Art. 5 GDPR stabilește principiile de bază. Orice prelucrare a datelor personale trebuie să le respecte. Pentru munca de zi cu zi, cele mai importante sunt următoarele.
Cele șapte principii
- Legalitate, echitate și transparență. Datele se prelucrează conform legii, în mod corect și astfel încât oamenii să știe ce se întâmplă cu ele.
- Limitarea scopului. Datele se colectează pentru un scop determinat, explicit și legitim. Apoi nu pot fi folosite pentru altceva care nu are legătură. Adresa dintr-o comandă servește la livrare, nu la publicitate nesolicitată de client.
- Reducerea la minimum a datelor. Colectați doar ce este necesar pentru scop. Pentru înscrierea la o bibliotecă nu aveți nevoie de starea civilă.
- Exactitate. Datele trebuie să fie corecte și actualizate. Cele inexacte se rectifică sau se șterg.
- Limitarea stocării. Datele se păstrează doar cât este necesar pentru scop. Apoi se șterg sau se anonimizează. Unele termene le stabilește legea, de exemplu arhivarea fișelor de salarizare.
- Integritate și confidențialitate. Datele se protejează împotriva accesului neautorizat, a pierderii și a deteriorării.
- Responsabilitate. Operatorul trebuie să poată dovedi că respectă principiile. De aceea se țin evidențe, politici și instrucțiuni scrise.
Cum arată în practică
Exemplul 1 – scopul. O firmă a colectat numerele de telefon ale angajaților pentru situații de urgență. Nu le poate folosi pentru invitații la un eveniment privat al unui partener comercial.
Exemplul 2 – reducerea la minimum. Un formular de abonare la noutăți are nevoie de e-mail. Data nașterii și adresa nu sunt necesare, nu le cereți.
Exemplul 3 – limitarea stocării. CV-urile candidaților respinși nu pot fi păstrate la nesfârșit. Angajatorul ar trebui să stabilească un termen și să le șteargă după el sau să ceară consimțământul pentru o păstrare mai lungă.
Exemplul 4 – confidențialitatea. Tabelul cu salarii nu se trimite prin e-mail întregului departament. Se trimite doar celor care au nevoie de el.
Protecția datelor începând cu momentul conceperii și în mod implicit
Art. 25 GDPR cere ca sistemele să fie configurate astfel încât în mod implicit să prelucreze doar datele necesare, iar accesul să-l aibă doar persoanele autorizate. Când creați dumneavoastră un formular, un tabel sau o listă, procedați la fel: nimic în plus, acces doar pentru cei care au nevoie.
Anonimizare și pseudonimizare
Datele anonimizate nu mai pot fi atribuite niciunei persoane, nici cu ajutorul altor informații. GDPR nu se aplică unor asemenea date (considerentul 26). Pseudonimizarea doar înlocuiește numele cu un cod sau un număr (art. 4 pct. 5). Cine are cheia poate identifica din nou persoana, de aceea rămân date personale. Un tabel în care în loc de nume stau numerele de angajat nu este deci anonim.
Principiul „need to know”
Și în interiorul firmei datele le vede doar cine are nevoie de ele la lucru. Faptul că aveți acces tehnic în sistem nu înseamnă încă că aveți voie să deschideți datele. A consulta din curiozitate fișa unui coleg, a unui vecin sau a unui cunoscut este prelucrare neautorizată.
Ce faceți când nu sunteți sigur
- Întrebați-vă șeful sau responsabilul cu protecția datelor, dacă firma are unul numit.
- Nu colectați și nu partajați date „pentru orice eventualitate”.
- Când aveți îndoieli, nu trimiteți datele și așteptați răspunsul.
Ce trebuie să rețineți
- Date doar pentru scopul stabilit, doar în măsura necesară și doar cât timp este necesar.
- Operatorul trebuie să poată dovedi respectarea principiilor.
- Accesul în sistem nu este o autorizare de a consulta datele fără motiv de serviciu.
Un exemplu din birou
O colegă de la resurse umane vrea să știe cine din echipă este bolnav, ca să organizeze înlocuirea. Are nevoie doar de informația că colegul nu va fi la serviciu, nu de diagnostic. La fel, șeful trebuie să știe cine este azi prezent, dar nu de ce lipsește cineva. Întrebați-vă întotdeauna: Chiar am nevoie de această informație pentru scop? Dacă nu, nu o cereți și nu o partajați.