Не можна обробляти персональні дані без підстави, передбаченої законом. Цей урок пояснює найпоширеніші підстави, роль згоди та те, що містить повідомлення про конфіденційність (італ. informativa).
Правові підстави (ст. 6 GDPR)
Обробка законна, лише якщо виконується принаймні одна з цих шести умов:
- Згода особи.
- Договір: обробка потрібна для виконання договору із суб’єктом даних або для заходів перед укладенням договору на його прохання.
- Юридичний обов’язок контролера, наприклад податкові та страхові обов’язки.
- Життєво важливі інтереси особи у тяжких і невідкладних випадках.
- Публічний інтерес або здійснення публічної влади (ст. 2-ter Codice для італійських норм).
- Законний інтерес контролера або третьої сторони, якщо не переважають права суб’єкта даних. Публічні органи під час виконання своїх завдань його не застосовують.
Контролер вибирає підставу до початку. Вам її обирати не треба, але варто знати, що мета, з якою ви користуєтеся даними, має підставу і що ви не можете змінити її самі.
Згода — не завжди відповідь
Згода дійсна, лише якщо вона добровільна, конкретна, поінформована й однозначна, а людина може відкликати її так само легко, як дала (ст. 4 і 7 GDPR). Вона недійсна, якщо захована в довгому тексті або людина не має справжнього вибору.
У трудових відносинах згода — слизький ґрунт: працівник залежить від роботодавця і може не почуватися вільним відмовити. Тому для ведення трудових відносин контролер зазвичай спирається на інші підстави, як-от договір і юридичні обов’язки, і не просить згоди, яка не була б добровільною. Якщо вас просять підписати загальну формулу згоди «на все», це поганий знак: повідомте відповідальну особу з питань конфіденційності.
Натомість згода, як правило, потрібна для надсилання рекламних листів або SMS (ст. 130 Codice). Виняток — лист клієнтові про товари чи послуги, подібні до тих, які він уже купував, якщо його проінформовано й він не заперечив (ст. 130 п. 4). Хто не хоче комерційних дзвінків, може внести свої номери, стаціонарні й мобільні, до Registro pubblico delle opposizioni (публічного реєстру заперечень).
Повідомлення про конфіденційність
Перед збиранням даних або під час нього людина має знати, що станеться з її даними. Це повідомлення про конфіденційність (ст. 12, 13 і 14 GDPR). Воно має вказувати простою й зрозумілою мовою:
- хто контролер і як із ним зв’язатися, а також контакти DPO, якщо він є;
- з якою метою і на якій правовій підставі обробляють дані;
- кому їх можуть передавати;
- як довго їх зберігають;
- права людини та право подати скаргу до Garante.
Ст. 13 діє, коли дані збирають від самої людини. Ст. 14 діє, коли вони надходять з інших джерел.
Повідомлення готує контролер. Ваше завдання — не казати протилежного і вказати на правильний текст: «Усе ви знайдете в повідомленні про конфіденційність, яке ми вам надаємо», а якщо його не знаєте, запитайте, де воно.
Резюме та працівники
Хто з власної ініціативи надсилає резюме, не мусить давати згоду на його оцінку. Повідомлення надають під час першого доречного контакту після надсилання (ст. 111-bis Codice). Працівникам повідомлення пояснює, наприклад, оплату праці, облік присутності, ІТ-інструменти та контроль.
Неповнолітні
Для онлайн-послуг, які пропонують безпосередньо неповнолітнім, неповнолітній, якому виповнилося 14 років, може дати згоду сам; до 14 років потрібна згода того, хто здійснює батьківську відповідальність (ст. 2-quinquies Codice). Це стосується послуг інформаційного суспільства, а не будь-якої діяльності.
Запам’ятайте
- Завжди потрібна правова підстава; згода — лише одна з шести.
- У роботі згода рідко буває правильною підставою.
- Чітке повідомлення про конфіденційність до збирання; не змінюйте мету обробки самі.