O artigo 5.º do UK GDPR enumera sete princípios. São a base de toda a lei de proteção de dados. Quase todas as regras deste curso decorrem de um deles.
1. Licitude, lealdade e transparência
Os dados pessoais devem ser usados de forma lícita, leal e compreensível para as pessoas. Tem de existir um fundamento de licitude (lição 3). Não se deve induzir ninguém em erro. As pessoas devem ser informadas do que se faz com os seus dados, normalmente através de um aviso de privacidade (privacy notice).
2. Limitação das finalidades
Os dados devem ser recolhidos para fins específicos e claros e não ser usados mais tarde de uma forma que não se ajuste a esses fins. Um número de telefone dado para reservar uma mesa não deve ser entregue a uma empresa de marketing.
3. Minimização dos dados
Recolha apenas o que for adequado, pertinente e limitado ao que é necessário. Não peça a data de nascimento, nem guarde cópias de documentos de identificação, quando o trabalho não o exige.
4. Exatidão
Os dados devem ser exatos e, quando necessário, atualizados. Dados errados podem levar a decisões erradas sobre uma pessoa. Tome medidas razoáveis para corrigir ou apagar sem demora os dados que estejam errados.
5. Limitação da conservação
Não conserve dados pessoais durante mais tempo do que o necessário para a finalidade. Os empregadores devem fixar prazos de conservação e apagar ou anonimizar os dados quando terminam. Não guarde cópias próprias «por precaução».
6. Integridade e confidencialidade (segurança)
Os dados pessoais devem ser mantidos seguros. Isso significa proteção contra o uso não autorizado ou ilícito, e contra a perda, a destruição ou os danos acidentais. O responsável tem de aplicar medidas técnicas e organizativas adequadas. A lição 5 explica o que isto significa no trabalho diário.
7. Responsabilidade
O responsável tem de assumir a responsabilidade e conseguir demonstrar que cumpre as regras (artigo 5.º, n.º 2). Fá-lo através de políticas, registos, formação, avaliações de risco e contratos. A formação do pessoal faz parte disso.
Os princípios em ação
Pense num grupo de WhatsApp do pessoal onde os chefes publicam números de telefone de clientes e pormenores de reclamações.
- Transparência: os clientes contavam com isto?
- Finalidade: o número foi recolhido para ser partilhado num grupo de conversa?
- Minimização: todos os do grupo precisam dele?
- Segurança: quem mais pode ver o telemóvel e o que acontece se se perder?
- Conservação: as mensagens serão alguma vez apagadas?
Um hábito simples resolve a maior parte: antes de usar dados pessoais, pergunte: Preciso deles? Posso usá-los para isto? Estão seguros? Serão apagados no momento devido?
A responsabilidade no trabalho
- Cumpra as políticas e a formação do seu empregador.
- Respeite a finalidade para que os dados foram recolhidos.
- Registe o que lhe for pedido registar, e nada mais.
- Comunique cedo os problemas e as dúvidas.
- Não crie sistemas paralelos, como folhas de cálculo privadas, a não ser que o empregador o permita.
O que os princípios não significam
Os princípios não o impedem de partilhar ou usar dados quando há uma boa razão. A lei de proteção de dados não é motivo para recusar todos os pedidos. Pede-lhe que use os dados corretamente. Partilhar informação para proteger uma criança ou alguém em risco, por exemplo, é permitido quando é feito de acordo com a lei e com o procedimento do empregador.