Toate regulile din GDPR se bazează pe principiile din articolul 5. Dacă le cunoașteți, puteți evalua singur majoritatea situațiilor.
1. Legalitate, echitate și transparență
Trebuie să aveți un temei valid pentru prelucrare (lecția 3). Prelucrarea trebuie să fie echitabilă, iar oamenii trebuie să afle ce se întâmplă cu datele lor. Registrele ascunse sunt interzise.
2. Limitarea scopului
Datele trebuie colectate pentru scopuri determinate, explicite și legitime. Nu pot fi folosite fără alte formalități pentru ceva cu totul diferit.
Exemplu: un client își dă numărul de telefon pentru a primi un mesaj de livrare. Nu puteți folosi numărul pentru marketing fără un temei separat pentru aceasta.
3. Reducerea la minimum a datelor
Trebuie să prelucrați numai date adecvate, relevante și limitate la ceea ce este necesar. Întrebați-vă: chiar am nevoie de aceasta? Un formular care cere data nașterii, adresa și starea civilă când trebuie doar să trimiteți o confirmare pentru un buletin informativ încalcă principiul.
4. Exactitatea
Datele trebuie să fie corecte și, la nevoie, actualizate. Datele inexacte trebuie rectificate sau șterse fără întârziere. O greșeală într-un dosar de personal sau într-un profil de client poate avea urmări mari pentru persoana în cauză.
5. Limitarea stocării
Datele nu trebuie păstrate mai mult decât este necesar pentru scop. Când scopul a fost atins și nicio lege nu cere păstrarea, datele trebuie șterse sau anonimizate. Multe întreprinderi au termene de ștergere pentru diferite tipuri de date. Respectați-le. Unele trebuie păstrate mult timp, de exemplu documentele contabile conform legii contabilității (bokføringsloven), dar asta nu înseamnă că totul poate rămâne pentru totdeauna.
6. Integritatea și confidențialitatea
Datele trebuie protejate împotriva accesului neautorizat, a pierderii și a deteriorării, prin măsuri tehnice și organizatorice adecvate. Aici intervine comportamentul dumneavoastră zilnic: parole, blocarea ecranului, atenția la e-mailuri și atașamente (lecțiile 5 și 6).
7. Responsabilitatea
Operatorul trebuie să poată demonstra că regulile sunt respectate. Aceasta cere documentație: proceduri, acorduri, instruire, evaluări de risc și o evidență a activităților de prelucrare (articolul 30). Datatilsynet poate cere o astfel de documentație în timpul unui control.
Protecția datelor începând cu momentul conceperii
Potrivit articolului 25, sistemele și procedurile noi trebuie construite astfel încât protecția datelor să fie asigurată de la început și cea mai favorabilă variantă pentru viața privată să fie cea implicită. Dacă urmează să introduceți un instrument nou care stochează date personale, ar trebui să lămuriți aceasta cu persoana responsabilă de protecția datelor înainte să începeți.
Un exemplu de la birou
Un angajat din departamentul de personal are o listă veche cu nume, fødselsnummer și absențe dintr-un proiect încheiat acum doi ani. Lista se află într-un dosar privat de pe desktop. Aici sunt încălcate mai multe principii deodată: scopul a dispărut (limitarea stocării), lista conține mai mult decât este necesar (reducerea la minimum a datelor), nu este actualizată (exactitatea) și se află în afara sistemelor autorizate (integritate și confidențialitate). Acțiunea corectă este să întrebați cine răspunde de ștergere și să urmați regulile întreprinderii privind momentul în care astfel de date trebuie eliminate.
Reguli simple pentru fiecare zi
- Colectați doar ce vă trebuie.
- Folosiți datele doar pentru scopul pentru care au fost colectate.
- Nu păstrați copii private și liste proprii în afara sistemelor întreprinderii.
- Ștergeți ce nu mai este necesar, conform procedurilor întreprinderii.
- Gândiți-vă: s-ar aștepta persoana ca noi să facem asta?