GDPR: Prezentare generală

Confirmarea de două ori a consimțământului pentru notificări sau double opt-in este un mecanism în 2 pași prin care o persoană trebuie să-și confirme adresa de e-mail de două ori, după ce s-a abonat pentru un anumit serviciu. Deși GDPR nu obligă firmele să introducă acest procedeu, este bine să optezi pentru el, deoarece este o măsură adițională care te ajută să demonstrezi că ai obținut consimțământul necesar.

Deja persoana fizică are o mulțime de drepturi menite să-i protejeze datele cu caracter personal. Cu toate astea, GDPR consolidează aceste drepturi, astfel încât persoanele fizice pot:

• să obțină detalii despre cum sunt procesate datele lor de către o organizație sau o companie
• să obțină copii ale datelor lor cu caracter personal care se află în baza de date a unei companii
• să li se corecteze informațiile personale care sunt incorecte sau incomplete
• să li se șteargă datele cu caracter personal dintr-o bază de date a unei companii sau a unei organizații, în cazurile în care respectiva companie nu are un motiv legitim pentru a le stoca
• să obțină datele lor personale de la o organizație sau companie și să le poată transmite unei alte organizații sau companii
• să obiecteze împotriva procesării datelor lor în anumite circumstanțe
• să nu fie supuși deciziilor automate (cu anumite excepții)

Consimțământul individului este obligatoriu în majoritatea cazurilor în care i se procesează datele cu caracter personal. Totuși, există și anumite excepții în care informațiile personale pot fi procesate fără consimțământ specific:

• când sunt necesare pentru realizarea unui contract în care individul în cauză este unul dintre partenerii din contract
• când există o obligație legală de a procesa datele personale ale unui individ, de exemplu, trimiterea informațiilor unui angajat către ANAF
• uneori există interes legitim, precum obiective comerciale sau de marketing. Totuși, în aceste circumstanțe, interesul legitim trebuie să fie mai important, decât detrimentul confidențialității unei persoane

Consimțământul este invalid în următoarele circumstanțe:

• când nu ești sigur că un individ și-a dat consimțământul necesar pentru a-i procesa datele cu caracter personal
• când individul nu își dă seama că și-a dat consimțământul
• când nu ai documente clare care să demonstreze faptul că persoanele și-au dat consimțământul
• când persoanele nu au avut de ales, nu și-au dat consimțământul în mod voit
• când individul ar putea fi penalizat dacă nu-și dă consimțământul
• când este o inegalitate de putere clară între firma ta și individ
• când consimțământul este o precondiție pentru un serviciu, dar procesarea datelor nu este necesară pentru acel serviciu
• când consimțământul a fost inclus în alți termeni și condiții
• când cerere de consimțământ a fost vagă sau neclară
• când folosești check-box-uri pre-selectate sau alte metode de consimțământ implicit
• când firma ta nu a fost menționată cu numele în cererea de consimțământ
• când nu le-ai spus persoanelor despre dreptul lor de a-și retrage consimțământul
• când oamenii nu își pot retrage într-un mod ușor consimțământul
• când scopul procesării datelor pe care le deții s-a schimbat

GDPR nu specifică o limită de timp în care ai voie să păstrezi și să procesezi datele cu caracter personal. Cu toate astea, consimțământul poate să expire, în funcție de context, și trebuie să consideri scopul cu care a fost obținut acel consimțământ și care au fost așteptările individului în acest sens.

De exemplu, clubul tău de fitness face o campanie prin care ceri consimțământul membrilor tăi să primească e-mailuri cu sfaturi despre cum să fii în formă în vacanța de vară din acest an. Din moment ce cererea de consimțământ menționează o perioadă de timp exactă, așteptarea rezonabilă a membrilor care își dau consimțământul pentru această campanie este ca, la finalul vacanței de vară, să nu mai primească aceste de e-mailuri. Astfel, consimțământul expiră.

Dacă scopul pentru care ai colectat datele cu caracter personal s-a schimbat, consimțământul inițial nu mai este valabil.

De asemenea, în cazul minorilor, consimțământul părinților expiră în momentul în care copilul împlinește 16 ani. Atunci, respectiva persoană trebuie să-și dea singur consimțământul pentru prelucrarea datelor personale.

GDPR nu impune măsuri anume pentru securitate în cazul folosirii sistemelor de tip CRM. În schimb, Regulamentul cere companiilor să ia toate măsurile tehnice și organizaționale necesare pentru a limita riscul de încălcare a confidențialității datelor. În anumite cazuri este recomandat să se folosească criptarea datelor când nu sunt folosite (encription at rest) sau folosirea pseudonimelor, dar acest lucru nu este obligatoriu.

Dreptul de a cere ștergerea datelor cu caracter personal se numește și dreptul de a fi uitat. Acesta nu este un drept absolut, are anumite limitări. În cele mai multe cazuri, atunci când se consideră o cerere de ștergere a datelor, se ia în considerare mai mulți factori relevanți.

De exemplu, acest drept nu se aplică atunci când o companie are obligații legale de a transmite datele personale ale unui individ autorităților. În schimb, o persoană are tot dreptul de a cere companiilor și organizațiilor să nu îi mai proceseze datele cu caracter personal în scopuri de marketing.

Potrivit GDPR, este obligatoriu ca o organizație sau companie să aibă un DPO în următoarele circumstanțe:

• organizația este o instituție guvernamentală
• organizația procesează anumite date personale speciale, la scară largă (de exemplu, informații referitoare la sănătate sau religie), aceasta fiind activitatea sa principală
• organizația monitorizează în mod sistematic persoane (prin camere de supraveghere sau prin softuri care monitorizează comportamentul online), aceasta fiind activitatea sa principală

Dacă ai vreo întrebare sau vreo cerere vizavi de GDPR, te rugăm să ne trimiți un e-mail pe adresa dpo@upfit.cloud, iar DPO-ul nostru va lua legătura cu tine în cel mai scurt timp.

Noul Regulament pentru Protecția Datelor impune o astfel de evaluare doar în circumstanțe cu un grad de risc ridicat, precum:

• procesarea datelor din categorii speciale la scară largă, precum date referitoare la sănătatea unei persoane
• atunci când o companie se bazează în mod regulat și extensiv pe decizii automate (inclusiv profiling – procesarea automată a datelor personale), iar rezultatul poate avea urmări legale (de exemplu, folosirea softurilor pentru detectarea fraudelor)
• monitorizarea sistematică și la scară largă a spațiului public (de exemplu, camerele de supraveghere)

Procesarea automată a datelor personale pentru a evalua, analiza sau a prezice orice caracteristică a persoanei în cauză (profiling) și deciziile automate ce implică datele cu caracter personal nu sunt interzise de GDPR.

Aceste activități pot fi supuse unor condiții. Mai ales când aceste decizii automate pot avea repercusiuni legale asupra indivizilor în cauză. În aceste circumstanțe, persoana trebuie să primească:

• informații ușor de înțeles referitoare la logica acestui proces și să îi fie aduse la cunoștință potențialele consecințe
• posibilitatea să ceară ca un om să fie implicat în acest proces (în anumite cazuri) sau să fie exclus cu totul din acest proces