Правова підстава обробки

Що це означає

Правова підстава обробки - одна з шести підстав за GDPR, що дозволяють обробляти персональні дані: згода, виконання договору, обов'язок за законом, життєво важливі інтереси, завдання в суспільних інтересах і законний інтерес. Обробка без правової підстави незаконна, навіть якщо в іншому безпечна.

Кожній меті обробки має відповідати рівно одна відповідна підстава, визначена заздалегідь. Виставлення рахунків спирається на обов'язок за законом, доставка замовленого товару - на виконання договору, розсилка часто на згоду, відеоспостереження для охорони майна - на законний інтерес.

Згода - не найкраща підстава для всього. Вона має бути вільною й може бути відкликана будь-коли, тому для обробки, потрібної компанії незалежно від волі людини, наприклад бухгалтерії чи зарплати, вона не підходить. Там використовують обов'язок за законом чи договір.

Як це працює на практиці

Перелік цілей і правових підстав входить до реєстру операцій обробки та до інформації для суб'єктів даних. Виконуючи інформаційний обов'язок, компанія має зазначити, на якій підставі обробляє дані, а за законного інтересу - і про який інтерес ідеться.

За законного інтересу треба провести тест співмірності: який інтерес компанії, чи обробка необхідна і чи не переважують права суб'єкта. Результат документують, щоб пред'явити його наглядовому органу. Суб'єкт має право заперечувати проти такої обробки.

Правова підстава визначає й обсяг даних, і строк зберігання. За принципом мінімізації збирають лише дані, потрібні для мети, а після її досягнення видаляють, якщо закон не вимагає довшого зберігання, як для облікових документів.

На що звернути увагу

Змінювати правову підставу заднім числом проблематично. Якщо компанія обробляла дані на підставі згоди, а людина її відкликала, не можна просто перейти на законний інтерес. Тому важливо обрати правильну підставу одразу й чітко про неї повідомляти.

Для особливих категорій даних, наприклад про здоров'я, звичайної підстави недостатньо, має діяти й один із винятків GDPR. Так само для даних про кримінальні правопорушення діють суворіші правила, яким звичайна компанія часто не відповідає.