkodę wskutek naruszenia przepisów, ma prawo do odszkodowania od odpowiedzialnego (art. 82). Art. 82 obejmuje zarówno szkodę majątkową, jak i niemajątkową, a § 30 ustawy o danych osobowych mówi, że odpowiedzialny może też zostać zobowiązany do zapłaty zadośćuczynienia (norw. oppreisning) w rozsądnej wysokości.
Twoja rola
- Znaj przepisy i procedury obowiązujące na twoim stanowisku.
- Przetwarzaj tylko to, czego potrzebujesz, i tylko w celu wyznaczonym przez organizację.
- Chroń dane w codziennej pracy.
- Zgłaszaj naruszenia szybko i uczciwie.
- Przekazuj dalej wnioski osób, które chcą skorzystać ze swoich praw.
- Pytaj w razie wątpliwości i korzystaj ze szkoleń.
Dobre procedury ochrony danych to nie biurokracja. Budują zaufanie między organizacją, klientami i pracownikami.