Майже кожна робота пов’язана з персональними даними. Адміністратор записує ім’я відвідувача. Продавець приймає адресу доставки. Медсестра читає карту пацієнта. Службовець міської ради реєструє заяву на житло. Законодавство про захист даних визначає, як поводитися з такою інформацією, і стосується вас так само, як і вашого роботодавця.
Право в Ірландії
- Загальний регламент про захист даних (GDPR), Регламент (ЄС) 2016/679, діє в Ірландії безпосередньо. Це головний набір правил.
- Data Protection Act 2018 (ірландський закон про захист даних) діє поруч із ним. Він додає до GDPR ірландські деталі: Data Protection Commission та її повноваження, вік цифрової згоди, штрафи для державних органів, позови до суду й кримінальні правопорушення.
- ePrivacy Regulations 2011 (S.I. No. 336 of 2011, ірландські правила щодо конфіденційності в електронних комунікаціях) стосуються маркетингу електронною поштою, SMS і телефоном, а також файлів cookie. Ви познайомитеся з ними на уроці 3.
Ірландія входить до ЄС, тому застосовує GDPR ЄС. Велика Британія має власний, окремий «UK GDPR». Не плутайте їх.
Регулятор — Data Protection Commission (DPC), ірландський орган із захисту даних. Він публікує роз’яснення, приймає скарги, може проводити розслідування й штрафувати організації. Його повноваження описує урок 8.
Персональні дані
Персональні дані — це будь-яка інформація про ідентифіковану або таку, яку можна ідентифікувати, живу особу. Вони не обов’язково секретні. Приклади:
- ім’я, адреса, електронна пошта або номер телефону;
- фото, зображення з камери спостереження або голосовий запис;
- номер працівника, номер рахунку клієнта або онлайн-ідентифікатор, як-от IP-адреса;
- нотатка у справі про те, що людина сказала чи зробила.
Якщо можна з’ясувати, про кого йдеться, наприклад поєднавши інформацію з іншими даними, це персональні дані. Інформація про компанію не є персональними даними. Ім’я та робоча електронна пошта людини з цієї компанії — є.
Спеціальні категорії даних
Деякі дані чутливіші, бо їх зловживання може завдати реальної шкоди. Спеціальні категорії даних (стаття 9) — це інформація про:
- расове чи етнічне походження;
- політичні погляди;
- релігійні чи філософські переконання;
- членство в профспілці;
- генетичні дані та біометричні дані, що використовуються для ідентифікації особи;
- здоров’я;
- статеве життя чи сексуальну орієнтацію.
Для використання таких даних організації потрібна додаткова правова умова. Додатковий захист мають і дані про судимості та правопорушення (стаття 10). Data Protection Act 2018 уточнює, коли їх можна використовувати. З усім цим щоразу поводьтеся ще обережніше.
Обробка
Обробка означає майже все, що ви робите з персональними даними: збирання, запис, зберігання, перегляд, зміна, надсилання, передавання, видалення. Навіть читання запису на екрані — це обробка.
Хто є хто
- Контролер вирішує, навіщо й як використовуються персональні дані. Ваш роботодавець зазвичай є контролером даних своїх клієнтів і ваших колег.
- Обробник обробляє дані від імені контролера й лише за його вказівками, наприклад бухгалтерська фірма, що розраховує зарплату, або хмарний провайдер.
- Суб’єкт даних — людина, про яку ці дані.
- Відповідальна особа із захисту даних (DPO) консультує організацію. Її мусять призначити державні органи й установи та організації, чия основна діяльність передбачає масштабний моніторинг або обробку спеціальних категорій даних. Багато інших роблять це добровільно.
За дотримання закону відповідає організація. Але саме працівники щодня поводяться з даними, тому їхні помилки спричиняють більшість порушень. Розділ 145 Закону 2018 року також робить злочином передавання персональних даних, отриманих без дозволу.
Чого закон не стосується
GDPR не застосовується до суто особистої чи домашньої діяльності, як-от ваша власна адресна книга. Він не застосовується до інформації про померлих людей, хоча можуть діяти інші обов’язки, наприклад конфіденційність. Він застосовується до персональних даних на папері, якщо їх зберігають у структурованій картотеці.
Що запам’ятати
- Персональні дані — це все, що прямо чи опосередковано ідентифікує живу людину.
- Спеціальні категорії даних потребують додаткової обережності й додаткової правової умови.
- Ваш роботодавець зазвичай є контролером. Ви мусите виконувати його вказівки.
- DPC — ірландський регулятор. В Ірландії діє GDPR ЄС разом із Data Protection Act 2018.