El artículo 5 del UK GDPR enumera siete principios. Son la base de toda la ley de protección de datos. Casi todas las normas de este curso proceden de alguno de ellos.
1. Licitud, lealtad y transparencia
Los datos personales deben usarse de forma lícita, leal y comprensible para las personas. Debe existir una base jurídica (lección 3). No se debe engañar a nadie. Hay que informar de lo que se hace con sus datos, normalmente mediante una cláusula informativa (privacy notice).
2. Limitación de la finalidad
Los datos deben recogerse con fines concretos y claros y no usarse después de una forma que no encaje con esos fines. Un teléfono facilitado para reservar una mesa no debe entregarse a una empresa de marketing.
3. Minimización de datos
Recoja solo lo que sea adecuado, pertinente y limitado a lo que necesita. No pida la fecha de nacimiento, ni guarde copias de documentos de identidad, cuando el trabajo no lo requiera.
4. Exactitud
Los datos deben ser exactos y, cuando sea necesario, estar actualizados. Un dato erróneo puede llevar a decisiones erróneas sobre una persona. Tome medidas razonables para corregir o borrar sin demora los datos que sean erróneos.
5. Limitación del plazo de conservación
No conserve los datos personales más tiempo del necesario para su finalidad. Los empleadores deben fijar plazos de conservación y borrar o anonimizar los datos cuando terminen. No guarde copias propias «por si acaso».
6. Integridad y confidencialidad (seguridad)
Los datos personales deben mantenerse seguros. Eso significa protegerlos frente al uso no autorizado o ilícito, y frente a la pérdida, la destrucción o el daño accidentales. El responsable debe aplicar medidas técnicas y organizativas adecuadas. La lección 5 explica qué significa esto en el trabajo diario.
7. Responsabilidad proactiva
El responsable debe asumir su responsabilidad y poder demostrar que cumple las normas (artículo 5(2)). Lo hace mediante políticas, registros, formación, evaluaciones de riesgos y contratos. La formación del personal forma parte de ello.
Los principios en acción
Piense en un grupo de WhatsApp del personal donde los jefes publican teléfonos de clientes y detalles de reclamaciones.
- Transparencia: ¿esperaban esto los clientes?
- Finalidad: ¿se recogió el teléfono para compartirlo en un grupo de chat?
- Minimización: ¿necesita todo el grupo ese dato?
- Seguridad: ¿quién más puede ver el teléfono y qué pasa si se pierde?
- Conservación: ¿se borrarán alguna vez los mensajes?
Un hábito sencillo resuelve la mayor parte: antes de usar datos personales, pregúntese: ¿Los necesito? ¿Puedo usarlos para esto? ¿Están seguros? ¿Se borrarán cuando corresponda?
La responsabilidad proactiva en el trabajo
- Siga las políticas y la formación de su empleador.
- Respete la finalidad para la que se recogieron los datos.
- Registre lo que se le pida registrar, y nada más.
- Comunique pronto los problemas y las dudas.
- No cree sistemas paralelos, como hojas de cálculo privadas, salvo que su empleador lo permita.
Lo que los principios no significan
Los principios no le impiden compartir o usar datos cuando hay un buen motivo. La ley de protección de datos no es una razón para rechazar toda petición. Le pide que use los datos correctamente. Compartir información para proteger a un menor o a alguien en riesgo, por ejemplo, está permitido cuando se hace conforme a la ley y al procedimiento de su empleador.