Іноді персональні дані треба передати комусь іншому. Тоді діє кілька правил, які варто знати.
Передавання даних усередині організації
Доступ мають мати лише ті, кому дані потрібні для роботи. Ваші права доступу в системі — частина захисту роботодавця. Те, що ви можете побачити якусь інформацію, не означає, що вам дозволено її дивитися. Пошук знайомого, сусіда чи відомої людини без робочої причини — це несанкціонований доступ, навіть якщо ніхто інший цього не помітить. Системи часто записують доступ, а той, хто дивиться без причини, може зазнати дисциплінарних наслідків.
Передавання даних стороннім
Перш ніж надсилати дані стороннім, запитайте:
- Хто одержувач і що він робитиме з даними?
- Чи має організація правову підставу й мету, що охоплюють це розкриття?
- Чи має одержувач право їх отримати? Перевірте, хто ця людина.
- Чи є договір про обробку даних, якщо одержувач працює на вас?
Не називайте дані телефоном людині, яку не можете ідентифікувати. Краще попросіть передзвонити й зателефонуйте на номер, який маєте самі.
Обробники
Коли постачальник обробляє дані від імені роботодавця, наприклад компанія, що веде зарплати, або хмарний сервіс, потрібен письмовий договір про обробку (стаття 28). Договір визначає, зокрема, які дані постачальник може обробляти, як вони захищені й що діє після закінчення договору. Ви не повинні самі починати користуватися новим сервісом із персональними даними, поки це не врегульовано.
За межами ЄС і ЄЕЗ
Персональні дані можна вільно переміщувати в межах ЄС і ЄЕЗ. Передавання до країни поза ними потребує додаткового захисту згідно з розділом V GDPR. Це може бути рішення Європейської комісії про належний рівень захисту в країні або стандартні договірні умови. Деякі хмарні сервіси мають сервери чи підтримку поза ЄС. Оцінювати це має роботодавець, але ви маєте запитати, перш ніж почати користуватися новим сервісом.
Принцип публічності та GDPR
Якщо ви працюєте в державній установі, громаді чи регіоні, діє особлива система.
- Принцип публічності офіційних документів (offentlighetsprincipen) закріплений у законі про свободу друку (tryckfrihetsförordningen). Кожен має право ознайомитися з офіційними документами органів влади. Документ є офіційним, якщо він зберігається в органі й надійшов туди або складений там.
- Закон про публічність і таємницю (2009:400) (offentlighets- och sekretesslagen) визначає, які відомості є таємними й тому не можуть бути розкриті.
- Згідно з розділом 1, § 7 dataskyddslagen правила захисту даних не застосовують тією мірою, якою це суперечило б закону про свободу друку. Тому GDPR не є підставою відмовити у наданні офіційного документа, що не є таємним.
Кілька важливих моментів:
- Питання про надання вирішують за правилами про таємницю. Документ, який не є таємним, надають, навіть якщо в ньому є персональні дані.
- Орган за загальним правилом не може питати, навіщо людині документ чи хто вона, крім випадків, коли це потрібно для оцінки таємності (закон про свободу друку, розділ 2, § 18).
- Правила захисту даних, однак, діють щодо того, як орган збирає, зберігає, захищає та вилучає дані у власних системах.
Отже, обидва набори правил діють одночасно й доповнюють один одного. Якщо ви не певні, чи можна щось розкрити, запитайте відповідального, наприклад реєстратора, юриста чи відповідальну особу із захисту даних.
Маркетинг
Люди мають абсолютне право заперечувати проти прямого маркетингу (стаття 21 (3)). Якщо хтось каже «перестаньте надсилати мені рекламу», негайно передайте це далі. Правила маркетингу електронною поштою й SMS містяться також у законі про маркетинг (marknadsföringslagen), а правила щодо файлів cookie на сайтах — у законі про електронні комунікації (lagen om elektronisk kommunikation). Перш ніж робити розсилку, запитайте відповідального.