Не можна обробляти персональні дані лише тому, що ви маєте до них доступ. Завжди потрібна правова підстава для обробки. Звичайні підстави містяться в статті 6, частина 1, а в Данії їх повторює § 6 закону про захист даних.
Шість підстав
Обробка є законною, якщо виконується принаймні одна з цих умов:
- a) Згода суб’єкта даних.
- b) Договір: обробка необхідна для виконання угоди з людиною, наприклад щоб доставити товар або виплатити зарплату.
- c) Юридичний обов’язок: цього вимагає закон, наприклад зберігати документи або повідомляти податкову про зарплати.
- d) Життєво важливі інтереси: обробка необхідна для захисту чийогось життя.
- e) Суспільний інтерес або здійснення публічної влади. Це здебільшого використовують органи влади.
- f) Законний інтерес: компанія має обґрунтований інтерес, який переважає інтереси та права людини. Для цього потрібне конкретне зважування інтересів. Органи публічної влади не можуть застосовувати цю підставу при виконанні своїх завдань.
Згода має бути справжньою
Згода має бути добровільною, конкретною, поінформованою та однозначною (стаття 4, пункт 11, і стаття 7). Вона потребує активної дії. Позначка, поставлена наперед, не є згодою. Людина може відкликати згоду будь-коли, і відкликати її має бути так само легко, як надати. Компанія повинна вміти довести, що згоду надано.
У трудових відносинах згода часто є слабкою підставою. Працівник залежить від роботодавця й може відчувати тиск, а тоді згода не є добровільною. Проте закон допускає згоду у трудових відносинах (§ 12 абз. 3), тож усе залежить від ситуації.
Діти: коли послуга інформаційного суспільства, наприклад соціальна мережа чи застосунок, спирається на згоду, дитина може надати її сама з 15 років у Данії (§ 6 абз. 2). Якщо дитина молодша, потрібна згода особи, яка здійснює батьківську відповідальність. Межу підняли з 13 до 15 років 1 січня 2024 року.
Спеціальні категорії даних
Стаття 9 називає деякі дані спеціальними категоріями. Данські тексти часто кажуть følsomme oplysninger (чутливі дані). Це дані про:
- расове чи етнічне походження
- політичні, релігійні чи філософські переконання
- членство в профспілці
- генетичні та біометричні дані, коли їх використовують для ідентифікації людини
- стан здоров’я
- сексуальне життя чи сексуальну орієнтацію
Вихідне правило: ці дані не можна обробляти. Є винятки, наприклад явна згода або необхідність виконати обов’язки й права в галузі трудового права. Закон про захист даних (§ 7 абз. 2 і § 12) надає роботодавцям таку можливість, якщо обробка необхідна.
На практиці
- Не записуйте діагнози, релігію чи членство в профспілці у вільні текстові поля, якщо реєструвати їх — не ваше завдання.
- Повідомлення працівника, що він хворий, — це дані про здоров’я. Роботодавець може зареєструвати відсутність, але діагноз йому рідко потрібно знати.
- Якщо ви не певні, яка підстава охоплює те, що вам треба зробити, запитайте того, хто у вас відповідає за захист даних.
Правило: немає підстави — немає обробки. Чим чутливіші дані, тим суворіші вимоги.