Цей урок пояснює, хто відповідає, якщо правила порушено, що може робити AEPD, які існують санкції та яку роль має відповідальна особа із захисту даних.
Іспанське агентство із захисту даних
AEPD — незалежний наглядовий орган в Іспанії. Згідно зі статтею 58 GDPR і LOPDGDD вона може, зокрема:
- розслідувати й вимагати інформацію або доступ до приміщень і обладнання
- попереджати й оголошувати догану тим, хто порушує
- наказувати виконати права людей або привести обробку у відповідність до правил
- обмежувати чи забороняти обробку
- накладати адміністративні штрафи
Вона також розглядає скарги постраждалих. На відміну від деяких інших країн, AEPD накладає штрафи безпосередньо. Органам публічної адміністрації вона штрафів не накладає, а виносить рішення, що визнає порушення та встановлює заходи для його усунення (стаття 77 LOPDGDD).
Штрафи
Стаття 83 GDPR встановлює два рівні:
- до 10 мільйонів євро або 2 % загального річного світового обороту попереднього фінансового року, залежно від того, що більше, за порушення, як-от незастосування заходів безпеки, неповідомлення про порушення чи невиконання обов’язків обробників
- до 20 мільйонів євро або 4 % цього обороту, залежно від того, що більше, за порушення основних принципів, підстав обробки чи прав людей
Штраф має бути ефективним, пропорційним і стримувальним. AEPD враховує такі чинники, як тяжкість, тривалість, умисел чи недбалість, вжиті заходи й співпраця з нею.
Порушення та давність
LOPDGDD поділяє порушення на три ступені (статті 72-74):
- дуже тяжкі: наприклад, обробка даних без чинної правової підстави. Давність — три роки
- тяжкі: наприклад, незастосування належних заходів безпеки, неповідомлення про порушення чи обробка даних особи молодше 14 років без згоди того, хто здійснює батьківську владу. Давність — два роки
- легкі: наприклад, ненадання людям усієї потрібної інформації. Давність — один рік
Санкції, що були накладені, теж мають давність (стаття 78): один рік для тих, що до 40 000 євро, два роки для тих, що від 40 001 до 300 000 євро, і три роки для тих, що понад 300 000 євро.
А я, як працівник?
Штраф AEPD зазвичай лягає на компанію, яка є контролером. Але це не означає, що ви ні за що не відповідаєте:
- Якщо ви порушуєте вказівки або розкриваєте дані без дозволу, компанія може застосувати до вас дисциплінарні заходи, зокрема звільнення, за порушення принципу добросовісності у трудових відносинах і зловживання довірою (стаття 54 Estatuto de los Trabajadores).
- Доступ до закритих даних без дозволу чи їх поширення може бути злочином розкриття таємниці (статті 197 і наступні Código Penal, Кримінального кодексу Іспанії).
- Постраждалі можуть вимагати відшкодування завданої шкоди (стаття 82 GDPR).
Відповідальна особа із захисту даних (DPO)
DPO консультує компанію, стежить за дотриманням правил, співпрацює з AEPD і працює з постраждалими людьми. Вона має діяти незалежно й не може бути покарана чи звільнена за виконання своїх функцій (стаття 38 GDPR).
DPO обов’язкова в органах і установах публічної влади та в організаціях, основна діяльність яких полягає в регулярному й систематичному спостереженні за людьми у великому масштабі або в обробці спеціальних категорій даних у великому масштабі (стаття 37 GDPR). Стаття 34 LOPDGDD також перелічує інші випадки, наприклад професійні палати, навчальні заклади, страхові організації чи спортивні федерації, що обробляють дані неповнолітніх. Її контактні дані публікують і повідомляють AEPD: призначення, залучення та звільнення повідомляють агентству протягом десяти днів. Якщо у вашої компанії є DPO, ви можете звертатися до неї зі своїми питаннями.
Що компанія має й далі робити
Цей курс — загальне навчання. Компанія має, крім того, вести реєстр операцій обробки (стаття 30 GDPR), інформувати персонал про те, як обробляє його дані, мати внутрішні протоколи щодо прав і порушень, давати письмові вказівки, пристосовані до кожної посади, і полегшувати зв’язок із DPO, якщо вона є.
Пам’ятайте: дотримання правил — справа всіх людей у компанії. Правила існують, щоб захищати людей, зокрема й вас.