Обов’язок інформування

Що це означає

Обов’язок інформування - обов’язок контролера за GDPR повідомити людям, чиї персональні дані він обробляє, основні відомості про цю обробку. Це роблять під час отримання даних або протягом місяця, якщо дані надійшли не безпосередньо від суб’єкта.

Відомості охоплюють, хто контролер і як із ним зв’язатися, з якою метою і на якій правовій підставі обробляються дані, кому передаються, чи йдуть за межі ЄС, як довго зберігаються і які права має людина, наприклад право на доступ, виправлення чи видалення.

Інформація має бути стислою, зрозумілою і легкодоступною. Найчастіше її надають через політику конфіденційності на сайті, інформаційний лист для працівників, табличку біля відеоспостереження чи посилання в підписі листа.

Як це працює на практиці

Для фірм ми готуємо інформацію окремо для різних груп людей: клієнтів, відвідувачів сайту, кандидатів на роботу і працівників. Кожна група має свої цілі й правові підстави, і один загальний документ для всіх зазвичай неточний.

Для працівників частиною прийому на роботу є інформація про обробку їхніх даних для зарплати, внесків, обліку часу чи пільг. Якщо фірма спирається на законний інтерес, наприклад під час моніторингу, вона має прямо зазначити це в інформації.

Інформацію треба оновлювати за кожної зміни: новий постачальник програм, нова мета, перенесення даних у хмару за межами ЄС. Застаріла політика конфіденційності - часта знахідка під час перевірки чи скарги.

На що звернути увагу

Часта помилка - скопіювати чужу політику конфіденційності без змін. Тоді в ній зазначено цілі та інструменти, яких фірма не використовує, і пропущено реальні. Під час перевірки такий документ радше слугує доказом недбалості.

Обов’язок інформування - не згода. Фірма, яка лише повідомляє людям, що робить, але обробляє дані без належної правової підстави, порушує GDPR навіть з ідеальною політикою. Спершу потрібна підстава, потім інформування про неї.