За дотримання GDPR відповідає передусім контролер, тобто роботодавець. Але й ви можете зазнати наслідків, якщо неправомірно поводитеся з персональними даними. Цей урок підсумовує, хто здійснює нагляд, що може накласти і що загрожує окремій особі.
Управління із захисту персональних даних
ÚOOÚ — наглядовий орган згідно зі статтею 51 GDPR і законом № 110/2019 Sb. Згідно зі статтею 58 GDPR він може, зокрема:
- проводити перевірки й аудити та вимагати доступу до даних і приміщень
- попередити контролера, що запланована обробка, ймовірно, порушить регламент
- оголосити догану контролеру та наказати привести обробку у відповідність до регламенту
- обмежити або заборонити обробку
- накласти адміністративний штраф
Управління також розглядає скарги людей, видає висновки та методики й приймає повідомлення про порушення безпеки.
Штрафи за GDPR
Стаття 83 передбачає два рівні штрафів:
- до 10 000 000 EUR або 2 % світового річного обороту (залежно від того, що більше), наприклад за порушення обов’язків контролера й обробника, реєстру операцій обробки та повідомлення про порушення
- до 20 000 000 EUR або 4 % обороту за порушення принципів обробки, умов згоди, прав суб’єктів даних і невиконання розпорядження Управління
Конкретний розмір залежить від обставин: серйозності, тривалості, умислу, кількості людей, співпраці з Управлінням. Штраф має бути ефективним, пропорційним і стримувальним.
Штрафи накладає адміністративний орган, тобто Управління. Для правопорушень згідно з § 62 закону № 110/2019 Sb. провадження ведуть за чеськими правилами про адміністративне покарання. Стаття 83 частина 7 GDPR залишає державам-членам право вирішувати, чи штрафувати органи публічної влади та публічні суб’єкти. Чехія вирішила, що ні: щодо контролерів і обробників, названих у цій статті, Управління згідно з § 62 абз. 5 закону № 110/2019 Sb. відмовляється від накладення адміністративного покарання (штрафу). Інші коригувальні заходи, наприклад розпорядження про усунення чи догана, у нього залишаються.
Відшкодування шкоди
Кожен, хто зазнав матеріальної чи нематеріальної шкоди внаслідок порушення регламенту, має згідно зі статтею 82 GDPR право на відшкодування від контролера чи обробника. Людина може звернутися до суду.
Кримінальна відповідальність окремої особи
Кримінальний кодекс (trestní zákoník, закон № 40/2009 Sb.) містить у § 180 кримінальне правопорушення — неправомірне поводження з персональними даними. Коротко:
- Хто, хай і через недбалість, без права оприлюднить, повідомить, зробить доступними, іншим чином обробить чи привласнить персональні дані про іншу особу, зібрані у зв’язку зі здійсненням публічної влади, і цим завдасть серйозної шкоди правам чи законним інтересам цієї особи, тому загрожує позбавлення волі до трьох років або заборона діяльності (абз. 1).
- Так само каратиметься той, хто, хай і через недбалість, порушить покладений чи визнаний державою обов’язок зберігати таємницю, неправомірно оприлюднивши, повідомивши чи зробивши доступними третій особі персональні дані, отримані під час виконання професії, роботи чи функції, і цим завдасть серйозної шкоди (абз. 2).
- Суворіше покарання (від 1 до 5 років) загрожує члену організованої групи, за вчинення через друк, радіо, телебачення чи публічно доступну комп’ютерну мережу, тобто й в інтернеті, або за значної шкоди чи наміру отримати значну вигоду (абз. 3). За шкоди чи вигоди великого розміру це від 3 до 8 років (абз. 4).
Умова, отже, — серйозна шкода. Звичайна помилка без таких наслідків злочином не буде. Зловживання, продаж чи оприлюднення даних, що завдасть комусь серйозної шкоди, злочином бути може.
Наслідки у трудовому праві
Порушення обов’язків під час поводження з даними може бути порушенням обов’язків за § 301 Трудового кодексу, тобто виконувати вказівки та дотримуватися норм. Залежно від тяжкості роботодавець може розірвати договір із попередженням (§ 52) або у виняткових випадках розірвати трудові відносини негайно, якщо працівник особливо грубо порушив обов’язок, що випливає з правових норм (§ 55 абз. 1 п. b). Він може також вимагати відшкодування шкоди за умов Трудового кодексу.
Що роботодавець мусить робити сам
Цей курс не замінює обов’язків вашого роботодавця. Він мусить забезпечити, наприклад:
- внутрішню політику чи правила поводження з персональними даними
- інформацію для працівників про обробку їхніх даних (стаття 13)
- реєстр операцій обробки, якщо він зобов’язаний його вести (стаття 30)
- вказівки щодо вашого робочого місця: які дані, в якій системі, кому ви можете їх передавати
- контакт відповідальної особи із захисту даних або особи, якій повідомляють про запити та інциденти
- договори з обробниками, оцінку ризиків і порядок дій на випадок порушення безпеки
Що запам’ятати
- Нагляд здійснює ÚOOÚ, штрафи за GDPR сягають до 20 млн EUR або 4 % обороту.
- Щодо органів публічної влади та публічних суб’єктів Управління відмовляється від накладення штрафу (§ 62 абз. 5), інші заходи залишаються.
- § 180 Кримінального кодексу карає неправомірне поводження з персональними даними, що завдає серйозної шкоди.
- Роботодавець мусить мати власні політики, інформацію, реєстр і вказівки.