Усі правила щодо персональних даних ґрунтуються на кількох основних принципах. Вони містяться в статті 5 Загального регламенту із захисту даних. Якщо ви їх знаєте, ви розберетеся в більшості щоденних ситуацій, навіть у тих, для яких ніхто не написав правил.
1. Законність, справедливість і прозорість
Обробка має мати дійсну підставу (див. наступний урок), бути справедливою щодо людини й відкритою. Люди повинні розуміти, що відбувається з їхніми даними. Тому компанія мусить надавати інформацію, наприклад у повідомленні про конфіденційність.
2. Обмеження мети
Дані слід збирати для визначених, чітких і законних цілей. Пізніше їх не можна використовувати способом, несумісним із цією метою. Якщо клієнт залишив електронну адресу, щоб отримати квитанцію, ви не можете просто так використати її для розсилки новин.
3. Мінімізація даних
Дані мають бути достатніми, доречними та обмеженими тим, що необхідно. Запитуйте лише те, що вам потрібно. Щоб надіслати посилку, дата народження клієнта вам не потрібна.
4. Точність
Дані мають бути правильними та, за потреби, актуальними. Неправильні дані слід виправити або видалити без невиправданої затримки. Хибна адреса може привести до того, що рахунок або відповідь від лікаря потрапить стороннім.
5. Обмеження зберігання
Дані не можна зберігати довше, ніж потрібно для мети. Коли мету досягнуто й жоден закон не вимагає їх зберігати, їх слід видалити або анонімізувати. Деякі правила, навпаки, вимагають зберігати, наприклад бухгалтерські документи треба зберігати 5 років після закінчення фінансового року, якого вони стосуються (bogføringsloven § 12, данський закон про бухгалтерський облік). Компанія повинна мати чіткі строки видалення, а ви маєте їх дотримуватися.
6. Цілісність і конфіденційність
Дані слід захищати від несанкціонованої чи незаконної обробки та від випадкової втрати, знищення або пошкодження. Для цього потрібні належні технічні й організаційні заходи. Більшість із них — це ваша щоденна робота: заблокований екран, надійні паролі, правильний отримувач листа.
7. Підзвітність
Контролер має не лише дотримуватися принципів, а й уміти це довести (стаття 5, частина 2). Тому компанія пише політики, веде реєстри й документує свої рішення. Ви допомагаєте, виконуючи процедури й кажучи, коли щось не працює на практиці.
Вбудований захист даних
Стаття 25 вимагає захисту даних за задумом і за замовчуванням. Нові системи й процеси слід з самого початку облаштовувати так, щоб вони використовували лише необхідні дані. Якщо ви беруте участь у виборі нового інструмента чи нового бланка, подумайте про це.
Приклад із щоденної роботи
Працівник об’єднання має список членів для надсилання рахунків за членські внески. Колега просить цей список, щоб запросити людей на приватний захід. Обмеження мети каже «ні»: список зібрано для стягнення внесків. Мінімізація даних каже, що для запрошення на зустріч потрібні лише ім’я та електронна пошта, а не адреса й дата народження. А обмеження зберігання каже, що список колишніх членів не слід зберігати вічно.
Практичне правило: зберігайте й передавайте лише ті дані, які вам потрібні. Використовуйте їх лише для того, для чого їх зібрано. Видаляйте, коли вони більше не потрібні.