Стаття 5 UK GDPR перелічує сім принципів. Вони — основа всього законодавства про захист даних. Майже кожне правило цього курсу випливає з одного з них.
1. Законність, справедливість і прозорість
Персональні дані треба використовувати законно, справедливо й так, щоб люди могли це зрозуміти. Має бути правова підстава (урок 3). Людей не можна вводити в оману. Їм слід повідомити, що роблять з їхніми даними, зазвичай у повідомленні про конфіденційність (privacy notice).
2. Обмеження мети
Дані треба збирати для конкретних, чітких цілей і не використовувати згодом так, що це не відповідає цим цілям. Номер телефону, наданий для бронювання столика, не слід передавати маркетинговій компанії.
3. Мінімізація даних
Збирайте лише те, що достатнє, доречне й обмежене потребою. Не питайте дату народження й не зберігайте копії посвідчень особи, якщо робота цього не вимагає.
4. Точність
Дані мають бути точними й, за потреби, актуальними. Неправильні дані можуть призвести до неправильних рішень щодо людини. Вживайте розумних заходів, щоб без затримки виправити або видалити неправильні дані.
5. Обмеження зберігання
Не зберігайте персональні дані довше, ніж потрібно для мети. Роботодавці мають визначати строки зберігання й видаляти або знеособлювати дані після їх закінчення. Не робіть власних копій «про всяк випадок».
6. Цілісність і конфіденційність (безпека)
Персональні дані треба зберігати безпечно. Це означає захист від несанкціонованого чи незаконного використання, випадкової втрати, знищення або пошкодження. Контролер має вживати належних технічних і організаційних заходів. Урок 5 показує, що це означає в щоденній роботі.
7. Підзвітність
Контролер має брати відповідальність і вміти довести, що дотримується правил (стаття 5(2)). Він робить це через політики, реєстри, навчання, оцінку ризиків і договори. Навчання персоналу — частина цього.
Принципи в дії
Візьмімо груповий чат персоналу у WhatsApp, де керівники публікують номери телефонів клієнтів і подробиці скарг.
- Прозорість: чи очікували клієнти такого?
- Мета: чи збирали номер для того, щоб ділитися ним у груповому чаті?
- Мінімізація: чи потрібен він усім у групі?
- Безпека: хто ще бачить телефон і що, якщо його загублять?
- Зберігання: чи колись видалять ці повідомлення?
Одна проста звичка охоплює більшість цього. Перш ніж використати персональні дані, запитайте себе: Чи потрібні вони мені? Чи можна мені використати їх для цього? Чи вони в безпеці? Чи їх видалять, коли слід?
Підзвітність на роботі
- Дотримуйтеся політик і навчання вашого роботодавця.
- Тримайтеся мети, для якої збирали дані.
- Записуйте те, що вас просять записати, і не більше.
- Повідомляйте про проблеми й сумніви вчасно.
- Не створюйте паралельних систем, як-от приватних таблиць, якщо роботодавець цього не дозволяє.
Чого принципи не означають
Принципи не забороняють ділитися даними чи використовувати їх, коли для цього є вагома причина. Законодавство про захист даних — не привід відмовляти в кожному запиті. Воно вимагає використовувати дані належним чином. Наприклад, передавати інформацію для захисту дитини чи людини, яка перебуває в групі ризику, дозволено, якщо це робиться відповідно до закону й процедури роботодавця.