Nie wolno przetwarzać danych osobowych tylko dlatego, że masz do nich dostęp. Zawsze potrzebna jest podstawa prawna przetwarzania. Zwykłe podstawy zawiera art. 6 ust. 1, a w Danii powtarza je § 6 ustawy o ochronie danych.
Sześć podstaw
Przetwarzanie jest zgodne z prawem, jeśli spełniona jest co najmniej jedna z nich:
- a) Zgoda osoby, której dane dotyczą.
- b) Umowa: przetwarzanie jest niezbędne do wykonania umowy z tą osobą, np. dostarczenia towaru lub wypłaty wynagrodzenia.
- c) Obowiązek prawny: wymaga tego prawo, np. przechowywanie dokumentów księgowych lub zgłaszanie wynagrodzeń organom podatkowym.
- d) Żywotne interesy: przetwarzanie jest niezbędne do ochrony czyjegoś życia.
- e) Interes publiczny lub sprawowanie władzy publicznej. Korzystają z tego głównie organy publiczne.
- f) Prawnie uzasadniony interes: firma ma uzasadniony interes, który przeważa nad interesami i prawami osoby. Wymaga to konkretnego wyważenia interesów. Organy publiczne nie mogą stosować tej podstawy w ramach swoich zadań.
Zgoda musi być prawdziwa
Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna (art. 4 pkt 11 i art. 7). Wymaga aktywnego działania. Pole zaznaczone z góry nie jest zgodą. Osoba może cofnąć zgodę w dowolnym momencie, a cofnięcie jej musi być tak samo łatwe jak jej udzielenie. Firma musi umieć wykazać, że zgoda została udzielona.
W stosunku pracy zgoda jest często słabą podstawą. Pracownik jest zależny od pracodawcy i może czuć presję, a wtedy zgoda nie jest dobrowolna. Ustawa dopuszcza jednak zgodę w stosunku pracy (§ 12 ust. 3), więc zależy to od sytuacji.
Dzieci: Gdy usługa społeczeństwa informacyjnego, np. portal społecznościowy lub aplikacja, opiera się na zgodzie, dziecko może jej udzielić samo od 15. roku życia w Danii (§ 6 ust. 2). Jeśli dziecko jest młodsze, potrzebna jest zgoda osoby sprawującej władzę rodzicielską. Granicę podniesiono z 13 do 15 lat 1 stycznia 2024 r.
Dane szczególnych kategorii
Art. 9 nazywa niektóre dane szczególnymi kategoriami danych. W duńskich tekstach często mówi się følsomme oplysninger (dane wrażliwe). Chodzi o dane dotyczące:
- pochodzenia rasowego lub etnicznego
- poglądów politycznych, przekonań religijnych lub światopoglądowych
- przynależności do związków zawodowych
- danych genetycznych i danych biometrycznych, gdy służą do jednoznacznego zidentyfikowania osoby
- zdrowia
- seksualności lub orientacji seksualnej
Zasadą jest, że tych danych nie wolno przetwarzać. Są wyjątki, np. wyraźna zgoda albo konieczność wypełnienia obowiązków i wykonania praw z zakresu prawa pracy. Ustawa o ochronie danych (§ 7 ust. 2 i § 12) daje pracodawcom taką możliwość, jeśli przetwarzanie jest niezbędne.
W praktyce
- Nie wpisuj diagnoz, wyznania ani przynależności związkowej w polach tekstowych, chyba że rejestrowanie ich należy do twoich zadań.
- Informacja pracownika, że jest chory, to dane o zdrowiu. Pracodawca może zarejestrować nieobecność, ale diagnoza rzadko jest mu potrzebna.
- Jeśli nie wiesz, jaka podstawa obejmuje to, co masz zrobić, zapytaj osobę odpowiedzialną za ochronę danych u was.
Reguła: Brak podstawy oznacza brak przetwarzania. Im bardziej wrażliwe dane, tym surowsze wymogi.