Ultima lecție adună firele. Ce riscă cineva dacă regulile sunt încălcate? Și ce trebuie să asigure angajatorul dumneavoastră singur, indiferent ce ați învățat aici?
Competențele Datatilsynet
Conform articolului 58, Datatilsynet poate controla companii, poate cere informații și poate avea acces la spații și sisteme. Autoritatea mai poate:
- emite un avertisment sau o mustrare
- da un ordin ca o companie să respecte un drept sau să pună prelucrarea în ordine
- restricționa sau interzice prelucrarea, temporar sau definitiv
Oricine poate depune o plângere la Datatilsynet (articolul 77). Cine a suferit un prejudiciu poate primi despăgubire de la operator sau de la persoana împuternicită (articolul 82).
Amenzile: în Danemarca decid instanțele
Articolul 83 din regulament prevede amenzi de până la 10 milioane de euro sau 2 % din cifra de afaceri anuală totală și, pentru încălcările mai grave, de până la 20 de milioane de euro sau 4 %, oricare sumă este mai mare. Sistemul juridic danez nu se bazează pe amenzi administrative. De aceea, în Danemarca, ca regulă, instanțele pronunță amenda, conform § 41 din legea protecției datelor:
- Încălcările regulilor esențiale ale regulamentului se pedepsesc cu amendă sau închisoare de până la 6 luni (§ 41 alin. 1 și 2).
- La stabilirea pedepsei, instanța trebuie să urmeze articolul 83 alineatul 2, de exemplu natura, gravitatea și durata încălcării și dacă a fost intenționată sau din neglijență (§ 41 alin. 3).
- Societățile pot fi pedepsite conform capitolului 5 din codul penal (§ 41 alin. 6).
- Răspunderea penală se prescrie după 5 ani (§ 41 alin. 7).
Datatilsynet nu poate aplica singur o amendă. Dacă autoritatea consideră că o companie ar trebui pedepsită, transmite cazul poliției. Parchetul decide dacă se formulează acuzarea, iar o instanță stabilește amenda. În cazuri simple, Datatilsynet poate totuși propune un bødeforelæg (propunere de amendă) (§ 42). Dacă cel care a încălcat regulile se recunoaște vinovat și acceptă amenda, cazul se încheie fără proces. Altfel, cazul poate merge mai departe la poliție și la instanță. Dispoziția se adresează celui „care încalcă”, deci pedeapsa poate lovi, în principiu, atât companii, cât și persoane. Încălcările grave sau intenționate, de exemplu dacă căutați fără nevoie legată de muncă persoane cunoscute într-un sistem, pot avea și consecințe în dreptul muncii.
Ce puteți face dumneavoastră?
- Prelucrați date numai la instrucțiunea angajatorului și pentru scopul muncii dumneavoastră (articolul 29).
- Respectați politicile și procedurile și întrebați când aveți îndoieli.
- Semnalați imediat încălcările și cererile.
- Respectați obligația de confidențialitate. Multe profesii au, în plus, propria obligație legală de confidențialitate.
Ce trebuie să facă angajatorul
Acest curs este o introducere generală. El nu înlocuiește obligațiile proprii ale companiei. Angajatorul, ca operator, trebuie, printre altele:
- să aibă politici și instrucțiuni proprii pentru postul și sistemele dumneavoastră, ca să știți ce aveți voie
- să țină o evidență a activităților de prelucrare (articolul 30), acolo unde este cerută. Excepția pentru firmele mici se aplică doar în cazuri înguste, deci și multe firme mai mici trebuie să aibă unul
- să încheie acorduri de prelucrare a datelor cu furnizorii (articolul 28)
- să facă evaluări de risc și să asigure măsuri tehnice și organizatorice adecvate (articolul 32) și, în anumite cazuri, o evaluare a impactului (articolul 35)
- să numească un responsabil cu protecția datelor (DPO), acolo unde regulile o cer (articolul 37), de exemplu în autoritățile publice
- să aibă proceduri pentru încălcări și pentru cererile persoanelor vizate
- să ofere instruire potrivită tocmai postului dumneavoastră. Angajații din resurse umane, sănătate, domeniul social sau marketing au nevoie de mai mult decât o introducere generală
Angajatorul decide dacă acest curs acoperă nevoia companiei de instruire.
Rezumat: Folosiți numai ce vă trebuie. Protejați ce aveți. Spuneți dacă ceva merge prost.