Aproape orice loc de muncă implică informații despre persoane. Cine lucrează la recepție notează numele unui vizitator. Cine lucrează într-un magazin ia o adresă de livrare. Cine lucrează în resurse umane păstrează contracte și evidența absențelor. Regulile de protecție a datelor se aplică așadar celor care lucrează, nu doar conducerii firmei. Împreună se numesc protecția datelor cu caracter personal, iar aproape toată lumea le spune pur și simplu GDPR (în portugheză, RGPD).
Regulile în Portugalia
- GDPR este Regulamentul (UE) 2016/679. Se aplică direct în Portugalia.
- Lei n.º 58/2019, din 8 august (legea portugheză de aplicare a GDPR), asigură executarea GDPR în dreptul național. Se ocupă, de exemplu, de vârsta consimțământului, de supravegherea video, de raporturile de muncă, de datele privind sănătatea, de amenzi și de infracțiuni.
- Comissão Nacional de Proteção de Dados (CNPD), Comisia Națională pentru Protecția Datelor, este autoritatea națională de supraveghere (art. 3 din Lei n.º 58/2019). Ea verifică respectarea regulilor.
- Código do Trabalho (Codul muncii portughez, art. 16-22) are reguli proprii despre viața privată și supravegherea la locul de muncă. Le veți vedea în lecția 4.
GDPR se aplică prelucrării efectuate total sau parțial prin mijloace automatizate, de exemplu un calculator sau un telefon. Se aplică și hârtiei, atunci când datele fac parte dintr-un sistem de evidență organizat, de pildă un dosar ordonat după nume. Rămân în afara regulilor activitățile strict personale sau casnice, precum agenda de contacte de acasă.
Ce este o dată personală?
Dată personală este orice informație privind o persoană fizică identificată sau identificabilă (art. 4 alin. (1) din GDPR). Exemple:
- numele, adresa, e-mailul și numărul de telefon;
- numărul de contribuabil, numărul de utilizator al sistemului de sănătate și numărul cărții de identitate;
- fotografii și înregistrări în care persoana poate fi recunoscută;
- adresa IP și datele de localizare;
- salariul, absențele, evaluările și descrierea muncii cuiva.
Informația nu trebuie să fie secretă. Un e-mail profesional de tipul nume.prenume@firma.pt identifică și el o persoană. Cine poate fi identificat, direct sau indirect, este persoană vizată. Informația anonimizată, care nu mai permite identificarea nimănui prin mijloace rezonabile, rămâne în afara GDPR.
Cine este cine
- Persoana vizată: persoana la care se referă datele, de exemplu un client, un candidat sau un coleg.
- Operatorul: cel care decide în ce scopuri și prin ce mijloace sunt prelucrate datele. La locul de muncă este, de regulă, angajatorul.
- Persoana împuternicită de operator: cea care prelucrează date în numele operatorului, de exemplu o firmă de salarizare sau de găzduire a programelor.
- Responsabilul cu protecția datelor (DPO): persoana care oferă consiliere și urmărește respectarea regulilor, atunci când firma trebuie să o numească sau alege să o facă.
Angajatul nu este, de regulă, operatorul: el prelucrează datele în numele angajatorului și potrivit instrucțiunilor acestuia (art. 29 din GDPR). Totuși, el este cel care face prelucrarea zi de zi, deci gesturile sale contează.
Ce este „prelucrarea”?
Prelucrarea este orice operațiune efectuată asupra datelor personale: colectare, înregistrare, organizare, stocare, consultare, trimitere, comparare, divulgare, ștergere. Până și citirea unei fișe pe ecran este prelucrare (art. 4 alin. (2)). De aceea, consultarea unui fișier din curiozitate este deja o operațiune supusă regulilor.
Copiii
În cazul serviciilor societății informaționale oferite direct copiilor, prelucrarea pe baza consimțământului este legală abia de la 13 ani. Sub această vârstă, consimțământul trebuie dat de reprezentanții legali (art. 16 din Lei n.º 58/2019).
Rezumat: dată personală este tot ce identifică o persoană. Regulile se aplică celor care lucrează cu ea. Dacă aveți îndoieli, tratați informația ca fiind personală și întrebați.