Zasady przetwarzania danych osobowych

Art. 5 RODO określa podstawowe zasady. Każde przetwarzanie danych osobowych musi je spełniać. W codziennej pracy najważniejsze są te poniżej.

Siedem zasad

• Zgodność z prawem, rzetelność i przejrzystość. Dane przetwarza się zgodnie z prawem, uczciwie i tak, aby ludzie wiedzieli, co się z nimi dzieje.
• Ograniczenie celu. Dane zbiera się w konkretnym, wyraźnie określonym i prawnie uzasadnionym celu. Nie wolno ich potem użyć do czegoś niezwiązanego. Adres z zamówienia służy do dostawy, a nie do reklamy, o którą klient nie prosił.
• Minimalizacja danych. Zbieraj tylko to, co jest niezbędne do celu. Do rejestracji w bibliotece nie potrzebujesz stanu cywilnego.
• Prawidłowość. Dane mają być poprawne i aktualne. Nieprawidłowe poprawia się lub usuwa.
• Ograniczenie przechowywania. Dane przechowuje się tylko tak długo, jak wymaga tego cel. Potem się je usuwa lub anonimizuje. Niektóre terminy określa ustawa, na przykład archiwizację list płac.
• Integralność i poufność. Dane chroni się przed nieuprawnionym dostępem, utratą i uszkodzeniem.
• Rozliczalność. Administrator musi umieć wykazać, że przestrzega zasad. Dlatego prowadzi się rejestry, polityki i pisemne polecenia.

Jak to wygląda w praktyce

Przykład 1 – cel. Firma zebrała numery telefonów pracowników na wypadek awarii. Nie może ich użyć do zaproszeń na prywatną imprezę partnera biznesowego.

Przykład 2 – minimalizacja. Formularz zapisu na newsletter potrzebuje adresu e-mail. Data urodzenia i adres nie są potrzebne, więc o nie nie pytaj.

Przykład 3 – ograniczenie przechowywania. CV niezatrudnionych kandydatów nie wolno trzymać w nieskończoność. Pracodawca powinien określić termin i po nim je usuwać albo poprosić o zgodę na dłuższe przechowywanie.

Przykład 4 – poufność. Tabeli z wynagrodzeniami nie wysyła się e-mailem całemu działowi. Wysyła się ją tylko tym, którzy jej potrzebują.

Ochrona danych w fazie projektowania i domyślna ochrona danych

Art. 25 RODO wymaga, aby systemy były ustawione tak, że domyślnie przetwarzają tylko niezbędne dane, a dostęp mają wyłącznie upoważnione osoby. Gdy samodzielnie tworzysz formularz, tabelę lub listę, trzymaj się tego samego: nic ponad potrzebę, dostęp tylko dla tych, którzy go potrzebują.

Anonimizacja i pseudonimizacja

Zanonimizowanych danych nie da się już przypisać żadnej osobie, nawet z pomocą innych informacji. RODO takich danych nie dotyczy (motyw 26). Pseudonimizacja tylko zastępuje imię i nazwisko kodem lub numerem (art. 4 pkt 5). Kto ma klucz, może znowu ustalić osobę, dlatego nadal są to dane osobowe. Tabela, w której zamiast nazwisk stoją numery pracowników, nie jest więc anonimowa.

Zasada „need to know”

Także wewnątrz firmy dane widzi tylko ten, kto potrzebuje ich do pracy. To, że masz w systemie techniczny dostęp, nie oznacza, że wolno ci dane otworzyć. Zaglądanie do rekordu kolegi, sąsiada lub znajomego z ciekawości to nieuprawnione przetwarzanie.

Co robić w razie wątpliwości

1. Zapytaj przełożonego albo inspektora ochrony danych, jeśli firma go wyznaczyła.
2. Nie zbieraj ani nie udostępniaj danych „na wszelki wypadek”.
3. W razie wątpliwości nie wysyłaj danych i poczekaj na odpowiedź.

Co zapamiętać

• Dane tylko do określonego celu, tylko w niezbędnym zakresie i tylko przez niezbędny czas.
• Administrator musi umieć wykazać przestrzeganie zasad.
• Dostęp do systemu nie jest upoważnieniem do zaglądania bez powodu służbowego.

Przykład z biura

Koleżanka z działu kadr chce wiedzieć, kto z zespołu jest chory, aby zorganizować zastępstwo. Potrzebuje tylko informacji, że kolega nie będzie w pracy, a nie diagnozy. Podobnie przełożony musi wiedzieć, kto jest dziś obecny, ale nie dlaczego ktoś jest nieobecny. Zawsze pytaj: Czy naprawdę potrzebuję tej informacji do celu? Jeśli nie, o nią nie proś i jej nie udostępniaj.