Майже кожна робота пов’язана з персональними даними. Адміністратор записує ім’я відвідувача. Продавець приймає адресу доставки. Працівник догляду читає план догляду. Учитель веде список класу. Законодавство про захист даних визначає, як поводитися з такою інформацією, і стосується вас так само, як і вашого роботодавця.
Право у Великій Британії
- UK GDPR (британський регламент із захисту даних) — головний набір правил. Він походить від GDPR ЄС і тепер є частиною британського права.
- Data Protection Act 2018 (DPA 2018, британський закон про захист даних) діє поруч із ним. Він додає британські деталі, як-от винятки та кримінальні правопорушення.
- Data (Use and Access) Act 2025 (DUAA, закон про дані, їх використання та доступ) став законом 19 червня 2025 року. Він змінює UK GDPR, DPA 2018 і правила маркетингу (PECR). Він їх не замінює. Його зміни набували чинності поетапно, а з 19 червня 2026 року діють усі. Актуальні роз’яснення перевіряйте на ico.org.uk.
- Privacy and Electronic Communications Regulations 2003 (PECR, правила щодо конфіденційності та електронних комунікацій) стосуються маркетингових повідомлень, дзвінків і файлів cookie. Ви познайомитеся з ними на уроці 7.
Регулятор — Information Commissioner’s Office (ICO), британський орган із захисту даних. Він публікує роз’яснення, приймає скарги й може штрафувати організації.
Персональні дані
Персональні дані — це будь-яка інформація про ідентифіковану або таку, яку можна ідентифікувати, живу особу. Вони не обов’язково секретні. Приклади:
- ім’я, адреса, електронна пошта або номер телефону;
- фото, зображення з камери спостереження або голосовий запис;
- номер працівника, номер рахунку клієнта або онлайн-ідентифікатор;
- нотатка у справі про те, що людина сказала чи зробила.
Якщо ви можете з’ясувати, про кого ця інформація, наприклад поєднавши її з іншими даними, це персональні дані. Інформація про компанію не є персональними даними. Інформація про самозайнятого підприємця (sole trader) або названу контактну особу компанії може бути ними.
Спеціальні категорії даних і дані про правопорушення
Деякі дані чутливіші, бо їх неправомірне використання може завдати реальної шкоди. Спеціальні категорії даних (special category data) — це інформація про:
- расове або етнічне походження;
- політичні погляди;
- релігійні чи світоглядні переконання;
- членство в профспілці;
- генетичні дані та біометричні дані, що використовуються для ідентифікації особи;
- здоров’я;
- статеве життя або сексуальну орієнтацію.
Дані про судимості та правопорушення (criminal offence data) також мають додатковий захист. Для їх використання організації потрібна додаткова правова умова. Щоразу будьте з ними обережнішими.
Контролери та обробники
- Контролер (controller) вирішує, навіщо й як використовуються персональні дані. Ваш роботодавець зазвичай є контролером.
- Обробник (processor) використовує персональні дані від імені контролера й за його вказівками, наприклад компанія з розрахунку зарплат або хмарний сервіс.
- Суб’єкт даних (data subject) — людина, про яку ці дані. Клієнти, пацієнти, учні, працівники й кандидати на роботу — суб’єкти даних.
Основні юридичні обов’язки несе контролер. Як працівник, ви зазвичай дієте для свого роботодавця. Ви дотримуєтеся його вказівок і політик.
Що вважається використанням даних
Закон називає це обробкою. Це означає майже все: збирання, запис, зберігання, перегляд, передавання, зміну, видалення. Навіть простий перегляд запису на екрані — це обробка.
Що охоплює закон
UK GDPR охоплює персональні дані на комп’ютерах, телефонах та в інших цифрових системах. Він охоплює й паперові записи, які зберігаються в системі архівування. Рукописні нотатки й повідомлення враховуються, якщо їх зберігають як частину набору записів.
Ваша відправна точка
Вам не потрібно бути юристом. Потрібно знати, що таке персональні дані, використовувати їх лише для своєї роботи й питати, коли ви не певні. Урок 8 показує, що робити, а чого не робити.