Усі правила регламенту ґрунтуються на принципах статті 5. Якщо ви їх знаєте, то самі зможете оцінити більшість ситуацій.
1. Законність, справедливість і прозорість
Ви маєте мати дійсну правову підставу (урок 3). Обробка має бути справедливою, а люди мають знати, що відбувається з їхніми даними. Приховані реєстри заборонені.
2. Обмеження мети
Дані слід збирати для конкретних, чітко визначених і законних цілей. Їх не можна просто так використати для чогось зовсім іншого.
Приклад: клієнт дає номер телефону, щоб отримати повідомлення про доставку. Ви не можете використати цей номер для маркетингу без окремої підстави.
3. Мінімізація даних
Обробляти можна лише дані, які є достатніми, доречними та обмеженими тим, що необхідно. Запитайте себе: чи справді мені це потрібно? Форма, що питає про дату народження, адресу й сімейний стан, коли треба лише надіслати підтвердження підписки на розсилку, порушує цей принцип.
4. Точність
Дані мають бути точними та, за потреби, актуальними. Неточні дані слід без затримки виправити або видалити. Помилка в особовій справі чи профілі клієнта може серйозно зашкодити людині.
5. Обмеження зберігання
Дані не можна зберігати довше, ніж необхідно для мети. Коли мету досягнуто й жоден закон не вимагає їх зберігати, їх слід видалити або анонімізувати. Багато організацій мають строки видалення для різних видів даних. Дотримуйтеся їх. Деякі дані треба зберігати довго, наприклад бухгалтерські документи за законом про бухгалтерський облік (bokføringsloven), але це не означає, що все може лежати вічно.
6. Цілісність і конфіденційність
Дані мають бути захищені від несанкціонованого доступу, втрати й пошкодження за допомогою відповідних технічних та організаційних заходів. Тут ідеться про вашу щоденну поведінку: паролі, блокування екрана, обережність з електронною поштою та вкладеннями (уроки 5 і 6).
7. Підзвітність
Контролер має вміти показати, що правила дотримуються. Для цього потрібна документація: процедури, договори, навчання, оцінки ризиків і реєстр операцій обробки (стаття 30). Datatilsynet може вимагати таку документацію під час перевірки.
Захист даних за задумом
Згідно зі статтею 25 нові системи й процедури мають бути побудовані так, щоб захист даних забезпечувався з самого початку, а найбільш дружній до приватності вибір був типовим. Якщо ви збираєтеся почати користуватися новим інструментом, що зберігає персональні дані, це слід узгодити з відповідальною особою із захисту даних, перш ніж починати.
Приклад з офісу
Працівник відділу кадрів має старий список з іменами, ідентифікаційними номерами та відсутністю через хворобу з проєкту, який завершився два роки тому. Список лежить у приватній папці на робочому столі. Тут порушено одразу кілька принципів: мети вже немає (обмеження зберігання), список містить більше, ніж потрібно (мінімізація даних), він не оновлений (точність) і лежить поза затвердженими системами (цілісність і конфіденційність). Правильно — запитати, хто відповідає за видалення, і дотримуватися правил організації щодо того, коли такі дані прибирають.
Практичні правила на щодень
- Збирайте лише те, що вам потрібно.
- Використовуйте дані лише для того, для чого їх зібрано.
- Не тримайте приватних копій і власних списків поза системами організації.
- Видаляйте те, що більше не потрібне, згідно з процедурами організації.
- Подумайте: чи очікувала б людина, що ми це робимо?