Datainspektionen

Datainspektionen

Den österrikiska datainspektionen (DSB) är den centrala tillsynsmyndigheten för skyddet av personuppgifter i Österrike. Den kontrollerar efterlevnaden av den allmänna dataskyddsförordningen (GDPR) och den österrikiska dataskyddslagen (DSG), beslutar om klagomål, inleder granskningsförfaranden, utdömer sanktioner och företräder Österrike i Europeiska dataskyddsstyrelsen. Dess uppgift är att säkerställa grundläggande rättigheter, förhindra missbruk och förplikta företag och myndigheter att följa dataskyddsrättsliga skyldigheter.

Datainspektionen är den statliga tillsynsmyndigheten för skyddet av personuppgifter i Österrike.

Uppgifter och ansvarsområden

Datainspektionen åtar sig ett brett spektrum av verksamheter som alla tjänar skyddet av personuppgifter:

• Behandling av klagomål från berörda personer
• Genomförande av granskningsförfaranden på tjänstens vägnar
• Beslut i administrativa straffrättsliga förfaranden och utdömande av böter
• Mottagande och kontroll av rapporter om dataskyddsöverträdelser (Data Breaches)
• Godkännandeförfarande, till exempel för uppförandekoder eller certifieringsorgan
• Yttranden om lagförslag

Därmed är den central kontaktpunkt för berörda, företag och dataskyddsombud på samma sätt.

Definition av dataskydd

Dataskydd är den grundläggande rätten att själv bestämma vem som behandlar vilken information om en människa. Personuppgifter är alla uppgifter som hänför sig till en viss person eller gör en person identifierbar, såsom namn, adress, telefonnummer, e-postadress, men även foton, IP-adresser eller hälsodata.

Dataskydd innebär inte att inga data får behandlas. Det betyder att behandlingen endast är tillåten under tydliga lagstadgade förutsättningar och att berörda personer har omfattande rättigheter. Dessa rättigheter skyddar mot missbruk och ger möjlighet att utöva kontroll över sina egna data.

Rättigheter för de berörda personerna

Varje person kan kräva av datainspektionen att deras grundläggande rättigheter respekteras. GDPR föreskriver ett tydligt paket av rättigheter för detta:

• Rätt till information: Före varje databehandling måste berörda informeras tydligt och fullständigt.
• Rätt till tillgång: Varje berörd person får veta vilka data som lagras och för vilket ändamål.
• Rätt till rättelse och radering: Felaktiga data måste rättas, otillåtna data måste raderas.
• Rätt till begränsning av behandlingen: Under vissa förutsättningar får behandlingen endast fortsättas i begränsad omfattning.
• Rätt till invändning: Invändningar kan när som helst göras mot viss databehandling.
• Rätt till dataportabilitet: Berörda kan kräva att deras data överförs i ett vanligt format till dem själva eller till ett annat företag.
• Rätt till skydd mot automatiserade beslut: Ingen ska missgynnas enbart på grundval av automatiserade förfaranden.

Dessa rättigheter är inte bara av teoretisk natur, utan kan genomdrivas – om nödvändigt i ett klagomålsförfarande inför datainspektionen.

Företagens skyldigheter

Företag och myndigheter är skyldiga att inte bara genomföra dataskydd på papper, utan även i praktiken. De väsentliga skyldigheterna omfattar:

• Rättslig grund för behandlingen: Varje databehandling måste bygga på en rättslig grund, till exempel ett samtycke eller ett avtal.
• Skyldigheter att vara transparent: Berörda måste informeras tydligt om vad som händer med deras data.
• Tekniska och organisatoriska åtgärder (TOM): IT-säkerhet och organisatoriska rutiner måste utformas så att data skyddas mot förlust, missbruk eller obehörig åtkomst.
• Register över behandlingsaktiviteter: Företag måste på ett efterspårbart sätt dokumentera vilka data de behandlar.
• Rapportering av dataskyddsöverträdelser: Säkerhetsincidenter måste rapporteras till datainspektionen inom 72 timmar.
• Genomförande av dataskyddskonsekvensbedömningar: Vid riskfyllda behandlingar måste en detaljerad analys göras.

Förfarande inför datainspektionen

Förfarandet inför datainspektionen är formaliserat och kan ha olika former:

Klagomålsförfarande

Berörda personer kan lämna in ett klagomål till datainspektionen om de anser att någon behandlar deras personuppgifter olagligt. Detta förfarande är relativt tröskelfritt.

Förloppet:

1. Den berörda personen lämnar in ett skriftligt klagomål – antingen via formulär, e-post eller post.
2. Datainspektionen kontrollerar om klagomålet är formellt tillåtet.
3. Klagomålsrespondenten – oftast ett företag eller en myndighet – uppmanas att lämna ett yttrande.
4. Därefter följer utredningen av sakförhållandena, eventuellt med kompletterande frågor eller höranden.
5. I slutet finns ett beslut från datainspektionen, med vilket den antingen avvisar klagomålet eller bifaller det och beordrar avhjälpande åtgärder.

För berörda är detta förfarande den viktigaste möjligheten att genomdriva sina rättigheter enligt GDPR.

Kontroller på tjänstens vägnar

Datainspektionen är inte bara beroende av klagomål, utan kan också agera på tjänstens vägnar. Detta sker särskilt om det finns indikationer på systematiska överträdelser eller säkerhetsluckor.

Särskilda egenskaper:

• Förfarandet inleds utan ansökan från en berörd person.
• Rapporterande personer har ingen partsställning och informeras inte om resultatet.
• Datainspektionen kontrollerar självständigt om det föreligger överträdelser och beordrar eventuellt åtgärder.

Kontroller på tjänstens vägnar har en stark förebyggande effekt, eftersom de ökar trycket på företag och myndigheter att inte bara reagera på dataskydd, utan att kontinuerligt säkerställa det.

Administrativt straffrättsligt förfarande

Om datainspektionen konstaterar en överträdelse kan den inleda ett administrativt straffrättsligt förfarande. Syftet är att förplikta företag och offentliga organ att åtgärda överträdelser och utdöma kännbara sanktioner.

Möjliga sanktioner är:

• Böter på upp till 20 miljoner euro eller 4 % av den globala årsomsättningen,
• Förelägganden om att stoppa eller anpassa databehandlingar,
• Varningar och förelägganden.

Storleken på en penningbot beror på överträdelsens svårighetsgrad, varaktighet och uppsåt. Även tidigare överträdelser eller samarbetsvilligt beteende i förfarandet spelar en roll.

Peter Harlander
Harlander & Partner Rechtsanwälte „Wer Verfahren vor der Datenschutzbehörde auf die leichte Schulter nimmt, riskiert nicht nur hohe Geldbußen, sondern auch den Verlust von Vertrauen und Reputation.“

Rättsmedel

Beslut från datainspektionen fattas genom beslut. Mot dessa beslut står de berörda vägen till Bundesverwaltungsgericht (BVwG) öppen.

• BVwG granskar beslutet i rättsligt och faktiskt hänseende.
• Mot dess beslut är under vissa omständigheter en revision till Verwaltungsgerichtshof (VwGH) eller ett klagomål till Verfassungsgerichtshof (VfGH) möjligt.

Därmed säkerställs att beslut från datainspektionen är föremål för en flerstegs rättslig kontroll.

Internationell dimension

Dataskydd är inte längre en nationell fråga. Datainspektionen samarbetar med andra europeiska tillsynsmyndigheter och är en del av Europeiska dataskyddsstyrelsen (EDSA). Den deltar i gränsöverskridande fall, samordnar beslut inom ramen för samstämmighetsförfarandet och tar ställning till internationella dataöverföringar, till exempel till USA.

Informationsfrihet

Förutom dataskydd vinner även informationsfriheten i betydelse. Med den nya informationsfrihetslagen (IFG) tar datainspektionen framöver över rollen som kontaktpunkt för frågor om transparens och för tillgång till officiell information.

Dessa skyldigheter är inte valfria. Att inte följa dem leder regelbundet till utredningar och i extrema fall till kännbara böter.

Dina fördelar med juridiskt stöd

Ett förfarande inför datainspektionen är förknippat med betydande utmaningar både för berörda personer och för företag. Berörda riskerar att inte fullt ut kunna genomdriva sina rättigheter utan professionell hjälp. Företag å sin sida konfronteras inte bara med höga böter, utan även med skador på sitt anseende och kostsamma anpassningar av sina processer. Dessutom är förfarandena starkt formaliserade och innehåller komplexa rättsliga krav som är svåra att hantera utan professionell hjälp.

Rättslig hjälp från en specialiserad advokatbyrå ger säkerhet och säkerställer att dina intressen företräds professionellt från början. Du drar nytta av gedigen erfarenhet inom dataskyddsrätt och ett konsekvent företrädande gentemot myndigheten.

• kontrollerar om det aktuella rättsområdet är tillämpligt i ditt fall
• hjälper dig genom hela förfarandet eller avvecklingen
• säkerställer en rättssäker utformning och genomförande av alla nödvändiga steg
• stödjer vid beräkning, genomdrivande eller avvärjande av anspråk
• skyddar dina rättigheter och intressen gentemot alla inblandade

Sebastian Riedlmair
Harlander & Partner Rechtsanwälte „Datenschutz wird oft unterschätzt, dabei entscheidet die richtige Strategie im Umgang mit der Datenschutzbehörde über Erfolg oder Misserfolg.“

Vanliga frågor – FAQ