Codziennie masz w rękach informacje o ludziach: klientach, współpracownikach, pacjentach, dostawcach, kandydatach. Ta lekcja wyjaśnia, czym są dane osobowe, kto ma jakie obowiązki i dlaczego dostajesz polecenia dotyczące ich przetwarzania.
Czym jest dana osobowa
Dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (art. 4 pkt 1 rozporządzenia (UE) 2016/679, czyli RODO, po włosku i angielsku GDPR). Wystarczy, że można dojść do konkretnej osoby, choćby pośrednio.
Przykłady: imię i nazwisko, adres, telefon, e-mail, codice fiscale (włoski numer identyfikacji podatkowej), numer rejestracyjny pojazdu, zdjęcie, głos, numer pracownika, adres IP, listy płac, oceny współpracownika.
Danymi osobowymi nie są informacje naprawdę anonimowe ani informacje o firmach jako takich. Imię i nazwisko pracownika, które pojawia się w danych spółki, jest za to daną osobową.
Czym jest przetwarzanie
Przetwarzanie to każda operacja na danych: zbieranie, zapisywanie, przeglądanie, zmienianie, kopiowanie, wysyłanie, przechowywanie, usuwanie. Nawet samo patrzenie na kartę na ekranie jest przetwarzaniem. Dlatego przepisy dotyczą praktycznie każdej pracy biurowej, sklepowej, opiekuńczej i usługowej.
Kto jest kim
- Osoba, której dane dotyczą: osoba, do której odnoszą się dane. Ty też nią jesteś, jeśli chodzi o dane, które twój pracodawca przetwarza o tobie.
- Administrator: ten, kto decyduje, w jakim celu i w jaki sposób dane są przetwarzane. Zwykle jest to firma, instytucja lub kancelaria, w której pracujesz, a nie pojedynczy pracownik. Administrator odpowiada za przestrzeganie przepisów.
- Podmiot przetwarzający: podmiot zewnętrzny, który przetwarza dane w imieniu administratora, na przykład doradca ds. pracy, dostawca oprogramowania zarządzającego lub biuro płac. Działa na podstawie umowy lub innego instrumentu prawnego (art. 28 RODO).
- Osoby upoważnione / wyznaczone: osoby, które tak jak ty przetwarzają dane z upoważnienia administratora i na jego polecenie.
- Inspektor ochrony danych (IOD, po włosku RPD, po angielsku DPO): ekspert, który monitoruje i doradza, wyznaczany w przypadkach przewidzianych w art. 37–39 RODO. Nie każda firma musi go mieć.
- Garante per la protezione dei dati personali: niezależny włoski organ, który kontroluje stosowanie przepisów.
Przepisy, które warto znać
We Włoszech obowiązują razem dwa źródła:
- RODO, stosowane bezpośrednio w całej Unii Europejskiej;
- Codice in materia di protezione dei dati personali (d.lgs. 196/2003, włoski kodeks ochrony danych osobowych, zwany Codice privacy), zmieniony d.lgs. 101/2018, by dostosować go do RODO.
Codice zawiera włoskie przepisy o takich sprawach jak wiek zgody dziecka (art. 2-quinquies), dane o wyrokach i przestępstwach (art. 2-octies), stosunek pracy i kontrola na odległość (art. 111-bis–115) oraz przestępstwa (art. 167 i następne).
Dlaczego dostajesz polecenia
Art. 29 RODO mówi, że osoba mająca dostęp do danych osobowych z upoważnienia administratora nie może ich przetwarzać inaczej niż na jego polecenie. Art. 2-quaterdecies Codice pozwala administratorowi powierzać zadania i funkcje osobom wyraźnie wyznaczonym i wybrać najwłaściwszy sposób upoważnienia ich do przetwarzania.
W praktyce oznacza to, że pracodawca powinien ci powiedzieć, najlepiej na piśmie, z jakich danych możesz korzystać, do jakich zadań i z jakimi środkami ostrożności. Ten kurs nie zastępuje takich poleceń: wyjaśnia ogólne zasady, ale procedury w twoim biurze musi wskazać pracodawca.
Co warto zapamiętać
- Dana osobowa to każda informacja o możliwej do zidentyfikowania osobie.
- Przetwarzanie obejmuje też przeglądanie i przechowywanie.
- Administratorem jest organizacja, nie ty; ty wykonujesz otrzymane polecenia.
- Jeśli nie wiesz, jak postąpić, zapytaj przełożonego lub osobę odpowiedzialną za prywatność, zanim cokolwiek zrobisz.