Захист персональних даних (норв. personvern) — це право самому вирішувати щодо інформації про себе та право на справедливе й безпечне поводження з нею. У роботі ви щодня стикаєтеся з персональними даними: у списках клієнтів, особових справах, електронній пошті, табелях і системах.
Які правила діють?
- Загальний регламент про захист даних (GDPR) — спільні правила ЄС щодо захисту даних. Він діє і в Норвегії, бо його включено до Угоди про Європейський економічний простір (ЄЕП).
- Закон про персональні дані (personopplysningsloven, закон про обробку персональних даних, LOV-2018-06-15-38) робить регламент норвезьким правом. Закон має й власні норвезькі правила, наприклад про ідентифікаційний номер (fødselsnummer, § 12) та про обробку чутливих даних у трудових відносинах (§ 6).
- Datatilsynet — норвезький наглядовий орган, тобто орган із захисту даних. Він надає роз’яснення, проводить перевірки й може накладати адміністративні штрафи.
- У трудових відносинах додатково діє розділ 9 закону про робоче середовище (arbeidsmiljøloven) про заходи контролю та доступ до електронної пошти (урок 8).
Що таке персональні дані?
Персональні дані — це будь-яка інформація, яку можна пов’язати з живою особою, прямо або опосередковано. Приклади:
- ім’я, адреса, номер телефону, електронна пошта й ідентифікаційний номер (fødselsnummer)
- фото, аудіо- та відеозаписи людей
- IP-адреси, імена користувачів і дані про місцезнаходження
- зарплата, відсутність на роботі, оцінки та відомості з резюме
Інформація, анонімізована так, що ніхто не може встановити особу, уже не є персональними даними. Недостатньо прибрати ім’я, якщо людину все ще можна впізнати за іншими відомостями.
Спеціальні категорії
Деякі дані чутливіші, і для них діють суворіші правила. Стаття 9 регламенту називає дані про:
- расове або етнічне походження
- політичні погляди, релігію та світогляд
- членство в профспілці
- генетичні та біометричні дані (коли вони використовуються для ідентифікації особи)
- здоров’я
- статеве життя та сексуальну орієнтацію
Загальне правило: їх не можна обробляти, якщо не діє один із винятків статті 9. У трудових відносинах типові приклади — лікарняні, відсутність через хворобу та відомості про профспілку. Поводьтеся з ними обережно й діліться лише з тими, кому вони потрібні.
Що таке «обробка»?
Обробка — це все, що ви робите з персональними даними: збирання, реєстрація, зберігання, читання, зміна, надсилання, надання доступу, розкриття, видалення й копіювання. Обробкою є навіть сам перегляд інформації в системі.
Хто є хто?
- Суб’єкт даних — особа, про яку ці дані: клієнт, пацієнт, колега, кандидат.
- Контролер (норв. behandlingsansvarlig) — організація, яка визначає мету обробки та засоби. Саме вона несе основну відповідальність за законом.
- Обробник (норв. databehandler) — організація, яка обробляє дані від імені контролера, наприклад постачальник послуг із розрахунку зарплат або хмарний сервіс. Має бути письмовий договір про обробку даних (стаття 28).
- Відповідальна особа із захисту даних (норв. personvernombud) — внутрішній або залучений радник, якого мають призначити деякі організації, зокрема публічні органи (стаття 37).
Як звичайний працівник, ви самі не є контролером. Ви дієте від імені роботодавця й маєте дотримуватися його вказівок. Це не означає, що можна перекласти всю відповідальність на інших. Ви повинні знати правила, що стосуються вашої роботи, і повідомляти, коли щось не так.
Що охоплює курс?
Курс є вступом для працівників. Він не замінює власні правила роботодавця й не дає юридичної консультації в окремих справах.