Ang Pangkalahatang Regulasyon sa Proteksyon ng Datos (EU 2016/679) ay nagkabisa noong Mayo 25, 2018 na nagdagdag ng mga bagong elemento at makabuluhang pagpapahusay sa umiiral na sistema ng proteksyon ng datos.
Ang Data Protection Act (DPA) 2018, na nagkabisa noong Mayo 23, 2018, ay nagpatupad ng GDPR, habang nagdaragdag din ng probisyon para sa batas ng UK upang palawigin ang GDPR sa mga lugar tulad ng mga serbisyong pangseguridad at mga ahensya ng gobyerno, na hindi lamang sakop ng GDPR.
Pagkatapos ng Brexit (kasunod ng pagtatapos ng panahon ng transisyon ng Brexit mula Enero 1, 2021 pataas), ang UK GDPR ang pinanatili na bersyon ng Regulasyon ng EU sa bisa ng seksyon 3 ng European Union (Withdrawal) Action 2018 at ayon sa susog ng Data Protection, Privacy and Electronic Communications (Amendment Etc) (EU Exit) Regulations 2020.
Pinoprotektahan ng UK GDPR ang mga karapatan ng mga mamamayan ng UK kaugnay ng kanilang datos, pinoprotektahan naman ng EU GDPR ang mga karapatan ng mga mamamayan ng EU. Para sa mga organisasyong humahawak ng datos sa mga mamamayan ng UK at EU, parehong nalalapat ang GDPR.
Ang mga prinsipyo at kinakailangan ng EU GDPR ay patuloy na nalalapat sa UK sa bersyon nito pagkatapos ng Brexit at dito natin titingnan ang mga pangunahing saklaw at ilang kahulugan.
Mga controller at processor
Ang GDPR ay naaangkop sa parehong mga tagakontrol at tagaproseso ng datos. Sinasabi ng mga tagakontrol kung paano at bakit pinoproseso ang personal na datos. Ang tagaproseso ang kumikilos sa ngalan ng tagakontrol upang iproseso ang datos. Ang iyong organisasyon ay maaaring isang tagaproseso ng datos, o isang tagakontrol ng datos, o pareho.
May mga partikular na legal na obligasyon sa parehong mga controller at processor:
- dapat tiyakin ng mga controller na ang mga kontrata sa mga processor ay sumusunod sa GDPR; at
- Ang mga controller at processor ay may magkakahiwalay, ngunit tahasang, mga kinakailangan upang mapanatili ang mga talaan ng personal na data at mga aktibidad sa pagproseso
- Ang mga processor ay legal ding responsable at mananagot para sa anumang paglabag sa seguridad.
Pakitingnan ang aming kaugnay na factsheet na 'Seguridad ng Datos – Pangkalahatang Regulasyon sa Proteksyon ng Datos – Pagtiyak ng Pagsunod' para sa mas detalyadong impormasyon tungkol sa mga kinakailangan sa dokumentasyon.
Mga prinsipyo ng proteksyon ng datos
Ang personal na datos ay dapat na:
- naproseso nang legal, patas, at malinaw
- kinolekta para sa mga tinukoy, tahasang, at lehitimong layunin
- sapat, may kaugnayan, at limitado sa kung ano ang kinakailangan para sa layuning ito
- wasto at pinapanatiling napapanahon. Ang mga hindi tumpak na datos ay dapat burahin o itama
- itinatago sa isang makikilalang format nang hindi hihigit sa kinakailangan
- ligtas na pinoproseso at protektado mula sa hindi awtorisado o ilegal na pagproseso, aksidenteng pagkawala, o pagkasira o pinsala.
Mga karapatan ng GDPR para sa mga indibidwal
Ang karapatang mabigyan ng kaalaman
May karapatan ang mga indibidwal na malaman kung paano ipoproseso ang kanilang personal na datos. Itinataguyod ng GDPR ang transparency sa pagproseso sa pamamagitan ng isang paunawa sa privacy na sumasaklaw (bukod sa iba pang mga bagay) sa mga detalye ng controller, ang pinagmulan ng datos, mga tatanggap ng datos, mga paglilipat ng datos na ginawa sa labas ng EU, at ang panahon ng pagpapanatili ng datos.
Ang karapatan sa pag-access (kahilingan sa pag-access ayon sa paksa)
May karapatan ang mga indibidwal na makakuha ng kumpirmasyon na pinoproseso ang kanilang data, pag-access sa kanilang personal na data, at iba pang impormasyon, tulad ng nakasaad sa isang paunawa sa privacy.
Ang pinakamataas na tagal ng panahon na pinapayagan upang harapin ang isang kahilingan sa pag-access ng paksa ay 30 araw at ang karapatang maningil ng bayad sa pag-access ng paksa ay inalis na, maliban na lamang kung ang kahilingan ay walang batayan, labis, o paulit-ulit.
Ang karapatan sa pagwawasto
May karapatan ang mga indibidwal na maitama ang hindi tumpak o hindi kumpletong personal na datos. Dapat ding kasama rito ang personal na datos na ibinahagi o ibinibigay sa mga ikatlong partido.
Ang karapatan sa pagbura
May karapatan ang mga indibidwal na humiling ng pagbura o pag-alis ng personal na datos kung walang matibay na dahilan para sa patuloy na pagproseso nito. Muli, dapat ding kasama rito ang personal na datos na ibinahagi o ibinigay sa mga ikatlong partido.
Mahalagang tandaan na may mga karagdagang kinakailangan kapag ang kahilingan ay may kaugnayan sa isang bata.
May ilang mga eksepsiyon sa karapatang burahin, tulad ng kung saan ang data ay itinatago upang sumunod sa isang legal na obligasyon.
Ang karapatang paghigpitan ang pagproseso
May karapatan ang mga indibidwal na paghigpitan ang pagproseso ng personal na datos. Sa ganitong mga pagkakataon, maaaring iimbak ang personal na datos, ngunit hindi maproseso.
Ang karapatan sa kakayahang dalhin ang datos
May karapatan ang mga indibidwal na makuha at magamit muli ang kanilang personal na data sa iba't ibang serbisyo. Pinapayagan sila nitong ilipat, kopyahin, o ilipat ang personal na data. Ang personal na data ay dapat ibigay sa isang nakabalangkas na format na nababasa ng makina (tulad ng .csv).
Ang karapatang tumutol
May karapatang tumutol ang mga indibidwal sa pagproseso ng personal na datos. Dapat ihinto agad ang pagproseso maliban kung may 'mapanghikayat' na lehitimong batayan para sa pagproseso, o kung ang pagproseso ay para sa pagtatatag, pagsasagawa o pagtatanggol ng mga legal na paghahabol.
Mga karapatan kaugnay ng awtomatikong paggawa ng desisyon at pag-profile
May karapatan ang mga indibidwal na tiyakin na may mga pananggalang na nakalagay upang maprotektahan laban sa panganib ng mga desisyong nakakapinsala na ginagawa nang walang interbensyon ng tao. Saklaw din nito ang pangangalaga sa personal na datos na ginagamit para sa mga layunin ng pag-profile.
Pananagutan at pamamahala
Ang prinsipyo ng pananagutan ay nangangailangan ng pagkakaroon ng mga naaangkop na hakbang sa pamamahala upang idokumento ang pagsunod. Samakatuwid, kailangang gawin ng mga organisasyon ang mga sumusunod:
- magpatupad ng mga hakbang na nakakatugon sa mga prinsipyo ng proteksyon ng datos
- mga patakaran at pamamaraan ng dokumento kaugnay ng pag-iimbak at pagproseso ng personal na datos
- magpatupad ng mga teknikal at organisasyonal na hakbang upang matiyak at maipakita ang pagsunod.
- magtalaga ng isang opisyal sa proteksyon ng datos kung kinakailangan.
Pakitingnan ang aming kaugnay na factsheet na 'Seguridad ng Datos – Pagtiyak ng Pagsunod sa Proteksyon ng Datos' para sa mas detalyadong impormasyon.
Legalidad ng pagproseso
Mahalagang maunawaan at idokumento ang legal na batayan ng iyong pagproseso. Mayroong anim:
- Pahintulot
- Obligasyon sa kontrata
- Obligasyong legal
- Mahalagang interes
- Interes ng publiko
- Mga lehitimong interes.
Sa usapin ng pahintulot, dapat itong maging tiyak, malinaw, at malayang ibinibigay. Ang positibong pahintulot ay hindi maaaring ipagpalagay mula sa hindi pagkilos, tulad ng hindi pag-click sa isang online na kahon na 'unsubscribe', o mula sa paggamit ng mga naka-check na kahon. Kailangang tiyakin ng mga negosyo na nakuha nila ang petsa, oras, pamamaraan, at ang aktwal na mga salitang ginamit upang makakuha ng pahintulot, kaya mahalagang tiyakin na ang iyong negosyo ay may paraan upang itala at idokumento ang naturang impormasyon.
Ang lehitimong interes ay magbibigay sa iyo ng kakayahang iproseso ang datos ng mga indibidwal ngunit sa loob lamang ng mga limitasyong inaasahan nila. Kung aasa ka sa mga lehitimong interes, ikaw ang mananagot sa pagtiyak na:
- may batayan para gamitin ang lehitimong interes
- ang pagproseso ng datos ay limitado sa interes na iyon at maaaring maipakita
- ang mga karapatan ng indibidwal ay isinaalang-alang sa isang proseso ng pagbabalanse
- ang indibidwal ay ipinaalam ang mga lehitimong interes sa iyong mga patakaran sa privacy.
Patnubay sa mga lehitimong interes ng ICO
Abiso ng mga paglabag
Ang paglabag sa personal na datos ay ang aksidente o ilegal na pagkasira, pagkawala, pagbabago, hindi awtorisadong pagsisiwalat o pag-access sa personal na datos.
Ang UK Regulator na ICO ay mayroong online self-assessment tool na tumutulong upang matukoy ang kalubhaan ng paglabag at kung kailangan ba itong iulat o hindi. Ang ilang mga paglabag ay kailangang ipaalam sa kinauukulang awtoridad sa loob ng 72 oras. Mahalagang isagawa ang pagtatasa sa sandaling matuklasan ang paglabag.
Patnubay sa pagtatasa ng paglabag sa personal na datos ng ICO
Paglilipat ng datos
Noong Hunyo 28, 2021, pinagtibay ng Komisyon ng EU ang isang desisyon sa kasapatan para sa UK na nangangahulugang ang karamihan sa datos ay maaaring patuloy na dumaloy sa pagitan ng UK at ng EU EEA nang hindi nangangailangan ng karagdagang mga pananggalang. (Ang eksepsiyon ay ang datos para sa mga layunin ng pagkontrol sa imigrasyon.)
Kapag naglilipat ng datos sa isang 'ikatlong bansa', maaaring may mga karagdagang pananggalang tulad ng Standard Contractual Clauses o Binding Corporate rules. Ang unang link sa ibaba ay mula sa regulator ng UK – ang ICO. Ang pangalawa ay mula sa European Commission.
Gabay sa kasunduan sa paglilipat ng datos ng ICO
Mga tuntunin ng EU para sa mga paglilipat sa labas ng bloke
Mga Pinagmulan at mga Link
ng ICO Home page para sa mga organisasyon
portal ng EU GDPR – www.gdpreu.org
