Майже на кожному робочому місці опрацьовують відомості про людей. Касир бачить імена клієнтів. Адміністратор записує відвідувачів. Медсестра читає медичну картку. Учитель має список класу. Правила щодо таких відомостей — це правила захисту даних, і вони стосуються вас так само, як і вашого роботодавця.
Закони у Швеції
- Загальний регламент про захист даних, якого зазвичай називають GDPR (ЄС 2016/679), — головний набір правил. Він діє безпосередньо в усіх країнах ЄС.
- Закон (2018:218) з додатковими положеннями до Загального регламенту ЄС про захист даних, якого зазвичай називають dataskyddslagen (шведський закон про захист даних), доповнює те, що кожна країна може вирішувати сама. Це стосується, наприклад, персональних номерів і відомостей про правопорушення.
- Багато галузей мають власні закони з правилами щодо персональних даних, наприклад у медицині, школах і державних установах.
Наглядовий орган — Integritetsskyddsmyndigheten (IMY), шведський орган із захисту даних. IMY дає роз’яснення, приймає скарги й повідомлення про порушення, перевіряє організації та може ухвалювати рішення про адміністративні штрафи.
Персональні дані
Персональні дані — це будь-яка інформація, яку можна пов’язати з живою людиною. Інформація не обов’язково має бути секретною. Приклади:
- ім’я, адреса, електронна пошта й номер телефону
- персональний номер (шведський ідентифікаційний номер) і табельний номер
- фото, відео з камери й голосовий запис
- нотатка про те, що людина сказала чи зробила
- IP-адреса та інші мережеві ідентифікатори
Якщо ви можете зрозуміти, кого стосується інформація, зокрема поєднавши кілька відомостей, це персональні дані. Дані померлої людини правила не охоплюють. Суто відомості про компанію, наприклад її оборот, теж не є персональними даними, а ім’я та електронна адреса контактної особи — є.
Обробка
Обробляти персональні дані означає майже все, що з ними можна робити: збирати, зберігати, читати, змінювати, надсилати, зіставляти, видаляти. Уже відкриття медичної картки на екрані є обробкою.
Правила діють, коли дані опрацьовують у цифровому вигляді. Вони стосуються й паперових картотек, упорядкованих так, що можна знайти відомості про людей, наприклад папки, відсортованої за прізвищами. Суто приватні відомості вдома правила не охоплюють.
Хто є хто?
- Контролер вирішує, навіщо й як обробляти дані. Ваш роботодавець зазвичай і є контролером.
- Обробник обробляє дані від імені контролера й за його інструкціями. Приклади: компанія, що веде зарплати, або хмарний сервіс.
- Суб’єкт даних — людина, якої стосуються дані: клієнти, пацієнти, учні, колеги та кандидати на роботу.
- Відповідальна особа із захисту даних (DPO) має бути в державних установах і в деяких інших організаціях. Він дає поради, перевіряє дотримання правил і є контактною особою для IMY. Ви можете звертатися до нього із запитаннями.
Основну відповідальність за законом несе контролер. Як працівник ви працюєте на роботодавця, дотримуєтеся його правил і обробляєте дані лише для потреб роботи.
Чого ви можете очікувати
Роботодавець має мати власні настанови, реєстр своїх операцій обробки та інструкції до систем, якими ви користуєтеся. Цей курс дає основи, але не може цього замінити. В останньому уроці ми розглянемо, що належить до обов’язків роботодавця.