Кожна обробка потребує правової підстави. Стаття 6 частина 1 GDPR називає шість. Роботодавець (контролер) мусить обрати ту, що відповідає конкретній обробці, і повідомити про це людей.
Шість правових підстав
- Згода суб’єкта даних.
- Договір: обробка необхідна для виконання договору або для дій перед його укладенням. Наприклад, трудовий договір і виплата зарплати.
- Юридичний обов’язок: закон зобов’язує контролера обробити дані. Наприклад, відрахування страхових внесків або ведення розрахункових відомостей.
- Життєво важливі інтереси людини, наприклад порятунок життя.
- Суспільний інтерес або здійснення публічної влади.
- Законний інтерес контролера чи третьої особи, якщо над ним не переважають права й інтереси людини. Контролер мусить уважно зважити інтереси. Органи публічної влади не можуть посилатися на нього під час виконання своїх завдань.
Згода: лише коли вона справді вільна
Згода мусить бути вільною, конкретною, поінформованою та однозначною, і її має бути можливо будь-коли так само легко відкликати (стаття 7). Мовчання чи попередньо позначене поле згодою не є.
У трудових відносинах згода проблемна. Працівник залежить від роботодавця, тому його згода може бути не зовсім вільною. Роботодавцю не слід покладатися на згоду там, де йдеться про потрібне для функціонування трудових відносин. Там слід використовувати договір, закон або законний інтерес. Згода підходить для добровільних речей, наприклад для оприлюднення фотографії працівника на сайті компанії.
Вік дитини для згоди
Стаття 8 GDPR стосується послуг інформаційного суспільства, що пропонуються безпосередньо дитині. Регламент встановлює вік 16 років, а держави-члени можуть його знизити. Чехія знизила його до 15 років (§ 7 закону № 110/2019 Sb.). Дитині молодше 15 років потрібна згода законного представника.
Спеціальні категорії даних
Стаття 9 GDPR захищає особливо чутливі дані. Їх обробка в принципі заборонена, якщо немає винятку. Ідеться про дані щодо:
- расового чи етнічного походження
- політичних поглядів
- релігійних чи світоглядних переконань
- членства в профспілках
- стану здоров’я
- статевого життя чи орієнтації
- генетичні й біометричні дані, що слугують для однозначної ідентифікації
Винятки вузькі. Для роботодавця найважливіший виняток, коли обробка необхідна для виконання обов’язків і здійснення прав у сфері трудового права та соціального забезпечення. Також можливі явна згода або захист життєво важливих інтересів.
Приклад: роботодавець може обробляти дані про непрацездатність працівника, бо вони потрібні йому для виплати допомоги по хворобі та для обов’язків у лікарняному страхуванні. Діагноз йому для цього не потрібен, і вимагати його від працівника він не може, хіба що цього вимагає закон.
Дані про кримінальні правопорушення
Дані про судимості та кримінальні правопорушення (стаття 10 GDPR) обробляють лише тоді, коли це дозволяє право. У трудових відносинах це діє й у Трудовому кодексі: інформацію про відсутність судимості роботодавець може вимагати лише за наявності об’єктивної причини, що випливає з характеру роботи, якщо вимога пропорційна, або коли так встановлює закон (§ 316 абз. 4).
Що запам’ятати
- Без правової підстави обробляти дані не можна.
- Згода на роботі часто слабка підстава, і її треба мати змогу будь-коли відкликати.
- У Чехії вік дитини для згоди — 15 років.
- Дані про здоров’я та інші спеціальні категорії потребують особливого винятку.