Деякі персональні дані потребують посиленого захисту, бо їх неправомірне використання може призвести до дискримінації або серйозної шкоди. GDPR ставить до них суворіші вимоги.
Спеціальні категорії даних (стаття 9 GDPR)
Це дані, що розкривають:
- расове чи етнічне походження;
- політичні погляди;
- релігійні чи світоглядні переконання;
- членство в профспілці;
- генетичні дані та біометричні дані, що використовують для однозначної ідентифікації людини;
- дані про здоров’я;
- дані про статеве життя або сексуальну орієнтацію.
Правило — заборона обробки. Винятки є в статті 9 пункт 2, наприклад явна згода, виконання обов’язків за трудовим правом і правом соціального забезпечення, медицина праці чи захист права в провадженні. Хто не має жодного застосовного винятку, не може обробляти ці дані.
Дані про судимості та правопорушення (стаття 10) теж підпорядковані суворим правилам: їх обробляють лише під контролем державного органу або коли це дозволяє закон.
Дані про здоров’я
Закон Lei n.º 58/2019 додає в статті 29:
- доступ підпорядковується принципу потреби знати (need to know);
- обробку має виконувати фахівець, зобов’язаний до професійної таємниці, або інша особа, зобов’язана до конфіденційності;
- працівники й виконавці послуг контролера та DPO, які мають доступ до даних про здоров’я, зобов’язані зберігати таємницю.
У звичайній компанії роботодавцю не потрібно знати чийсь діагноз. Código do Trabalho (стаття 17) каже, що відомості про здоров’я чи вагітність можна вимагати лише тоді, коли це виправдовують вимоги роботи, з обґрунтуванням у письмовій формі, і що їх надають лікареві, який повідомляє роботодавцеві лише, чи працівник придатний, чи ні. Стаття 19 забороняє за будь-яких обставин вимагати тести чи обстеження на вагітність.
На практиці:
- список відсутніх, яким ділиться команда, не повинен називати хворобу;
- довідка слугує для виправдання відсутності, а не для показу колегам;
- на запитання «що з колегою?» відповіді немає.
Приватне життя
Стаття 16 Código do Trabalho зобов’язує роботодавця й працівника поважати недоторканність приватного життя. Це охоплює доступ до аспектів сімейного, емоційного й статевого життя, стану здоров’я та політичних і релігійних переконань, а також їх розкриття.
Ідентифікаційні номери
Податковий номер (NIF), номер соціального забезпечення (NISS), номер пацієнта в державній системі охорони здоров’я (SNS) і номер посвідчення особи (cartão de cidadão) є персональними даними, що ідентифікують людину поза сумнівом. Вони пов’язують особу з багатьма реєстрами й у чужих руках уможливлюють шахрайство та викрадення особистості. Закон Lei n.º 58/2019 не має окремої статті про них. Діють загальні правила:
- запитувати номер і використовувати його лише тоді, коли є мета й підстава;
- не записувати його в списки, видимі всім, у незахищені листи чи на екрани, повернуті до публіки;
- не зберігати довше, ніж потрібно.
Фотографії та зображення
Фотографія колеги чи клієнта є персональними даними. Опублікувати її в соціальній мережі, на плакаті чи на сайті компанії можна лише за правової підстави, зазвичай згоди, і з чіткою інформацією про використання.
Підсумок: спеціальні категорії даних та ідентифікаційні номери потребують більшої обережності. Бачити їх мають лише ті, кому потрібно, і ніколи «просто з цікавості».