Prawie każda praca wiąże się z informacjami o ludziach. Recepcjonistka zapisuje nazwisko gościa. Sprzedawca przyjmuje adres dostawy. Urzędnik czyta akta sprawy. Przepisy o ochronie danych osobowych dotyczą więc ciebie, a nie tylko twojego szefa. Razem nazywa się je przepisami o ochronie danych, a często mówi się po prostu RODO (w Danii: GDPR).
Przepisy w Danii
- Ogólne rozporządzenie o ochronie danych (databeskyttelsesforordningen) to rozporządzenie UE 2016/679. Obowiązuje w Danii bezpośrednio.
- Duńska ustawa o ochronie danych (databeskyttelsesloven, ustawa nr 502 z 23 maja 2018 r., z późniejszymi zmianami) uzupełnia rozporządzenie o przepisy duńskie, np. o numer CPR (duński numer identyfikacyjny), stosunki pracy i kary.
- Datatilsynet (duński organ ochrony danych) to organ, który w Danii nadzoruje przestrzeganie tych przepisów.
Rozporządzenie obowiązuje, gdy dane osobowe są przetwarzane w całości lub częściowo w sposób elektroniczny. Dotyczy też dokumentów papierowych, jeśli dane znajdują się w zbiorze, np. w segregatorze uporządkowanym według nazwisk. Wyłączone są sprawy czysto prywatne, np. twoja własna książka adresowa w domu.
Czym są dane osobowe?
Dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (art. 4 pkt 1 rozporządzenia). Mogą to być:
- imię i nazwisko, adres, e-mail i numer telefonu
- numer CPR, numer klienta i numer pracownika
- zdjęcia i nagrania dźwiękowe, na których można rozpoznać osobę
- adresy IP i dane o lokalizacji
- wynagrodzenie, oceny, absencja chorobowa i opisy pracy pracownika
Informacje nie muszą być tajne. Nawet adres e-mail widoczny na stronie internetowej to dane osobowe. Informacje o spółce nie są danymi osobowymi, ale informacje o osobie prowadzącej jednoosobową firmę już tak. Dane anonimowe, w przypadku których nikt nie może ustalić, o kogo chodzi, są poza zakresem przepisów. Dane spseudonimizowane nadal są danymi osobowymi.
Czym jest przetwarzanie?
Przetwarzanie to wszystko, co można robić z informacjami: zbierać, rejestrować, przechowywać, czytać, wyszukiwać, wysyłać, zmieniać, udostępniać i usuwać (art. 4 pkt 2). Gdy tylko zaglądasz do systemu, już przetwarzasz dane.
Kto jest kim?
- Osoba, której dane dotyczą, to osoba, o której są informacje: klient, pacjent, uczeń lub kolega z pracy.
- Administrator decyduje, w jakim celu i w jaki sposób dane są przetwarzane (art. 4 pkt 7). Zwykle jest nim twój pracodawca, a nie ty osobiście.
- Podmiot przetwarzający przetwarza dane w imieniu administratora, np. biuro płacowe lub dostawca systemu IT (art. 4 pkt 8). Musi istnieć pisemna umowa powierzenia przetwarzania danych (art. 28).
Jako pracownik możesz przetwarzać dane tylko na polecenie pracodawcy (art. 29). Nie możesz samodzielnie zdecydować, że użyjesz listy klientów w nowym celu.
Dlaczego to ważne
Przepisy chronią prywatność ludzi. Jeśli dane trafią w niepowołane ręce, ktoś może paść ofiarą oszustwa, nękania lub dyskryminacji. Błędy szkodzą też reputacji firmy i mogą prowadzić do sankcji.
Pamiętaj: Zanim użyjesz informacji o kimś, zadaj sobie pytanie: Czy potrzebuję ich do pracy i czy wolno mi je wykorzystać w ten sposób?