Każde użycie danych osobowych wymaga podstawy prawnej zgodnie z art. 6. Wybiera ją i zapisuje organizacja. Zwykle nie wybierasz jej samodzielnie, ale warto wiedzieć, jakie są możliwości.
Sześć podstaw prawnych
- Zgoda: osoba dobrowolnie się zgodziła.
- Umowa: użycie danych jest niezbędne do wykonania umowy z osobą lub do podjęcia działań na jej żądanie przed zawarciem umowy.
- Obowiązek prawny: wymaga tego prawo, na przykład przekazanie danych płacowych do Revenue (irlandzkiego urzędu skarbowego).
- Żywotne interesy: dane są potrzebne do ochrony czyjegoś życia.
- Zadanie publiczne: dane są potrzebne do wykonania zadania realizowanego w interesie publicznym lub w ramach władzy publicznej powierzonej przez prawo. Instytucje publiczne często na tym polegają.
- Prawnie uzasadnione interesy: dane są potrzebne do realizacji rzeczywistych interesów organizacji lub osoby trzeciej, o ile nie przeważają nad nimi prawa osoby. Organy publiczne nie mogą stosować tej podstawy do działań wykonywanych jako organy publiczne.
Ważna zgoda
Zgoda w rozumieniu RODO musi być:
- dobrowolna: bez nacisku i bez kary za odmowę;
- konkretna i świadoma: osoba wie, na co się zgadza;
- jednoznaczna: wyraźne działanie potwierdzające. Zaznaczone z góry pola i milczenie nie są zgodą;
- tak łatwa do wycofania, jak do udzielenia.
Zgoda jest często słabą podstawą między pracodawcą a pracownikiem, bo pracownik może czuć, że nie może odmówić. Pracodawcy zwykle opierają się w przypadku danych pracowników na umowie, obowiązku prawnym lub prawnie uzasadnionych interesach. Dane szczególnych kategorii wymagają dodatkowej przesłanki z art. 9, takiej jak wyraźna zgoda lub obowiązki wynikające z prawa pracy.
Informowanie ludzi: informacja o prywatności
Artykuły 13 i 14 wymagają, by organizacja informowała ludzi jasnym i prostym językiem, kim jest, po co używa ich danych, na jakiej podstawie prawnej, kto je otrzymuje, jak długo je przechowuje i jakie mają prawa, w tym prawo do złożenia skargi do DPC. Zwykle robi się to w informacji o prywatności (polityce prywatności). Jeśli klient o to zapyta, wskaż mu ją albo przekaż pytanie właściwej osobie.
Dzieci
Dane dzieci wymagają szczególnej ostrożności. Zgodnie z Data Protection Act 2018, sekcja 31, wiek zgody cyfrowej w Irlandii to 16 lat. Dotyczy to sytuacji, gdy usługa internetowa jest oferowana bezpośrednio dziecku, a podstawą prawną jest zgoda: poniżej 16 lat zgodę musi wyrazić lub zatwierdzić rodzic lub opiekun. Nie myl tego z ogólnym wiekiem pełnoletności (18 lat). W innych celach, na przykład przy informacji pisanej dla dziecka, informacja musi być zrozumiała dla dziecka.
Marketing bezpośredni
Zasady marketingu w Irlandii pochodzą z dwóch źródeł: z RODO w zakresie używania danych osobowych oraz z ePrivacy Regulations 2011 w zakresie wiadomości elektronicznych.
- E-maile, SMS-y i zautomatyzowane połączenia do osoby fizycznej wymagają co do zasady jej uprzedniej zgody, a każda wiadomość musi zawierać wyraźną możliwość rezygnacji.
- Obecnym klientom wolno wysyłać e-maile lub SMS-y o własnych podobnych produktach firmy bez zgody, jeśli dano im możliwość sprzeciwu przy zbieraniu danych i w każdej wiadomości, a sprzedaż miała miejsce w ciągu ostatnich 12 miesięcy.
- Każdy może w dowolnej chwili sprzeciwić się marketingowi bezpośredniemu (art. 21). Jeśli ktoś mówi „przestańcie”, przestań i odnotuj to.
- Nie kupuj list kontaktów bez sprawdzenia, skąd pochodzą dane.
- Pliki cookie i podobne technologie na stronie internetowej wymagają co do zasady zgody, chyba że są ściśle niezbędne.
DPC może ścigać naruszenia ePrivacy Regulations. Każda niezamówiona wiadomość to osobne przestępstwo, zagrożone grzywną do 5000 € w trybie uproszczonym (lekcja 8).
Udostępnianie danych
Udostępnienie danych osobowych innej organizacji wymaga podstawy prawnej i musi mieścić się w celu, o którym poinformowano ludzi. Jeśli inna firma przetwarza dane dla twojego pracodawcy jako podmiot przetwarzający, musi istnieć pisemna umowa (art. 28). Jeśli o dane osobowe prosi strona trzecia, nawet miła, najpierw skonsultuj się z przełożonym lub inspektorem ochrony danych. Nie podawaj danych osobowych przez telefon osobie, której nie możesz zidentyfikować.
Co zapamiętać
- Sześć podstaw prawnych; jedną wybiera i zapisuje organizacja.
- Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna oraz łatwa do wycofania.
- Wiek zgody cyfrowej: 16 lat w Irlandii (Data Protection Act 2018, sekcja 31).
- Marketing przez e-mail lub SMS wymaga co do zasady zgody oraz możliwości rezygnacji w każdej wiadomości.