Част 7: Не претупвайте "инвентаризацията" на данните

Най-лесно "инвентаризацията" на данни се прави по отдели и по видове субекти на данни. Започвате, разбира се, с ТРЗ и персонала - колко души, какъв вид информация събирате за тях, има ли чувствителни данни, които събирате и необходими ли са ви изобщо. Следват контрагентите и техните представители. И продължавате нататък.

Когато сте направили този вътрешен анализ, вие вече ще сте наясно какви лични данни се обработват във фирмата. Включително и чрез камерите за наблюдение. И, повярвайте ми, ще бъдете изненадани от техния обем. 

Вдомностите например се пазят 50 години и са пълни с лични данни, които трябва да вземете предвид. При едно по-голямо текучество във фирмата, току-виж бройката на хората, чиито данни се пазят във фирмата, скочила неимоверно. Другата "екстра", която трупа много лична информация - това са охранителните камери. Съхранението на записи с лицата на случайни минувачи, посетители или клиенти за прекалено дълъг срок може да се окаже проблем.

Пак да повторим, че ако се установи, че данните са на повече от 10 000 души /според проектозакона за изменение на ЗЗЛД/, ще трябва да си определите длъжностно лице по защита на данните -  или вече работещ във фирмата  служител да съвмести тази функция, или да наемете нов, или да потърсите външен консултант /физическо лице, адвокатска кантора, друга консултантска фирма/.

Това обаче не е краят на "домашното", което трябва да се подготви.

След като вече сте наясно с това какви данни се събират във фирмата, на какво основание постъпват - със съгласие на техния субект, по силата на закона или по друг начин, кой и как има достъп до тях, колко време се пазят, как се охраняват, следва да се направи нова преценка: дали всичко това ви е наистина необходимо и дали има излишни данни, които съхраняване.

Защото регламентът допуска обработка на лични данни само тогава, когато това е необходимо /принцип на свеждане на данните до минимум/, само за конкретни и предварително посочени цели и само за период, "не по-дълъг от необходимото".

Тежестта да докаже, че не е обработвал лични данни в по-голям обем или за по-дълъг срок от необходимия лежи върху администратора.

Законосъобразността на обработването на чужди лични данни е налице само в случай, че има  съгласие на субекта /при това не абстрактно, а за изпълнението на конкретната цел, изразено свободно, информирано и недвусмислено/, законово основание, необходимост за изпълнението на договор, за защита на жизненоважни интереси на субекта на данните, за целите на легитимните интереси на администратора или трета страна или когато се обработват при изпълнението на задача от обществен интерес. 

Без да са налице тези предпоставки, всяко обработване на "излишни" данни е недопустимо. Например събирането на информация относно политическата принадлежност или изповядваната религия при сключване на трудов договор е напълно излишно за това правоотношение. И администраторът на личните данни, който съхранява такива данни, трябва да се "отърве" от тях, а и да не ги събира в бъдеще. По силата на измененията в закона ще бъде забранено и преснимането на лични карти, което е масова практика на много места - те също да "излишни" лични данни, които трябва да бъдат унищожени и повече да не се събират. Какво конкретно трябва да се предприеме ще видим по-нататък.

С две думи: своеобразната "инвентаризация" на наличното състояние трябва да доведе администратора до решението какви данни обработва в момента, какво ще събира занапред и какво ще прави с това, което пази в разрез със закона /ако има такова/. И тя не трябва да бъде "претупвана", защото това носи риск за администратора.

Следващата стъпка е на база този анализ да прецените дали с организационните и технически мерки, които сте взели във фирмата, можете да гарантирате /и в каква степен/ защитата  на личните данни, които обработвате. И дали е необходимо да предприемете още нещо.