GDPR în Regatul Unit

Cine răspunde pentru ce

GDPR britanic împarte răspunderea între organizația care decide de ce sunt prelucrate datele cu caracter personal (operatorul) și organizația care le prelucrează în numele acesteia (persoana împuternicită). Pe această platformă, împărțirea arată astfel.

Relația cu persoana împuternicită este documentată în acordul nostru de prelucrare a datelor, care include clauzele prevăzute de articolul 28 alineatul (3), angajamentul privind subîmputerniciții și mecanismele de transfer. Îl puteți citi înainte de a vă crea un cont.

Temeiul legal vă aparține

Nu putem alege noi un temei legal pentru chestionarul dumneavoastră, pentru că nu știm de ce îl derulați. În practică, majoritatea chestionarelor se încadrează într-unul din trei temeiuri.

• Sarcina publică — temeiul obișnuit pentru o autoritate locală sau o unitate sanitară care consultă cetățenii sau pacienții ca parte a unei atribuții legale.
• Interesul legitim — frecvent pentru cercetarea în rândul clienților sau al membrilor, atunci când ați efectuat o evaluare a interesului legitim.
• Consimțământul — potrivit acolo unde chestionarul este cu adevărat opțional și cereți ceva ce respondentul ar putea refuza în mod rezonabil, iar retragerea este la fel de simplă ca acordarea.

Dacă chestionarul dumneavoastră întreabă despre sănătate, etnie, religie, orientare sexuală, apartenență sindicală sau opinii politice, prelucrați categorii speciale de date și aveți nevoie de o condiție prevăzută de articolul 9, pe lângă temeiul legal. Întrebările de monitorizare a egalității de șanse sunt cazul cel mai frecvent. Spuneți acest lucru pe primul ecran al chestionarului și păstrați acele întrebări opționale.

Anonimatul: fiți exacți în privința lui

Un chestionar este anonim doar dacă nu puteți reidentifica pe nimeni din ceea ce ați colectat. Trei funcții ale acestei platforme rup discret anonimatul dacă uitați de ele: o întrebare de e-mail sau o întrebare de adresă, un câmp ascuns care transportă un număr de referință din propriul dumneavoastră sistem și un fișier încărcat al cărui conținut sau nume identifică persoana. Nu promiteți anonimat dacă folosiți vreuna dintre cele trei. „Confidențial” — adică știți cine a răspuns, dar nu veți raporta identificabil — este de obicei cuvântul onest.

Minimizarea datelor și păstrarea lor

Logica condiționată este un control de protecție a datelor în aceeași măsură în care este unul de utilizabilitate: o întrebare ascunsă este o întrebare care nu colectează nimic. Folosiți-o pentru a evita să cereți unor categorii întregi de oameni informații pe baza cărora nu veți acționa niciodată.

Perioada de păstrare este decizia dumneavoastră. Răspunsurile rămân în baza de date până când proprietarul chestionarului le șterge; nu există o expirare automată, deci includeți ștergerea în propriul plan de păstrare. Ștergerea răspunsurilor de test elimină răspunsurile, fișierele atașate lor și orice răspunsuri parțiale salvate, ceea ce este operațiunea potrivită după pilotarea unui chestionar și înainte de lansarea lui.

Transferuri internaționale

Conținutul chestionarelor și răspunsurile sunt păstrate în Regatul Unit. Doi furnizori din afara Regatului Unit sunt publicați pe pagina subîmputerniciților înaintea prelucrării, nu din cauza ei: livrarea e-mailurilor și rezumarea automată a răspunsurilor în text liber. Niciuna dintre aceste funcții nu este construită, deci astăzi nu li se trimite nimic, iar datele chestionarelor nu părăsesc în prezent Regatul Unit. Când unul dintre ei va fi folosit, transferul se va întemeia pe Addendumul britanic privind transferurile internaționale de date sau pe Clauzele contractuale standard ale UE. Lista completă, cu scopuri și locații, se află pe acea pagină.

Analiza automată a răspunsurilor scrise

Această funcție nu este construită. Niciun conținut de chestionar nu este trimis pentru analiză automată și nimic din platformă nu creează profiluri ale respondenților și nu ia decizii automate cu privire la persoane. Este menționată aici doar pentru că departamentele de achiziții întreabă și pentru că un furnizor pentru ea este deja numit pe pagina subîmputerniciților.

Ce ar trimite, ce ar fi eliminat înainte de trimitere, dacă proprietarul unui chestionar ar trebui să o activeze, dacă acel conținut ar putea fi folosit pentru antrenarea modelului unui furnizor și dacă se aplică articolul 22 sunt toate întrebări la care vom răspunde pe această pagină înainte ca funcția să devină disponibilă — nu întrebări la care vom răspunde speculativ acum. Dacă evaluați platforma astăzi, evaluați-o fără această funcție.

Drepturile respondenților și cum le satisfaceți

Cererile respondenților vin către dumneavoastră, în calitate de operator. Iată ce vă oferă platforma pentru a le răspunde:

• Acces — răspunsurile individuale pot fi parcurse unul câte unul, exportate în CSV sau tipărite în PDF din browser.
• Rectificare și ștergere — proprietarul chestionarului poate șterge răspunsuri; ștergerea elimină și fișierele încărcate și răspunsurile parțiale asociate.
• Portabilitate — export CSV, cu o coloană pentru fiecare rând de matrice și o coloană separată pentru textul liber de la „Altele”. Vedeți exporturi și PDF.
• Opoziție și retragerea consimțământului — le tratați dumneavoastră, conform propriei politici; platforma nu trimite e-mailuri respondenților în numele dumneavoastră.

O precizare practică: dacă chestionarul dumneavoastră este cu adevărat anonim, s-ar putea să nu puteți identifica răspunsul unui solicitant, iar GDPR britanic nu vă obligă să colectați date suplimentare doar pentru a face identificarea posibilă. Consemnați acest raționament în loc să ghiciți o potrivire.

Încălcări ale securității datelor cu caracter personal

Atunci când luăm cunoștință de o încălcare a securității datelor cu caracter personal care afectează date prelucrate de noi pentru dumneavoastră, vă notificăm fără întârzieri nejustificate, cu informațiile de care aveți nevoie pentru propria evaluare în temeiul articolului 33. Decizia de a raporta către ICO în 72 de ore aparține operatorului — adică dumneavoastră — iar noi vă vom da ceea ce știm, nu o liniștire.

DPIA și achiziții

Consultările care se adresează întregii populații a unei zone sau care ating sănătatea ori vulnerabilitatea necesită adesea o evaluare a impactului asupra protecției datelor. Vom completa secțiunile destinate furnizorului dintr-o DPIA, vom răspunde la un chestionar de securitate și vom pune la dispoziție acordul de prelucrare a datelor înainte de contract. Controalele tehnice despre care întreabă acele documente sunt descrise pe pagina de securitate; concluzia onestă este că nu deținem nicio certificare ISO 27001 sau SOC 2 și spunem asta din capul locului. Întrebați-ne prin pagina de contact.

Această pagină explică modul în care funcționează platforma. Nu constituie consultanță juridică și nu înlocuiește propria dumneavoastră evaluare sau responsabilul cu protecția datelor din organizația dumneavoastră.