Conform articolului 6 din UK GDPR, o organizație poate folosi date personale doar dacă se aplică cel puțin un temei legal (lawful basis). Operatorul trebuie să decidă care se aplică înainte de a începe și să le spună oamenilor în nota de informare.
Temeiurile legale
- Consimțământ. Persoana și-a dat în mod clar acordul.
- Contract. Folosirea este necesară pentru executarea unui contract cu persoana sau pentru pașii pe care aceasta îi cere înainte de contract. Un exemplu este livrarea unei comenzi.
- Obligație legală. Folosirea este necesară pentru respectarea legii, de exemplu evidențele de salarizare și fiscale.
- Interese vitale. Folosirea este necesară pentru a proteja viața cuiva, de exemplu într-o urgență medicală.
- Sarcină publică. Folosirea este necesară pentru o sarcină de interes public sau o funcție prevăzută de lege. Aceasta privește mai ales organismele publice.
- Interese legitime. Folosirea este necesară pentru interesele legitime ale organizației sau ale unui terț, cu excepția cazului în care drepturile persoanei prevalează. Organizația trebuie să cântărească cele două părți.
Data (Use and Access) Act 2025 adaugă o a șaptea cale, numită interese legitime recunoscute (recognised legitimate interests). Este pentru o listă scurtă de scopuri stabilite prin lege, precum prevenirea infracțiunilor și safeguarding (protecția copiilor și a persoanelor aflate în risc). Angajatorul dumneavoastră va decide când o folosește. Nu o alegeți dumneavoastră.
Categoriile speciale de date cer mai mult
Pentru categoriile speciale de date (sănătate, religie, apartenență sindicală etc.) organizația are nevoie de un temei legal și de o condiție separată din articolul 9. Multe dintre aceste condiții sunt prevăzute în Anexa 1 la DPA 2018. Dreptul muncii și asistența medicală sunt exemple obișnuite. Din acest motiv, fiți mai atenți cu fișele medicale, certificatele de concediu medical și informațiile similare.
Cum arată un consimțământ valid
Consimțământul este doar o opțiune și adesea nu cea mai bună. Atunci când este folosit, trebuie să fie:
- liber exprimat. Persoana are o alegere reală. Consimțământul este rareori liber când există un dezechilibru de putere, de exemplu de la angajator la angajat;
- specific pentru un scop clar;
- informat. Persoana știe cine cere și de ce;
- lipsit de ambiguitate, printr-o acțiune pozitivă clară. Căsuțele bifate în prealabil, tăcerea și inactivitatea nu sunt consimțământ;
- ușor de retras oricând, și la fel de ușor de retras ca de dat.
Organizația trebuie să poată dovedi că are consimțământul.
Angajatorii și consimțământul
Datele personalului sunt folosite în mare parte pe alte temeiuri, precum contractul (salariul) și obligația legală (verificarea dreptului de muncă, impozite). Un angajator nu ar trebui să ceară consimțământul acolo unde angajatul nu poate refuza fără teamă.
De ce contează pentru dumneavoastră
Nu alegeți dumneavoastră temeiul legal. Dar ar trebui să cunoașteți noțiunile de bază:
- Dacă un client și-a dat adresa de e-mail pentru a primi o chitanță, nu o adăugați într-o listă de marketing. Este alt scop.
- Dacă cineva își retrage consimțământul, anunțați imediat persoana potrivită pentru a actualiza înregistrarea.
- Dacă un coleg cere detalii despre o persoană „din curiozitate”, nu aveți niciun temei legal să i le dați. Partajați doar datele necesare pentru muncă.
Echitate și transparență
Un temei legal nu este suficient de unul singur. Folosirea trebuie să fie și echitabilă, și deschisă. Oamenii nu trebuie să fie surprinși de ce faceți cu datele lor. O notă de informare explică cine este operatorul, ce date se folosesc, de ce, temeiul legal, cine le primește, cât timp se păstrează și ce drepturi au oamenii. Angajatorii trebuie să ofere una. Dacă o persoană vă întreabă unde o găsește, indicați-i-o.