Майже кожна робота пов’язана з інформацією про людей. Адміністратор на рецепції записує ім’я гостя. Продавець приймає адресу доставки. Працівник служби читає особову справу. Тому правила захисту персональних даних стосуються вас, а не лише вашого начальника. Разом їх називають правилами захисту даних, а часто кажуть просто GDPR.
Правила в Данії
- Загальний регламент із захисту даних (databeskyttelsesforordningen) — це регламент ЄС 2016/679. Він діє в Данії безпосередньо.
- Данський закон про захист даних (databeskyttelsesloven, закон № 502 від 23 травня 2018 року, зі змінами) доповнює регламент данськими правилами, наприклад щодо номера CPR (данського особистого ідентифікаційного номера), трудових відносин і покарань.
- Datatilsynet (данський орган із захисту даних) — це орган, що здійснює нагляд за цими правилами в Данії.
Регламент діє, коли персональні дані обробляються повністю або частково електронними засобами. Він стосується й паперових документів, якщо дані містяться в картотеці, наприклад у теці, упорядкованій за прізвищами. Суто приватні справи є винятком, наприклад ваша власна телефонна книга вдома.
Що таке персональні дані?
Персональні дані — це будь-яка інформація про ідентифіковану або таку, яку можна ідентифікувати, фізичну особу (стаття 4, пункт 1 регламенту). Це можуть бути:
- ім’я, адреса, електронна пошта й номер телефону
- номер CPR, номер клієнта й табельний номер
- фото та звукові записи, на яких можна впізнати людину
- IP-адреси й дані про місцезнаходження
- зарплата, оцінки, лікарняні й описи роботи працівника
Інформація не обов’язково має бути таємною. Навіть електронна адреса, що стоїть на сайті, — це персональні дані. Інформація про компанію не є персональними даними, але інформація про людину, яка стоїть за одноосібним підприємством, є. Анонімні дані, за якими ніхто не може дізнатися, про кого йдеться, перебувають поза правилами. Псевдонімізовані дані все одно є персональними даними.
Що таке обробка?
Обробка — це все, що можна робити з інформацією: збирати, реєструвати, зберігати, читати, шукати, надсилати, змінювати, передавати й видаляти (стаття 4, пункт 2). Коли ви лише дивитеся в систему, ви вже обробляєте дані.
Хто є хто?
- Суб’єкт даних — це людина, про яку йдеться в інформації: клієнт, пацієнт, учень або колега.
- Контролер вирішує, навіщо й як обробляються дані (стаття 4, пункт 7). Зазвичай це ваш роботодавець, а не ви особисто.
- Обробник обробляє дані від імені контролера, наприклад бюро розрахунку зарплат або постачальник ІТ-системи (стаття 4, пункт 8). Має бути письмова угода про обробку даних (стаття 28).
Як працівник ви можете обробляти дані лише за інструкціями роботодавця (стаття 29). Ви не можете самі вирішити використати список клієнтів для нової мети.
Чому це важливо
Правила захищають приватність людей. Якщо дані потраплять не в ті руки, людина може стати жертвою шахрайства, цькування чи дискримінації. Помилки шкодять і репутації компанії, а також можуть призвести до санкцій.
Пам’ятайте: перш ніж використати інформацію про людину, запитайте себе: чи потрібна вона мені для роботи і чи можна мені використати її саме так?