Înainte ca cineva să prelucreze date personale, trebuie să existe un temei al prelucrării în articolul 6 din GDPR. Există șase:
- Consimțământ din partea persoanei vizate.
- Contract: prelucrarea este necesară pentru executarea unui contract cu persoana sau pentru demersuri făcute la cererea ei înainte de încheierea contractului.
- Obligație legală: legea cere prelucrarea, de exemplu datele salariale pentru autoritățile fiscale.
- Interese vitale: pentru protejarea vieții și a sănătății, atunci când este necesar.
- Sarcină de interes public sau exercitarea autorității publice.
- Interes legitim: întreprinderea sau un terț are un interes legitim, iar interesele și drepturile persoanei nu prevalează asupra acestui interes. Autoritățile publice nu pot folosi acest temei în îndeplinirea sarcinilor lor.
Angajatorul este cel care alege și documentează temeiul. Totuși, ar trebui să știți ce se aplică pentru sarcinile dumneavoastră.
Consimțământul: ce se cere?
Un consimțământ potrivit articolelor 4 și 7 trebuie să fie:
- liber: persoana are o alegere reală
- specific: se referă la un anumit scop
- informat: persoana știe la ce spune da
- lipsit de ambiguitate: o acțiune activă, nu o casetă bifată în prealabil sau tăcerea
Trebuie să puteți dovedi că a fost dat consimțământul. Persoana poate să își retragă consimțământul oricând, iar retragerea trebuie să fie la fel de simplă ca acordarea.
Consimțământul în relația de muncă
Angajatul se află într-o relație de dependență față de angajator. De aceea consimțământul este rareori un temei sigur între angajator și angajat, fiindcă poate fi greu să spui nu. Angajatorul ar trebui să folosească mai degrabă alt temei, de exemplu contractul (contractul de muncă), o obligație legală sau interesul legitim. Consimțământul poate funcționa pentru ceva cu adevărat voluntar, de exemplu publicarea unei fotografii cu dumneavoastră pe site. Atunci trebuie să puteți spune nu fără consecințe.
Categorii speciale
Pentru datele privind sănătatea și alte categorii speciale este nevoie de o excepție din articolul 9, în plus față de un temei din articolul 6. Pentru relația de muncă există reguli proprii în Personopplysningsloven § 6. Întrebați întotdeauna cum să tratați astfel de date și nu le partajați „de siguranță".
Obligația de informare
Persoanele au dreptul să afle ce se întâmplă cu datele lor (articolele 13 și 14). Întreprinderea trebuie să comunice, printre altele:
- cine este operatorul
- scopul și temeiul
- cine primește datele
- cât timp sunt stocate
- ce drepturi are persoana
Aceasta se face de obicei printr-o notă de informare sau o circulară informativă. Angajații trebuie să primească astfel de informații despre modul în care întreprinderea le prelucrează propriile date.
Copiii
Norvegia a stabilit vârsta pentru consimțământul propriu al copilului la 13 ani în cazul serviciilor societății informaționale (Personopplysningsloven § 5). Pentru copiii mai mici este necesar consimțământul părinților sau al tutorilor. Datele personale ale copiilor merită o atenție suplimentară.
Trebuie să urmați instrucțiunile angajatorului
Conform articolelor 29 și 32 alin. 4, persoanele care au acces la date personale le pot prelucra numai conform instrucțiunilor operatorului. A căuta într-un sistem la care aveți acces o celebritate, un vecin sau un fost partener nu face parte din sarcinile de serviciu și reprezintă acces neautorizat, chiar dacă nu transmiteți nimic mai departe.