Artykuł 5 RODO zawiera podstawowe reguły, na których opierają się wszystkie pozostałe. Jeśli je znasz, często sam ocenisz, czy coś jest rozsądne.
Sześć zasad
- Zgodność z prawem, rzetelność i przejrzystość. Musi istnieć podstawa prawna (lekcja 3). Dane trzeba przetwarzać rzetelnie, a ludzie mają wiedzieć, co się dzieje z ich danymi.
- Ograniczenie celu. Dane trzeba zbierać w konkretnych, wyraźnych i prawnie uzasadnionych celach. Nie wolno ich potem wykorzystywać w sposób niezgodny z pierwotnym celem.
- Minimalizacja danych. Zbieraj tylko to, co jest adekwatne, stosowne i niezbędne. Zadaj sobie pytanie: czy naprawdę potrzebuję tej informacji?
- Prawidłowość. Dane muszą być prawidłowe i aktualne. Błędne dane trzeba bez zwłoki poprawić lub usunąć.
- Ograniczenie przechowywania. Nie przechowuj danych dłużej, niż potrzeba. Gdy cel zostanie osiągnięty, dane trzeba usunąć, zanonimizować lub, jeśli wymaga tego prawo, przechowywać według jego reguł.
- Integralność i poufność. Dane trzeba chronić przed nieuprawnionym dostępem, utratą i zniszczeniem. Wymaga to środków technicznych i organizacyjnych.
Rozliczalność
Zgodnie z art. 5 ust. 2 administrator musi umieć wykazać, że zasady są przestrzegane. Nie wystarczy więc postępować właściwie. Organizacja musi też móc udokumentować, że tak postępuje, na przykład przez procedury, rejestry i szkolenia.
Przykłady z codziennej pracy
- Cel. Sklep zbiera numery telefonów, by powiadomić o gotowym zamówieniu. Numeru nie wolno ot tak wykorzystać do reklamy.
- Minimalizacja. Formularz zapisu na newsletter potrzebuje adresu e-mail. Nie potrzebuje daty urodzenia ani adresu domowego.
- Prawidłowość. Klient przeprowadził się i to zgłosił. Wtedy adres trzeba zmienić wszędzie, gdzie jest używany.
- Przechowywanie. Dokumenty aplikacyjne z zakończonej rekrutacji nie powinny leżeć w nieskończoność. Pracodawca ustala okresy przechowywania, a ty ich przestrzegasz.
- Bezpieczeństwo. Lista danych klientów nie powinna leżeć otwarta na wspólnym pulpicie ani trafić do niewłaściwego odbiorcy.
Uwzględnianie ochrony danych w fazie projektowania
Artykuł 25 wymaga uwzględniania ochrony danych w fazie projektowania oraz domyślnej ochrony danych. Oznacza to, że systemy i procedury trzeba zaprojektować tak, by zasady były przestrzegane od początku. Domyślnie przetwarza się tylko dane potrzebne do danego celu, a dostęp mają tylko osoby, które ich potrzebują.
Twoja rola
- Wykorzystuj dane tylko do tego, czego wymaga praca.
- Nie zabieraj ze sobą więcej, niż potrzebujesz, i nie zapisuj własnych kopii w prywatnych plikach.
- Poprawiaj znalezione błędy albo powiadom osobę odpowiedzialną za dane.
- Przestrzegaj zasad i procedur usuwania danych. Pytaj, jeśli coś jest niejasne.
- Pamiętaj o zasadach także wtedy, gdy coś jest wygodne: to, co łatwe, nie zawsze jest legalne.
Przykład pokazujący wszystkie zasady
Koleżanka z działu kadr dostaje listę nieobecności chorobowych wszystkich pracowników, by zaplanować obsadę. Celem jest obsada, więc listy nie wolno używać do oceny, kto „choruje zbyt często”, w sprawie wynagrodzenia. Potrzebuje tylko dat i liczby dni, nie diagnoz. Lista ma być prawidłowa, chroniona uprawnieniami i usunięta, gdy przestanie być potrzebna. Tak zasady działają razem.