Перш ніж хтось обробляє персональні дані, має існувати правова підстава зі статті 6 регламенту. Їх шість:
- Згода суб’єкта даних.
- Договір: обробка необхідна для виконання договору з особою або для кроків на її прохання до укладення договору.
- Правовий обов’язок: закон вимагає обробки, наприклад даних про зарплату для податкових органів.
- Життєво важливі інтереси: для захисту життя й здоров’я, коли це необхідно.
- Завдання в суспільних інтересах або здійснення публічної влади.
- Законний інтерес: організація або третя сторона має законний інтерес, а інтереси і права особи не переважають цей інтерес. Публічні органи не можуть застосовувати цю підставу у виконанні своїх завдань.
Підставу обирає й документує роботодавець. Але ви маєте знати, що діє для ваших завдань.
Згода: що потрібно?
Згода за статтями 4 і 7 має бути:
- добровільною: особа має реальний вибір
- конкретною: вона стосується певної мети
- поінформованою: особа знає, на що погоджується
- недвозначною: активна дія, а не наперед позначене поле чи мовчання
Ви повинні вміти довести, що згоду було надано. Особа також може будь-коли відкликати згоду, і відкликати її має бути так само легко, як надати.
Згода у трудових відносинах
Працівник залежить від роботодавця. Тому згода між роботодавцем і працівником рідко є надійною підставою, адже відмовити буває важко. Роботодавцеві краще використати іншу підставу, наприклад договір (трудовий договір), правовий обов’язок або законний інтерес. Згода може спрацювати для справді добровільного, наприклад для розміщення вашого фото на вебсайті. Тоді ви повинні мати змогу відмовитися без наслідків.
Спеціальні категорії
Для даних про здоров’я та інших спеціальних категорій потрібен виняток зі статті 9 додатково до підстави зі статті 6. Для трудових відносин є окремі правила в § 6 закону про персональні дані. Завжди питайте, як поводитися з такими даними, і не діліться ними «про всяк випадок».
Обов’язок інформувати
Люди мають право знати, що відбувається з їхніми даними (статті 13 і 14). Організація має повідомити, зокрема:
- хто є контролером
- мету та підставу
- хто отримує дані
- як довго вони зберігаються
- які права має особа
Зазвичай це роблять через повідомлення про конфіденційність або інформаційний лист. Працівники мають отримувати таку інформацію про те, як організація обробляє їхні власні дані.
Діти
Норвегія встановила вікову межу для самостійної згоди дитини на 13 років щодо послуг інформаційного суспільства (§ 5 закону про персональні дані). Для молодших дітей потрібна згода батьків або опікунів. Персональні дані дітей потребують особливої обережності.
Ви маєте дотримуватися вказівок роботодавця
Згідно зі статтями 29 і 32 (пункт 4) особи, які мають доступ до персональних даних, можуть обробляти їх лише за вказівкою контролера. Пошук у системі, до якої ви маєте доступ, знаменитості, сусіда чи колишнього партнера не є частиною роботи й становить несанкціонований доступ, навіть якщо ви нічого не передаєте далі.