Съгласно член 6 от UK GDPR организацията може да използва лични данни само ако е налице поне едно правно основание. Администраторът трябва да реши кое се прилага преди да започне и да уведоми хората в известието си за поверителност.
Правните основания
- Съгласие. Човекът ясно се е съгласил.
- Договор. Използването е необходимо за изпълнение на договор с човека или за стъпки, които той поиска преди сключването му. Пример е доставката на поръчка.
- Правно задължение. Използването е необходимо за спазване на закона, например записите за заплати и данъци.
- Жизненоважни интереси. Използването е необходимо за защита на нечий живот, например при спешен медицински случай.
- Обществена задача. Използването е необходимо за задача в обществен интерес или за функция, определена със закон. Отнася се най-вече до публични органи.
- Легитимни интереси. Използването е необходимо за легитимните интереси на организацията или на трета страна, освен ако правата на човека не натежават. Организацията трябва да претегли двете страни.
Data (Use and Access) Act 2025 добавя седми път, наречен признати легитимни интереси (recognised legitimate interests). Той се отнася до кратък списък от цели, определени със закон, като предотвратяване на престъпления и safeguarding (защита на хора от вреда). Вашият работодател ще реши кога да го ползва. Не го избирате вие.
Данните от специални категории изискват повече
За данни от специални категории (здраве, религия, членство в синдикат и т.н.) организацията се нуждае от правно основание и от отделно условие по член 9. Много от тези условия са посочени в Приложение 1 към DPA 2018. Трудовото право и здравните грижи са обичайни примери. Затова бъдете по-внимателни със здравни досиета, болнични листове и подобна информация.
Как изглежда валидното съгласие
Съгласието е само една възможност и често не е най-добрата. Когато се ползва, то трябва да бъде:
- свободно. Човекът има реален избор. Съгласието рядко е свободно, когато има неравенство във властта, например от работодател към служител;
- конкретно за ясна цел;
- информирано. Човекът знае кой пита и защо;
- недвусмислено, с ясно положително действие. Предварително отметнати квадратчета, мълчанието и бездействието не са съгласие;
- лесно за оттегляне по всяко време и толкова лесно за оттегляне, колкото и за даване.
Организацията трябва да може да докаже, че има съгласие.
Работодатели и съгласие
Данните на персонала се използват най-вече на други основания, като договор (заплащане) и правно задължение (проверки на правото на работа, данъци). Работодателят не бива да иска съгласие, когато служителят не може да откаже без страх.
Защо това е важно за вас
Вие не избирате правното основание. Но трябва да знаете основното:
- Ако клиент е дал имейла си, за да получи касова бележка, не го добавяйте към маркетингов списък. Това е друга цел.
- Ако някой оттегли съгласие, кажете веднага на правилния човек, за да се обнови записът.
- Ако колега поиска данни за човек „от любопитство“, няма правно основание вие да ги дадете. Споделяйте само данните, нужни за работата.
Добросъвестност и прозрачност
Правното основание само по себе си не стига. Използването трябва да е и добросъвестно, и открито. Хората не бива да бъдат изненадвани от това, което правите с данните им. Известието за поверителност обяснява кой е администраторът, какви данни се използват, защо, правното основание, кой ги получава, колко дълго се пазят и какви права имат хората. Работодателите трябва да осигурят такова. Ако някой ви попита къде да го намери, посочете му го.