Den här kursen ger dig kunskap, men det är arbetsgivaren som är personuppgiftsansvarig och har skyldigheterna enligt lagen. Läs den här lektionen för att förstå vad som måste finnas bakom, och vad du kan förvänta dig av verksamheten.
Vad arbetsgivaren själv måste göra
- Ha riktlinjer och rutiner för dataskydd och informationssäkerhet som är anpassade till verksamheten.
- Föra register över behandlingar (artikel 30). Verksamheter med färre än 250 anställda är i princip undantagna, men undantaget gäller inte om behandlingen kan innebära en risk för personers rättigheter, inte är tillfällig eller omfattar särskilda kategorier eller uppgifter om lagöverträdelser. I praktiken måste därför många små verksamheter också ha ett register.
- Ge instruktioner om hur systemen ska användas och se till att de anställda följer dem (artikel 29 och 32.4).
- Ha personuppgiftsbiträdesavtal med leverantörer som behandlar uppgifter (artikel 28).
- Genomföra riskbedömningar och, när behandlingen sannolikt medför hög risk, en konsekvensbedömning avseende dataskydd (artikel 35).
- Ha lämpliga säkerhetsåtgärder: behörighetsstyrning, loggning, kryptering, säkerhetskopior (artikel 32).
- Ha en rutin för personuppgiftsincidenter och för begäranden om rättigheter.
- Ge information till dem uppgifterna gäller (integritetspolicy, information till anställda).
- Utse dataskyddsombud där lagen kräver det (artikel 37): offentliga organ och verksamheter vars kärnverksamhet består av regelbunden och systematisk övervakning i stor skala, eller behandling i stor skala av särskilda kategorier eller uppgifter om lagöverträdelser.
- Se till att de anställda har nödvändig kunskap. Utbildning är en vanlig och viktig organisatorisk åtgärd.
En nätkurs kan vara en del av detta, men den ersätter inte verksamhetens egen utbildning om egna system, rutiner och risker.
Vad Datatilsynet kan göra
Datatilsynet kan:
- ge vägledning och svara på frågor
- utöva tillsyn och kräva uppgifter
- meddela förelägganden, till exempel att stoppa en behandling eller rätta till något
- besluta om vite (på norska ”tvangsmulkt”, personopplysningsloven § 29)
- besluta om sanktionsavgift (på norska ”overtredelsesgebyr”, § 26)
Sanktionsavgift
Avgifterna följer artikel 83. Storleken ska vara effektiv, stå i proportion till överträdelsen och verka avskräckande. Det finns två nivåer:
- Upp till 10 miljoner euro eller 2 procent av verksamhetens totala globala årsomsättning, beroende på vilket belopp som är högst, bland annat för överträdelser av krav på säkerhet, register, inbyggt dataskydd och anmälan av incidenter.
- Upp till 20 miljoner euro eller 4 procent, beroende på vilket belopp som är högst, för överträdelser av grundprinciperna, villkoren för samtycke, de registrerades rättigheter och reglerna om överföring till länder utanför EES.
Datatilsynet kan också besluta om avgift för offentliga organ. Beslut kan överklagas till Personvernnemnda.
Avgifterna åläggs verksamheten, inte den enskilda medarbetaren. Det är ändå inte så att anställda kan agera som de vill. Allvarligt missbruk, till exempel snokande, kan leda till arbetsrättsliga åtgärder från arbetsgivaren. Dessutom kan andra lagar, till exempel regler om tystnadsplikt och straff, gälla.
Skadestånd
Den som har lidit skada på grund av överträdelser av reglerna har rätt till skadestånd från den ansvarige (artikel 82). Artikel 82 omfattar både ekonomisk och icke-ekonomisk skada, och personopplysningsloven § 30 säger att den ansvarige också kan åläggas att betala ersättning för kränkning efter vad som framstår som skäligt.
Din roll
- Känn till reglerna och rutinerna för din tjänst.
- Behandla bara det du behöver, och bara för det ändamål som verksamheten har bestämt.
- Skydda uppgifterna i vardagen.
- Anmäl incidenter snabbt och ärligt.
- Skicka vidare förfrågningar från personer som vill utöva sina rättigheter.
- Fråga när du är osäker, och ta emot utbildning.
Bra dataskyddsrutiner är inte byråkrati. De bygger förtroende mellan verksamheten, kunderna och de anställda.