Цей підсумковий урок — про те, що буває, коли щось іде не так, і що вам слід і не слід робити.
Повноваження ICO
Information Commissioner’s Office (ICO) — британський регулятор із захисту даних. Він може:
- розслідувати скарги й проводити аудити;
- давати поради, попередження та догани (reprimands);
- видавати приписи про виконання (enforcement notices), що зобов’язують організацію змінити свою діяльність;
- видавати повідомлення про штраф (penalty notices);
- притягати до відповідальності за деякі кримінальні правопорушення.
Більшість справ не закінчується штрафом. ICO часто спершу дивиться, чи була організація відкритою, чи навчила персонал і чи виправила проблему. Проте великі штрафи застосовували до організацій із серйозними недоліками.
Максимальні штрафи
- Вищий максимум: до 17,5 млн £ або 4 % світового річного обороту, залежно від того, що більше. Застосовується до порушень принципів, правових підстав, прав людей і міжнародних передач.
- Стандартний максимум: до 8,7 млн £ або 2 % світового річного обороту, залежно від того, що більше. Охоплює обов’язки, як-от безпека, повідомлення про порушення, реєстри та відповідальна особа із захисту даних.
Це максимуми. Фактичний штраф залежить від справи: наскільки вона була серйозною, як довго тривала, скільки людей зачепила й як діяла організація. Ті самі максимуми тепер діють і за порушення PECR.
Інші наслідки
- Компенсація. Люди можуть вимагати в суді відшкодування шкоди чи страждань, спричинених порушенням.
- Репутація. Клієнти втрачають довіру, а ICO публікує багато своїх рішень.
- Втрата бізнесу та витрати на реагування.
- Дисципліна. Працівників, які порушують політику, можуть дисциплінарно покарати або звільнити.
Кримінальні правопорушення окремих осіб
Згідно з розділом 170 DPA 2018 є правопорушенням свідомо чи необережно отримувати, розкривати або зберігати персональні дані без згоди контролера чи продавати їх. Приклади — забрати списки клієнтів до нового роботодавця або переглядати чиїсь записи з особистих причин. Розділ 173 охоплює знищення чи приховування даних, щоб перешкодити запиту на доступ. За ці правопорушення суд може призначити штраф. Притягнути до відповідальності можуть вас особисто, а не лише роботодавця.
Що роботодавець усе одно має робити
Цей курс дає загальне ознайомлення. Роботодавець залишається відповідальним за:
- власні політики захисту даних і процедури;
- повідомлення про конфіденційність та вибір правової підстави для кожного використання;
- відповідальну особу із захисту даних, де цього вимагає закон, наприклад для органів публічної влади, широкомасштабного моніторингу людей або широкомасштабного використання спеціальних категорій даних;
- реєстри обробки та оцінки ризиків (DPIA) для використання з високим ризиком;
- сплату збору за захист даних до ICO, де він застосовується;
- договори з обробниками;
- процедуру на випадок порушень і спосіб опрацьовувати запити на доступ та скарги;
- навчання для конкретних ролей і повторне навчання, наприклад для працівників кадрів, маркетингу, охорони здоров’я та догляду.
Що вам слід робити
- Використовуйте персональні дані лише для своєї роботи й лише те, що вам потрібно.
- Блокуйте екрани, документи й пристрої.
- Перевіряйте перед надсиланням. Перевіряйте, з ким розмовляєте.
- Повідомляйте про порушення, випадки, що ледь не стали порушеннями, і запити від громадськості негайно.
- Питайте, коли не впевнені.
- Дотримуйтеся політик і навчання, які дає роботодавець.
Чого вам не слід робити
- Не дивіться записи з цікавості.
- Не передавайте пароль і не дозволяйте іншим користуватися вашим акаунтом.
- Не забирайте дані додому чи на нове місце роботи без дозволу.
- Не ігноруйте запит клієнта, пацієнта чи колеги щодо його даних.
- Не приховуйте помилку й не знищуйте доказів.
- Не вносьте персональні дані в недозволені програми, особисту пошту чи публічні засоби ШІ.
Де знайти більше
ICO публікує безкоштовні роз’яснення на ico.org.uk, зокрема посібник для малих організацій. Політика вашого роботодавця має пріоритет у щоденній роботі.