Цей останній урок збирає те, що поставлено на карту, коли правила не дотримують, і пояснює, що належить роботодавцю, незалежно від того, чи є такий курс, як цей.
CNPD та її повноваження
CNPD контролює й наглядає за дотриманням GDPR і закону Lei n.º 58/2019 (стаття 4 закону) і діє незалежно. Відповідно до статті 58 GDPR вона може:
- проводити розслідування й аудити та вимагати інформацію;
- виносити попередження та догани;
- наказувати дотримуватися прав суб’єктів даних або привести обробку у відповідність до правил;
- обмежувати чи забороняти обробку, тимчасово або остаточно;
- накладати штрафи.
Усі державні й приватні суб’єкти зобов’язані співпрацювати з CNPD, надавати їй запитувану інформацію та дозволяти їй перевіряти системи й документи (стаття 8 закону Lei n.º 58/2019).
Штрафи
GDPR (стаття 83) встановлює штрафи до 10 мільйонів євро або 2 % світового річного обороту, а за найтяжчі порушення до 20 мільйонів євро або 4 %, залежно від того, яка сума більша. Закон Lei n.º 58/2019 класифікує порушення:
- дуже тяжкі адміністративні правопорушення (стаття 37): наприклад обробка даних без правової підстави, обробка спеціальних категорій даних без застосовного винятку або недопущення чи ускладнення здійснення прав суб’єктів даних;
- тяжкі адміністративні правопорушення (стаття 38): наприклад недоліки безпеки, неповідомлення про порушення, неведення реєстру операцій обробки, порушення правил відеоспостереження зі статті 19.
Закон також встановлює суми штрафів залежно від розміру суб’єкта та власні правила їх визначення. CNPD заявила, що не застосовує ці норми, бо вважає їх такими, що суперечать GDPR, і застосовує безпосередньо межі та критерії статті 83 GDPR (рішення № 2019/494). Серед цих критеріїв — характер, тяжкість і тривалість порушення, умисність чи необережність і заходи, вжиті для пом’якшення шкоди.
Штрафи стосуються однаково державних і приватних суб’єктів (стаття 44 пункт 1). Закон передбачав, що державні органи могли просити CNPD про звільнення від штрафів на три роки від набуття ним чинності, але цей строк уже минув.
Злочини
Закон Lei n.º 58/2019 передбачає злочини (статті 46–54). Кілька прикладів, з позбавленням волі або штрафом:
- використання даних несумісним способом із метою збирання: позбавлення волі до 1 року або штраф до 120 днів;
- неправомірний доступ, без дозволу чи обґрунтування: позбавлення волі до 1 року або штраф до 120 днів;
- фальсифікація чи знищення даних: позбавлення волі до 2 років або штраф до 240 днів;
- порушення обов’язку зберігати таємницю тим, хто зобов’язаний до професійної таємниці;
- невиконання наказів CNPD.
Якщо дані належать до спеціальних категорій (статті 9 і 10 GDPR), покарання в кількох із цих злочинів подвоюються у своїх межах. Кримінальну відповідальність може нести людина, яка вчинила діяння, а не лише компанія.
Цивільна й дисциплінарна відповідальність
Хто зазнав шкоди від незаконної обробки, має право на відшкодування (стаття 82 GDPR і стаття 33 закону Lei n.º 58/2019). Серйозне порушення трудових обов’язків може також призвести до дисциплінарного провадження відповідно до Código do Trabalho.
Що має робити роботодавець
Цей курс — загальний вступ. Він не замінює обов’язків роботодавця, до яких належать:
- внутрішні політики та інструкції, а також інструкції для кожного робочого місця й системи;
- інформування працівників і суб’єктів даних про обробку (статті 13 і 14 GDPR);
- реєстр операцій обробки, коли він обов’язковий (стаття 30);
- договори з обробниками (стаття 28) і заходи безпеки (стаття 32);
- процедури щодо порушень і запитів суб’єктів даних;
- призначення відповідальної особи із захисту даних і оприлюднення її контактів, коли це обов’язково. Це обов’язково в державних органах (стаття 12 закону Lei n.º 58/2019), а в приватних — коли основна діяльність полягає в регулярному й систематичному спостереженні у великому масштабі або в обробці спеціальних категорій даних у великому масштабі (стаття 13).
Чи відповідає цей курс потребам навчання компанії, вирішує роботодавець.
Підсумок: використовуйте лише те, що вам потрібно, захищайте те, що маєте, повідомляйте, коли щось іде не так, і запитуйте, коли сумніваєтеся.