Персональные данные

Что это значит

Персональные данные - это любая информация об идентифицированном или идентифицируемом физическом лице: имя, адрес, персональный номер, email, телефон, IP-адрес, номер счёта, фотография или запись с камеры. Решает то, можно ли по данным определить человека напрямую или вместе с другой информацией.

Их обработку регулируют GDPR и словацкий закон о защите персональных данных. Каждая обработка должна иметь правовое основание, конкретную цель и соразмерный объём. За соблюдение правил отвечает оператор, то есть тот, кто определяет цели и средства.

Персональными данными не являются сведения о компаниях как таковых, например IČO или юридический адрес. Но рабочий email конкретного сотрудника или контакт индивидуального предпринимателя - персональные данные. Более строгий режим действует для особых категорий, таких как данные о здоровье.

Как это работает на практике

Обычная компания обрабатывает данные сотрудников, клиентов, поставщиков и соискателей. Для каждой цели она должна знать, какие данные собирает, зачем, как долго хранит и кому передаёт. Обзор даёт реестр операций обработки и информационное уведомление.

Бухгалтерия - типичный пример обработки на основании законной обязанности. Счета и зарплатные ведомости содержат персональные данные и должны храниться установленный законом срок; согласие на это не нужно и его нельзя было бы отозвать. Внешний бухгалтер выступает обработчиком.

Где для цели не нужно идентифицировать человека, данные стоит анонимизировать или хотя бы псевдонимизировать. Анонимная статистика уже не подпадает под GDPR. При подозрении на нарушение субъект может обратиться в Управление по защите персональных данных.

На что обратить внимание

Многие компании недооценивают на первый взгляд технические данные. IP-адрес, идентификатор cookies или геолокация из мобильного приложения могут быть персональными данными, если их можно связать с конкретным человеком, и подчиняются тем же правилам, что имя и адрес.

Субъекты имеют право на доступ, исправление, удаление или возражение, и компания должна ответить, как правило, в течение месяца. Без внутренней процедуры, кто обрабатывает запросы и где хранятся все данные, срок легко пропустить, и возникает риск жалобы в надзорный орган.