Orice prelucrare de date personale se întemeiază pe principii stabilite de GDPR la articolul 5. Ele sunt busola pentru a hotărî ce se poate face zi de zi cu informația.
Principiile din articolul 5
- Legalitate, echitate și transparență: datele sunt prelucrate legal, corect și clar pentru persoana vizată.
- Limitarea scopului: se colectează în scopuri determinate și legitime și nu se folosesc apoi în scopuri incompatibile. Numerele de urgență ale angajaților, de exemplu, nu servesc la trimiterea de reclame.
- Reducerea la minimum: se colectează numai ce este adecvat, relevant și necesar. Dacă o fișă de înscriere nu are nevoie de data nașterii, aceasta nu se cere.
- Exactitate: datele trebuie să fie corecte și actualizate. Cele inexacte se corectează sau se șterg fără întârziere.
- Limitarea stocării: se păstrează doar cât este necesar. Termenul este cel fixat de lege sau, în lipsa lui, cel de care este nevoie pentru scop. Când scopul încetează, operatorul distruge sau anonimizează datele (art. 21 din Lei n.º 58/2019).
- Integritate și confidențialitate: datele sunt protejate împotriva accesului neautorizat, a pierderii și a distrugerii.
- Responsabilitate: operatorul trebuie să poată demonstra că respectă regulile.
Când este legală prelucrarea?
Articolul 6 din GDPR spune că o dată personală se prelucrează numai dacă există cel puțin un temei legal:
- consimțământul persoanei vizate;
- executarea unui contract la care persoana vizată este parte sau demersuri precontractuale la cererea ei;
- îndeplinirea unei obligații legale;
- protejarea intereselor vitale ale unei persoane;
- o sarcină de interes public sau exercitarea autorității publice;
- interesele legitime ale operatorului sau ale unui terț, cu condiția să nu prevaleze drepturile persoanei vizate.
Multe prelucrări din firme se bazează pe contractul de muncă și pe lege: calculul salariilor, raportarea către Segurança Social (sistemul de asigurări sociale), înregistrarea prezenței. Nu este nevoie să se ceară consimțământul la fiecare pas.
Consimțământul în raporturile de muncă
Consimțământul trebuie să fie liber, specific, informat și lipsit de ambiguitate, iar retragerea lui trebuie să fie la fel de simplă ca acordarea (art. 4 pct. 11 și art. 7). Între angajator și angajat există o inegalitate, de aceea consimțământul nu este întotdeauna cu adevărat liber. Din acest motiv, angajatorul se sprijină, de regulă, pe alt temei, precum contractul de muncă sau o obligație legală. El poate prelucra datele angajaților în scopurile și în limitele din Código do Trabalho (art. 28 alin. (1) din Lei n.º 58/2019).
Art. 28 alin. (3) din Lei n.º 58/2019 se referă și el la consimțământul angajatului. CNPD a declarat însă că nu aplică o parte din această normă, pe care o consideră contrară GDPR (Deliberação n.º 2019/494).
Acționați numai pe baza instrucțiunilor și păstrați confidențialitatea
- Cine lucrează sub autoritatea operatorului prelucrează datele numai conform instrucțiunilor lui, în afară de cazul în care legea impune altceva (art. 29 din GDPR).
- Obligația de confidențialitate privește DPO, operatorul, persoanele împuternicite și toate persoanele care intervin în orice operațiune de prelucrare (art. 10 alin. (2) din Lei n.º 58/2019).
- Accesarea sau folosirea datelor dincolo de ce cere munca poate fi ilegală și, în anumite cazuri, infracțiune (lecția 8).
Întrebări care ajută
- Pentru ce? Există un scop clar, legat de muncă?
- Cât? Chiar am nevoie de toate aceste date?
- Cine? Cine altcineva trebuie să le vadă?
- Până când? Există un termen pentru păstrare sau ștergere?
Rezumat: folosiți doar ce vă trebuie, pentru scopul în care au fost colectate datele și numai cât timp este necesar.