Zasady RODO

Art. 5 RODO wymienia zasady, które obowiązują przy każdym przetwarzaniu. To podstawa wszystkich innych reguł: jeśli je pamiętasz, wiele wątpliwych przypadków rozwiążesz samodzielnie.

Siedem zasad

1. Zgodność z prawem, rzetelność i przejrzystość. Dane przetwarza się na podstawie przewidzianej w prawie, uczciwie i mówiąc ludziom, co dzieje się z ich danymi.
2. Ograniczenie celu. Dane zbiera się w konkretnych i prawnie uzasadnionych celach i nie wykorzystuje później w sposób niezgodny z tymi celami.
3. Minimalizacja danych. Używa się tylko danych adekwatnych, stosownych i ograniczonych do tego, co potrzebne.
4. Prawidłowość. Dane muszą być prawidłowe i w razie potrzeby aktualne. Błędne dane należy bez zwłoki poprawić lub usunąć.
5. Ograniczenie przechowywania. Dane przechowuje się tylko tak długo, jak potrzeba do celu, potem usuwa się je lub anonimizuje.
6. Integralność i poufność. Dane trzeba chronić przed nieuprawnionym dostępem, utratą i zniszczeniem za pomocą odpowiednich środków.
7. Rozliczalność (po angielsku accountability, art. 5 ust. 2). Administrator musi przestrzegać zasad i umieć to wykazać.

Przykłady z codziennej pracy

• Cel. Lista klientów służy do realizacji zamówień. Wykorzystanie jej do osobistych życzeń albo do reklamowania innej działalności to nie to samo.
• Minimalizacja. Do rezerwacji stolika wystarczą imię i nazwisko oraz telefon. Pytanie jeszcze o datę urodzenia i adres to za dużo.
• Prawidłowość. Jeśli klient poda nowy numer, zaktualizuj go wszędzie, gdzie trzeba, a nie tylko w swoim arkuszu.
• Przechowywanie. Kopii dokumentów, wydruków i folderów sieciowych nie trzyma się w nieskończoność „dla bezpieczeństwa”. Firma powinna ustalić, jak długo przechowywać każdą kategorię.
• Poufność. Dokument z danymi osobowymi nie leży na biurku, gdzie każdy przechodzący może go zobaczyć.

Ochrona danych w fazie projektowania

Art. 25 RODO wymaga od administratora myślenia o ochronie danych już w fazie projektowania i domyślnie. Nowy formularz, aplikacja lub procedura powinny domyślnie zbierać tylko niezbędne dane. Jeśli uczestniczysz w wyborze nowego narzędzia, zapytaj: jakie dane zbiera? Kto je widzi? Jak długo zostają?

Nie wszystko wolno „bo tak wygodnie”

To, że informacja jest pod ręką, nie znaczy, że możesz użyć jej w dowolnym celu. Zaglądanie w dane współpracownika, sąsiada lub znanej osoby z ciekawości nie jest częścią pracy: narusza zasady celu i poufności.

Rejestr czynności przetwarzania

Administrator opisuje przetwarzanie w rejestrze czynności przetwarzania (art. 30 RODO): jakie dane, czyje, w jakim celu, na jak długo, komu są ujawniane. Obowiązek ma wyjątek dla przedsiębiorstw zatrudniających mniej niż 250 osób, który jednak nie obowiązuje, jeśli przetwarzanie może powodować ryzyko naruszenia praw osób, nie ma charakteru sporadycznego lub dotyczy szczególnych kategorii danych. Firma z personelem zwykle i tak przetwarza dane nie tylko sporadycznie, więc prowadzi rejestr. To zadanie pracodawcy, nie twoje, ale możesz pomóc, zgłaszając, że używasz nowego rodzaju danych lub nowego narzędzia.

Do zapamiętania

• Jasny cel, mało danych, prawidłowe dane, ograniczony czas, ochrona.
• Administrator musi też umieć to wykazać procedurami i dokumentami.