Стаття 5 GDPR містить основні правила, на яких ґрунтуються всі інші. Якщо ви їх знаєте, то часто самі зможете оцінити, чи щось є розумним.
Шість принципів
- Законність, справедливість і прозорість. Має бути правова підстава (урок 3). Дані слід обробляти справедливо, а люди мають знати, що відбувається.
- Обмеження мети. Дані слід збирати для конкретних, явно визначених і законних цілей. Згодом їх не можна використовувати так, що це не узгоджується з первинною метою.
- Мінімізація даних. Збирайте лише те, що достатнє, доречне й необхідне. Запитайте себе: чи справді мені потрібна ця інформація?
- Точність. Дані мають бути правильними й актуальними. Неточні дані слід без затримки виправити або видалити.
- Обмеження зберігання. Не зберігайте дані довше, ніж потрібно. Коли мету досягнуто, дані слід видалити, знеособити або, якщо цього вимагає закон, зберігати за його правилами.
- Цілісність і конфіденційність. Дані слід захищати від несанкціонованого доступу, втрати й знищення. Для цього потрібні технічні й організаційні заходи.
Підзвітність
Згідно зі статтею 5 (2) контролер має вміти довести, що принципи дотримано. Тож недостатньо діяти правильно. Організація має ще й могти задокументувати, що вона так діє, наприклад через процедури, реєстри та навчання.
Приклади з повсякденної роботи
- Мета. Магазин збирає номери телефонів, щоб повідомити про готове замовлення. Номер не можна просто так використати для реклами.
- Мінімізація. Форма підписки на розсилку потребує адреси електронної пошти. Дати народження чи домашньої адреси вона не потребує.
- Точність. Клієнт переїхав і повідомив про це. Тоді адресу треба змінити скрізь, де її використовують.
- Зберігання. Документи кандидатів із завершеного підбору персоналу не мають лежати вічно. Строки зберігання визначає роботодавець, а ви їх дотримуєтеся.
- Безпека. Список даних клієнтів не повинен лежати відкритим на спільному робочому столі чи потрапити не тому одержувачу.
Вбудований захист даних
Стаття 25 вимагає вбудованого захисту даних і захисту даних за замовчуванням. Це означає, що системи й процедури слід проєктувати так, щоб принципи дотримувалися з самого початку. За замовчуванням обробляють лише дані, потрібні для кожної мети, і доступ мають лише ті, кому вони потрібні.
Ваша роль
- Використовуйте дані лише для того, чого вимагає робота.
- Не беріть із собою більше, ніж потрібно, і не зберігайте власних копій у приватних файлах.
- Виправляйте помилки, які знайшли, або скажіть тому, хто відповідає за дані.
- Дотримуйтеся правил і процедур видалення. Запитуйте, якщо щось незрозуміло.
- Пам’ятайте про принципи, навіть коли щось здається зручним: те, що просто, не завжди законне.
Приклад, що показує всі принципи
Колега з відділу кадрів отримує список лікарняних усіх працівників, щоб спланувати зміни. Мета — планування, тому список не можна використовувати, щоб оцінювати, хто «надто часто хворіє», у питанні зарплати. Їй потрібні лише дати й кількість днів, а не діагнози. Список має бути точним, захищеним правами доступу й видаленим, коли він більше не потрібен. Так принципи працюють разом.