Datele personale nu pot fi prelucrate după bunul plac. Articolul 5 din GDPR stabilește șapte principii care vă ghidează în fiecare sarcină. Când nu știți ce să faceți, recitiți această listă.
Principiile din articolul 5
- Legalitate, echitate și transparență. Trebuie să existe un temei legal, nu se induce nimeni în eroare și se explică clar ce se face cu datele.
- Limitarea scopului. Datele se colectează pentru un scop precis și nu se folosesc apoi în alt scop incompatibil. Datele dintr-un formular de angajare nu servesc la trimiterea de publicitate.
- Reducerea la minimum. Se cer și se folosesc doar datele necesare. Dacă ajunge numele, nu se cere și data nașterii.
- Exactitate. Datele trebuie să fie actualizate. Dacă cineva semnalează o greșeală, aceasta se corectează.
- Limitarea stocării. Datele nu se păstrează la nesfârșit, ci cât timp sunt necesare sau cât cere o lege.
- Integritate și confidențialitate. Se protejează împotriva accesului neautorizat, a pierderii și a distrugerii.
- Responsabilitate. Firma trebuie să poată demonstra că respectă regulile, cu documente, evidențe și proceduri.
Temeiurile care permit prelucrarea datelor
Pentru a prelucra date este nevoie de cel puțin unul dintre temeiurile din articolul 6 din GDPR:
- consimțământul persoanei
- executarea unui contract, de exemplu contractul de muncă
- o obligație legală, cum ar fi comunicarea datelor către Seguridad Social (sistemul spaniol de asigurări sociale)
- protejarea intereselor vitale ale unei persoane
- o sarcină de interes public sau exercitarea autorității publice
- un interes legitim al firmei sau al unui terț, atât timp cât nu prevalează drepturile persoanei
Pentru o firmă, majoritatea datelor personalului se prelucrează în baza contractului și a obligațiilor legale: state de plată, angajări, contribuții și rețineri. A cere consimțământul personalului este rareori un temei bun, pentru că lucrătorul depinde de firmă și poate să nu se simtă liber să refuze.
Consimțământul
Când consimțământul este totuși temeiul, el trebuie să fie liber, specific, informat și lipsit de ambiguitate, exprimat printr-o declarație sau o acțiune clară. O casetă deja bifată sau tăcerea nu sunt valabile. Persoana îl poate retrage oricând, iar retragerea trebuie să fie la fel de simplă ca acordarea.
Vârsta minorilor
LOPDGDD, la articolul 7, stabilește vârsta de 14 ani de la care un minor poate consimți singur la prelucrarea datelor sale. Sub această vârstă este nevoie de consimțământul titularului autorității părintești sau al tutorelui. Acest lucru contează în academii, cluburi sportive, instituții de învățământ și firme care oferă servicii familiilor.
Informațiile care trebuie date
Când se colectează date, persoana trebuie informată (articolele 13 și 14 din GDPR): cine este operatorul, pentru ce se folosesc datele, pe ce temei legal, cui sunt comunicate, cât timp se păstrează și ce drepturi are. LOPDGDD (articolul 11) permite ca informarea să se facă pe straturi: o informare de bază la vedere, iar restul într-un loc ușor de găsit, de exemplu o adresă web.
Rețineți: dacă veți folosi datele pentru ceva nou, care nu a fost explicat persoanei, consultați mai întâi persoana potrivită din firma dumneavoastră.