Персональні дані не можна обробляти як заманеться. Стаття 5 GDPR встановлює сім принципів, якими варто керуватися в кожному завданні. Коли не знаєте, що робити, поверніться до цього переліку.
Принципи зі статті 5
- Законність, справедливість і прозорість. Має бути правова підстава, нікого не вводять в оману й чітко пояснюють, що роблять з даними.
- Обмеження мети. Дані збирають для конкретної мети й потім не використовують для іншої, несумісної. Дані з анкети кандидата не годяться для розсилання реклами.
- Мінімізація. Просять і використовують лише потрібні дані. Якщо досить імені, дату народження теж не питають.
- Точність. Дані мають бути актуальними. Якщо хтось повідомляє про помилку, її виправляють.
- Обмеження строку зберігання. Дані не зберігають вічно, а лише доти, доки вони потрібні або це вимагає закон.
- Цілісність і конфіденційність. Дані захищають від несанкціонованого доступу, втрати й знищення.
- Підзвітність. Компанія має вміти довести, що дотримується правил, за допомогою документів, реєстрів і процедур.
Підстави, що дозволяють обробляти дані
Щоб обробляти дані, потрібна принаймні одна з підстав зі статті 6 GDPR:
- згода людини
- виконання договору, наприклад трудового договору
- юридичний обов’язок, як-от передача даних до соціального страхування
- захист життєво важливих інтересів людини
- завдання в суспільних інтересах або здійснення публічної влади
- законний інтерес компанії чи третьої особи, якщо над ним не переважають права людини
У компанії більшість даних персоналу обробляють на підставі договору та юридичних обов’язків: зарплата, реєстрація, внески та утримання податків. Просити згоди в персоналу рідко є доброю підставою, бо працівник залежить від компанії й може не почуватися вільним відмовити.
Згода
Коли підставою є згода, вона має бути добровільною, конкретною, поінформованою та однозначною, вираженою заявою або чіткою дією. Вже позначений квадратик чи мовчання не годяться. Людина може відкликати її будь-коли, і відкликати має бути так само просто, як і дати.
Вік неповнолітніх
LOPDGDD у статті 7 встановлює 14 років як вік, з якого неповнолітній може сам дати згоду на обробку своїх даних. Нижче цього віку потрібна згода того, хто здійснює батьківську владу чи опіку. Це важливо для шкіл мов, спортивних клубів, навчальних закладів і компаній, що надають послуги сім’ям.
Інформація, яку треба надати
Коли збирають дані, людину треба поінформувати (статті 13 і 14 GDPR): хто є контролером, навіщо потрібні дані, на якій правовій підставі, кому їх передають, як довго зберігають і які права має людина. LOPDGDD (стаття 11) дозволяє робити це за рівнями: базову інформацію на видноті, а решту в легкодоступному місці, наприклад за вебадресою.
Пам’ятайте: якщо збираєтеся використати дані для чогось нового, про що людину не інформували, спершу запитайте відповідну особу у вашій компанії.