Hva er straffen for å bryte personvern?
Brudd på personvernreglene kan få flere typer konsekvenser. Det kan være pålegg om å rette forhold, krav om bedre rutiner, stans i ulovlig behandling, informasjon til berørte personer eller overtredelsesgebyr. Alvorligheten avhenger av hva som har skjedd og hvordan virksomheten håndterer saken.
For de fleste små bedrifter er det viktigste å forebygge: ha oversikt, gode rutiner, sikkerhetstiltak og dokumentasjon som viser at personopplysninger behandles forsvarlig.
Hva kan Datatilsynet reagere på?
Datatilsynet kan reagere hvis virksomheten mangler behandlingsgrunnlag, behandler flere opplysninger enn nødvendig, ikke informerer de registrerte, ikke ivaretar rettigheter, ikke har god nok sikkerhet, eller ikke håndterer avvik på riktig måte.
Typiske problemer er:
- manglende eller feil behandlingsgrunnlag
- for dårlig informasjon i personvernerklæring
- manglende databehandleravtaler
- svak tilgangsstyring eller sikkerhet
- manglende rutiner for retting, sletting og innsyn
- datainnbrudd som ikke vurderes eller meldes riktig
Hvor store kan gebyrene være?
GDPR har høye maksimale rammer for overtredelsesgebyr. For noen typer brudd kan gebyret være opptil 10 millioner euro eller 2 prosent av global årsomsetning, og for mer alvorlige brudd opptil 20 millioner euro eller 4 prosent av global årsomsetning, der det høyeste beløpet brukes.
Det betyr ikke at alle brudd får slike beløp. Gebyret vurderes konkret, blant annet ut fra alvor, varighet, skyld, type opplysninger, antall berørte, tidligere brudd og om virksomheten samarbeider og rydder opp.
Andre konsekvenser enn gebyr
Personvernbrudd kan også gi tap av tillit, merarbeid, klager, dårlig omdømme og krav om å endre systemer eller rutiner raskt. I praksis kan dette være minst like belastende som et gebyr.
Hva bør du gjøre hvis noe går galt?
- Stans eller begrens skaden så raskt som mulig.
- Finn ut hvilke opplysninger og personer som er berørt.
- Vurder risikoen for de registrerte.
- Dokumenter hendelsen og tiltakene.
- Vurder om Datatilsynet og de registrerte skal varsles.
Les mer om GDPR og datainnbrudd hvis hendelsen gjelder sikkerhetsbrudd eller opplysninger på avveie.
Slik reduserer du risikoen
Den beste beskyttelsen er løpende kontroll. Lag protokoll over behandlingsaktiviteter, ha informasjonssikkerhet og internkontroll, sørg for databehandleravtaler og gi ansatte enkel opplæring.