Ostatnia lekcja dotyczy tego, co się dzieje, gdy przepisy nie są przestrzegane, oraz tego, co należy do pracodawcy, a co do ciebie.
Uprawnienia IMY
Integritetsskyddsmyndigheten (IMY) może zgodnie z art. 58:
- badać skargi i przeprowadzać kontrole (nadzór)
- żądać informacji oraz uzyskiwać dostęp do danych i pomieszczeń
- wydawać nakazy, ostrzeżenia i upomnienia
- zakazać określonego przetwarzania lub nakazać sprostowanie albo usunięcie danych
- nałożyć administracyjną karę pieniężną
IMY wybiera środek w zależności od wagi naruszenia. Nie każda sprawa kończy się karą pieniężną. Częste są upomnienie lub nakaz.
Administracyjne kary pieniężne
Kwoty z art. 83 to kwoty maksymalne:
- do 10 milionów euro lub 2 procent światowego rocznego obrotu firmy, w zależności od tego, która kwota jest wyższa, za uchybienia między innymi w zakresie bezpieczeństwa, prowadzenia rejestrów, uwzględniania ochrony danych w fazie projektowania i zgłaszania naruszeń
- do 20 milionów euro lub 4 procent, w zależności od tego, która kwota jest wyższa, za naruszenie podstawowych zasad, podstawy prawnej, praw osób, których dane dotyczą, i przepisów o przekazywaniu do państw trzecich
Dla urzędów w Szwecji limity są niższe: odpowiednio 5 milionów koron i 10 milionów koron (rozdz. 6 § 2 dataskyddslagen).
Wysokość kary ustala się według charakteru naruszenia, czasu jego trwania, liczby poszkodowanych i zachowania organizacji.
Odszkodowanie i inne skutki
- Kto poniósł szkodę z powodu naruszenia, może otrzymać odszkodowanie (art. 82).
- Cierpi reputacja organizacji i zaufanie do niej.
- Dla ciebie jako pracownika może to oznaczać konsekwencje z zakresu prawa pracy. Kto świadomie zagląda do danych bez powodu służbowego albo przekazuje je dalej, może na przykład dostać naganę lub stracić pracę. W niektórych przypadkach nieuprawniony dostęp do danych może być przestępstwem, na przykład włamaniem do systemu informatycznego według rozdz. 4 § 9 c szwedzkiego kodeksu karnego (brottsbalken), a może też obowiązywać tajemnica zawodowa.
Za co odpowiada pracodawca
Szkolenie, które teraz przechodzisz, daje wiedzę o przepisach. Nie zastępuje tego, co pracodawca musi zrobić sam:
- opracować własne zasady i procedury dotyczące danych osobowych
- prowadzić rejestr czynności przetwarzania (art. 30), jeśli obowiązek ma zastosowanie
- wyznaczyć inspektora ochrony danych, gdy jest to wymagane (art. 37–39)
- przeprowadzać oceny skutków, gdy przetwarzanie wiąże się z wysokim ryzykiem (art. 35)
- zawierać umowy powierzenia i oceniać dostawców
- wydawać instrukcje do systemów, z których korzystacie, i kontrolować dostęp
- mieć procedury na wypadek naruszeń i wniosków osób, których dane dotyczą
- zapewniać szkolenia dostosowane do roli i działalności, na przykład dla pracowników HR, ochrony zdrowia, szkół lub marketingu
Twoja lista kontrolna
- Przetwarzaj dane osobowe tylko w zakresie, jakiego wymaga praca.
- Pamiętaj o zasadach: cel, minimalizacja, prawidłowość, przechowywanie i bezpieczeństwo.
- Pytaj, jeśli nie masz pewności, czy wolno ci coś zbierać, udostępniać lub przechowywać.
- Chroń hasła, ekrany, papiery i pocztę. Podchodź podejrzliwie do niespodziewanych wiadomości.
- Rozpoznaj wniosek osoby, której dane dotyczą, i przekaż go od razu.
- Zgłoś naruszenie natychmiast, lepiej raz za dużo niż raz za mało.
- Nigdy nie zaglądaj do danych z samej ciekawości.
- Dowiedz się, kto u was jest inspektorem ochrony danych lub osobą kontaktową i gdzie są zasady.
Na koniec
Ochrona danych to szacunek dla ludzi. Gdy ostrożnie obchodzisz się z danymi, chronisz tych, którzy ufają twojemu miejscu pracy, oraz siebie i swojego pracodawcę.