Articolul 5 din GDPR stabilește principiile din spatele fiecărei reguli din acest curs. Dacă le rețineți, puteți deduce ce este corect în majoritatea situațiilor.
1. Legalitate, echitate și transparență
Folosiți datele personale doar dacă aveți un temei legal (lecția 3), folosiți-le în moduri la care oamenii s-ar aștepta în mod rezonabil și spuneți-le ce faceți cu ele. Nu induceți oamenii în eroare cu privire la motivul pentru care le colectați datele.
2. Limitarea scopului
Colectați datele pentru un scop precis, declarat, și nu le folosiți ulterior pentru altceva incompatibil. Un număr de telefon colectat pentru a stabili o livrare nu este destinat marketingului, iar o listă cu zilele de naștere ale angajaților nu este destinată să fie dată unui magazin de cadouri.
3. Reducerea la minimum a datelor
Colectați doar ce este adecvat, relevant și limitat la ce vă trebuie. Dacă un formular cere data nașterii, întrebați de ce este necesară. Dacă răspunsul este „pentru orice eventualitate”, întrebarea trebuie eliminată.
4. Exactitatea
Păstrați datele exacte și actualizate. Corectați greșelile repede și anunțați persoanele potrivite. Datele greșite pot însemna o factură greșită, o decizie greșită sau o scrisoare trimisă unei persoane greșite.
5. Limitarea stocării
Nu păstrați datele personale mai mult decât este nevoie pentru scopul lor. Angajatorii ar trebui să aibă un calendar de păstrare care spune cât timp se păstrează fiecare tip de înregistrări. Unele înregistrări trebuie păstrate o perioadă prin lege, de exemplu cele fiscale și de salarizare. Când perioada se încheie, ștergeți sau distrugeți datele în siguranță. Datele anonimizate nu mai sunt date personale și pot fi păstrate.
6. Integritate și confidențialitate (securitate)
Protejați datele împotriva pierderii, deteriorării și accesului neautorizat, prin măsuri tehnice și organizatorice adecvate. Este principiul pe care îl aplicați în fiecare zi: blocarea ecranului, alegerea destinatarului potrivit, tocarea hârtiei. Vedeți lecția 5.
7. Responsabilitate
Operatorul trebuie să respecte legea și să poată dovedi acest lucru. Asta înseamnă politici scrise, instruire, evidența prelucrărilor, evidența încălcărilor și decizii consemnate în scris. Personalul ajută urmând procedurile și notând ce face.
Principiile în practică
Gândiți-vă la o recepționeră de spital care vede numele unui vecin pe lista zilei.
- Dacă se uită doar la înregistrările necesare pentru muncă, respectă reducerea la minimum și limitarea scopului.
- Dacă nu spune nimănui din afara serviciului, respectă confidențialitatea.
- Dacă își caută vecinul „din curiozitate”, încalcă principiile. Într-un organism public acest lucru se numește adesea „snooping” (cotrobăială în dosare). Poate fi o chestiune disciplinară și, în cazuri grave, o infracțiune.
Alt exemplu. O echipă de vânzări păstrează zece ani, „pentru orice eventualitate”, o foaie de calcul cu contacte ale clienților. Nimeni nu știe cine se află pe ea. Aceasta încalcă limitarea stocării și exactitatea, iar echipa nu poate demonstra responsabilitatea.
Evidența prelucrărilor
Articolul 30 cere multor operatori și persoane împuternicite să țină o evidență scrisă a activităților de prelucrare: ce date, ale cui, de ce, cine le primește, cât timp se păstrează și cum sunt securizate. Organizațiile cu mai puțin de 250 de angajați beneficiază de o derogare limitată, dar aceasta nu se aplică atunci când prelucrarea poate genera un risc pentru persoane, nu este ocazională sau implică categorii speciale de date ori date despre infracțiuni. În practică aproape orice angajator ține o evidență, pentru că păstrează în mod regulat date de sănătate sau de salarizare ale angajaților. Vi se poate cere să ajutați la actualizarea ei.
Protecția datelor începând cu momentul conceperii și implicit
Articolul 25 cere organizațiilor să integreze protecția datelor în sisteme și procese de la început și să configureze sistemele astfel încât, în mod implicit, să fie colectate doar datele necesare, iar accesul să-l aibă doar persoanele potrivite. Dacă participați la alegerea sau modificarea unui sistem, întrebați: ce date conține, cine le poate vedea și când sunt șterse?
Ce să rețineți
- Șapte principii: legalitate, echitate și transparență; limitarea scopului; reducerea la minimum a datelor; exactitate; limitarea stocării; securitate; responsabilitate.
- Folosiți datele doar pentru scopul declarat și doar cât aveți nevoie.
- Nu păstrați datele mai mult decât este necesar.
- Responsabilitatea înseamnă să puteți arăta ce ați făcut și de ce.