Wszystkie przepisy o danych osobowych opierają się na kilku podstawowych zasadach. Zawiera je art. 5 ogólnego rozporządzenia o ochronie danych. Jeśli je znasz, poradzisz sobie w większości codziennych sytuacji, także tych, dla których nikt nie napisał reguł.
1. Zgodność z prawem, rzetelność i przejrzystość
Przetwarzanie musi mieć ważną podstawę (zob. następna lekcja), być rzetelne wobec osoby i jawne. Ludzie powinni rozumieć, co się dzieje z ich danymi. Dlatego firma musi udzielać informacji, np. w informacji o prywatności.
2. Ograniczenie celu
Dane należy zbierać w konkretnych, wyraźnych i prawnie uzasadnionych celach. Nie wolno ich później wykorzystywać w sposób niezgodny z tymi celami. Jeśli klient podał e-mail, aby dostać potwierdzenie zakupu, nie możesz tak po prostu użyć go do newslettera.
3. Minimalizacja danych
Dane muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne. Pytaj tylko o to, czego potrzebujesz. Do wysłania paczki nie potrzebujesz daty urodzenia klienta.
4. Prawidłowość
Dane muszą być prawidłowe i w razie potrzeby uaktualniane. Nieprawidłowe dane należy bez zbędnej zwłoki sprostować lub usunąć. Zły adres może sprawić, że rachunek albo odpowiedź od lekarza trafi do obcej osoby.
5. Ograniczenie przechowywania
Dane nie mogą być przechowywane dłużej, niż jest to niezbędne do celu. Gdy cel został osiągnięty i żaden przepis nie wymaga ich przechowywania, trzeba je usunąć lub zanonimizować. Niektóre przepisy przeciwnie, wymagają przechowywania, np. dokumenty księgowe trzeba przechowywać przez 5 lat po zakończeniu roku obrotowego, którego dotyczą (bogføringsloven § 12, duńska ustawa o księgowości). Firma powinna mieć stałe terminy usuwania danych, a ty musisz ich przestrzegać.
6. Integralność i poufność
Dane muszą być chronione przed nieuprawnionym lub niezgodnym z prawem przetwarzaniem oraz przed przypadkową utratą, zniszczeniem lub uszkodzeniem. Wymaga to odpowiednich środków technicznych i organizacyjnych. Większość z nich to twoja codzienna praca: zablokowany ekran, silne hasła, właściwy odbiorca e-maila.
7. Rozliczalność
Administrator ma nie tylko przestrzegać zasad, ale także umieć to wykazać (art. 5 ust. 2). Dlatego firma pisze polityki, prowadzi rejestry i dokumentuje swoje decyzje. Ty pomagasz, stosując procedury i mówiąc, gdy coś nie działa w praktyce.
Uwzględnianie ochrony danych w fazie projektowania
Art. 25 wymaga ochrony danych w fazie projektowania oraz domyślnej ochrony danych. Nowe systemy i procesy trzeba od początku urządzać tak, aby wykorzystywały tylko niezbędne dane. Jeśli pomagasz wybrać nowe narzędzie lub formularz, pomyśl o tym.
Przykład z codziennej pracy
Pracownik stowarzyszenia ma listę członków do wysyłania wezwań do zapłaty składek. Kolega prosi o tę listę, aby zaprosić ludzi na prywatne spotkanie. Ograniczenie celu mówi: nie. Lista została zebrana w celu pobierania składek. Minimalizacja danych mówi, że do zaproszenia na spotkanie wystarczą imię, nazwisko i e-mail, a nie adres i data urodzenia. A ograniczenie przechowywania mówi, że listy byłych członków nie należy trzymać w nieskończoność.
Zasada praktyczna: Przechowuj i udostępniaj tylko te dane, których potrzebujesz. Używaj ich tylko do celu, w jakim je zebrano. Usuń je, gdy nie są już potrzebne.