Wszystkie przepisy rozporządzenia opierają się na zasadach z art. 5. Jeśli je znasz, samodzielnie ocenisz większość sytuacji.
1. Zgodność z prawem, rzetelność i przejrzystość
Musisz mieć ważną podstawę prawną przetwarzania (lekcja 3). Przetwarzanie ma być rzetelne, a ludzie mają wiedzieć, co się dzieje z ich danymi. Ukryte rejestry są zabronione.
2. Ograniczenie celu
Dane należy zbierać w konkretnych, wyraźnie określonych i prawnie uzasadnionych celach. Nie można ich ot tak wykorzystać do czegoś zupełnie innego.
Przykład: klient podaje numer telefonu, by dostać wiadomość o dostawie. Nie możesz użyć tego numeru do marketingu bez odrębnej podstawy.
3. Minimalizacja danych
Wolno przetwarzać tylko dane adekwatne, stosowne i ograniczone do tego, co niezbędne. Zadaj sobie pytanie: czy naprawdę tego potrzebuję? Formularz, który pyta o datę urodzenia, adres i stan cywilny, gdy chcesz tylko wysłać potwierdzenie zapisu na newsletter, narusza tę zasadę.
4. Prawidłowość
Dane mają być prawidłowe i w razie potrzeby aktualizowane. Nieprawidłowe dane należy bez zwłoki sprostować lub usunąć. Błąd w teczce osobowej lub profilu klienta może poważnie zaszkodzić osobie, której dotyczy.
5. Ograniczenie przechowywania
Dane nie mogą być przechowywane dłużej, niż to konieczne dla celu. Gdy cel został osiągnięty i żaden przepis nie wymaga ich zachowania, należy je usunąć lub zanonimizować. Wiele organizacji ma terminy usuwania dla różnych rodzajów danych. Przestrzegaj ich. Część danych trzeba przechowywać długo, np. dokumenty księgowe na podstawie ustawy o rachunkowości (bokføringsloven), ale to nie znaczy, że wszystko może leżeć w nieskończoność.
6. Integralność i poufność
Dane mają być chronione przed nieuprawnionym dostępem, utratą i uszkodzeniem za pomocą odpowiednich środków technicznych i organizacyjnych. Tu liczy się twoje codzienne zachowanie: hasła, blokowanie ekranu, ostrożność przy e-mailach i załącznikach (lekcje 5 i 6).
7. Rozliczalność
Administrator musi umieć wykazać, że przestrzega przepisów. Wymaga to dokumentacji: procedur, umów, szkoleń, ocen ryzyka i rejestru czynności przetwarzania (art. 30). Datatilsynet może zażądać takiej dokumentacji podczas kontroli.
Uwzględnianie ochrony danych w fazie projektowania
Zgodnie z art. 25 nowe systemy i procedury mają być zbudowane tak, by ochrona danych była zapewniona od początku, a domyślnym wyborem był ten najbardziej chroniący prywatność. Jeśli chcesz zacząć używać nowego narzędzia, które przechowuje dane osobowe, należy to najpierw uzgodnić z osobą odpowiedzialną za ochronę danych.
Przykład z biura
Pracownik działu kadr ma starą listę z nazwiskami, numerami identyfikacyjnymi i absencją chorobową z projektu zakończonego dwa lata temu. Lista leży w prywatnym folderze na pulpicie. Narusza to kilka zasad naraz: cel przestał istnieć (ograniczenie przechowywania), lista zawiera więcej, niż trzeba (minimalizacja danych), nie jest aktualna (prawidłowość) i leży poza zatwierdzonymi systemami (integralność i poufność). Właściwe postępowanie to zapytać, kto odpowiada za usuwanie, i zastosować zasady organizacji dotyczące terminów usuwania takich danych.
Praktyczne zasady na co dzień
- Zbieraj tylko to, czego potrzebujesz.
- Używaj danych tylko do tego, do czego je zebrano.
- Nie trzymaj prywatnych kopii ani własnych list poza systemami organizacji.
- Usuwaj to, co nie jest już potrzebne, zgodnie z procedurami organizacji.
- Pomyśl: czy osoba spodziewałaby się, że to robimy?