На почти всяко работно място се борави с данни на хора. Който е на рецепцията, записва името на посетител. Който обслужва в магазин, взема адрес за доставка. Който работи в администрацията, вижда заплати, болнични и договори. Затова правилата за защита на данните не са работа само на ръководството: засягат и вас.
Нормите, които важат в Испания
- Общият регламент относно защитата на данните (GDPR, на испански RGPD, Регламент (ЕС) 2016/679) се прилага пряко във всички държави от Европейския съюз.
- Ley Orgánica 3/2018 от 5 декември за защита на личните данни и гарантиране на дигиталните права (LOPDGDD, испанският закон за защита на данните) допълва регламента в Испания. Урежда например възрастта за съгласие, задължението за поверителност, видеонаблюдението и дигиталните права на работното място.
- Agencia Española de Protección de Datos (AEPD, испанският орган за защита на данните, aepd.es) следи тези правила да се спазват.
Какво е лични данни
Това е всяка информация за идентифицирано или подлежащо на идентифициране физическо лице (член 4, т. 1 от GDPR). Например:
- име, фамилия, адрес, телефон и имейл
- номер на DNI или NIE (испанската лична карта и идентификационния номер на чужденец), служебен или клиентски номер
- снимки, видеа и гласови записи, в които лицето може да бъде разпознато
- IP адреси, данни за местоположение и регистрационни номера, свързани с лице
- заплата, работно време, отсъствия, оценки и данни от трудовия живот
Информацията не е нужно да е тайна. Имейл, публикуван на уебсайт, си остава лични данни. Данните на дружество (неговият данъчен номер или продажби) не са такива, но данните на човека зад дейността на едноличен търговец са.
Анонимните данни, по които вече не може да се идентифицира никой, остават извън правилата. Псевдонимизираните данни, при които името е заменено с код, но с отделно пазен ключ може да се стигне до лицето, си остават лични данни.
Какво е обработване
Обработване е всичко, което може да се прави с данни: събиране, записване, съхраняване, справка, търсене, изпращане, промяна, споделяне и изтриване (член 4, т. 2). Когато само гледате карта на екрана, вече обработвате данни. Правилата се прилагат за автоматизираното обработване, а също и за хартиените картотеки, ако са подредени по критерии, например папка, архивирана по фамилии.
Кой кой е
- Субектът на данни е лицето, до което се отнасят данните: клиентка, пациент, ученик или колега.
- Администраторът решава за какво и как се обработват данните (член 4, т. 7). Обикновено това е фирмата или организацията, за която работите, а не вие лично.
- Обработващият обработва данни от името на администратора, например счетоводна къща, която прави заплатите, или доставчик на облачна програма (член 4, т. 8). Между двамата трябва да има писмен договор или друг правен акт (член 28).
Който работи под ръководството на фирмата, може да обработва данните само по нейни указания (член 29 от GDPR). Не може сам да реши да ползва списъка с клиенти за друга цел.
Защо е важно
Лошо използваните данни могат да причинят реални вреди: измами, кражба на самоличност, тормоз, дискриминация или загуба на работа. Грешката вреди и на фирмата и може да завърши със санкция.
Запомнете: преди да използвате данните на някого, запитайте се дали са ви нужни за работата и дали фирмата ви позволява да ги ползвате по този начин.