Această ultimă lecție strânge la un loc ce este în joc când regulile nu sunt respectate și explică ce revine angajatorului, indiferent dacă există sau nu un curs ca acesta.
CNPD și puterile ei
CNPD controlează și supraveghează respectarea GDPR și a Lei n.º 58/2019 (art. 4 din lege) și acționează independent. Potrivit art. 58 din GDPR, ea poate:
- să facă investigații și audituri și să ceară informații;
- să emită avertismente și mustrări;
- să dispună respectarea drepturilor persoanelor vizate sau conformarea prelucrării cu regulile;
- să restricționeze sau să interzică prelucrarea, temporar sau definitiv;
- să aplice amenzi.
Toate entitățile publice și private au obligația de a colabora cu CNPD, dându-i informațiile cerute și permițându-i să examineze sistemele și documentele (art. 8 din Lei n.º 58/2019).
Amenzi
GDPR (art. 83) stabilește amenzi de până la 10 milioane de euro sau 2 % din cifra de afaceri anuală mondială și, pentru încălcările cele mai grave, de până la 20 de milioane de euro sau 4 %, luându-se în calcul valoarea cea mai mare. Lei n.º 58/2019 clasifică încălcările:
- contravenții foarte grave (art. 37): de exemplu prelucrarea datelor fără temei legal, prelucrarea categoriilor speciale de date fără o excepție aplicabilă sau nepermiterea ori îngreunarea exercitării drepturilor persoanelor vizate;
- contravenții grave (art. 38): de exemplu lipsuri de securitate, nenotificarea încălcărilor, neținerea evidenței activităților, încălcarea regulilor de supraveghere video din art. 19.
Legea fixează și valori ale amenzilor în funcție de mărimea entității, precum și reguli proprii pentru stabilirea lor. CNPD a declarat că nu aplică aceste norme, deoarece le consideră contrare GDPR, și aplică direct limitele și criteriile din art. 83 din GDPR (Deliberação n.º 2019/494). Printre aceste criterii se numără natura, gravitatea și durata încălcării, caracterul intenționat sau din neglijență și măsurile luate pentru reducerea prejudiciului.
Amenzile se aplică în mod egal entităților publice și private (art. 44 alin. (1)). Legea a prevăzut că entitățile publice puteau cere CNPD scutirea de amenzi timp de trei ani de la intrarea în vigoare, dar acest termen a expirat deja.
Infracțiuni
Lei n.º 58/2019 prevede infracțiuni (art. 46-54). Câteva exemple, cu pedeapsa cu închisoarea sau cu amenda:
- folosirea datelor într-un mod incompatibil cu scopul colectării: închisoare până la 1 an sau amendă până la 120 de zile;
- acces neautorizat, fără permisiune sau justificare: închisoare până la 1 an sau amendă până la 120 de zile;
- falsificarea sau distrugerea datelor: închisoare până la 2 ani sau amendă până la 240 de zile;
- încălcarea obligației de secret de către cel obligat la secret profesional;
- nesupunerea la ordinele CNPD.
Dacă datele sunt din categorii speciale (art. 9 și 10 din GDPR), pedepsele sunt majorate la dublu în limitele lor, în mai multe dintre aceste infracțiuni. Poate răspunde penal persoana care săvârșește fapta, nu doar firma.
Răspunderea civilă și disciplinară
Cine suferă prejudicii din cauza unei prelucrări ilegale are dreptul la despăgubiri (art. 82 din GDPR și art. 33 din Lei n.º 58/2019). Încălcarea gravă a îndatoririlor de serviciu poate duce și la procedură disciplinară, potrivit Código do Trabalho.
Ce trebuie să facă angajatorul
Acest curs este o introducere generală. Nu înlocuiește obligațiile angajatorului, printre care:
- politici și instrucțiuni interne, precum și instrucțiuni specifice fiecărui post și sistem;
- informarea angajaților și a persoanelor vizate despre prelucrare (art. 13 și 14 din GDPR);
- evidența activităților de prelucrare, atunci când este obligatorie (art. 30);
- contracte cu persoanele împuternicite (art. 28) și măsuri de securitate (art. 32);
- proceduri pentru încălcări și pentru cererile persoanelor vizate;
- numirea unui responsabil cu protecția datelor și publicarea contactului său, atunci când este obligatorie. Este obligatorie în entitățile publice (art. 12 din Lei n.º 58/2019) și, în cele private, atunci când activitatea principală presupune monitorizare regulată și sistematică la scară largă sau prelucrare la scară largă a categoriilor speciale de date (art. 13).
Angajatorul decide dacă acest curs răspunde nevoilor de instruire ale firmei.
Rezumat: folosiți doar ce vă trebuie, protejați ce aveți, anunțați când ceva merge prost și întrebați când aveți îndoieli.