Основи персональних даних

Що таке Основи персональних даних?

Більшість інцидентів із захистом даних починається з того, що хтось не впізнав у файлі перед собою персональні дані. Ви працюєте з реальним експортом для рекрутингу: довгим списком кандидатів зі стовпцем IP-адрес і ідентифікаторів пристроїв, якого ніхто не просив, і вільнотекстовими примітками рекрутерів, де є дані про здоров'я та членство в профспілці. Ви застосуєте визначення зі статті 4(1), відділите спеціальні категорії зі статті 9 від даних, які лише здаються чутливими, визначите, чи є кожен одержувач процесором, чи окремим контролером, і спрямуєте рішення до відповідальної особи з питань захисту персональних даних.

Що ви дізнаєтесь у Основи персональних даних

• Застосовуйте визначення персональних даних зі статті 4(1), зокрема тест непрямої ідентифікації та псевдонімізовані записи
• Розпізнавайте як персональні дані онлайн-ідентифікатори, як-от IP-адреси, ідентифікатори пристроїв, ідентифікатори файлів cookie та дані про місцезнаходження
• Відрізняйте закритий перелік спеціальних категорій зі статті 9 від комерційно чутливих даних, які в нього не входять
• Помічайте дані спеціальних категорій, що з'являються як висновок із вільнотекстових приміток, вкладень і фотографій
• Визначайте ролі контролера, процесора й третьої сторони за статтею 4(7)–(10) та пояснюйте, що змінюється, коли дані залишають організацію
• Спрямовуйте запит, що містить питання із захисту даних, до відповідальної особи з питань захисту персональних даних, а не вирішуйте його самостійно

Основи персональних даних — Кроки навчання

1. Доступ відкладено

   У Marktvel працює маркетплейс із мільйонами товарних пропозицій, тож майже кожен внутрішній інструмент має справу з чиїмись персональними даними. Ваш запит на доступ до системи клієнтських записів повернувся з умовою: спершу потрібно пройти модуль з основ захисту даних. Це не формальність. Більшість інцидентів із приватністю в таких компаніях починається з того, що хтось щиро не знав: те, з чим він працює, вважається персональними даними.

2. Лист від DPO

   Від Інес Галлер, відповідальної особи з питань захисту персональних даних (DPO) у Marktvel, надійшов лист із запрошенням пройти навчання та з посиланням на портал.

3. Відкриття порталу

   Модуль розміщено на внутрішньому порталі із захисту даних.

4. Вхід

   Портал використовує ваш звичайний робочий обліковий запис Marktvel.

5. Що закон вважає персональними даними

   Розділ перший починається з визначення зі статті 4(1), а потім переходить до того, на чому найчастіше помиляються: до переліку того, що є персональними даними, хоча й не містить жодного імені. Критерій не в тому, чи можна за значенням побачити людину, а в тому, чи можна її з нього виокремити — кому завгодно, із застосуванням засобів, якими за розумних припущень можна скористатися. Колега з команди Growth хоче передати зовнішньому консультантові необроблений експорт трафіку. Він каже вам, що надсилати його можна без жодних погоджень, бо у файлі немає ні імен, ні адрес електронної пошти, ні номерів облікових записів — лише IP-адреси, ідентифікатори пристроїв і часові позначки.

6. Експорт аналітики

7. Категорії, що потребують більшої обережності

   Розділ другий присвячено статті 9. Короткий перелік категорій вважається за своєю природою ризикованішим, бо помилка тут наражає людей на дискримінацію, а не на незручності. Обробка таких даних за замовчуванням заборонена. Вона стає законною лише тоді, коли застосовується один із вузьких винятків зі статті 9(2) — а це значно вища планка, ніж звичайні правові підстави.

8. Хто за що відповідає

   Розділ третій визначає, що вам можна робити, коли залучено іншу компанію. GDPR розподіляє ролі за тим, хто ухвалює рішення, а не за тим, хто зберігає дані. Marktvel — контролер щодо даних своїх клієнтів і кандидатів. Усі інші або обробляють дані за вказівками Marktvel, або діють у власних цілях, і від цієї різниці залежить, що має бути оформлено, перш ніж дані підуть далі. Модуль завершує розділ третій сценарієм зі справжнього звернення до підтримки. Hirelane, система відстеження кандидатів, якою користується Marktvel, написала кільком клієнтам: вона пропонує використати записи кандидатів, які вже є на її платформі, щоб навчати й удосконалювати власний алгоритм підбору, — без додаткової плати.

9. Запит від постачальника

10. Модуль стикається з реальною роботою

    Модуль пройдено. Не минає й години, як теорія перетворюється на справжній запит. Томас Брандль із відділу підбору персоналу веде найм бекенд-інженера й хоче рухати довгий список далі. Він додав експорт і попросив вас передати його в два місця.