Pentru respectarea GDPR răspunde în primul rând operatorul, adică angajatorul. Dar și dumneavoastră puteți suporta consecințe dacă tratați datele personale fără drept. Această lecție rezumă cine supraveghează, ce poate dispune și ce riscă o persoană.
Úřad pro ochranu osobních údajů
ÚOOÚ este autoritatea de supraveghere conform art. 51 GDPR și legii nr. 110/2019 Sb. Conform art. 58 GDPR poate, printre altele:
- efectua controale și audituri și cere acces la date și la spații
- avertiza operatorul că prelucrarea intenționată încalcă probabil regulamentul
- mustra operatorul și dispune alinierea prelucrării la regulament
- restricționa sau interzice prelucrarea
- aplica o amendă administrativă
ÚOOÚ soluționează și plângerile oamenilor, emite opinii și metodologii și primește notificările privind încălcarea securității.
Amenzile conform GDPR
Art. 83 stabilește două niveluri de amenzi:
- până la 10 000 000 EUR sau 2 % din cifra de afaceri anuală mondială (care este mai mare), de exemplu pentru încălcarea obligațiilor operatorului și ale persoanei împuternicite, evidențele activităților și notificarea încălcărilor
- până la 20 000 000 EUR sau 4 % din cifra de afaceri pentru încălcarea principiilor prelucrării, a condițiilor consimțământului, a drepturilor persoanelor vizate și pentru neexecutarea unui ordin al ÚOOÚ
Cuantumul concret depinde de circumstanțe: gravitate, durată, intenție, numărul de persoane, cooperarea cu ÚOOÚ. Amenda trebuie să fie eficace, proporțională și disuasivă.
Amenzile le aplică un organ administrativ, adică ÚOOÚ. Pentru contravențiile conform § 62 din legea nr. 110/2019 Sb., procedura se desfășoară după normele cehe privind sancționarea administrativă. Art. 83 alin. 7 GDPR lasă statelor membre decizia dacă amendează autoritățile publice și entitățile publice. Cehia a decis că nu: în cazul operatorilor și al persoanelor împuternicite menționate în acest articol, ÚOOÚ renunță conform § 62 alin. 5 din legea nr. 110/2019 Sb. la aplicarea unei sancțiuni administrative (amenzi). Alte măsuri corective, de exemplu ordinul de remediere sau mustrarea, îi rămân.
Despăgubirea
Oricine a suferit un prejudiciu material sau moral ca urmare a încălcării regulamentului are dreptul, conform art. 82 GDPR, la despăgubire din partea operatorului sau a persoanei împuternicite. Persoana se poate adresa instanței.
Răspunderea penală a persoanei fizice
Codul penal ceh (trestní zákoník, legea nr. 40/2009 Sb.) conține în § 180 infracțiunea de prelucrare neautorizată a datelor personale. Pe scurt:
- Cine, chiar și din neglijență, fără drept publică, comunică, face accesibile, prelucrează în alt mod sau își însușește date personale despre altă persoană, adunate în legătură cu exercitarea autorității publice, și cauzează astfel un prejudiciu grav drepturilor sau intereselor legitime ale persoanei afectate, riscă pedeapsa închisorii până la trei ani sau interdicția de a desfășura o activitate (alin. 1).
- La fel va fi pedepsit cine, chiar și din neglijență, încalcă o obligație de confidențialitate impusă sau recunoscută de stat, publicând, comunicând sau făcând accesibile fără drept unui terț date personale obținute în exercitarea profesiei, a slujbei sau a funcției, și cauzează astfel un prejudiciu grav (alin. 2).
- O pedeapsă mai severă (1 până la 5 ani) riscă membrul unui grup organizat, cel care comite fapta prin presă, radio, televiziune sau printr-o rețea de calculatoare accesibilă publicului, deci și pe internet, ori cel care cauzează o pagubă considerabilă sau urmărește obținerea unui câștig considerabil (alin. 3). La o pagubă sau un câștig de proporții mari, pedeapsa este de 3 până la 8 ani (alin. 4).
Condiția este, așadar, prejudiciul grav. O greșeală obișnuită, fără asemenea urmări, nu va fi infracțiune. Folosirea abuzivă, vânzarea sau publicarea unor date care cauzează cuiva un prejudiciu grav pot fi însă infracțiune.
Consecințe în dreptul muncii
Încălcarea obligațiilor la tratarea datelor poate însemna încălcarea obligațiilor conform § 301 din Codul muncii, adică respectarea instrucțiunilor și a normelor. În funcție de gravitate, angajatorul poate da preaviz de concediere (§ 52) sau, în cazuri excepționale, poate desface imediat raportul de muncă, dacă angajatul a încălcat într-un mod deosebit de grav o obligație rezultată din normele legale (§ 55 alin. 1 lit. b). Poate cere și despăgubiri în condițiile Codului muncii.
Ce trebuie să facă angajatorul singur
Acest curs nu înlocuiește obligațiile angajatorului dumneavoastră. Acesta trebuie să asigure, de exemplu:
- o politică internă sau reguli de tratare a datelor personale
- o informare pentru angajați despre prelucrarea datelor lor (art. 13)
- evidența activităților de prelucrare, dacă are obligația să o țină (art. 30)
- instrucțiuni pentru postul dumneavoastră: ce date, în ce sistem, cui le puteți transmite
- un contact al responsabilului cu protecția datelor sau al persoanei căreia îi raportați cererile și incidentele
- contracte cu persoanele împuternicite, evaluarea riscurilor și o procedură pentru încălcarea securității
Ce trebuie să rețineți
- Supravegherea o exercită ÚOOÚ, iar amenzile conform GDPR ajung la 20 mil. EUR sau 4 % din cifra de afaceri.
- În cazul autorităților publice și al entităților publice, ÚOOÚ renunță la amendă (§ 62 alin. 5), iar celelalte măsuri îi rămân.
- § 180 din Codul penal pedepsește prelucrarea neautorizată a datelor personale care cauzează un prejudiciu grav.
- Angajatorul trebuie să aibă propriile politici, informări, evidențe și instrucțiuni.