Prawie każda praca wiąże się z danymi osobowymi. Recepcjonistka zapisuje nazwisko gościa. Sprzedawca przyjmuje adres dostawy. Pielęgniarka czyta kartę pacjenta. Urzędnik w urzędzie miasta rejestruje wniosek o mieszkanie. Prawo ochrony danych określa, jak należy postępować z takimi informacjami, i dotyczy ciebie tak samo jak twojego pracodawcy.
Prawo w Irlandii
- Ogólne rozporządzenie o ochronie danych (RODO, ang. GDPR), rozporządzenie (UE) 2016/679, obowiązuje w Irlandii bezpośrednio. To główny zbiór przepisów.
- Data Protection Act 2018 (irlandzka ustawa o ochronie danych) działa obok niego. Dodaje do RODO irlandzkie szczegóły: Data Protection Commission i jej uprawnienia, wiek zgody cyfrowej, kary dla instytucji publicznych, powództwa przed sądem i przestępstwa.
- ePrivacy Regulations 2011 (S.I. No. 336 of 2011, irlandzkie przepisy o prywatności w łączności elektronicznej) dotyczą marketingu przez e-mail, SMS i telefon oraz plików cookie. Poznasz je w lekcji 3.
Irlandia należy do UE, więc stosuje unijne RODO. Wielka Brytania ma własne, osobne „UK GDPR”. Nie myl ich.
Organem nadzorczym jest Data Protection Commission (DPC), irlandzki organ ochrony danych. Publikuje wytyczne, przyjmuje skargi oraz może prowadzić postępowania i nakładać kary na organizacje. Jego uprawnienia opisuje lekcja 8.
Dane osobowe
Dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania żyjącej osobie. Nie muszą być tajne. Przykłady:
- imię i nazwisko, adres, adres e-mail lub numer telefonu;
- zdjęcie, obraz z monitoringu lub nagranie głosu;
- numer pracownika, numer konta klienta lub identyfikator internetowy, taki jak adres IP;
- notatka w aktach o tym, co dana osoba powiedziała lub zrobiła.
Jeśli da się ustalić, kogo dotyczy informacja, na przykład łącząc ją z innymi danymi, są to dane osobowe. Informacje o firmie nie są danymi osobowymi. Imię i nazwisko oraz służbowy e-mail osoby z tej firmy już tak.
Dane szczególnych kategorii
Niektóre dane są bardziej wrażliwe, bo ich niewłaściwe użycie może wyrządzić realną szkodę. Dane szczególnych kategorii (art. 9) to informacje o:
- pochodzeniu rasowym lub etnicznym;
- poglądach politycznych;
- przekonaniach religijnych lub światopoglądowych;
- członkostwie w związkach zawodowych;
- danych genetycznych i biometrycznych służących do identyfikacji osoby;
- zdrowiu;
- seksualności lub orientacji seksualnej.
Organizacja potrzebuje dodatkowej przesłanki prawnej, by używać takich danych. Dodatkową ochroną objęte są też dane o wyrokach skazujących i przestępstwach (art. 10). Data Protection Act 2018 doprecyzowuje, kiedy wolno ich używać. Przy wszystkich takich danych zachowuj większą ostrożność za każdym razem.
Przetwarzanie
Przetwarzanie oznacza prawie wszystko, co robisz z danymi osobowymi: zbieranie, zapisywanie, przechowywanie, przeglądanie, zmienianie, wysyłanie, udostępnianie, usuwanie. Nawet przeczytanie rekordu na ekranie jest przetwarzaniem.
Kto jest kim
- Administrator decyduje, po co i jak używa się danych osobowych. Twój pracodawca jest zwykle administratorem danych swoich klientów i swoich pracowników.
- Podmiot przetwarzający przetwarza dane w imieniu administratora i tylko na jego polecenie, na przykład biuro rachunkowe prowadzące płace lub dostawca usług w chmurze.
- Osoba, której dane dotyczą, to osoba, o której są te dane.
- Inspektor ochrony danych (IOD, ang. DPO) doradza organizacji. Musi go wyznaczyć każdy organ i podmiot publiczny oraz organizacja, której główna działalność polega na monitorowaniu na dużą skalę lub na przetwarzaniu danych szczególnych kategorii. Wiele innych robi to dobrowolnie.
Za przestrzeganie prawa odpowiada organizacja. Ale to pracownicy obchodzą się z danymi na co dzień, dlatego ich błędy powodują większość naruszeń. Sekcja 145 ustawy z 2018 r. czyni też przestępstwem przekazywanie danych osobowych uzyskanych bez upoważnienia.
Czego prawo nie obejmuje
RODO nie dotyczy czynności czysto osobistych lub domowych, takich jak twoja prywatna książka adresowa. Nie dotyczy informacji o osobach zmarłych, choć mogą nadal obowiązywać inne zobowiązania, na przykład tajemnica. Dotyczy natomiast danych osobowych na papierze, jeśli są przechowywane w uporządkowanym zbiorze.
Co zapamiętać
- Dane osobowe to wszystko, co bezpośrednio lub pośrednio identyfikuje żyjącą osobę.
- Dane szczególnych kategorii wymagają dodatkowej ostrożności i dodatkowej przesłanki prawnej.
- Twój pracodawca jest zwykle administratorem. Musisz stosować się do jego poleceń.
- DPC to irlandzki organ nadzorczy. W Irlandii prawem jest unijne RODO wraz z Data Protection Act 2018.