Згідно зі статтею 6 UK GDPR організація може використовувати персональні дані, лише якщо застосовується принаймні одна правова підстава (lawful basis). Контролер має визначити, яка саме, до початку й повідомити про неї людей у повідомленні про конфіденційність.
Правові підстави
- Згода. Людина чітко погодилася.
- Договір. Використання потрібне для виконання договору з людиною або для кроків, про які вона просить до укладення договору. Приклад — доставка замовлення.
- Юридичний обов’язок. Використання потрібне для дотримання закону, наприклад облік зарплат і податків.
- Життєво важливі інтереси. Використання потрібне для захисту чийогось життя, як-от у медичній надзвичайній ситуації.
- Публічне завдання. Використання потрібне для завдання в публічних інтересах або функції, визначеної законом. Це здебільшого стосується публічних органів.
- Законні інтереси. Використання потрібне для законних інтересів організації або третьої сторони, якщо права людини не переважають. Організація має зважити обидві сторони.
Data (Use and Access) Act 2025 додає сьомий шлях, названий визнаними законними інтересами (recognised legitimate interests). Він стосується короткого переліку цілей, визначених законом, як-от запобігання злочинам і safeguarding (захист дітей і вразливих дорослих). Коли його застосовувати, вирішить ваш роботодавець. Ви його не обираєте.
Спеціальні категорії даних потребують більшого
Для спеціальних категорій даних (здоров’я, релігія, членство в профспілці тощо) організації потрібні правова підстава і окрема умова зі статті 9. Багато з цих умов викладено в Додатку 1 до DPA 2018. Типові приклади — трудове право та охорона здоров’я. Тому з медичними записами, довідками про хворобу й подібною інформацією поводьтеся обережніше.
Яка буває дійсна згода
Згода — лише один із варіантів, і часто не найкращий. Якщо її використовують, вона має бути:
- добровільною. Людина має справжній вибір. Згода рідко буває добровільною, коли є нерівність сил, наприклад між роботодавцем і працівником;
- конкретною для чіткої мети;
- поінформованою. Людина знає, хто просить і навіщо;
- однозначною, через чітку позитивну дію. Попередньо позначені прапорці, мовчання й бездіяльність не є згодою;
- легкою для відкликання будь-коли, і так само легкою для відкликання, як і для надання.
Організація має вміти довести, що має згоду.
Роботодавці та згода
Дані працівників здебільшого використовують на інших підставах, таких як договір (оплата праці) та юридичний обов’язок (перевірка права на роботу, податки). Роботодавцеві не слід просити згоди там, де працівник не може відмовитися без остраху.
Чому це важливо для вас
Ви не обираєте правову підставу. Але мусите знати основи:
- Якщо клієнт дав адресу електронної пошти, щоб отримати квитанцію, не додавайте її до маркетингового списку. Це інша мета.
- Якщо хтось відкликав згоду, негайно повідомте відповідну людину, щоб оновити запис.
- Якщо колега просить подробиці про людину «з цікавості», у вас немає правової підстави їх передавати. Передавайте лише дані, потрібні для роботи.
Справедливість і прозорість
Самої правової підстави недостатньо. Використання має бути ще й справедливим та відкритим. Люди не повинні дивуватися тому, що ви робите з їхніми даними. Повідомлення про конфіденційність пояснює, хто контролер, які дані використовуються, навіщо, на якій правовій підставі, хто їх отримує, як довго вони зберігаються і які права мають люди. Роботодавці мають його надавати. Якщо людина запитає, де його знайти, вкажіть їй.