Член 5 от UK GDPR изброява седем принципа. Те са основата на цялото право за защита на данните. Почти всяко правило в този курс произтича от някой от тях.
1. Законосъобразност, добросъвестност и прозрачност
Личните данни трябва да се използват законосъобразно, добросъвестно и по начин, разбираем за хората. Трябва да има правно основание (урок 3). Хората не бива да бъдат заблуждавани. Трябва да им се казва какво се прави с данните им, обикновено чрез известие за поверителност (privacy notice).
2. Ограничение на целите
Данните трябва да се събират за конкретни, ясни цели и по-късно да не се използват по начин, който не съответства на тези цели. Телефонен номер, даден за резервация на маса, не бива да се предава на маркетингова фирма.
3. Свеждане на данните до минимум
Събирайте само това, което е подходящо, относимо и ограничено до необходимото. Не искайте дата на раждане и не пазете копия на документи за самоличност, когато работата не го изисква.
4. Точност
Данните трябва да са точни и, когато е нужно, актуални. Грешните данни могат да доведат до грешни решения за човека. Предприемайте разумни мерки за коригиране или изтриване без забавяне на данни, които са грешни.
5. Ограничение на съхранението
Не пазете личните данни по-дълго, отколкото е нужно за целта. Работодателите трябва да определят срокове за съхранение и да изтриват или анонимизират данните, когато те изтекат. Не пазете собствени копия „за всеки случай“.
6. Цялостност и поверителност (сигурност)
Личните данни трябва да се пазят сигурно. Това означава защита срещу неразрешено или незаконно използване и срещу случайна загуба, унищожаване или повреда. Администраторът трябва да прилага подходящи технически и организационни мерки. Урок 5 показва какво означава това в ежедневната работа.
7. Отчетност
Администраторът трябва да поеме отговорност и да може да докаже, че спазва правилата (член 5, параграф 2). Прави го чрез политики, регистри, обучение, оценки на риска и договори. Обучението на персонала е част от това.
Принципите в действие
Представете си служебна група в WhatsApp, в която управителите публикуват телефони на клиенти и подробности за оплаквания.
- Прозрачност: очакваха ли клиентите това?
- Цел: събран ли е номерът, за да се споделя в чат група?
- Минимум: трябва ли той на всички в групата?
- Сигурност: кой друг може да види телефона и какво става, ако се загуби?
- Съхранение: ще бъдат ли съобщенията изтрити някога?
Един прост навик покрива повечето от това: преди да използвате лични данни, попитайте се: Нужни ли са ми? Позволено ли ми е да ги използвам за това? Сигурни ли са? Ще бъдат ли изтрити, когато трябва?
Отчетност на работното място
- Спазвайте политиките и обучението на работодателя си.
- Придържайте се към целта, за която са събрани данните.
- Записвайте това, което се иска от вас, и нищо повече.
- Съобщавайте рано за проблеми и съмнения.
- Не създавайте странични системи, като лични електронни таблици, освен ако работодателят ви не го позволява.
Какво принципите не означават
Принципите не ви пречат да споделяте или използвате данни, когато има добра причина. Законът за защита на данните не е повод да отказвате всяка молба. Той изисква да използвате данните правилно. Споделянето на информация за защита на дете или на човек в риск, например, е позволено, когато става в съответствие със закона и процедурата на работодателя.