Щодня ви маєте справу з інформацією про людей: клієнтів, колег, пацієнтів, постачальників, кандидатів. Цей урок пояснює, що таке персональні дані, хто які обов’язки має і чому ви отримуєте вказівки щодо їх обробки.
Що таке персональні дані
Персональні дані — це будь-яка інформація про ідентифіковану або таку, яку можна ідентифікувати, фізичну особу (ст. 4 п. 1 Регламенту (ЄС) 2016/679, тобто GDPR). Досить, щоб можна було вийти на конкретну людину, хоча б опосередковано.
Приклади: ім’я та прізвище, адреса, телефон, електронна пошта, codice fiscale (італійський податковий код), номерний знак, фото, голос, табельний номер, IP-адреса, розрахункові листки, оцінки працівника.
Не є персональними даними справді анонімна інформація та інформація про підприємства як такі. Натомість ім’я працівника, яке є в даних компанії, — персональні дані.
Що таке обробка
Обробка — це будь-яка операція з даними: збирання, запис, перегляд, зміна, копіювання, надсилання, зберігання, видалення. Навіть просто дивитися на картку на екрані — це обробка. Тому правила стосуються практично будь-якої роботи в офісі, магазині, у сфері догляду чи послуг.
Хто є хто
- Суб’єкт даних: людина, якої стосуються дані. Ви теж нею є — щодо даних, які ваш роботодавець обробляє про вас.
- Контролер: той, хто вирішує, навіщо й як обробляються дані. Зазвичай це компанія, установа чи контора, де ви працюєте, а не окремий працівник. Контролер відповідає за дотримання правил.
- Обробник: зовнішня сторона, яка обробляє дані за дорученням контролера, наприклад консультант із питань праці, постачальник керівного програмного забезпечення чи сервіс нарахування зарплат. Працює на підставі договору чи іншого правового акта (ст. 28 GDPR).
- Уповноважені / призначені особи: ті, хто, як і ви, обробляє дані під керівництвом контролера і за його вказівками.
- Відповідальна особа із захисту даних (DPO; італ. RPD): експерт, який стежить і консультує, призначається у випадках, передбачених ст. 37–39 GDPR. Не кожна компанія зобов’язана його мати.
- Garante per la protezione dei dati personali: незалежний італійський орган, який контролює застосування правил.
Правила, які варто знати
В Італії діють разом два джерела:
- GDPR, який безпосередньо застосовується в усьому Європейському Союзі;
- Codice in materia di protezione dei dati personali (d.lgs. 196/2003, італійський кодекс захисту персональних даних, або Codice privacy), змінений d.lgs. 101/2018, щоб узгодити його з GDPR.
Codice містить італійські правила щодо таких питань, як вік згоди неповнолітніх (ст. 2-quinquies), дані про судимість і правопорушення (ст. 2-octies), трудові відносини та дистанційний контроль (ст. 111-bis–115) і злочини (ст. 167 і наступні).
Чому ви отримуєте вказівки
Ст. 29 GDPR каже, що той, хто має доступ до персональних даних під керівництвом контролера, не може їх обробляти, якщо контролер цього не доручив. Ст. 2-quaterdecies Codice дозволяє контролерові покладати завдання й функції на спеціально призначених осіб і вибрати найдоцільніший спосіб уповноважити їх на обробку.
На практиці це означає, що роботодавець має сказати вам, найкраще письмово, якими даними ви можете користуватися, для яких завдань і з якими запобіжними заходами. Цей курс не замінює таких вказівок: він пояснює загальні правила, а процедури у вашому офісі має визначити роботодавець.
Що варто запам’ятати
- Персональні дані — це будь-яка інформація про людину, яку можна ідентифікувати.
- Обробка включає також перегляд і зберігання.
- Контролер — це організація, а не ви; ви виконуєте отримані вказівки.
- Якщо не знаєте, як діяти, запитайте керівника або відповідальну особу з питань конфіденційності, перш ніж щось робити.