Osobie fizycznej, w tym pracownikowi, która uzna, że przetwarzanie jej danych osobowych nastąpiło z naruszeniem przepisów RODO, przysługuje prawo do wniesienia skargi do odpowiedniego organu nadzorczego. Obecnie takim organem jest Prezes Urzędu Ochrony Danych Osobowych (PUODO).
W przypadku stwierdzenia przez organ nadzoru naruszenia przepisów RODO ma on dwie formy reakcji na stwierdzoną nieprawidłowość:
- zastosowanie finansowych środków represji lub
- poprzestanie na niepieniężnej formie egzekucji odpowiedniego zachowania.
Do sankcji niepieniężnych należy możliwość nakazania przez organ nadzoru w drodze decyzji:
- uwzględnienia żądań zawartych w skardze osoby, której dane dotyczą;
- dostosowania operacji przetwarzania danych osobowych do przepisów RODO, ze wskazaniem sposobu i terminu dostosowania;
- zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych;
- wprowadzenia czasowego lub całkowitego ograniczenia przetwarzania danych osobowych lub zakazu przetwarzania;
- sprostowania lub usunięcia danych osobowych;
- powiadomienia odbiorców, którym dane osobowe zostały ujawnione, o sprostowaniu, usunięciu lub ograniczeniu przetwarzania danych;
- zawieszenia przepływu danych do odbiorców w państwie trzecim lub do organizacji międzynarodowej.
Zależnie od okoliczności konkretnej sprawy PUODO może też obok lub zamiast kar o charakterze niepieniężnym sięgnąć po kary finansowe. Ich wysokość jest ściśle uzależniona od tego, jakiego rodzaju obowiązki naruszył administrator i przetwarzający dane osobowe, i wynosi:
- do 10 000 000 euro, a w przypadku przedsiębiorstwa - w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego (m.in. za naruszenie obowiązków administratora i podmiotu przetwarzającego, obowiązków podmiotu certyfikującego, obowiązków podmiotu monitorującego),
- do 20 000 000 euro, a w przypadku przedsiębiorstwa - w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego (m.in. za naruszenie podstawowych zasad przetwarzania, w tym warunków zgody, praw osób, których dane dotyczą, przekazywania danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej, wszelkich obowiązków wynikających z prawa państwa członkowskiego, nieprzestrzegania nakazu, tymczasowego lub ostatecznego ograniczenia przetwarzania lub zawieszenia przepływu danych orzeczonego przez organ nadzorczy).
Karę oblicza się w złotych według średniego kursu euro NBP z tabeli kursów na 28 stycznia każdego roku, a gdy w danym roku NBP nie ogłasza średniego kursu euro 28 stycznia - według średniego kursu euro ogłoszonego w najbliższej po tej dacie tabeli kursów.
W przypadku podmiotów publicznych polska ustawa o ochronie danych osobowych karę obniża do maksymalnej wysokości 100 000 zł. Dotyczy to jednostek sektora finansów publicznych, instytutów badawczych i NBP. Natomiast w przypadku państwowych i samorządowych jednostki kultury maksymalny poziom kary wynosi 10 000 zł.
Przy podejmowaniu decyzji o nałożeniu administracyjnej kary pieniężnej oraz ustalaniu jej wysokości w każdym indywidualnym przypadku należytą uwagę zwraca się na:
- charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody;
- umyślny lub nieumyślny charakter naruszenia;
- działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą;
- stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem wdrożonych środków technicznych i organizacyjnych;
- wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego;
- stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków;
- kategorie danych osobowych, których dotyczyło naruszenie;
- sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie;
- to, czy wobec administratora lub podmiotu przetwarzającego, których sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie inne środki;
- stosowanie zatwierdzonych kodeksów postępowania lub zatwierdzonych mechanizmów certyfikacji; oraz
- wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.
Administracyjne kary pieniężne nie są jedynymi sankcjami za działania wbrew regulacjom o ochronie danych osobowych. Temu, kto takie dane przetwarza mimo niedopuszczalności lub bez uprawnienia, grozi grzywna, ograniczenie wolności albo pozbawienie wolności do 2 lat, a do 3 lat - gdy są to dane wrażliwe. Takie same kary (z wyjątkiem pozbawienia wolności do lat 3) dotyczą pracodawcy, który utrudnia kontrolującemu prowadzenie kontroli (art. 108 ustawy o ochronie danych osobowych). Oprócz tego pracodawcom grożą roszczenia cywilne od pracowników, kandydatów do pracy i innych osób, które będą uważały, że doszło do naruszenia ochrony ich danych osobowych lub poniosły szkodę z tego powodu (art. 92 ustawy o ochronie danych osobowych w zw. z art. 79 i art. 82 RODO).
Niniejszy artykuł jest fragmentem publikacji: "RODO dla kadrowych i HR - zmiany od 4 maja 2019"
RODO dla kadrowych i HR - zmiany od 4 maja 2019