Основи персональних даних

Що таке Основи персональних даних?

Більшість інцидентів із захистом даних починається з того, що хтось не розпізнав у файлі перед собою персональні дані. Ви розбираєте реальне вивантаження з рекрутингу: довгий список кандидатів, де є IP-адреса та ідентифікатор пристрою, яких ніхто не просив, і примітки рекрутера у довільній формі з даними про здоров'я та членство в профспілці. Ви застосуєте визначення зі статті 4(1), відокремите спеціальні категорії за статтею 9 від даних, які лише здаються чутливими, вирішите, чи є кожен одержувач процесором, чи окремим контролером, і передасте рішення відповідальній особі з питань захисту персональних даних.

Що ви дізнаєтесь у Основи персональних даних

• Застосовуйте визначення персональних даних зі статті 4(1), зокрема тест на непряму ідентифікацію та підхід до псевдонімізованих записів
• Розпізнавайте онлайн-ідентифікатори — IP-адреси, ідентифікатори пристроїв, ідентифікатори файлів cookie та дані про місцезнаходження — як персональні дані
• Відрізняйте закритий перелік спеціальних категорій зі статті 9 від комерційно чутливих даних, які в нього не входять
• Помічайте дані спеціальних категорій, які випливають з приміток у довільній формі, вкладень і фотографій
• Визначайте ролі контролера, процесора й третьої сторони за статтею 4(7)–(10) та пояснюйте, що змінюється, коли дані залишають організацію
• Передавайте запит, у якому криється питання про захист даних, відповідальній особі з питань захисту персональних даних, а не вирішуйте його самі

Основи персональних даних — Кроки навчання

1. Доступ відкладено

   Marktvel — це маркетплейс із мільйонами товарних пропозицій, тож майже кожен внутрішній інструмент зачіпає чиїсь персональні дані. На ваш запит на доступ до системи клієнтських записів надійшла умова: спершу потрібно пройти базовий модуль із захисту даних. Це не формальність. Більшість інцидентів із захистом даних у таких компаніях починається з того, що хтось щиро не знав: дані, з якими він працює, — персональні.

2. Лист від відповідальної особи

   Інес Галлер, відповідальна особа з питань захисту персональних даних у Marktvel, надіслала лист із записом на модуль і посиланням на портал.

3. Відкриття порталу

   Модуль розміщено на внутрішньому порталі із захисту даних.

4. Вхід

   Для входу на портал підійде ваш звичайний робочий обліковий запис Marktvel.

5. Що закон вважає персональними даними

   Перший розділ починається з визначення зі статті 4(1), а далі йде те, на чому найчастіше помиляються: перелік даних, які є персональними, навіть якщо в них немає жодного імені. Критерій не в тому, чи видно людину з першого погляду на значення. Він у тому, чи може будь-хто виокремити людину з цих даних засобами, якими за розумних припущень можна скористатися. Колега з команди зростання хоче передати зовнішньому консультантові вивантаження необроблених даних про трафік. Він каже, що надсилати можна без жодних погоджень, бо у файлі немає ні імен, ні адрес електронної пошти, ні номерів облікових записів — лише IP-адреси, ідентифікатори пристроїв і часові позначки.

6. Вивантаження з аналітики

7. Категорії, що потребують більшої уваги

   Другий розділ присвячено статті 9. Кілька категорій даних за своєю природою ризикованіші за решту: помилка з такими даними загрожує людям дискримінацією, а не просто незручністю. Обробка таких даних за замовчуванням заборонена. Вона стає законною лише тоді, коли застосовується один із вузьких винятків зі статті 9(2) — а це значно вищий бар'єр, ніж звичайні правові підстави.

8. Хто за що відповідає

   Третій розділ визначає, що вам дозволено робити, коли до справи залучена інша компанія. GDPR розподіляє ролі за тим, хто ухвалює рішення, а не за тим, у кого зберігаються дані. Marktvel — контролер своїх даних про клієнтів і кандидатів. Усі інші або діють як процесори, виконуючи вказівки Marktvel, або переслідують власні цілі, і від цього залежить, що має бути оформлено до того, як дані кудись підуть. Розділ закінчується випадком зі справжнього звернення до підтримки. Hirelane, система відстеження кандидатів, якою користується Marktvel, написала кільком клієнтам: вона пропонує безкоштовно використати записи кандидатів, які вже є на її платформі, щоб навчити й удосконалити власний алгоритм підбору.

9. Запит від постачальника

10. Від модуля до справжньої роботи

    Модуль пройдено. Не минає й години, як теорія перетворюється на справжній запит. Томас Брандль із відділу підбору персоналу займається наймом бекенд-інженера й хоче просунути довгий список далі. Він приклав вивантаження до листа й просить вас переслати його двом адресатам.