L'articolo 5 del UK GDPR elenca sette principi. Sono la base di tutta la legge sulla protezione dei dati. Quasi ogni regola di questo corso deriva da uno di essi.
1. Liceità, correttezza e trasparenza
I dati personali devono essere trattati in modo lecito e corretto, e in modo comprensibile per le persone. Serve una base giuridica (lezione 3). Le persone non devono essere ingannate. Devono sapere che cosa si fa con i loro dati, di solito tramite un'informativa sulla privacy (privacy notice).
2. Limitazione della finalità
I dati devono essere raccolti per finalità precise e chiare e non usati in seguito in modo incompatibile con tali finalità. Un numero di telefono dato per prenotare un tavolo non deve essere passato a una società di marketing.
3. Minimizzazione dei dati
Raccolga solo ciò che è adeguato, pertinente e limitato a quanto Le serve. Non chieda la data di nascita e non conservi copie di documenti d'identità quando il lavoro non ne ha bisogno.
4. Esattezza
I dati devono essere esatti e, se necessario, aggiornati. Dati sbagliati possono portare a decisioni sbagliate su una persona. Prenda misure ragionevoli per correggere o cancellare senza ritardo i dati errati.
5. Limitazione della conservazione
Non conservi i dati personali più a lungo del necessario per la finalità. I datori di lavoro devono fissare periodi di conservazione e cancellare o rendere anonimi i dati alla loro scadenza. Non tenga copie personali «per ogni evenienza».
6. Integrità e riservatezza (sicurezza)
I dati personali devono essere conservati in modo sicuro. Questo significa protezione da uso non autorizzato o illecito, perdita accidentale, distruzione o danno. Il titolare deve adottare misure tecniche e organizzative adeguate. La lezione 5 spiega che cosa significa nel lavoro quotidiano.
7. Responsabilizzazione
Il titolare deve assumersi la responsabilità ed essere in grado di dimostrare di rispettare le regole (articolo 5(2)). Lo fa con politiche, registri, formazione, valutazioni dei rischi e contratti. La formazione del personale ne fa parte.
I principi all'opera
Pensi a un gruppo WhatsApp del personale in cui i responsabili pubblicano numeri di telefono di clienti e dettagli di reclami.
- Trasparenza: i clienti se lo aspettavano?
- Finalità: il numero è stato raccolto per essere condiviso in un gruppo di chat?
- Minimizzazione dei dati: serve a tutti nel gruppo?
- Sicurezza: chi altro può vedere il telefono, e che cosa succede se viene perso?
- Conservazione: i messaggi verranno mai cancellati?
Un'abitudine semplice copre quasi tutto. Prima di usare dati personali, si chieda: Mi servono? Posso usarli per questo scopo? Sono al sicuro? Saranno cancellati quando devono?
La responsabilizzazione sul lavoro
- Segua le politiche e la formazione del Suo datore di lavoro.
- Rispetti la finalità per cui i dati sono stati raccolti.
- Registri ciò che Le viene chiesto di registrare, e non di più.
- Segnali presto problemi e dubbi.
- Non crei sistemi paralleli, come fogli di calcolo privati, a meno che il Suo datore di lavoro non lo consenta.
Che cosa i principi non significano
I principi non Le impediscono di condividere o usare i dati quando ha un buon motivo. La legge sulla protezione dei dati non è un motivo per rifiutare ogni richiesta. Chiede di usare i dati correttamente. Condividere informazioni per proteggere un minore o una persona a rischio, per esempio, è consentito se avviene nel rispetto della legge e della procedura del Suo datore di lavoro.