DPC, amenzile și rolul dumneavoastră

Data Protection Commission

DPC este autoritatea irlandeză independentă pentru protecția datelor, înființată prin Data Protection Act 2018. Multe companii mari de tehnologie au sediul european în Irlanda, așa că DPC este și autoritatea principală în multe cazuri transfrontaliere. Pentru angajatorii obișnuiți, activitatea ei include:

• publicarea de ghiduri și promovarea informării;
• soluționarea plângerilor din partea publicului (încearcă adesea mai întâi o rezolvare amiabilă);
• efectuarea de anchete și audituri;
• folosirea puterilor de investigare, precum cererea de informații, audierea persoanelor și intrarea în sedii;
• folosirea puterilor corective conform articolului 58, precum avertismente, mustrări, ordine de conformare, interdicții temporare sau definitive de prelucrare și amenzi;
• urmărirea penală a unor infracțiuni, precum încălcările ePrivacy Regulations.

Amenzile

Conform articolului 83, amenda administrativă maximă este:

• până la 10 milioane € sau 2 % din cifra de afaceri anuală mondială, oricare este mai mare, pentru încălcări precum nenotificarea unei încălcări, deficiențele de securitate sau nepăstrarea evidențelor;
• până la 20 de milioane € sau 4 % din cifra de afaceri anuală mondială, oricare este mai mare, pentru încălcarea principiilor, a regulilor privind temeiul legal sau a drepturilor persoanelor.

Amenzile trebuie să fie „eficiente, proporționale și disuasive”. DPC ia în considerare natura, gravitatea și durata încălcării, dacă a fost intenționată, ce s-a făcut pentru limitarea prejudiciului, cooperarea organizației și antecedentele ei.

Organismele publice

Conform secțiunii 141 din Data Protection Act 2018, DPC poate amenda și autoritățile și organismele publice care nu acționează ca întreprinderi comerciale, cu un plafon de 1 milion €. Organismele publice nu sunt, așadar, scutite.

Confirmarea de către instanță

Organizația poate contesta amenda DPC în instanță în termen de 28 de zile (secțiunea 142). Dacă nu o contestă, DPC trebuie să ceară Circuit Court (tribunalul regional irlandez) să confirme amenda (secțiunea 143). O amendă produce efecte abia după confirmarea de către instanță.

Despăgubiri și acțiuni în instanță

Persoanele pot cere despăgubiri pentru prejudiciu, inclusiv prejudiciu moral, de exemplu suferința cauzată, printr-o acțiune privind protecția datelor în instanță (secțiunea 117 din legea din 2018 și articolul 82 GDPR).

Infracțiuni

Data Protection Act 2018 creează infracțiuni, printre care:

• Secțiunea 145: obținerea de date personale fără autorizarea prealabilă a operatorului sau a persoanei împuternicite și dezvăluirea lor altcuiva, precum și vânzarea unor astfel de date sau oferirea lor spre vânzare. În procedura sumară, pedeapsa este o amendă de clasa A sau închisoare de până la 12 luni, ori ambele; în procedura de acuzare formală (on indictment), o amendă de până la 50 000 € sau închisoare de până la 5 ani, ori ambele.
• Secțiunea 144: dezvăluirea de către o persoană împuternicită sau de către angajatul ei fără autorizarea prealabilă a operatorului.
• Secțiunea 146: conducătorii unei companii pot răspunde atunci când infracțiunea companiei se datorează consimțământului, complicității sau neglijenței lor.

Conform ePrivacy Regulations 2011, fiecare mesaj de marketing nesolicitat este o infracțiune separată, cu o amendă de până la 5 000 € în procedura sumară. În procedura de acuzare formală limita este de 50 000 € pentru o persoană fizică și de 250 000 € pentru o companie.

Un angajat poate răspunde personal și poate fi sancționat disciplinar de angajator pentru accesarea sau transmiterea datelor fără autorizare.

Rolul dumneavoastră

Nu trebuie să fiți expert. Fiecare angajat ar trebui:

1. Să urmeze politicile de protecție a datelor ale angajatorului și instrucțiunile pentru rolul său.
2. Să folosească datele personale doar pentru munca sa.
3. Să le țină în siguranță (lecția 5).
4. Să recunoască cererile privind drepturile și să le transmită în aceeași zi (lecția 4).
5. Să raporteze încălcările, incidentele evitate la limită și dispozitivele pierdute imediat (lecția 6).
6. Să întrebe responsabilul cu protecția datelor sau managerul, dacă nu este sigur.
7. Să nu acceseze niciodată date din curiozitate și să nu le ia cu el când părăsește un loc de muncă.

Ce trebuie să facă în continuare angajatorul

Acest curs predă regulile generale. Nu înlocuiește ce trebuie să facă angajatorul pentru sine. Angajatorul ar trebui să vă ofere:

• propriile politici de protecție a datelor și proceduri (securitate, păstrare, muncă la distanță, monitorizare);
• note de informare pentru clienți și angajați;
• evidența activităților de prelucrare, acolo unde se cere (articolul 30);
• instruire specifică rolului, de exemplu pentru resurse umane, marketing, financiar, sănătate sau relații cu clienții;
• datele de contact ale responsabilului său cu protecția datelor sau ale persoanei responsabile cu protecția datelor, dacă există, și publicarea datelor responsabilului acolo unde acesta este obligatoriu;
• o procedură pentru încălcări și o modalitate de tratare a cererilor privind drepturile;
• contracte cu persoanele împuternicite și DPIA, unde este nevoie.

Legea nu indică un anumit curs sau certificat. Angajatorul decide ce instruire este suficientă pentru munca dumneavoastră.

Ce să rețineți

• DPC poate investiga și amenda: până la 20 de milioane € sau 4 % din cifra de afaceri și până la 1 milion € pentru organismele publice.
• Amenzile produc efecte abia după confirmarea de către instanță. Persoanele pot cere și despăgubiri.
• Dezvăluirea datelor obținute fără autorizare este infracțiune.
• Rolul dumneavoastră: respectați regulile, protejați datele, recunoașteți cererile privind drepturile, raportați încălcările și întrebați când nu sunteți sigur.