Numer CPR i inne dane z dodatkowymi wymogami

Niektóre dane nie są „wrażliwe” w rozumieniu art. 9, ale mimo to trzeba je traktować ze szczególną starannością. Najważniejsze to numer CPR i dane o wyrokach skazujących i naruszeniach prawa. Dania ma tu własne przepisy w ustawie o ochronie danych.

Numer CPR (§ 11)

Numer CPR (duński numer identyfikacyjny) to klucz do osoby w wielu rejestrach publicznych i prywatnych. Jeśli wycieknie, można go użyć do kradzieży tożsamości. Dlatego przepisy są surowsze.

• Organy publiczne mogą przetwarzać numer CPR do jednoznacznej identyfikacji i jako numer sprawy (§ 11 ust. 1).
• Podmioty prywatne, np. większość firm, mogą przetwarzać numer CPR tylko wtedy, gdy spełniony jest jeden z tych warunków (§ 11 ust. 2):
  1. Wynika to z przepisów. Pracodawcy muszą np. używać numeru CPR do zgłaszania wynagrodzeń organom podatkowym.
  2. Osoba udzieliła zgody zgodnie z art. 7.
  3. Odbywa się to wyłącznie w celach naukowych lub statystycznych, albo jest to przekazanie danych, które stanowi naturalną część zwykłej działalności i jest decydujące dla pewnej identyfikacji, albo którego wymaga organ.
  4. Spełnione są warunki z § 7 dotyczące danych szczególnych kategorii.
• Numeru CPR nie wolno publikować, chyba że osoba udzieliła zgody zgodnie z art. 7 (§ 11 ust. 3).

W praktyce oznacza to, że nie należy prosić o numer CPR, jeśli nie masz wyraźnej podstawy. Sklep nie może używać numeru CPR jako numeru klienta. Nie należy też wpisywać go w temacie e-maila ani w nazwie pliku.

Gdy musisz użyć numeru CPR

• Zapytaj siebie, czy te dane są niezbędne. Często wystarczą data urodzenia i imię i nazwisko.
• Nigdy nie wysyłaj numeru CPR zwykłym, niezaszyfrowanym e-mailem. Użyj bezpiecznego rozwiązania firmy.
• Nie wpisuj go w dokumentach, które będą szeroko udostępniane, np. we wspólnym arkuszu kalkulacyjnym lub na tablicy ogłoszeń.
• Przekazuj go tylko tym, którzy mają do tego uzasadnioną potrzebę.

Dane o wyrokach skazujących i naruszeniach prawa

Informacje o wyrokach skazujących i naruszeniach prawa obejmują art. 10 i § 8 ustawy o ochronie danych. Dla podmiotów prywatnych obowiązuje (§ 8 ust. 3):

• przetwarzanie może odbywać się za wyraźną zgodą osoby, której dane dotyczą, albo
• jeśli jest niezbędne do realizacji uzasadnionego interesu, który wyraźnie przeważa nad interesem osoby.

Tych danych nie wolno przekazywać bez wyraźnej zgody, chyba że służy to ochronie interesów, które wyraźnie przeważają nad interesem w zachowaniu tajemnicy (§ 8 ust. 4). Plotki, że kolega został skazany, nie wolno ci więc rozpowszechniać ani zapisywać.

Zdjęcia i wideo

Zdjęcie, na którym można rozpoznać osobę, to dane osobowe. Dotyczy to także zdjęć w intranecie, na stronie internetowej lub w mediach społecznościowych. Firma musi mieć podstawę. Jeśli jest nią zgoda, osoba może ją cofnąć. Zapytaj, zanim opublikujesz zdjęcie współpracowników, klientów lub dzieci. Dla monitoringu wizyjnego istnieje ponadto odrębna ustawa, tv-overvågningsloven (duńska ustawa o monitoringu wizyjnym).

Pracownicy i ich dane

Dane pracowników to także dane osobowe. Pracodawca może je przetwarzać, gdy jest to niezbędne do wypełnienia obowiązków z zakresu prawa pracy, np. w sprawach wynagrodzenia, urlopu i choroby (§ 12 ust. 1). Nie znaczy to, że wszyscy koledzy mogą je oglądać. Dostęp powinni mieć tylko ci, którzy potrzebują ich do pracy.

Pamiętaj: Zanim użyjesz numeru CPR lub informacji o karach, musisz wiedzieć, jaki wymóg ustawy to obejmuje.