Уся обробка персональних даних ґрунтується на принципах, які GDPR встановлює в статті 5. Це компас, що підказує, що можна робити з інформацією щодня.
Принципи зі статті 5
- Законність, справедливість і прозорість: дані обробляють законно, чесно й зрозуміло для суб’єкта даних.
- Обмеження мети: дані збирають для конкретних і законних цілей і потім не використовують для несумісних. Екстрені номери працівників, наприклад, не призначені для надсилання реклами.
- Мінімізація: збирають лише те, що достатнє, доречне й необхідне. Якщо анкета не потребує дати народження, її не запитують.
- Точність: дані мають бути правильними й актуальними. Неточні виправляють або видаляють без зволікання.
- Обмеження зберігання: дані зберігають лише стільки, скільки потрібно. Строк — той, що встановлює закон, а якщо його немає, то потрібний для мети. Коли мета зникає, контролер знищує дані або анонімізує їх (стаття 21 закону Lei n.º 58/2019).
- Цілісність і конфіденційність: дані захищають від неправомірного доступу, втрати й знищення.
- Підзвітність: контролер має вміти довести, що дотримується правил.
Коли обробляти дані законно?
Стаття 6 GDPR каже, що персональні дані можна обробляти лише за наявності принаймні однієї правової підстави:
- згода суб’єкта даних;
- виконання договору, стороною якого є суб’єкт даних, або дії перед укладенням договору на його прохання;
- виконання юридичного обов’язку;
- захист життєво важливих інтересів людини;
- завдання в суспільних інтересах або здійснення публічної влади;
- законні інтереси контролера чи третьої особи, якщо над ними не переважають права суб’єкта даних.
Багато обробок у компаніях ґрунтуються на трудовому договорі й законі: нарахування зарплати, повідомлення соціальному забезпеченню (Segurança Social), облік присутності. Просити згоду на кожному кроці не потрібно.
Згода у трудових відносинах
Згода має бути добровільною, конкретною, поінформованою й однозначною, а відкликати її має бути так само легко, як дати (статті 4 пункт 11 і 7). Між роботодавцем і працівником існує нерівність, тому згода не завжди справді добровільна. Через це роботодавець зазвичай спирається на іншу підставу, як-от трудовий договір чи юридичний обов’язок. Він може обробляти дані працівників для цілей і в межах Código do Trabalho (стаття 28 пункт 1 закону Lei n.º 58/2019).
Стаття 28 пункт 3 закону Lei n.º 58/2019 теж стосується згоди працівника. Проте CNPD заявила, що не застосовує частину цієї норми, бо вважає її такою, що суперечить GDPR (рішення № 2019/494).
Діяти лише за інструкціями та зберігати конфіденційність
- Хто працює під керівництвом контролера, обробляє дані лише за його інструкціями, якщо інше не вимагає закон (стаття 29 GDPR).
- Обов’язок конфіденційності зобов’язує DPO, контролера, обробників і усіх осіб, які беруть участь у будь-якій операції обробки (стаття 10 пункт 2 закону Lei n.º 58/2019).
- Доступ до даних чи їх використання поза тим, чого вимагає робота, може бути незаконним, а в деяких випадках є злочином (урок 8).
Запитання, що допомагають
- Навіщо? Чи є чітка мета, пов’язана з роботою?
- Скільки? Чи справді мені потрібні всі ці дані?
- Хто? Кому ще потрібно їх бачити?
- До коли? Чи є строк зберігання або видалення?
Підсумок: використовуйте лише те, що вам потрібно, для тієї мети, з якою дані зібрано, і лише стільки, скільки потрібно.