Кожне використання персональних даних потребує правової підстави за статтею 6. Її вибирає й фіксує організація. Зазвичай ви самі її не обираєте, але маєте знати, які є варіанти.
Шість правових підстав
- Згода: людина добровільно погодилася.
- Договір: використання потрібне для виконання договору з людиною або для дій на її прохання до укладення договору.
- Юридичний обов’язок: цього вимагає закон, наприклад передавання зарплатних даних до Revenue (податкової служби Ірландії).
- Життєво важливі інтереси: це потрібно для захисту чийогось життя.
- Публічне завдання: це потрібно для виконання завдання в публічних інтересах або на підставі повноважень, наданих законом. Державні органи часто спираються на це.
- Законні інтереси: це потрібно для справжніх інтересів організації чи третьої особи, якщо їх не переважають права людини. Державні органи не можуть використовувати цю підставу для того, що вони роблять як державні органи.
Дійсна згода
Згода за GDPR має бути:
- добровільною: без тиску й без покарання за відмову;
- конкретною й поінформованою: людина знає, на що погоджується;
- однозначною: чітка активна дія. Заздалегідь поставлені галочки й мовчання не є згодою;
- такою ж легкою для відкликання, як і для надання.
Згода часто є слабкою підставою між роботодавцем і працівником, бо працівник може відчувати, що не може відмовити. Тому роботодавці зазвичай спираються на договір, юридичний обов’язок або законні інтереси. Спеціальні категорії даних потребують додаткової умови за статтею 9, наприклад явної згоди або обов’язків за трудовим правом.
Інформування людей: повідомлення про конфіденційність
Статті 13 і 14 вимагають від організації чіткою й простою мовою повідомляти, хто вона, навіщо використовує дані, на якій правовій підставі, хто їх отримує, як довго зберігає та які права мають люди, включно з правом поскаржитися до DPC. Зазвичай це робиться через повідомлення про конфіденційність (політику конфіденційності). Якщо клієнт питає, вкажіть йому на нього або передайте питання відповідній особі.
Діти
Дані дітей потребують додаткової обережності. Згідно з Data Protection Act 2018, розділ 31, вік цифрової згоди в Ірландії — 16 років. Це стосується випадків, коли онлайн-послугу пропонують безпосередньо дитині, а правова підстава — згода: до 16 років її мусить дати або схвалити батько чи опікун. Не плутайте це із загальним віком повноліття (18 років). В інших випадках, наприклад для повідомлення, написаного для дитини, інформація має бути зрозумілою дитині.
Прямий маркетинг
Правила маркетингу в Ірландії походять із двох джерел: GDPR щодо використання персональних даних і ePrivacy Regulations 2011 щодо електронних повідомлень.
- Електронна пошта, SMS і автоматизовані дзвінки приватній особі зазвичай потребують її попередньої згоди, а кожне повідомлення має містити чіткий спосіб відмовитися.
- Чинним клієнтам можна надсилати електронні листи чи SMS про власні схожі товари компанії без згоди, якщо їм надали можливість відмовитися під час збирання даних і в кожному повідомленні, а продаж відбувся протягом останніх 12 місяців.
- Кожен може в будь-який час заперечити проти прямого маркетингу (стаття 21). Якщо хтось каже «досить», припиніть і зафіксуйте це.
- Не купуйте списки контактів, не перевіривши, звідки взялися дані.
- Файли cookie та подібні технології на вебсайті зазвичай потребують згоди, якщо вони не є суворо необхідними.
DPC може переслідувати за порушення ePrivacy Regulations. Кожне небажане повідомлення — окреме правопорушення зі штрафом до 5000 € у спрощеному провадженні (урок 8).
Передавання даних
Передавання персональних даних іншій організації потребує правової підстави й має відповідати меті, про яку повідомили людям. Якщо інша компанія обробляє дані для вашого роботодавця як обробник, має бути письмовий договір (стаття 28). Якщо персональні дані просить третя сторона, навіть приязна, спершу порадьтеся з керівником або DPO. Не повідомляйте персональних даних по телефону людині, яку не можете ідентифікувати.
Що запам’ятати
- Шість правових підстав; одну обирає й фіксує організація.
- Згода має бути добровільною, конкретною, поінформованою та однозначною, а відкликати її — легко.
- Вік цифрової згоди: 16 років в Ірландії (Data Protection Act 2018, розділ 31).
- Маркетинг електронною поштою чи SMS зазвичай потребує згоди й можливості відмовитися в кожному повідомленні.