Обязанность информирования

Что это значит

Обязанность информирования - обязанность контролёра по GDPR сообщить людям, чьи персональные данные он обрабатывает, основные сведения об этой обработке. Это делают при получении данных или в течение месяца, если данные поступили не напрямую от субъекта.

Сведения включают, кто контролёр и как с ним связаться, для какой цели и на каком правовом основании обрабатываются данные, кому передаются, уходят ли за пределы ЕС, как долго хранятся и какие права есть у человека, например право на доступ, исправление или удаление.

Информация должна быть краткой, понятной и легкодоступной. Чаще всего её дают через политику конфиденциальности на сайте, информационный лист для сотрудников, табличку у видеонаблюдения или ссылку в подписи письма.

Как это работает на практике

Для фирм мы готовим информацию отдельно для разных групп людей: клиентов, посетителей сайта, кандидатов на работу и сотрудников. У каждой группы свои цели и правовые основания, и один общий документ для всех обычно неточен.

Для сотрудников частью приёма на работу является информация об обработке их данных для зарплаты, взносов, учёта времени или льгот. Если фирма опирается на законный интерес, например при мониторинге, она должна прямо указать это в информации.

Информацию нужно обновлять при каждом изменении: новый поставщик программ, новая цель, перенос данных в облако за пределами ЕС. Устаревшая политика конфиденциальности - частая находка при проверке или жалобе.

На что обратить внимание

Частая ошибка - скопировать чужую политику конфиденциальности без изменений. Тогда в ней указаны цели и инструменты, которые фирма не использует, и пропущены реальные. При проверке такой документ скорее служит доказательством небрежности.

Обязанность информирования - не согласие. Фирма, которая лишь сообщает людям, что делает, но обрабатывает данные без подходящего правового основания, нарушает GDPR даже с идеальной политикой. Сначала нужно основание, потом информирование о нём.