Den sista lektionen knyter ihop trådarna. Vad riskerar man om reglerna överträds? Och vad måste din arbetsgivare själv se till, oavsett vad du har lärt dig här?
Datatilsynets befogenheter
Datatilsynet kan enligt artikel 58 granska företag, begära uppgifter och få tillträde till lokaler och system. Tillsynsmyndigheten kan också:
- utfärda en varning eller en reprimand
- meddela föreläggande om att ett företag ska följa en rättighet eller få behandlingen i ordning
- begränsa eller förbjuda behandling, tillfälligt eller slutgiltigt
Alla kan klaga hos Datatilsynet (artikel 77). Den som har lidit skada kan få ersättning av den personuppgiftsansvariga eller personuppgiftsbiträdet (artikel 82).
Böter: i Danmark avgör domstolarna
Förordningens artikel 83 fastställer sanktionsavgifter på upp till 10 miljoner euro eller 2 % av den totala globala årsomsättningen, och för de grövre överträdelserna upp till 20 miljoner euro eller 4 %, beroende på vilket belopp som är högst. Det danska rättssystemet bygger inte på administrativa sanktionsavgifter. I Danmark är det därför som utgångspunkt domstolarna som dömer ut böterna enligt databeskyttelsesloven § 41:
- Överträdelser av förordningens väsentliga regler straffas med böter eller fängelse i upp till 6 månader (§ 41, stk. 1 och 2).
- Vid bestämmandet av straffet ska domstolen följa artikel 83.2, till exempel överträdelsens karaktär, allvar och varaktighet samt om den var uppsåtlig eller oaktsam (§ 41, stk. 3).
- Bolag kan straffas enligt straffelovens kapitel 5 (den danska strafflagens kapitel 5, § 41, stk. 6).
- Brottmål preskriberas efter 5 år (§ 41, stk. 7).
Datatilsynet kan inte själv besluta om böter. Om tillsynsmyndigheten anser att ett företag bör straffas föreslår den att ärendet lämnas till polisen. Åklagaren avgör om åtal ska väckas, och en domstol bestämmer böterna. I enkla fall kan Datatilsynet dock erbjuda ett bødeforelæg (ett erbjudande om att godta böter utan rättegång, § 42). Om den som har överträtt reglerna erkänner och godtar böterna avslutas ärendet utan rättegång. Annars kan ärendet gå vidare till polisen och domstolen. Bestämmelsen riktar sig mot "den, der overtræder" (den som överträder), så straff kan i princip drabba både företag och enskilda personer. Allvarliga eller medvetna överträdelser, till exempel att du utan arbetsmässigt behov slår upp kända personer i ett system, kan också få arbetsrättsliga konsekvenser.
Vad kan du själv göra?
- Behandla bara uppgifter efter arbetsgivarens instruktion och för arbetets ändamål (artikel 29).
- Följ riktlinjer och rutiner, och fråga när du är osäker.
- Anmäl incidenter och begäranden genast.
- Iaktta tystnadsplikten. Många yrken har dessutom en egen, lagstadgad tystnadsplikt.
Vad arbetsgivaren själv måste göra
Den här kursen är en allmän introduktion. Den ersätter inte företagets egna skyldigheter. Arbetsgivaren, som personuppgiftsansvarig, ska bland annat:
- ha egna riktlinjer och instruktioner för ditt arbete och dina system, så att du vet vad du får göra
- föra ett register över behandling (artikel 30) där det krävs. Undantaget för små företag gäller bara i snäva fall, så många mindre företag måste också ha ett
- ingå personuppgiftsbiträdesavtal med leverantörer (artikel 28)
- göra riskbedömningar och säkerställa lämpliga tekniska och organisatoriska åtgärder (artikel 32), och i vissa fall en konsekvensbedömning (artikel 35)
- utse ett dataskyddsombud (DPO) där reglerna kräver det (artikel 37), till exempel i offentliga myndigheter
- ha rutiner för incidenter och begäranden från registrerade
- ge utbildning som passar just ditt arbete. Anställda inom HR, vård, socialtjänst eller marknadsföring behöver mer än en allmän introduktion
Det är arbetsgivaren som avgör om den här kursen täcker verksamhetens behov av utbildning.
Sammanfattning: Använd bara det du behöver. Skydda det du har. Säg till om något går fel.