Кожна обробка персональних даних потребує щонайменше однієї правової підстави за статтею 6. Деякі дані до того ж особливо чутливі й потребують більшого.
Шість правових підстав
- Згода. Людина сказала «так» добровільно, конкретно, усвідомлено й однозначно. Відкликати згоду має бути так само легко, як її дати.
- Договір. Обробка потрібна для виконання договору з людиною або для дій, про які вона просила перед укладенням договору. Приклад — адреса доставки клієнта під час замовлення.
- Юридичний обов’язок. Обробки вимагає закон, наприклад дані для бухгалтерії або для податкової служби (Skatteverket).
- Захист життєво важливих інтересів. Обробка потрібна для захисту чийогось життя, наприклад у надзвичайній ситуації.
- Завдання в суспільних інтересах або здійснення публічної влади. Це найпоширеніша підстава для державних установ і громад.
- Законний інтерес. Обробка потрібна для законного інтересу компанії, і цей інтерес переважає над приватністю людини. Державні установи не можуть застосовувати цю підставу, виконуючи свої завдання.
Згода серед працівників
У трудових відносинах роботодавець має владу над працівником. Тому «так» працівника рідко буває добровільним. Роботодавцям слід радше спиратися на договір, юридичний обов’язок або законний інтерес. Не розраховуйте, що «так» колеги є чинною згодою лише тому, що ви запитали.
Спеціальні категорії персональних даних
Стаття 9 називає їх спеціальними категоріями персональних даних. Вони в принципі не підлягають обробці, а винятки діють лише в особливих випадках. Йдеться про дані щодо:
- расового чи етнічного походження
- політичних поглядів
- релігійних чи філософських переконань
- членства в профспілці
- генетичних даних
- біометричних даних для ідентифікації людини
- здоров’я
- статевого життя чи сексуальної орієнтації
Поширений виняток — обробка потрібна, щоб роботодавець або працівник могли виконати обов’язки з трудового права. Приклад — дані про лікарняні та реабілітацію. Навіть тоді дані мають надходити лише до тих, кому вони потрібні. Не пишіть діагнозів в електронних листах чи чатах, які може читати багато людей.
Дані про правопорушення
Згідно з розділом 3, § 8 dataskyddslagen дані про злочини, вироки та процесуальні заходи примусу можуть обробляти державні органи. Інші можуть робити це лише в окремих випадках, головно коли це дозволяють правила чи рішення уряду або IMY (розділ 3, § 9). Якщо ви як приватний роботодавець хочете вимагати витяг із реєстру судимостей чи щось подібне, спершу запитайте того, хто відповідає за захист даних.
Персональний номер
Персональний номер (personnummer) — дуже сильний ідентифікатор. Тому у Швеції діють особливі правила (стаття 87 GDPR). Згідно з розділом 3, § 10 dataskyddslagen персональні номери та координаційні номери можна обробляти без згоди лише тоді, коли це явно виправдано метою, важливістю надійної ідентифікації або іншою вагомою причиною.
На практиці це означає:
- Не питайте персональний номер, коли достатньо імені й електронної адреси.
- Не пишіть персональні номери в темах листів, відкритих списках, назвах файлів чи повідомленнях, що йдуть відкритими каналами.
- Не надсилайте персональні номери звичайною електронною поштою, якщо є безпечніший шлях.
- Використовуйте лише ту частину номера, яка потрібна, наприклад чотири останні цифри, якщо цього досить для завдання.
Діти
Для онлайн-послуг дитина у Швеції може сама дати згоду з 13 років. Якщо дитина молодша, потрібна згода опікуна. Дані дітей слід захищати особливо ретельно.
Ваша роль
Завжди запитуйте себе: яка в нас підстава так робити? Якщо не знаєте, запитайте керівника, відповідальну особу із захисту даних або того, хто відповідає за захист даних, перш ніж збирати чи передавати дані.