Artykuł 5 RODO ustala zasady, na których opiera się każda reguła z tego kursu. Jeśli je zapamiętasz, w większości sytuacji samodzielnie ustalisz, jak postąpić.
1. Zgodność z prawem, rzetelność i przejrzystość
Używaj danych osobowych tylko wtedy, gdy masz podstawę prawną (lekcja 3), w sposób, jakiego ludzie mogą się rozsądnie spodziewać, i informuj ich, co z nimi robisz. Nie wprowadzaj ludzi w błąd co do tego, po co zbierasz ich dane.
2. Ograniczenie celu
Zbieraj dane w konkretnym, określonym celu i nie używaj ich później do czegoś niezgodnego. Numer telefonu zebrany po to, by umówić dostawę, nie służy do marketingu, a lista urodzin pracowników nie jest po to, by przekazywać ją sklepowi z prezentami.
3. Minimalizacja danych
Zbieraj tylko to, co jest adekwatne, stosowne i ograniczone do tego, czego potrzebujesz. Jeśli formularz pyta o datę urodzenia, zapytaj, po co ona jest. Jeśli odpowiedź brzmi „na wszelki wypadek”, pytanie należy usunąć.
4. Prawidłowość
Utrzymuj dane prawidłowe i aktualne. Szybko poprawiaj błędy i informuj o tym właściwe osoby. Błędne dane mogą oznaczać zły rachunek, złą decyzję albo list doręczony nie tej osobie.
5. Ograniczenie przechowywania
Nie przechowuj danych osobowych dłużej, niż potrzeba do ich celu. Pracodawcy powinni mieć harmonogram przechowywania, który mówi, jak długo trzyma się każdy rodzaj dokumentów. Niektóre dokumenty trzeba z mocy prawa przechowywać przez określony czas, na przykład rozliczenia podatkowe i płacowe. Gdy ten czas mija, usuń lub zniszcz dane w bezpieczny sposób. Dane zanonimizowane nie są już danymi osobowymi i można je zachować.
6. Integralność i poufność (bezpieczeństwo)
Chroń dane przed utratą, uszkodzeniem i nieuprawnionym dostępem, stosując odpowiednie środki techniczne i organizacyjne. Tę zasadę stosujesz codziennie: blokując ekran, wybierając właściwego adresata, niszcząc papier w niszczarce. Zobacz lekcję 5.
7. Rozliczalność
Administrator musi przestrzegać przepisów i umieć to wykazać. Oznacza to pisemne polityki, szkolenia, rejestry czynności przetwarzania, rejestry naruszeń i decyzje zapisane na piśmie. Pracownicy pomagają, stosując procedury i zapisując, co robią.
Zasady w praktyce
Wyobraź sobie recepcjonistkę szpitala, która widzi nazwisko sąsiada na dzisiejszej liście.
- Przeglądanie tylko tych rekordów, które są potrzebne w pracy, jest zgodne z minimalizacją i ograniczeniem celu.
- Niemówienie o tym nikomu poza pracą jest zgodne z poufnością.
- Sprawdzanie sąsiada „z ciekawości” łamie zasady. W instytucji publicznej nazywa się to często węszeniem w danych (snooping). Może skutkować postępowaniem dyscyplinarnym, a w poważnych przypadkach jest przestępstwem.
Inny przykład. Zespół sprzedaży przechowuje arkusz z kontaktami klientów przez dziesięć lat „na wszelki wypadek”. Nikt nie wie, kto na nim jest. To łamie ograniczenie przechowywania i prawidłowość, a zespół nie potrafi wykazać rozliczalności.
Rejestr czynności przetwarzania
Artykuł 30 wymaga od wielu administratorów i podmiotów przetwarzających prowadzenia pisemnego rejestru czynności przetwarzania: jakie dane, czyje, w jakim celu, kto je otrzymuje, jak długo są przechowywane i jak są zabezpieczone. Organizacje zatrudniające mniej niż 250 osób mają ograniczony wyjątek, który nie dotyczy przetwarzania mogącego powodować ryzyko dla osób, przetwarzania nieokazjonalnego ani obejmującego dane szczególnych kategorii lub dane o przestępstwach. W praktyce prawie każdy pracodawca prowadzi taki rejestr, bo regularnie przetwarza dane o zdrowiu lub płacach pracowników. Ktoś może poprosić cię o pomoc w jego aktualizacji.
Uwzględnianie ochrony danych w fazie projektowania i domyślna ochrona danych
Artykuł 25 wymaga, by organizacje wbudowywały ochronę danych w systemy i procesy od samego początku oraz ustawiały systemy tak, by domyślnie zbierano tylko potrzebne dane, a widzieli je tylko właściwi ludzie. Jeśli bierzesz udział w wyborze lub zmianie systemu, zapytaj: jakie dane przechowuje, kto może je zobaczyć i kiedy będą usunięte?
Co zapamiętać
- Siedem zasad: zgodność z prawem, rzetelność i przejrzystość; ograniczenie celu; minimalizacja; prawidłowość; ograniczenie przechowywania; bezpieczeństwo; rozliczalność.
- Używaj danych tylko w podanym celu i tylko w takim zakresie, jakiego potrzebujesz.
- Nie przechowuj danych dłużej, niż to konieczne.
- Rozliczalność oznacza umiejętność wykazania, co i dlaczego zostało zrobione.