Acest curs vă oferă cunoștințe, dar angajatorul este operatorul și el are obligațiile prevăzute de lege. Citiți această lecție pentru a înțelege ce trebuie să existe în spate și ce puteți aștepta de la întreprindere.
Ce trebuie să facă angajatorul însuși
- Să aibă politici și proceduri de protecție a datelor și de securitate a informațiilor adaptate întreprinderii.
- Să țină o evidență a activităților de prelucrare (articolul 30). Întreprinderile cu mai puțin de 250 de angajați sunt în principiu scutite, dar scutirea nu se aplică dacă prelucrarea poate genera un risc pentru drepturile persoanelor, nu este ocazională sau include categorii speciale ori date privind condamnări penale. În practică, multe întreprinderi mici trebuie deci să țină o evidență.
- Să dea instrucțiuni despre modul de folosire a sistemelor și să se asigure că angajații le respectă (articolele 29 și 32 alin. 4).
- Să aibă acorduri de prelucrare cu furnizorii care prelucrează date (articolul 28).
- Să facă evaluări de risc și, atunci când prelucrarea generează probabil un risc ridicat, o evaluare a impactului asupra protecției datelor (articolul 35).
- Să aibă măsuri de securitate adecvate: gestionarea accesului, jurnalizare, criptare, copii de siguranță (articolul 32).
- Să aibă o procedură pentru incidente și pentru cereri privind drepturile.
- Să ofere informare celor la care se referă datele (notă de informare, informarea angajaților).
- Să desemneze un responsabil cu protecția datelor acolo unde legea o cere (articolul 37): autoritățile publice și întreprinderile a căror activitate de bază constă în monitorizarea periodică și sistematică la scară largă sau în prelucrarea la scară largă a categoriilor speciale ori a datelor privind condamnări penale.
- Să se asigure că angajații au cunoștințele necesare. Instruirea este o măsură organizatorică obișnuită și importantă.
Un curs online poate face parte din aceasta, dar nu înlocuiește instruirea proprie a întreprinderii despre propriile sisteme, proceduri și riscuri.
Ce poate face Datatilsynet
Datatilsynet poate:
- să ofere îndrumare și să răspundă la întrebări
- să facă controale și să ceară informații
- să dea ordine, de exemplu să oprească o prelucrare sau să remedieze situația
- să aplice penalități de întârziere (tvangsmulkt; Personopplysningsloven § 29)
- să aplice amenzi administrative (overtredelsesgebyr; § 26)
Amenzile administrative
Amenzile urmează articolul 83. Cuantumul trebuie să fie efectiv, proporțional cu încălcarea și să aibă un efect de descurajare. Există două niveluri:
- Până la 10 milioane de euro sau 2 % din cifra de afaceri anuală mondială a întreprinderii, oricare este mai mare, printre altele pentru încălcarea cerințelor privind securitatea, evidența, protecția datelor începând cu momentul conceperii și notificarea incidentelor.
- Până la 20 de milioane de euro sau 4 %, oricare este mai mare, pentru încălcarea principiilor de bază, a condițiilor privind consimțământul, a drepturilor persoanelor vizate și a regulilor privind transferul către țări din afara SEE.
Datatilsynet poate aplica amenzi și autorităților publice. Deciziile pot fi contestate la Personvernnemnda.
Amenzile se aplică întreprinderii, nu fiecărui angajat în parte. Totuși, aceasta nu înseamnă că angajații pot face ce vor. Abuzurile grave, de exemplu consultarea nejustificată a datelor, pot atrage reacții de dreptul muncii din partea angajatorului. În plus, pot fi aplicabile și alte legi, de exemplu cele privind secretul profesional și răspunderea penală.
Despăgubiri
Cel care a suferit un prejudiciu din cauza încălcării regulilor are dreptul la despăgubiri din partea responsabilului (articolul 82). Articolul 82 cuprinde atât prejudiciul material, cât și prejudiciul moral, iar Personopplysningsloven § 30 prevede că responsabilul poate fi obligat să plătească și o compensație echitabilă, după cum pare rezonabil.
Rolul dumneavoastră
- Cunoașteți regulile și procedurile pentru postul dumneavoastră.
- Prelucrați doar ce vă trebuie și doar pentru scopul stabilit de întreprindere.
- Protejați datele în activitatea de zi cu zi.
- Anunțați rapid și sincer incidentele.
- Transmiteți mai departe cererile persoanelor care vor să își exercite drepturile.
- Întrebați când nu sunteți sigur și participați la instruire.
Procedurile bune de protecție a datelor nu sunt birocrație. Ele construiesc încredere între întreprindere, clienți și angajați.