Личните данни не могат да се обработват, както си поиска човек. Член 5 от GDPR установява седем принципа, които водят във всяка задача. Когато не знаете какво да правите, прегледайте този списък.
Принципите от член 5
- Законосъобразност, добросъвестност и прозрачност. Трябва да има правно основание, никой не се мами и ясно се обяснява какво се прави с данните.
- Ограничение на целите. Данните се събират за конкретна цел и после не се използват за друга, несъвместима. Данните от формуляр за работа не могат да се ползват за реклама.
- Свеждане на данните до минимум. Искат се и се използват само необходимите данни. Ако стига името, не се иска и датата на раждане.
- Точност. Данните трябва да са актуални. Ако някой посочи грешка, тя се поправя.
- Ограничение на съхранението. Данните не се пазят завинаги, а само докато са нужни или докато закон го изисква.
- Цялостност и поверителност. Защитават се от неразрешен достъп, загуба и унищожаване.
- Отчетност. Фирмата трябва да може да докаже, че спазва правилата, с документи, регистри и процедури.
Основанията, които допускат обработване
За да се обработват данни, е нужно поне едно от основанията по член 6 от GDPR:
- съгласието на лицето
- изпълнението на договор, например трудовия договор
- законово задължение, като подаването на данни към осигуряването
- защитата на жизненоважни интереси на лице
- задача от обществен интерес или упражняване на публична власт
- законен интерес на фирмата или на трето лице, стига да не преобладават правата на лицето
За една фирма повечето данни на служителите се обработват заради договора и законови задължения: заплати, регистрации, осигуровки и удръжки. Искането на съгласие от служителите рядко е добро основание, защото работникът зависи от фирмата и може да не се чувства свободен да откаже.
Съгласието
Когато съгласието все пак е основанието, то трябва да е свободно, конкретно, информирано и недвусмислено, дадено чрез изявление или ясно действие. Предварително отметнато квадратче или мълчанието не стигат. Лицето може да го оттегли по всяко време, а оттеглянето трябва да е толкова лесно, колкото и даването.
Възрастта на непълнолетните
LOPDGDD в член 7 определя на 14 години възрастта, от която непълнолетният може сам да даде съгласие за обработването на данните си. Под тази възраст е нужно съгласието на този, който упражнява родителската отговорност или попечителството. Това е важно в школи, спортни клубове, учебни заведения и фирми, които предлагат услуги на семейства.
Информацията, която трябва да се даде
Когато се събират данни, лицето трябва да бъде информирано (членове 13 и 14 от GDPR): кой е администраторът, за какво се използват данните, на кое правно основание, на кого се предоставят, колко време се пазят и какви права има лицето. LOPDGDD (член 11) позволява това да стане на нива: основната информация на видно място, а останалото на лесно намираемо място, например уеб адрес.
Запомнете: ако смятате да използвате данни за нещо ново, което не е било обяснено на лицето, първо се допитайте до съответния човек във вашата фирма.