Czasami dane osobowe trzeba przekazać komuś innemu. Obowiązuje wtedy kilka reguł, które warto znać.
Przekazywanie danych w organizacji
Dostęp mają mieć tylko osoby, które potrzebują danych do pracy. Twoje uprawnienia w systemie są częścią ochrony pracodawcy. To, że możesz zobaczyć jakąś informację, nie znaczy, że wolno ci w nią zaglądać. Sprawdzenie znajomego, sąsiada lub znanej osoby bez powodu służbowego to nieuprawniony dostęp, nawet jeśli nikt inny tego nie zauważy. Systemy często rejestrują dostęp, a kto zagląda bez powodu, może ponieść konsekwencje dyscyplinarne.
Przekazywanie danych komuś z zewnątrz
Zanim wyślesz dane osobie spoza organizacji, zapytaj:
- Kim jest odbiorca i co zrobi z danymi?
- Czy organizacja ma podstawę prawną i cel obejmujące to ujawnienie?
- Czy odbiorca ma prawo je otrzymać? Sprawdź, kim jest ta osoba.
- Czy istnieje umowa powierzenia przetwarzania, jeśli odbiorca działa w waszym imieniu?
Nie podawaj danych przez telefon komuś, kogo nie możesz zidentyfikować. Poproś raczej o możliwość oddzwonienia i zadzwoń pod numer, który już masz.
Podmioty przetwarzające
Gdy dostawca przetwarza dane w imieniu pracodawcy, na przykład biuro rachunkowe prowadzące płace lub usługa w chmurze, wymagana jest pisemna umowa powierzenia (art. 28). Umowa określa między innymi, jakie dane dostawca może przetwarzać, jak są chronione i co obowiązuje po jej zakończeniu. Nie zaczynaj na własną rękę korzystać z nowej usługi z danymi osobowymi, dopóki nie zostanie to ustalone.
Poza UE i EOG
Dane osobowe można swobodnie przekazywać w UE i EOG. Przekazanie do kraju spoza tego obszaru wymaga dodatkowych zabezpieczeń na mocy rozdziału V RODO. Może to być decyzja Komisji Europejskiej stwierdzająca odpowiedni poziom ochrony albo standardowe klauzule umowne. Niektóre usługi w chmurze mają serwery lub pomoc techniczną poza UE. Ocena należy do pracodawcy, ale ty masz zapytać, zanim zaczniesz korzystać z nowej usługi.
Zasada jawności dokumentów urzędowych a RODO
Jeśli pracujesz w urzędzie, gminie lub regionie, obowiązuje szczególny system.
- Zasada jawności dokumentów urzędowych (offentlighetsprincipen) wynika z ustawy zasadniczej o wolności prasy (tryckfrihetsförordningen). Każdy ma prawo zapoznać się z dokumentami urzędowymi będącymi w posiadaniu organów. Dokument jest urzędowy, jeśli jest przechowywany w organie i został tam złożony lub sporządzony.
- Ustawa o jawności i tajemnicy (2009:400) (offentlighets- och sekretesslagen) określa, które informacje są objęte tajemnicą i dlatego nie mogą być ujawnione.
- Zgodnie z rozdz. 1 § 7 dataskyddslagen przepisy o ochronie danych nie mają zastosowania w zakresie, w jakim byłoby to sprzeczne z tryckfrihetsförordningen. RODO nie jest więc powodem do odmowy udostępnienia dokumentu urzędowego, który nie jest objęty tajemnicą.
Kilka ważnych punktów:
- O udostępnieniu rozstrzyga się według przepisów o tajemnicy. Dokument, który nie jest tajny, wydaje się, nawet jeśli zawiera dane osobowe.
- Organ co do zasady nie może pytać, dlaczego ktoś chce zobaczyć dokument ani kim jest, chyba że jest to potrzebne do oceny tajemnicy (tryckfrihetsförordningen rozdz. 2 § 18).
- Przepisy o ochronie danych obowiązują jednak w zakresie tego, jak organ zbiera, przechowuje, chroni i wybrakowuje dane we własnych systemach.
Oba zbiory przepisów obowiązują więc jednocześnie i uzupełniają się. Jeśli nie masz pewności, czy coś wolno ujawnić, zapytaj osobę odpowiedzialną, na przykład rejestratora, prawnika lub inspektora ochrony danych.
Marketing
Ludzie mają bezwzględne prawo sprzeciwu wobec marketingu bezpośredniego (art. 21 ust. 3). Jeśli ktoś mówi „przestańcie mi słać reklamy”, przekaż to od razu dalej. Przepisy o marketingu przez e-mail i SMS znajdują się też w ustawie o marketingu (marknadsföringslagen), a zasady dotyczące plików cookie na stronach internetowych w ustawie o łączności elektronicznej (lagen om elektronisk kommunikation). Zanim wyślesz mailing, zapytaj osobę odpowiedzialną.