Защита конфиденциальности и персональных данных
Компания Мишлен убеждена, что защита персональных данных имеет решающее значение для создания уверенности в ее отношениях со всеми заинтересованными сторонами. Группа обязуется собирать и обрабатывать только данные, необходимые для ее непосредственной деятельности.
Определение и контекст
Персональные данные - это информация, которая прямо или косвенно идентифицирует физическое лицо.
Это включает, например:
- для прямой идентификации человека, фото или информацию о гражданском состоянии человека (фамилия, имя и т.д.).
- для косвенной идентификации : уникальный идентификационный номер (номерной знак, идентификатор Мишлен, номер мобильного телефона и т.д.) или комбинация информации (пол, возраст, профессия, место проживания и т.д.).
Вся эта личная информация должна быть защищена.
В последние годы во всем мире резко возросло количество нормативных актов по защите конфиденциальности и личных данных. Во многих странах несоблюдение этих правил теперь карается очень серьезными финансовыми санкциями (о которых часто сообщают в прессе) и даже уголовными санкциями.
Руководящие принципы
Персональные данные сотрудников, клиентов, поставщиков, акционеров, партнеров или субподрядчиков должны обрабатываться в соответствии с действующими законами и нормативными актами, а также применимыми локально директивами Группы по защите персональных данных.
Группа обязуется собирать и обрабатывать только данные, необходимые для ее непосредственной деятельности.
Никакие персональные данные не должны передаваться третьим лицам, за исключением случаев, когда это необходимо и разрешено законом.
Мишлен также убеждено, что защита данных - это главный конкурентный актив и средство установления доверия в отношениях со всеми заинтересованными сторонами.
Защита персональных данных может быть обеспечена только с помощью каждого сотрудника.
Я должен
- Собирать и обрабатывать только те персональные данные, которые необходимы для преследуемой цели, и следить за тем, чтобы эта цель была законной и четкой.
- Обеспечить соответствие сбора и использования персональных данных информации, предоставленной заинтересованным лицам; при необходимости я удостоверяюсь, что получу согласие человека на сбор и использование данных.
- В свободных полях для комментариев вносить только релевантные, правильно сформулированные и не слишком длинные комментарии; учитывать свою готовность относительно передачи данного комментария.
- Удалять или исправлять неточные или неполные данные и уважать права человека на его данные.
- Передавать персональные данные только уполномоченным внутренним получателям, у которых есть законная потребность в доступе к ним.
- Передавать персональные данные третьим лицам только в случаях, предусмотренных действующим законодательством, или компаниям, заключившим соответствующее соглашение.
- Соблюдать требования законодательства по трансграничной передаче данных
- Обеспечивать безопасность и конфиденциальность персональных данных (например, для передачи документов, соблюдая групповые правила безопасности в отношении шифрования файлов);
- Сообщить в CERT Мишлен (Группа быстрого реагирования на нарушения компьютерной безопасности - группа, отвечающая за управление инцидентами в ИТ-безопасности ) в соответствии с процедурой, применимой в случае утечки данных (потеря данных, несанкционированный доступ, несанкционированная публикация и т.д.).
- Участвовать в регулярном обучении, если выполняемые мной функции требуют обработки персональных данных. Знать область своей деятельности.
Я не должен
- Собирать персональные данные без ведома субъекта данных.
- Собирать специальные категории персональных данных (состояние здоровья, сексуальные предпочтения, политические взгляды, религиозные убеждения, расовое или этническое происхождение) без согласия человека, за исключением случаев выполнения данных операций согласно закону.
- Предоставлять доступ к персональным данным лицу, находящемуся в другой стране, без консультации с Юридическим отделом.
- Хранить персональные данные дольше, чем это необходимо для преследуемой цели.
Практический пример № 1
Вы являетесь частью команды продаж и хотели бы наладить тесные отношения со своими клиентами. Вы хотели бы указать некоторые сведения, касающиеся их частной жизни, в CRM-инструмент Группы. Таким образом, заменяющий вас сотрудник может иметь доступ к этой информации на момент вашего отсутствия. Разрешено ли предпринимать подобные действия?
Нет. Вы можете собирать только фактическую информацию, относящуюся к профессиональной сфере. Кроме того, строго запрещен сбор определенной категории персональных данных (состояние здоровья, вероисповедание и т.д.). Помните, что ваш клиент может запросить доступ к своим личным данным.
Практический пример № 2
С коллегой произошел несчастный случай на работе. Вы хотите предоставить обратную связь и направить ее во все производственные объекты. Вы предоставляете следующую информацию: Ронан А., Супервизор, объект в г. Ван, а также подробности по его травмам и контекст несчастного случая. Вы упоминаете только имя своего коллеги, соблюдаете ли вы правила?
Вам следует задать себе следующие вопросы.
- 1. Вы преследуете законную цель?
- Да. Речь идет о повышении безопасности сотрудников с помощью этой обратной связи.
- 2. Обязательно ли передавать всю эту информацию?
- Нет. Место, должность, имя не должны указываться в сообщении о несчастном случае.
- Чтобы «анонимизировать» личные данные, вы всегда должны спрашивать себя: могу ли я идентифицировать этого человека с помощью предоставленной информации? В этом случае, давая имя, должность и упоминая промышленный объект, вы передаете слишком много информации, в связи с чем человека легко идентифицировать.
