Майже кожна робота пов’язана з інформацією про людей. Хто працює на рецепції, записує ім’я відвідувача. Хто працює в магазині, приймає адресу доставки. Хто працює у відділі кадрів, зберігає договори й відомості про відсутність. Тому правила захисту даних стосуються кожного, хто працює, а не лише керівництва компанії. Разом їх називають захистом персональних даних, а більшість людей каже просто GDPR (португальською RGPD).
Правила в Португалії
- GDPR — це Регламент (ЄС) 2016/679. Він діє в Португалії безпосередньо.
- Lei n.º 58/2019 від 8 серпня (португальський закон 58/2019) забезпечує застосування GDPR у національному праві. Він регулює, наприклад, вік згоди, відеоспостереження, трудові відносини, дані про здоров’я, штрафи та злочини.
- Comissão Nacional de Proteção de Dados (CNPD), Національна комісія із захисту даних, є національним наглядовим органом (стаття 3 закону Lei n.º 58/2019). Вона стежить за дотриманням правил.
- Código do Trabalho (Трудовий кодекс, статті 16–22) має власні правила про приватне життя та нагляд на роботі. Ви побачите їх в уроці 4.
GDPR застосовується до обробки, що здійснюється повністю або частково автоматизованими засобами, як-от комп’ютер чи телефон. Він стосується й паперу, коли дані входять до упорядкованої картотеки, наприклад папки, відсортованої за прізвищами. Поза його межами суто особисті чи домашні справи, як-от записник із контактами вдома.
Що таке персональні дані?
Персональні дані — це будь-яка інформація про ідентифіковану або таку, яку можна ідентифікувати, фізичну особу (стаття 4 пункт 1 GDPR). Приклади:
- ім’я, адреса, електронна пошта й номер телефону;
- податковий номер, номер пацієнта в системі охорони здоров’я та номер посвідчення особи (cartão de cidadão);
- фотографії та записи, на яких людину можна впізнати;
- IP-адреса й дані про місцеперебування;
- зарплата, відсутність на роботі, оцінки та опис роботи людини.
Інформація не обов’язково має бути секретною. Робоча електронна адреса, як-от imya.prizvyshche@firma.pt, теж ідентифікує людину. Кожен, кого можна ідентифікувати прямо чи опосередковано, є суб’єктом даних. Анонімізована інформація, яка вже не дає змоги нікого ідентифікувати розумними засобами, лежить поза GDPR.
Хто є хто
- Суб’єкт даних: людина, якої стосуються дані, наприклад клієнт, кандидат чи колега.
- Контролер: той, хто вирішує, для яких цілей і якими засобами обробляють дані. На роботі це зазвичай роботодавець.
- Обробник: той, хто обробляє дані від імені контролера, наприклад компанія, що веде зарплати, або постачальник хостингу для програм.
- Відповідальна особа із захисту даних (DPO): людина, яка консультує й стежить за дотриманням правил, коли компанія мусить її призначити або робить це за власним вибором.
Працівник зазвичай не є контролером: він обробляє дані від імені роботодавця й за його інструкціями (стаття 29 GDPR). Попри це саме він щодня виконує обробку, тож його дії мають значення.
Що таке «обробка»?
Обробка — це будь-яка операція з персональними даними: збирання, запис, упорядкування, зберігання, перегляд, надсилання, зіставлення, розкриття, видалення. Навіть читання картки на екрані є обробкою (стаття 4 пункт 2). Тому відкрити файл із цікавості — це вже операція, на яку поширюються правила.
Діти
У послугах інформаційного суспільства, що пропонуються безпосередньо дітям, обробка на підставі згоди законна лише з 13 років. Нижче цього віку згоду мають дати законні представники (стаття 16 закону Lei n.º 58/2019).
Підсумок: персональні дані — це все, що ідентифікує людину. Правила діють для кожного, хто з ними працює. Якщо сумніваєтеся, вважайте інформацію персональною й запитайте.