Какви са правилата за защита на личните данни (GDPR)?

Когато управлявам бизнес, сдружение или друга организация и използвам данни за клиенти, служители или посетители, трябва да съобразя Общия регламент относно защитата на данните — GDPR, и Закона за защита на личните данни. Регламентът се прилага от 25 май 2018 г. Защитата на данните е постоянна част от работата, а не еднократно подписване на комплект документи.

Кои данни са лични и кой носи отговорност?

Лични са данните за идентифицирано или идентифицируемо физическо лице. Това могат да бъдат име, телефон, адрес, идентификатор, информация за покупки или за служебна дейност. Данни без изписано име също могат да са лични, ако човекът може да бъде разпознат чрез тях или в съчетание с друга информация.

Администраторът определя целите и средствата на обработването. Обработващият използва данните от негово име и по възложени указания. Ролята зависи от реалните отношения, а не само от заглавието на договора. При външен доставчик, който е обработващ, е необходимо уреждане на отношенията по чл. 28.

Няма общо задължение всеки администратор да се регистрира предварително в КЗЛД. Вместо това той трябва да спазва правилата и да може да докаже спазването им.

Нужно ли е винаги съгласие?

Не. За всяка цел определям подходящо правно основание. Член 6 предвижда съгласие, необходимост за договор или действия преди него по искане на лицето, законово задължение, жизненоважни интереси, задача от обществен интерес или упражняване на официални правомощия и легитимен интерес при съответния баланс на права.

Например адресът за доставка може да се обработва за изпълнение на поръчката, а данните за осигуряване на служител — за законово задължение. Не изисквам излишно съгласие за тези цели и не използвам изпълнението на договора като оправдание за несвързана реклама.

Когато разчитам на съгласие, то трябва да бъде свободно, конкретно, информирано и недвусмислено, с възможност за лесно оттегляне. Предварително отметнати полета и общо приемане на неясни цели не са достатъчни. За здравни и други специални категории данни по чл. 9 е необходимо и приложимо изключение от забраната за обработване. За данни за присъди и нарушения действат отделните изисквания на чл. 10.

Какви правила и документи организирам?

• Описвам целите, данните, източниците, правните основания, получателите и сроковете за съхранение.
• Предоставям информация за поверителност според чл. 13 или 14, включително за правата и начините за упражняването им.
• Поддържам необходимите регистри на дейностите по обработване по чл. 30. Изключенията се преценяват конкретно; малкият размер на бизнеса сам по себе си не означава освобождаване.
• Уреждам договорите с обработващи, достъпа на служителите, поверителността, сроковете за изтриване и реакцията при инцидент.
• Избирам технически и организационни мерки според риска — например ограничен достъп, надеждно удостоверяване, резервни копия, актуализации и обучение.
• При предаване извън Европейското икономическо пространство проверявам условията по глава V. Използването на облачна услуга не отменя тази проверка.

Документите трябва да описват реални процеси. Политика на сайта не компенсира прекомерно събиране, неограничен достъп или неопределено съхранение. Мога да потърся съдействие за документация и организация на защитата на данните.

Кога ми трябва длъжностно лице по защита на данните?

Длъжностно лице се определя в случаите по чл. 37: при публичен орган или структура, с изключението за съдилищата при правораздавателната им дейност; когато основните дейности изискват мащабно редовно и систематично наблюдение; или когато основните дейности включват мащабно обработване на специални категории данни или данни за присъди и нарушения.

То може да е служител или външен специалист, трябва да има необходимите знания и независимост и да няма конфликт на интереси. Данните за контакт се публикуват и се съобщават на КЗЛД. Назначаването му не прехвърля отговорността на администратора върху него.

Кога се прави оценка на въздействието?

Преди обработване, което е вероятно да създаде висок риск за правата и свободите, извършвам оценка по чл. 35. Проверявам характера, мащаба, целите, използваните технологии и публикуваните от КЗЛД критерии. Оценката описва рисковете и мерките, а не само обща декларация за съответствие.

Предварителна консултация с КЗЛД по чл. 36 е необходима, когато оценката показва висок риск, който не е достатъчно ограничен с предвидените мерки. Не всяка оценка задължително се изпраща за предварително одобрение.

Какво правя при нарушение на сигурността?

Загуба, неправомерно разкриване, промяна или недостъпност на данни могат да са нарушение. Администраторът го документира и оценява риска. Уведомява компетентния надзорен орган без ненужно забавяне и, когато е осъществимо, до 72 часа от узнаването, освен ако е малко вероятно да има риск за правата и свободите. При закъснение се посочват причините.

Когато има вероятност за висок риск, по правило информирам и засегнатите хора без ненужно забавяне, при отчитане на изключенията на чл. 34. Това е отделно задължение. Обработващият уведомява администратора без ненужно забавяне след узнаването. Дори когато не се изпраща уведомление до КЗЛД, документирам инцидента и основанията за преценката.

Какви права имат хората?

Според случая те могат да поискат достъп, поправка, изтриване, ограничаване, преносимост или да възразят срещу обработването. Съществуват и правила за решения, основани единствено на автоматизирано обработване, които имат правни или сходни съществени последици.

Правата не са безусловни. Например искане за изтриване не отменя законово задължение за съхранение на счетоводни документи. Отговарям без ненужно забавяне, по правило до един месец. При необходимост срокът може да се удължи с още два месеца поради сложност или брой искания, но уведомявам лицето и обяснявам причините в първия месец.

Лицето може да подаде жалба до Комисията за защита на личните данни и да потърси съдебна защита. Затова пазя доказателства за получените искания, извършените проверки и дадените отговори.