Artykuł 5 UK GDPR wymienia siedem zasad. Są podstawą całego prawa ochrony danych. Niemal każda reguła w tym kursie wynika z którejś z nich.
1. Zgodność z prawem, rzetelność i przejrzystość
Dane osobowe muszą być wykorzystywane zgodnie z prawem, rzetelnie i w sposób zrozumiały dla ludzi. Musi istnieć podstawa prawna (lekcja 3). Nie wolno wprowadzać ludzi w błąd. Należy im powiedzieć, co dzieje się z ich danymi, zwykle w informacji o prywatności (privacy notice).
2. Ograniczenie celu
Dane trzeba zbierać w konkretnych, jasnych celach i nie wykorzystywać ich później w sposób niezgodny z tymi celami. Numeru telefonu podanego przy rezerwacji stolika nie wolno przekazać firmie marketingowej.
3. Minimalizacja danych
Zbieraj tylko to, co jest odpowiednie, istotne i ograniczone do potrzeb. Nie pytaj o datę urodzenia ani nie przechowuj kopii dokumentów tożsamości, jeśli praca tego nie wymaga.
4. Prawidłowość
Dane muszą być prawidłowe i, w razie potrzeby, aktualne. Błędne dane mogą prowadzić do błędnych decyzji dotyczących danej osoby. Podejmij rozsądne kroki, by bez zwłoki poprawić lub usunąć błędne dane.
5. Ograniczenie przechowywania
Nie przechowuj danych osobowych dłużej, niż potrzeba do celu. Pracodawcy powinni ustalać okresy przechowywania i usuwać lub anonimizować dane po ich upływie. Nie rób własnych kopii „na wszelki wypadek”.
6. Integralność i poufność (bezpieczeństwo)
Dane osobowe muszą być bezpieczne. Oznacza to ochronę przed nieuprawnionym lub niezgodnym z prawem wykorzystaniem, przypadkową utratą, zniszczeniem lub uszkodzeniem. Administrator musi stosować odpowiednie środki techniczne i organizacyjne. Lekcja 5 pokazuje, co to znaczy w codziennej pracy.
7. Rozliczalność
Administrator musi brać odpowiedzialność i umieć wykazać, że przestrzega przepisów (art. 5 ust. 2). Robi to przez polityki, rejestry, szkolenia, oceny ryzyka i umowy. Szkolenie pracowników jest częścią tego obowiązku.
Zasady w praktyce
Weźmy firmową grupę na WhatsAppie, w której kierownicy wrzucają numery telefonów klientów i szczegóły reklamacji.
- Przejrzystość: czy klienci się tego spodziewali?
- Cel: czy numer zebrano po to, by dzielić się nim w grupie czatu?
- Minimalizacja: czy każdy w grupie go potrzebuje?
- Bezpieczeństwo: kto jeszcze widzi telefon i co, jeśli zostanie zgubiony?
- Przechowywanie: czy wiadomości kiedykolwiek zostaną usunięte?
Jeden prosty nawyk załatwia większość spraw. Zanim użyjesz danych osobowych, zapytaj: Czy ich potrzebuję? Czy wolno mi użyć ich w tym celu? Czy są bezpieczne? Czy zostaną usunięte, kiedy trzeba?
Rozliczalność w codziennej pracy
- Stosuj polityki i szkolenia swojego pracodawcy.
- Trzymaj się celu, w którym dane zebrano.
- Zapisuj to, co masz zapisać, i nic więcej.
- Zgłaszaj problemy i wątpliwości wcześnie.
- Nie twórz własnych systemów pobocznych, np. prywatnych arkuszy, jeśli pracodawca na to nie pozwala.
Czego zasady nie oznaczają
Zasady nie zabraniają udostępniać ani wykorzystywać danych, gdy jest ku temu dobry powód. Prawo ochrony danych nie jest powodem, by odmawiać każdej prośbie. Wymaga właściwego korzystania z danych. Przekazanie informacji w celu ochrony dziecka lub osoby zagrożonej jest na przykład dozwolone, jeśli odbywa się zgodnie z prawem i procedurą pracodawcy.