Майже на кожній роботі доводиться мати справу з даними людей. Хто сидить на рецепції, записує ім’я відвідувача. Хто обслуговує в магазині, приймає адресу доставки. Хто працює в адміністрації, бачить відомості про зарплату, лікарняні та договори. Тому правила захисту даних стосуються не лише керівництва: вони стосуються й вас.
Правила, що діють в Іспанії
- Загальний регламент із захисту даних (GDPR, Регламент (ЄС) 2016/679) діє безпосередньо в усіх країнах Європейського Союзу.
- Ley Orgánica 3/2018 від 5 грудня про захист персональних даних і гарантію цифрових прав (LOPDGDD, іспанський закон про захист даних) доповнює регламент в Іспанії. Вона регулює, зокрема, вік згоди, обов’язок конфіденційності, відеоспостереження та цифрові права на роботі.
- Іспанське агентство із захисту даних (Agencia Española de Protección de Datos, AEPD, aepd.es) — орган, який стежить за дотриманням цих правил.
Що таке персональні дані
Це будь-яка інформація про ідентифіковану або таку, яку можна ідентифікувати, фізичну особу (стаття 4.1 GDPR). Наприклад:
- ім’я, прізвище, адреса, телефон і електронна пошта
- номер DNI чи NIE (іспанські номери посвідчення особи), номер працівника чи клієнта
- фотографії, відео та голосові записи, на яких людину можна впізнати
- IP-адреси, дані про місцезнаходження та номерні знаки, пов’язані з особою
- зарплата, графік, відсутності, оцінювання та інші дані трудового життя
Дані не мусять бути секретними. Електронна адреса, опублікована на сайті, усе одно є персональними даними. Дані юридичної особи (її податковий номер CIF чи продажі) персональними не є, а от дані людини, що стоїть за підприємством самозайнятої особи, — є.
Анонімні дані, які вже не дозволяють нікого ідентифікувати, правила не стосуються. Псевдонімізовані дані, де ім’я замінено кодом, але до людини можна повернутися за допомогою окремого ключа, усе ще є персональними даними.
Що таке обробка
Обробка — це все, що можна робити з даними: збирати, записувати, зберігати, переглядати, шукати, надсилати, змінювати, передавати й видаляти (стаття 4.2). Коли ви просто дивитеся на картку на екрані, ви вже обробляєте дані. Правила діють для автоматизованої обробки, а також для паперових картотек, якщо вони впорядковані за ознаками, наприклад папка, складена за прізвищами.
Хто є хто
- Суб’єкт даних — людина, до якої стосуються дані: клієнтка, пацієнт, учень чи колега.
- Контролер вирішує, навіщо й як обробляються дані (стаття 4.7). Зазвичай це компанія чи установа, де ви працюєте, а не ви особисто.
- Обробник обробляє дані від імені контролера, наприклад бухгалтерська фірма (gestoría), що готує зарплати, або постачальник хмарної програми (стаття 4.8). Між ними має бути письмовий договір або інший правовий акт (стаття 28).
Той, хто працює під керівництвом компанії, може обробляти дані лише за її вказівками (стаття 29 GDPR). Ви не можете самі вирішити використати список клієнтів для іншої мети.
Чому це важливо
Неправильно використані дані можуть завдати реальної шкоди: шахрайство, викрадення особистості, цькування, дискримінацію чи втрату роботи. Помилка шкодить і компанії та може закінчитися штрафом.
Пам’ятайте: перш ніж використати чиїсь дані, запитайте себе, чи потрібні вони вам для роботи і чи дозволяє компанія використовувати їх саме так.