Останній урок збирає все докупи. Чим ризикує той, хто порушує правила? І що має забезпечити ваш роботодавець незалежно від того, чого ви тут навчилися?
Повноваження Datatilsynet
Відповідно до статті 58 Datatilsynet може перевіряти компанії, вимагати інформацію та отримувати доступ до приміщень і систем. Орган також може:
- видати попередження або догану
- видати припис виконати право людини або привести обробку в порядок
- обмежити чи заборонити обробку, тимчасово або остаточно
Кожен може поскаржитися до Datatilsynet (стаття 77). Той, хто зазнав шкоди, може отримати відшкодування від контролера чи обробника (стаття 82).
Штрафи: у Данії вирішують суди
Стаття 83 регламенту встановлює штрафи до 10 млн євро або 2 % загального річного обороту, а за тяжчі порушення до 20 млн євро або 4 %, залежно від того, що більше. Данська правова система не ґрунтується на адміністративних штрафах. Тому в Данії за загальним правилом штраф накладають суди за § 41 закону про захист даних:
- Порушення істотних норм регламенту карається штрафом або позбавленням волі до 6 місяців (§ 41 абз. 1 і 2).
- Під час визначення покарання суд мусить керуватися статтею 83, частиною 2, наприклад характером, тяжкістю й тривалістю порушення та тим, було воно умисним чи через недбалість (§ 41 абз. 3).
- Компанії можуть бути покарані за розділом 5 Кримінального кодексу (straffeloven) (§ 41 абз. 6).
- Кримінальні справи за давністю закриваються через 5 років (§ 41 абз. 7).
Datatilsynet не може само накласти штраф. Якщо орган вважає, що компанію слід покарати, він передає справу поліції. Прокуратура вирішує, чи висувати обвинувачення, а суд визначає штраф. У простих справах Datatilsynet, однак, може запропонувати добровільно сплатити штраф без суду (bødeforelæg, § 42). Якщо той, хто порушив правила, визнає вину й погодиться на штраф, справа закінчується без судового розгляду. Інакше справа може піти далі до поліції та суду. Норма спрямована на «того, хто порушує», тож покарання в принципі може торкнутися і компаній, і окремих осіб. Серйозні чи умисні порушення, наприклад пошук відомих людей у системі без робочої потреби, можуть мати й наслідки в галузі трудового права.
Що можете зробити ви самі?
- Обробляйте дані лише за інструкціями роботодавця й для потреб вашої роботи (стаття 29).
- Дотримуйтеся політик і процедур, а коли сумніваєтеся, запитуйте.
- Негайно повідомляйте про порушення та запити.
- Дотримуйтеся обов’язку зберігати таємницю. Багато професій, крім того, мають власний, встановлений законом обов’язок зберігати таємницю.
Що має робити роботодавець
Цей курс — загальне вступне заняття. Він не замінює власних обов’язків компанії. Роботодавець як контролер, зокрема, мусить:
- мати власні політики та інструкції для вашої роботи й ваших систем, щоб ви знали, що вам можна
- вести реєстр операцій обробки (стаття 30), де це потрібно. Виняток для малих компаній діє лише у вузьких випадках, тож багатьом меншим компаніям його теж треба вести
- укладати угоди про обробку даних із постачальниками (стаття 28)
- проводити оцінку ризиків і забезпечувати належні технічні та організаційні заходи (стаття 32), а в окремих випадках — оцінку впливу (стаття 35)
- призначити відповідальну особу із захисту даних (DPO), де цього вимагають правила (стаття 37), наприклад в органах публічної влади
- мати процедури на випадок порушень і запитів суб’єктів даних
- забезпечити навчання, що відповідає саме вашій роботі. Працівникам HR, охорони здоров’я, соціальної сфери чи маркетингу потрібно більше, ніж загальне вступне навчання
Саме роботодавець вирішує, чи покриває цей курс потреби компанії в навчанні.
Підсумок: використовуйте лише те, що вам потрібно. Захищайте те, що маєте. Кажіть, якщо щось іде не так.