Ст. 5 GDPR перелічує принципи, які діють для кожної обробки. Вони — основа всіх інших правил: якщо ви їх пам’ятаєте, багато сумнівних випадків можете розв’язати самі.
Сім принципів
- Законність, справедливість і прозорість. Дані обробляють на підставі, передбаченій законом, чесно й повідомляючи людям, що відбувається з їхніми даними.
- Обмеження мети. Дані збирають для визначених і законних цілей і не використовують потім у спосіб, несумісний із ними.
- Мінімізація даних. Використовують лише дані, достатні, доречні й обмежені потрібним.
- Точність. Дані мають бути правильними й, за потреби, актуальними. Неточні дані слід без затримки виправити або видалити.
- Обмеження зберігання. Дані зберігають лише стільки, скільки потрібно для мети, потім видаляють або знеособлюють.
- Цілісність і конфіденційність. Дані треба захищати від несанкціонованого доступу, втрати й знищення відповідними заходами.
- Підзвітність (англ. accountability, ст. 5 п. 2). Контролер має дотримуватися принципів і вміти це довести.
Приклади з повсякденної роботи
- Мета. Список клієнтів потрібен для виконання замовлень. Використати його для особистих вітань чи для реклами іншого бізнесу — це не те саме.
- Мінімізація. Щоб забронювати столик, досить імені й телефону. Питати ще дату народження й адресу — забагато.
- Точність. Якщо клієнт повідомив новий номер, оновіть його всюди, де треба, а не лише у своїй таблиці.
- Зберігання. Копії документів, роздруківки й мережеві папки не тримають вічно «про всяк випадок». Компанія має визначити, скільки зберігати кожну категорію.
- Конфіденційність. Документ із персональними даними не лежить на столі там, де його може побачити будь-хто, хто проходить повз.
Захист даних за задумом
Ст. 25 GDPR вимагає від контролера думати про захист даних ще на етапі проєктування і за замовчуванням. Нова форма, застосунок чи процедура мають за замовчуванням збирати лише потрібні дані. Якщо ви берете участь у виборі нового інструмента, запитайте себе: які дані він збирає? Хто їх бачить? Скільки вони зберігаються?
Не все можна «бо так зручно»
Те, що інформація під рукою, не означає, що ви можете використати її для будь-якої мети. Заглядати в дані колеги, сусіда чи відомої особи з цікавості — не робота: це порушує принципи мети й конфіденційності.
Реєстр операцій обробки
Контролер описує обробку в реєстрі операцій обробки (ст. 30 GDPR): які дані, чиї, з якою метою, на який строк, кому передаються. Для підприємств із менш ніж 250 працівниками є виняток, який однак не діє, якщо обробка може створювати ризик для прав людей, не є епізодичною або стосується спеціальних категорій даних. У компанії з персоналом обробка зазвичай усе одно не епізодична, тож реєстр ведеться. Це завдання роботодавця, а не ваше, але ви можете допомогти, повідомивши, що користуєтеся новим видом даних чи новим інструментом.
Запам’ятайте
- Чітка мета, мало даних, правильні дані, обмежений строк, захист.
- Контролер має також вміти це довести процедурами й документами.