Останній урок — про те, що буває, коли правила не дотримуються, і про те, що належить до обов’язків роботодавця, а що — до ваших.
Повноваження IMY
Integritetsskyddsmyndigheten (IMY) може згідно зі статтею 58:
- розслідувати скарги й проводити перевірки (нагляд)
- вимагати інформацію та отримувати доступ до даних і приміщень
- виносити приписи, попередження й догани
- забороняти певну обробку або ухвалювати рішення про виправлення чи видалення даних
- ухвалювати рішення про адміністративний штраф
IMY обирає захід залежно від тяжкості порушення. Не кожен випадок призводить до штрафу. Догана або припис — звичайна річ.
Адміністративні штрафи
Суми зі статті 83 — це максимальні суми:
- до 10 мільйонів євро або 2 відсотків світового річного обороту компанії, залежно від того, що більше, за недоліки, зокрема, в безпеці, веденні реєстрів, вбудованому захисті даних і повідомленні про порушення
- до 20 мільйонів євро або 4 відсотків, залежно від того, що більше, за порушення основних принципів, правової підстави, прав суб’єктів даних і правил передавання до третіх країн
Для державних установ у Швеції межі нижчі: відповідно 5 мільйонів крон і 10 мільйонів крон (розділ 6, § 2 dataskyddslagen).
Розмір штрафу визначають за характером порушення, його тривалістю, кількістю постраждалих і поведінкою організації.
Відшкодування та інші наслідки
- Той, кому завдано шкоди через порушення, може отримати відшкодування (стаття 82).
- Страждають репутація організації та довіра до неї.
- Для вас як працівника це може мати наслідки з трудового права. Той, хто свідомо дивиться дані без робочої причини або поширює їх далі, може, наприклад, отримати догану чи втратити роботу. У деяких випадках несанкціонований доступ до даних може бути злочином, наприклад комп’ютерним вторгненням за розділом 4, § 9 c шведського кримінального кодексу (brottsbalken), і може також діяти обов’язок збереження таємниці.
За що відповідає роботодавець
Навчання, яке ви проходите зараз, дає знання про правила. Воно не замінює того, що роботодавець має робити сам:
- розробити власні настанови й процедури щодо персональних даних
- вести реєстр операцій обробки (стаття 30), якщо цей обов’язок застосовується
- призначити відповідальну особу із захисту даних, коли це потрібно (статті 37–39)
- проводити оцінки впливу, коли обробка створює високий ризик (стаття 35)
- укладати договори про обробку та оцінювати постачальників
- давати інструкції до систем, якими ви користуєтеся, і контролювати доступ
- мати процедури на випадок порушень і запитів суб’єктів даних
- забезпечувати навчання, пристосоване до ролі та діяльності, наприклад для працівників кадрів, медицини, шкіл чи маркетингу
Ваш контрольний список
- Обробляйте персональні дані лише для того, чого вимагає робота.
- Пам’ятайте про принципи: мета, мінімізація, точність, зберігання й безпека.
- Запитуйте, якщо не певні, чи можна щось збирати, передавати або зберігати.
- Захищайте паролі, екрани, папери й пошту. Із підозрою ставтеся до несподіваних повідомлень.
- Розпізнавайте запит суб’єкта даних і негайно передавайте його далі.
- Повідомляйте про порушення негайно, краще повідомити зайвий раз, ніж промовчати.
- Ніколи не дивіться дані лише з цікавості.
- З’ясуйте, хто у вас відповідальна особа із захисту даних чи контактна особа і де лежать настанови.
Замість висновку
Захист даних — це повага до людей. Коли ви дбайливо поводитеся з даними, ви захищаєте тих, хто довіряє вашому робочому місцю, а також себе й свого роботодавця.