Această lecție explică cine răspunde dacă normele sunt încălcate, ce poate face AEPD, ce sancțiuni există și ce rol are responsabilul cu protecția datelor.
Agencia Española de Protección de Datos
AEPD este autoritatea independentă de supraveghere din Spania. Potrivit articolului 58 din GDPR și LOPDGDD, poate, printre altele:
- să investigheze și să ceară informații sau acces în sedii și la echipamente
- să avertizeze și să atragă atenția celui care încalcă normele
- să dispună satisfacerea drepturilor persoanelor sau conformarea unei prelucrări cu normele
- să restricționeze sau să interzică o prelucrare
- să aplice amenzi administrative
Soluționează și plângerile persoanelor afectate. Spre deosebire de ce se întâmplă în alte țări, AEPD aplică amenzile direct. Administrațiilor publice, în schimb, nu le aplică amenzi: emite o hotărâre care constată încălcarea și stabilește măsurile de remediere (articolul 77 din LOPDGDD).
Amenzile
Articolul 83 din GDPR stabilește două trepte:
- până la 10 milioane de euro sau 2 % din cifra de afaceri mondială anuală din exercițiul precedent, dacă este mai mare, pentru încălcări precum neaplicarea măsurilor de securitate, nenotificarea unei încălcări a securității sau nerespectarea obligațiilor persoanelor împuternicite
- până la 20 de milioane de euro sau 4 % din acea cifră de afaceri, dacă este mai mare, pentru încălcarea principiilor de bază, a temeiurilor legale sau a drepturilor persoanelor
Amenda trebuie să fie efectivă, proporțională și cu efect de descurajare. AEPD ia în considerare factori precum gravitatea, durata, intenția sau neglijența, măsurile luate și cooperarea cu ea.
Contravenții și prescripție
LOPDGDD clasifică contravențiile în trei grade (articolele 72-74):
- foarte grave: de exemplu, prelucrarea datelor fără un temei legal valid. Se prescriu în trei ani
- grave: de exemplu, neaplicarea măsurilor de securitate adecvate, nenotificarea unei încălcări a securității sau prelucrarea datelor unui minor sub 14 ani fără consimțământul titularului autorității părintești. Se prescriu în doi ani
- ușoare: de exemplu, nefurnizarea tuturor informațiilor cerute persoanelor. Se prescriu într-un an
Și sancțiunile aplicate se prescriu (articolul 78): într-un an cele de până la 40.000 de euro, în doi ani cele de la 40.001 la 300.000 de euro și în trei ani cele de peste 300.000 de euro.
Și eu, ca lucrător sau lucrătoare?
Amenda AEPD cade, de regulă, pe firmă, care este operatorul. Dar asta nu înseamnă că dumneavoastră nu răspundeți de nimic:
- Dacă încălcați instrucțiunile sau divulgați date fără permisiune, firma vă poate aplica măsuri disciplinare, inclusiv concedierea, pentru încălcarea bunei-credințe contractuale și abuz de încredere (articolul 54 din Estatuto de los Trabajadores).
- Accesarea datelor rezervate fără autorizare sau difuzarea lor poate constitui infracțiunea de descoperire și divulgare de secrete (articolele 197 și următoarele din Código Penal, Codul penal).
- Persoanele afectate pot cere despăgubiri pentru daunele suferite (articolul 82 din GDPR).
Responsabilul cu protecția datelor (DPO)
DPO consiliază firma, supraveghează conformarea, cooperează cu AEPD și se ocupă de persoanele afectate. Trebuie să acționeze cu independență și nu poate fi sancționat sau concediat pentru că și-a îndeplinit atribuțiile (articolul 38 din GDPR).
Este obligatoriu în cazul autorităților și organismelor publice și al entităților a căror activitate principală constă în monitorizarea periodică și sistematică a persoanelor la scară largă sau în prelucrarea la scară largă a categoriilor speciale de date (articolul 37 din GDPR). Articolul 34 din LOPDGDD enumeră și alte cazuri, cum ar fi colegiile profesionale, instituțiile de învățământ, societățile de asigurări sau federațiile sportive care prelucrează date ale minorilor. Datele sale de contact se publică și se comunică AEPD: desemnarea, numirea și încetarea funcției se comunică Agenției în termen de zece zile. Dacă firma dumneavoastră are un DPO, vă puteți adresa lui cu nelămuririle.
Ce mai trebuie să facă firma
Acest curs este o instruire generală. Firma trebuie, în plus: să țină evidența activităților de prelucrare (articolul 30 din GDPR), să informeze personalul despre cum îi prelucrează datele, să aibă protocoale interne pentru drepturi și încălcări, să dea instrucțiuni scrise adaptate fiecărui post și să înlesnească contactul cu DPO, dacă există.
Rețineți: respectarea normelor este treaba tuturor din firmă. Normele există pentru a proteja oamenii, inclusiv pe dumneavoastră.