Zanim ktokolwiek zacznie przetwarzać dane osobowe, musi istnieć podstawa prawna z art. 6 rozporządzenia. Jest ich sześć:
- Zgoda osoby, której dane dotyczą.
- Umowa: przetwarzanie jest niezbędne do wykonania umowy z osobą lub do podjęcia działań na jej żądanie przed zawarciem umowy.
- Obowiązek prawny: prawo wymaga przetwarzania, np. danych płacowych dla organów podatkowych.
- Żywotne interesy: aby chronić życie i zdrowie, gdy jest to konieczne.
- Zadanie realizowane w interesie publicznym lub w ramach sprawowania władzy publicznej.
- Prawnie uzasadniony interes: organizacja lub strona trzecia ma uzasadniony interes, a interesy i prawa osoby nie są nadrzędne wobec tego interesu. Organy publiczne nie mogą stosować tej podstawy przy realizacji swoich zadań.
To pracodawca wybiera i dokumentuje podstawę. Mimo to trzeba wiedzieć, co obowiązuje przy twoich zadaniach.
Zgoda: co jest wymagane?
Zgoda według art. 4 i 7 musi być:
- dobrowolna: osoba ma rzeczywisty wybór
- konkretna: dotyczy określonego celu
- świadoma: osoba wie, na co się zgadza
- jednoznaczna: aktywne działanie, a nie wcześniej zaznaczone pole ani milczenie
Musisz umieć udokumentować, że zgoda została udzielona. Osoba może też w każdej chwili cofnąć zgodę, a cofnięcie ma być równie łatwe jak udzielenie.
Zgoda w stosunku pracy
Pracownik jest zależny od pracodawcy. Dlatego zgoda jest między pracodawcą a pracownikiem rzadko bezpieczną podstawą, bo trudno powiedzieć „nie”. Pracodawca powinien raczej zastosować inną podstawę, np. umowę (umowę o pracę), obowiązek prawny lub prawnie uzasadniony interes. Zgoda może się sprawdzić przy czymś naprawdę dobrowolnym, np. umieszczeniu twojego zdjęcia na stronie internetowej. Wtedy musisz móc odmówić bez żadnych następstw.
Szczególne kategorie
Dla danych o zdrowiu i innych szczególnych kategorii potrzebny jest wyjątek z art. 9 oprócz podstawy z art. 6. Dla stosunku pracy są odrębne przepisy w § 6 ustawy o danych osobowych (personopplysningsloven). Zawsze pytaj, jak postępować z takimi danymi, i nie udostępniaj ich „na wszelki wypadek”.
Obowiązek informacyjny
Ludzie mają prawo wiedzieć, co się dzieje z ich danymi (art. 13 i 14). Organizacja musi poinformować m.in.:
- kto jest administratorem
- jaki jest cel i podstawa
- kto otrzymuje dane
- jak długo są przechowywane
- jakie prawa przysługują osobie
Zwykle robi się to przez informację o prywatności lub pismo informacyjne. Pracownicy mają otrzymać takie informacje o tym, jak organizacja przetwarza ich własne dane.
Dzieci
Norwegia ustaliła granicę wieku dla samodzielnej zgody dziecka na 13 lat w odniesieniu do usług społeczeństwa informacyjnego (§ 5 ustawy o danych osobowych). Dla młodszych dzieci wymagana jest zgoda rodziców lub opiekunów. Dane osobowe dzieci wymagają szczególnej ostrożności.
Masz stosować się do poleceń pracodawcy
Zgodnie z art. 29 i 32 ust. 4 osoby mające dostęp do danych osobowych mogą je przetwarzać wyłącznie na polecenie administratora. Sprawdzanie w systemie, do którego masz dostęp, osoby znanej z mediów, sąsiada czy byłego partnera nie należy do pracy i jest nieuprawnionym dostępem, nawet jeśli niczego nie udostępniasz dalej.