reklama
| INFORLEX | GAZETA PRAWNA | KONFERENCJE | INFORORGANIZER | APLIKACJE | KARIERA | SKLEP
reklama
reklama
Jesteś tutaj: STRONA GŁÓWNA > Infor.pl > Prawo > Praca > Praca > Pracodawca > Kary za naruszenie przepisów RODO

Kary za naruszenie przepisów RODO

Kary za naruszenie przepisów RODO można podzielić na pieniężne i niepieniężne. Jakie sankcje niepieniężne może zastosować Prezes Urzędu Ochrony Danych Osobowych (PUODO)? Jakiej wysokości kary finansowe przewiduje się za naruszenie przepisów o ochronie danych osobowych?

Osobie fizycznej, w tym pracownikowi, która uzna, że przetwarzanie jej danych osobowych nastąpiło z naruszeniem przepisów RODO, przysługuje prawo do wniesienia skargi do odpowiedniego organu nadzorczego. Obecnie takim organem jest Prezes Urzędu Ochrony Danych Osobowych (PUODO).

W przypadku stwierdzenia przez organ nadzoru naruszenia przepisów RODO ma on dwie formy reakcji na stwierdzoną nieprawidłowość:

  • zastosowanie finansowych środków represji lub
  • poprzestanie na niepieniężnej formie egzekucji odpowiedniego zachowania.

Do sankcji niepieniężnych należy możliwość nakazania przez organ nadzoru w drodze decyzji:

  • uwzględnienia żądań zawartych w skardze osoby, której dane dotyczą;
  • dostosowania operacji przetwarzania danych osobowych do przepisów RODO, ze wskazaniem sposobu i terminu dostosowania;
  • zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych;
  • wprowadzenia czasowego lub całkowitego ograniczenia przetwarzania danych osobowych lub zakazu przetwarzania;
  • sprostowania lub usunięcia danych osobowych;
  • powiadomienia odbiorców, którym dane osobowe zostały ujawnione, o sprostowaniu, usunięciu lub ograniczeniu przetwarzania danych;
  • zawieszenia przepływu danych do odbiorców w państwie trzecim lub do organizacji międzynarodowej.

Zależnie od okoliczności konkretnej sprawy PUODO może też obok lub zamiast kar o charakterze niepieniężnym sięgnąć po kary finansowe. Ich wysokość jest ściśle uzależniona od tego, jakiego rodzaju obowiązki naruszył administrator i przetwarzający dane osobowe, i wynosi:

  • do 10 000 000 euro, a w przypadku przedsiębiorstwa - w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego (m.in. za naruszenie obowiązków administratora i podmiotu przetwarzającego, obowiązków podmiotu certyfikującego, obowiązków podmiotu monitorującego),
  • do 20 000 000 euro, a w przypadku przedsiębiorstwa - w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego (m.in. za naruszenie podstawowych zasad przetwarzania, w tym warunków zgody, praw osób, których dane dotyczą, przekazywania danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej, wszelkich obowiązków wynikających z prawa państwa członkowskiego, nieprzestrzegania nakazu, tymczasowego lub ostatecznego ograniczenia przetwarzania lub zawieszenia przepływu danych orzeczonego przez organ nadzorczy).

Karę oblicza się w złotych według średniego kursu euro NBP z tabeli kursów na 28 stycznia każdego roku, a gdy w danym roku NBP nie ogłasza średniego kursu euro 28 stycznia - według średniego kursu euro ogłoszonego w najbliższej po tej dacie tabeli kursów.

W przypadku podmiotów publicznych polska ustawa o ochronie danych osobowych karę obniża do maksymalnej wysokości 100 000 zł. Dotyczy to jednostek sektora finansów publicznych, instytutów badawczych i NBP. Natomiast w przypadku państwowych i samorządowych jednostki kultury maksymalny poziom kary wynosi 10 000 zł.

Przy podejmowaniu decyzji o nałożeniu administracyjnej kary pieniężnej oraz ustalaniu jej wysokości w każdym indywidualnym przypadku należytą uwagę zwraca się na:

  • charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody;
  • umyślny lub nieumyślny charakter naruszenia;
  • działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą;
  • stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem wdrożonych środków technicznych i organizacyjnych;
  • wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego;
  • stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków;
  • kategorie danych osobowych, których dotyczyło naruszenie;
  • sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie;
  • to, czy wobec administratora lub podmiotu przetwarzającego, których sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie inne środki;
  • stosowanie zatwierdzonych kodeksów postępowania lub zatwierdzonych mechanizmów certyfikacji; oraz
  • wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.

Administracyjne kary pieniężne nie są jedynymi sankcjami za działania wbrew regulacjom o ochronie danych osobowych. Temu, kto takie dane przetwarza mimo niedopuszczalności lub bez uprawnienia, grozi grzywna, ograniczenie wolności albo pozbawienie wolności do 2 lat, a do 3 lat - gdy są to dane wrażliwe. Takie same kary (z wyjątkiem pozbawienia wolności do lat 3) dotyczą pracodawcy, który utrudnia kontrolującemu prowadzenie kontroli (art. 108 ustawy o ochronie danych osobowych). Oprócz tego pracodawcom grożą roszczenia cywilne od pracowników, kandydatów do pracy i innych osób, które będą uważały, że doszło do naruszenia ochrony ich danych osobowych lub poniosły szkodę z tego powodu (art. 92 ustawy o ochronie danych osobowych w zw. z art. 79 i art. 82 RODO).

Niniejszy artykuł jest fragmentem publikacji: "RODO dla kadrowych i HR - zmiany od 4 maja 2019"

RODO dla kadrowych i HR - zmiany od 4 maja 2019

reklama

Przydatne formularze online

Czytaj także

Narzędzia

reklama
reklama

POLECANE

reklama

KORONAWIRUS TWOJE PRAWA

reklama

Ostatnio na forum

reklama
reklama

Eksperci portalu infor.pl

Ceret Grzywaczewska

Ceret Grzywaczewska Kancelaria Radców Prawnych Spółka Partnerska z siedzibą w Łodzi od ponad 25 lat świadczy usługi prawne na rzecz przedsiębiorców, organizacji pozarządowych oraz klientów indywidualnych.

Zostań ekspertem portalu Infor.pl »
reklama
reklama
reklama