Niewłaściwa ochrona danych osobowych = kara

Przeczytaj także: Sklep internetowy a ochrona danych osobowych

Administrator bezpieczeństwa konieczny w każdej firmie

Firmy zobowiązane są między innymi do prowadzenia dokumentacji (w skład której wchodzi wymagana przepisami ustawy o ochronie danych osobowych polityka bezpieczeństwa i instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych) oraz do prowadzenia ewidencji osób upoważnionych do przetwarzania danych. Poza tym, powinny przeprowadzać szkolenia osób w zakresie ochrony danych osobowych, odpowiednio zabezpieczyć pomieszczenia i szafy, w których znajdują się dane oraz zastosować ochronę dostępu do danych przetwarzanych w systemach informatycznych, które połączone są z siecią publiczną. W każdej firmie powinien zostać powołany administrator bezpieczeństwa informacji, czyli osoba odpowiedzialna za przestrzeganie wszystkich zasad przetwarzania danych osobowych. GIODO może dokonywać kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych, podczas którego sprawdza m.in., czy są spełnione wskazane powyżej wymogi. Za naruszenie ustawy o ochronie danych osobowych grozi zarówno odpowiedzialność karna, jak i finansowa. Ponosi ją osoba zarządzająca firmą – prezes lub jej właściciel. Wyjątkiem są art. 51 i 54a ustawy o ochronie danych osobowych, za których naruszenie może ponosić odpowiedzialność także pracownik przedsiębiorstwa.

Kary za nieprzestrzeganie zasad wynikających z ustawy o ochronie danych osobowych:

• Art. 49 – za przetwarzanie danych osobowych bez podstawy prawnej – ograniczenie lub pozbawienie wolności do 2 lat
• Art. 51 – za udostępnienie lub umożliwienie dostępu do danych osobom nieupoważnionym – ograniczenie lub pozbawienie wolności do 2 lat
• Art. 52 – za niezabezpieczenie danych w odpowiedni sposób przed zabraniem, uszkodzeniem lub zniszczeniem przez osobę nieuprawnioną – ograniczenie lub pozbawienie wolności do roku
• Art. 53 – za niezgłoszenie zbioru danych do rejestracji – ograniczenie lub pozbawienie wolności do 2 lat
• Art. 54 – za niedopełnienie obowiązku poinformowania osoby, której dane dotyczą, o jej prawach, lub nieprzekazanie tej osobie informacji umożliwiających korzystanie z praw przyznanych jej w niniejszej ustawie – ograniczenie lub pozbawienie wolności do roku
• Art. 54a – za udaremnianie lub utrudnianie wykonania czynności kontrolnej – ograniczenie lub pozbawienie wolności do 2 lat

Kary za nieprzestrzeganie zasad dotyczących ochrony danych osobowych mogą być dotkliwe, począwszy od ograniczenia lub pozbawienia wolności nawet do 2 lat do kary finansowej: do 10 tys. zł dla osób fizycznych prowadzących działalność gospodarczą do 50 tys. zł dla osób prawnych oraz jednostek organizacyjnych nieposiadających osobowości prawnej (w przypadku wielokrotnego nakładania grzywien w jednym postępowaniu egzekucyjnym ich łączna kwota nie może przekraczać odpowiednio 50 tys. zł oraz 200 tys. zł). Przykładowo, w 2011 r. przedsiębiorca budowlany za niedopełnienie obowiązku informacyjnego na podstawie art. 54 ustawy o ochronie danych osobowych musiał zapłacić 10 tys. zł kary – sąd nałożył na niego karę grzywny 100 stawek dziennych w wysokości 100 zł.

Co więcej, obecnie trwają prace nad zmianą przepisów, które prowadzą do dalszego zaostrzenia tych kar: za nieprzestrzeganie przepisów o ochronie danych osobowych groziłaby kara finansowa nawet do 1 mln euro lub 5% dochodu firmy. Nowe przepisy mają wejść w życie w całej Unii Europejskiej w ciągu 5 lat.

Agata Szymborska-Sutton,