Art. 5 GDPR enumeră principiile valabile pentru orice prelucrare. Sunt baza tuturor celorlalte reguli: dacă le țineți minte, puteți rezolva singur multe situații neclare.
Cele șapte principii
- Legalitate, echitate și transparență. Datele se prelucrează pe un temei prevăzut de lege, în mod corect și spunându-le oamenilor ce se întâmplă cu datele lor.
- Limitarea scopului. Datele se colectează pentru scopuri determinate și legitime și nu se folosesc apoi pentru scopuri incompatibile.
- Reducerea la minimum a datelor. Se folosesc doar datele adecvate, relevante și limitate la ceea ce este necesar.
- Exactitatea. Datele trebuie să fie corecte și, dacă e nevoie, actualizate. O dată greșită trebuie corectată sau ștearsă fără întârziere.
- Limitarea stocării. Datele se păstrează doar cât este necesar pentru scop, apoi se șterg sau se anonimizează.
- Integritate și confidențialitate. Datele trebuie protejate, prin măsuri adecvate, împotriva accesului neautorizat, a pierderii și a distrugerii.
- Responsabilitatea (în engleză accountability, art. 5 alin. 2). Operatorul trebuie să respecte principiile și să poată demonstra acest lucru.
Exemple din munca de zi cu zi
- Scopul. Lista clienților servește la executarea comenzilor. A o folosi pentru urări personale sau pentru reclama unei alte afaceri nu este același lucru.
- Reducerea la minimum. Pentru a rezerva o masă sunt de ajuns numele și telefonul. A cere și data nașterii și adresa este prea mult.
- Exactitatea. Dacă un client vă comunică un număr nou, actualizați-l oriunde este nevoie, nu doar în foaia dumneavoastră.
- Păstrarea. Copiile documentelor, foile tipărite și dosarele din rețea nu se păstrează pentru totdeauna „de siguranță". Firma ar trebui să stabilească cât se păstrează fiecare categorie.
- Confidențialitatea. Un document cu date personale nu rămâne pe birou la vederea celor care trec pe acolo.
Protecția datelor începând cu momentul conceperii
Art. 25 GDPR cere operatorului să se gândească la protecția datelor încă de la conceperea unui sistem și în mod implicit. Un formular, o aplicație sau o procedură nouă trebuie să colecteze în mod implicit doar datele necesare. Dacă participați la alegerea unui instrument nou, întrebați-vă: ce date colectează? Cine le vede? Cât timp rămân?
Nu se poate face orice „pentru că e comod"
Faptul că o informație este la îndemână nu înseamnă că o puteți folosi în orice scop. A te uita la datele unui coleg, ale unui vecin sau ale unei persoane cunoscute din curiozitate nu face parte din muncă: încalcă principiile scopului și confidențialității.
Evidența activităților de prelucrare
Operatorul descrie prelucrările în evidența activităților de prelucrare (art. 30 GDPR): ce date, ale cui, în ce scop, pentru cât timp, cui sunt comunicate. Obligația are o excepție pentru firmele cu mai puțin de 250 de angajați, care nu se aplică însă dacă prelucrarea prezintă un risc pentru drepturile persoanelor, nu este ocazională sau privește categorii speciale de date. De obicei o firmă cu personal are oricum o prelucrare neocazională, deci ține evidența. Aceasta este o sarcină a angajatorului, nu a dumneavoastră, dar puteți ajuta semnalând dacă folosiți o dată sau un instrument nou.
De reținut
- Scop clar, puține date, date corecte, timp limitat, protecție.
- Operatorul trebuie să poată demonstra acest lucru prin proceduri și documente.