Майже кожна робота пов’язана з даними про людей. Адміністратор записує ім’я відвідувача. Продавчиня приймає адресу доставки. Бухгалтерка із зарплат знає виплати всієї компанії. Тому правила захисту персональних даних стосуються й вас, а не лише вашого роботодавця. Загалом їх називають GDPR.
Які норми діють у Чехії
- Загальний регламент із захисту даних (GDPR) — це регламент ЄС 2016/679. Він діє безпосередньо й у Чехії.
- Закон № 110/2019 Sb. про обробку персональних даних доповнює регламент чеськими правилами. Наприклад, він визначає вік дитини для згоди (§ 7) і запроваджує адміністративне покарання.
- Трудовий кодекс (zákoník práce, закон № 262/2006 Sb.) захищає приватність працівників, головно в § 316.
- Управління із захисту персональних даних (Úřad pro ochranu osobních údajů, ÚOOÚ) — наглядовий орган у Чехії. Його можна знайти на uoou.gov.cz.
GDPR застосовується, коли персональні дані обробляють автоматизовано, тобто, наприклад, на комп’ютері. Воно застосовується й до паперових даних, якщо їх упорядковано в картотеці чи папці за іменами або номерами. Суто особиста діяльність є винятком, наприклад ваша домашня телефонна книга.
Що таке персональні дані
Персональні дані — це будь-яка інформація про ідентифіковану або таку, що її можна ідентифікувати, фізичну особу (стаття 4 пункт 1 GDPR). До них належать:
- ім’я, адреса, електронна пошта, номер телефону
- rodné číslo (чеський персональний ідентифікаційний номер), номер працівника, номер клієнта
- фотографія та запис з камери, на якому можна впізнати людину
- IP-адреса та дані про місцезнаходження
- зарплата, оцінювання, лікарняні, відомості про родину
Персональні дані не обов’язково секретні. Достатньо, щоб за ними можна було визначити людину. Ім’я разом із компанією та посадою — це персональні дані, навіть якщо людина має їх на візитівці. Дані про юридичних осіб (компанію як таку) персональними не є. Ім’я директора чи контактної особи — є.
Що таке обробка
Обробка — це практично все, що ви робите з даними: збирання, запис, зберігання, перегляд, використання, передача, оприлюднення, видалення. Навіть саме зазирання до бази даних — це обробка.
Хто є хто
- Суб’єкт даних — людина, якої стосуються дані.
- Контролер вирішує, навіщо і як обробляють дані. У вашій роботі це зазвичай роботодавець.
- Обробник обробляє дані для контролера на підставі договору, наприклад зовнішня зарплатна компанія чи постачальник хмарних послуг.
- Відповідальна особа із захисту даних (DPO, pověřenec pro ochranu osobních údajů) радить контролеру й наглядає за дотриманням правил. Вона обов’язкова лише в певних випадках. Згідно з § 14 закону № 110/2019 Sb. її мусять мати органи публічної влади та органи, створені законом, які виконують визначені законом завдання в публічних інтересах. Приватні компанії мають її обов’язково насамперед тоді, коли масштабно стежать за людьми або масштабно обробляють спеціальні категорії даних (стаття 37 GDPR).
Ваша роль як працівника
Як працівник ви зазвичай не є контролером. Відповідальність за законну обробку несе роботодавець. Проте ви обробляєте дані за його вказівками (стаття 29 GDPR), а згідно з § 301 Трудового кодексу мусите виконувати вказівки керівників і дотримуватися правових норм, що стосуються вашої роботи. Тому вам потрібно знати основні правила й те, до кого звернутися, коли ви не певні.
Виняток: коли ви починаєте обробляти дані для власних цілей, наприклад копіюєте базу клієнтів для власного бізнесу, ви самі стаєте контролером у цій справі й відповідаєте за неї також.
Що запам’ятати
- Персональні дані — це кожна інформація про людину, яку можна визначити, а не лише таємна.
- Обробка — це й саме переглядання.
- Контролер — зазвичай роботодавець, ви діяте за його вказівками.
- Нагляд у Чехії здійснює Управління із захисту персональних даних.