Przetwarzanie danych: granica między karą pieniężną a przestępstwem
Większość naruszeń ochrony danych kończy się karą pieniężną nakładaną przez organ nadzorczy. Włoskie prawo przewiduje jednak także przestępstwa: przetwarzanie danych w celu osiągnięcia korzyści albo wyrządzenia szkody, ujawnienie zbiorów oraz ich nieuprawnione pozyskanie. Dla firm granica przebiega przy celu, nie przy skali.
Najważniejsze w skrócie
- Naruszenia ochrony danych są zwykle administracyjne.
- Karalne jest przetwarzanie w celu korzyści albo szkody.
- Karalne jest też ujawnienie i pozyskanie zbioru na dużą skalę.
- Warunkiem jest wyrządzenie szkody osobie, której dane dotyczą.
- Organ nadzorczy działa szybciej niż sąd i ma własne terminy.
- Kontrola pracownika ma odrębne ograniczenia.
- Materiał zebrany z naruszeniem bywa niewykorzystywalny.
Gdzie przebiega granica
| Sytuacja | Charakter |
|---|---|
| Brak podstawy przetwarzania | zwykle administracyjny |
| Naruszenie bezpieczeństwa danych | administracyjny, z obowiązkiem zgłoszenia |
| Przetwarzanie dla korzyści albo szkody | przestępstwo |
| Ujawnienie zbioru na dużą skalę | przestępstwo |
| Nieuprawnione pozyskanie zbioru | przestępstwo |
| Fałszywe oświadczenia wobec organu | przestępstwo |
Wiersz trzeci opisuje sytuację najczęstszą w sprawach gospodarczych: wykorzystanie bazy klientów po zakończeniu współpracy, przekazanie listy kontaktów konkurencji, sprzedaż danych. Element decydujący to cel, a nie liczba rekordów.
Wiersz szósty bywa zaskoczeniem: nieprawdziwe informacje przekazane organowi nadzorczemu w toku kontroli są odrębnym czynem, niezależnym od pierwotnego naruszenia — reguła podobna do tej, która obowiązuje przy każdej kontroli.
Postępowanie przed organem nadzorczym
Warstwa, która działa niezależnie od sprawy karnej i zwykle szybciej. Organ może prowadzić kontrolę, żądać dokumentacji, nakazać wstrzymanie przetwarzania i nałożyć karę pieniężną liczoną od obrotu.
| Zagadnienie | Organ nadzorczy | Sprawa karna |
|---|---|---|
| Wszczęcie | skarga albo z urzędu | zawiadomienie albo z urzędu |
| Tempo | miesiące | lata |
| Skutek natychmiastowy | nakaz wstrzymania przetwarzania | rzadko |
| Wysokość sankcji | liczona od obrotu | kara według kodeksu |
| Terminy odwoławcze | krótkie | zwykłe |
Wiersz trzeci jest dla firmy najdotkliwszy: nakaz wstrzymania przetwarzania potrafi zatrzymać działalność opartą na bazie klientów, zanim ktokolwiek rozstrzygnie o odpowiedzialności. Terminy odwoławcze są przy tym krótkie i biegną niezależnie od sprawy karnej.
Praktyczny wniosek jest ten sam co przy zamówieniach i przy funduszach unijnych: prowadzenie wyłącznie obrony karnej pozostawia bez reakcji warstwę, która uderza pierwsza.
Kontrola pracowników
Obszar, w którym firmy naruszają prawo w dobrej wierze. Monitorowanie poczty, lokalizacja pojazdów, nagrywanie rozmów i systemy kontroli dostępu podlegają ograniczeniom, a ich stosowanie wymaga poinformowania i, w części przypadków, uzgodnienia albo zezwolenia.
Skutek jest podwójny i to on ma znaczenie przy sprawie karnej:
- materiał zebrany z naruszeniem bywa niewykorzystywalny — również wtedy, gdy potwierdza nieprawidłowość pracownika
- samo zbieranie danych w ten sposób jest naruszeniem po stronie pracodawcy
Firma, która wykrywa nadużycie pracownika, powinna zatem najpierw ustalić, jakie źródła są dopuszczalne, a dopiero potem analizować — o czym mowa przy przeszukaniach w przedsiębiorstwie.
Po naruszeniu bezpieczeństwa
Obowiązki są odrębne od sprawy karnej i mają krótkie terminy: zgłoszenie do organu nadzorczego, zawiadomienie osób przy wysokim ryzyku, dokumentacja zdarzenia i podjętych działań.
Ich niedopełnienie odwraca sytuację: firma z pokrzywdzonej staje się badana. Ocenia się przy tym nie to, czy atak dało się powstrzymać, lecz czy organizacja odpowiadała stanowi wiedzy i czy zareagowano prawidłowo.
Gdy to Państwa dane wykorzystano
Przysługuje skarga do organu nadzorczego, żądanie usunięcia danych oraz roszczenie odszkodowawcze, niezależne od sprawy karnej. Przy podszywaniu się pod osobę dochodzi kwalifikacja opisana przy sprawach informatycznych.
Praktycznie liczy się szybkość: zrzuty ekranu z widocznym adresem i datą, zabezpieczenie korespondencji i zgłoszenie do platformy w pierwszych dniach. Później materiał znika, a pozostaje samo twierdzenie.
Najczęstsze pytania
Kiedy naruszenie danych jest przestępstwem?
Gdy przetwarzanie służy osiągnięciu korzyści albo wyrządzeniu szkody, a także przy ujawnieniu lub pozyskaniu zbioru na dużą skalę.
Czy liczy się liczba rekordów?
Przy przetwarzaniu dla korzyści decyduje cel, nie skala. Skala ma znaczenie przy ujawnieniu i pozyskaniu zbioru.
Pracownik zabrał bazę klientów.
Rodzi to jednocześnie zarzut dostępu do systemu, naruszenia tajemnicy przedsiębiorstwa i sprawę z zakresu ochrony danych.
Czy nowy pracodawca ryzykuje?
Tak. Wykorzystanie takiej bazy jest przetwarzaniem bez podstawy, a przy oczywistym pochodzeniu również udziałem w czynie.
Czy mogę kontrolować pocztę pracownika?
Tylko w granicach dopuszczalnych. Materiał zebrany z naruszeniem bywa niewykorzystywalny, a samo zbieranie jest naruszeniem.
Co po ataku na firmę?
Zgłoszenie do organu nadzorczego i zawiadomienie osób przy wysokim ryzyku, w krótkich terminach, wraz z dokumentacją działań.
Wykorzystano moje dane.
Przysługuje skarga do organu, żądanie usunięcia i odszkodowanie. Liczy się szybkość: zrzuty ekranu z datą i zgłoszenie do platformy.