Cuprins 9 secțiuni
Consimțământul din GDPR este acordul tău liber, specific, informat și neechivoc pentru ca cineva să îți folosească datele într-un anumit scop, exprimat printr-o declarație sau printr-o acțiune clară. Este necesar doar atunci când operatorul nu se poate baza pe un alt temei legal, cum ar fi un contract, o obligație legală sau un interes legitim. Și, foarte important, îl poți retrage oricând, la fel de ușor cum l-ai dat, iar din acel moment prelucrarea bazată pe el trebuie să înceteze.
În viața de zi cu zi, consimțământul apare peste tot: căsuțele de la crearea unui cont, bannerele de cookie-uri, formularele de la concursuri, acordul pentru pozele copilului la grădiniță. Multe dintre aceste „acorduri” nu respectă însă condițiile legale. Mai jos afli cum recunoști un consimțământ valabil, când nu ți se poate cere și cum îl retragi concret. Explicațiile sunt generale, practica autorităților evoluează și regulile se pot schimba; pentru o situație concretă, cere sfatul unui avocat sau al ANSPDCP.
Cele patru condiții ale unui consimțământ valabil
Un consimțământ este valabil doar dacă îndeplinește simultan patru condiții; dacă lipsește oricare, acordul nu poate servi ca temei legal. Le găsești definite în GDPR și detaliate în ghidurile autorităților europene de protecție a datelor.
| Condiție | Ce înseamnă | Exemplu de încălcare |
|---|---|---|
| Liber | ai o alegere reală, fără consecințe negative dacă refuzi | nu poți primi un serviciu dacă nu accepți oferte de la parteneri |
| Specific | este dat pentru un scop anume, separat de alte scopuri | un singur acord pentru „toate scopurile comerciale” |
| Informat | știi cine este operatorul, ce date, în ce scop și că îl poți retrage | textul spune doar „sunt de acord cu termenii” |
| Neechivoc | rezultă dintr-o acțiune activă și clară | căsuță pre-bifată, tăcere, simpla continuare a navigării |
Liber: fără presiune și fără „la pachet”
Consimțământul nu este liber când refuzul te costă ceva ce nu are legătură cu datele. Regulamentul spune expres că, la evaluarea caracterului liber, se ține seama dacă executarea unui contract este condiționată de un acord pentru prelucrări care nu sunt necesare acelui contract. De exemplu, o aplicație de lanternă care îți cere acces la contacte pentru a funcționa sau un concurs care te obligă să accepți oferte de la zeci de parteneri.
Caracterul liber este pus sub semnul întrebării și atunci când există un dezechilibru clar de putere: angajat față de angajator, cetățean față de o autoritate publică. În aceste relații, consimțământul este rareori temeiul potrivit, iar operatorii se bazează, de regulă, pe alte temeiuri.
Neechivoc: o acțiune clară
Curtea de Justiție a Uniunii Europene a stabilit că o căsuță bifată în prealabil, pe care utilizatorul trebuie să o debifeze dacă refuză, nu exprimă un consimțământ valabil. La fel, tăcerea sau inactivitatea nu înseamnă acord. Ce contează este un gest activ: bifezi tu căsuța, apeși un buton clar etichetat, semnezi un formular cu o mențiune separată.
Când nu este nevoie de consimțământul tău
Consimțământul este doar unul dintre temeiurile legale prevăzute de GDPR, iar în multe situații firmele și instituțiile nu au nevoie de el. Diferența contează: un operator care nu se bazează pe consimțământ nu trebuie să ți-l ceară, dar nici tu nu îl poți „retrage”, ci folosești alte drepturi, cum este opoziția.
Exemple tipice de prelucrări fără consimțământ:
- adresa de livrare și telefonul pentru o comandă, necesare executării contractului;
- datele de pe factură, păstrate pentru că legislația fiscală o cere;
- datele transmise de angajator către autoritățile fiscale și de asigurări sociale;
- camera video a unui magazin, bazată pe interesul legitim de securitate;
- prelucrările autorităților publice în exercitarea atribuțiilor legale.
O greșeală frecventă a operatorilor este să ceară consimțământul pentru prelucrări care au alt temei, creând impresia falsă că îl poți retrage. Dacă un furnizor de energie îți cere „acordul” pentru a-ți emite factura, retragerea lui nu va opri facturarea, pentru că temeiul real este contractul.
Sfat: Când nu ești sigur pe ce temei îți folosește o firmă datele, citește nota de informare: temeiul trebuie precizat pentru fiecare scop. Dacă lipsește, îl poți cere în scris, prin dreptul de acces.
Consimțământul explicit pentru datele sensibile
Pentru categoriile speciale de date, precum cele despre sănătate, convingeri religioase sau date biometrice, GDPR cere, când consimțământul este temeiul folosit, un consimțământ explicit. Asta înseamnă o declarație expresă, de regulă scrisă sau printr-o acțiune electronică clară dedicată, nu un acord dedus din context.
Atenție la o confuzie frecventă: consimțământul informat medical, pe care îl semnezi înaintea unei intervenții, este o instituție a legislației sănătății și privește actul medical în sine. El nu este același lucru cu consimțământul GDPR pentru prelucrarea datelor. Spitalele și cabinetele prelucrează datele medicale necesare îngrijirii pe alte temeiuri prevăzute de lege, nu pe acordul tău GDPR.
| Situație | Temei probabil |
|---|---|
| Datele din fișa medicală, pentru tratament | prevederi speciale pentru servicii medicale |
| Folosirea datelor tale de sănătate într-un studiu de cercetare | adesea consimțământ explicit, dar depinde de cadrul legal al studiului |
| Amprenta folosită pentru pontaj la locul de muncă | discutabil; consimțământul angajatului este rareori liber |
| Recunoașterea facială pentru deblocarea propriului telefon | prelucrare locală, în controlul tău |
Consimțământul copiilor
Pentru serviciile online oferite direct copiilor, GDPR stabilește că, sub o anumită vârstă, consimțământul trebuie dat sau autorizat de părinte. Vârsta implicită din regulament este de 16 ani, iar fiecare stat membru o poate coborî, dar nu sub 13 ani. Verifică regula aplicabilă în România pe site-ul ANSPDCP, pentru că ea poate fi stabilită sau modificată prin legislația națională.
Operatorul trebuie să facă eforturi rezonabile să verifice că acordul a fost dat de părinte, ținând seama de tehnologiile disponibile. În practică, pentru părinți contează două lucruri: să citească ce acceptă la crearea conturilor copiilor și să știe că, odată ajuns adult, copilul poate cere ștergerea datelor colectate pe baza acelui acord, conform regulilor descrise în Dreptul la ștergere: când poți cere eliminarea datelor.
Pozele copiilor la grădiniță și la școală
Publicarea fotografiilor copiilor pe site-ul sau pe paginile de socializare ale unei grădinițe ori școli se bazează, de regulă, pe acordul părinților. Acesta trebuie cerut separat pentru fiecare scop (de exemplu, panoul din clasă versus internetul public) și poate fi retras oricând. Refuzul nu trebuie să ducă la excluderea copilului din activități.
Cum retragi consimțământul
Retragerea consimțământului trebuie să fie la fel de simplă ca acordarea lui, iar operatorul trebuie să te fi informat, încă de la început, că ai acest drept. Nu trebuie să explici de ce îl retragi.
| Cum ai dat acordul | Cum îl retragi, de regulă |
|---|---|
| Bifă la abonarea la newsletter | linkul de dezabonare din orice mesaj |
| Acord în contul de client | setările de confidențialitate sau de comunicări ale contului |
| Banner de cookie-uri | pictograma sau linkul de setări cookie de pe site |
| Formular pe hârtie | o cerere scrisă, pe e-mail sau prin poștă |
| Acord într-o aplicație | setările aplicației și permisiunile din sistemul de operare |
| SMS cu cuvânt-cheie | răspuns cu cuvântul indicat sau cerere scrisă |
Dacă operatorul nu oferă o cale simplă, trimite o cerere scrisă scurtă: „Îmi retrag consimțământul pentru prelucrarea datelor mele în scopul [scop], dat la [dată sau context]. Vă rog să confirmați încetarea prelucrării.” Păstrează dovada trimiterii.
Pentru mesajele și apelurile comerciale, retragerea acordului merge mână în mână cu opoziția la marketing, explicată în Apelurile și mesajele de marketing nedorite: ce poți face. Pentru cookie-uri, opțiunile concrete sunt detaliate în Bannerele de cookie-uri: ce alegeri ai ca vizitator.
Ce se întâmplă după retragere
Retragerea produce efecte doar pentru viitor. Prelucrarea făcută înainte rămâne legală, dacă acordul fusese valabil la momentul respectiv.
După retragere:
- operatorul trebuie să înceteze prelucrarea bazată pe acel acord;
- dacă nu există alt temei, datele trebuie șterse;
- dacă există alt temei (de exemplu, un contract activ), operatorul poate continua prelucrarea doar pentru acel scop, nu pentru cel la care ai renunțat;
- operatorul nu are voie să „mute” prelucrarea pe interesul legitim doar pentru că ți-ai retras acordul.
Atenție: Retragerea consimțământului nu îți anulează automat contractul. Dacă vrei să renunți la un serviciu, trebuie să urmezi și procedura de încetare a contractului; în cazul abonamentelor, regulile sunt explicate în Abonamentele de servicii: prelungire automată și reziliere.
Clauze de consimțământ ascunse în contracte
Uneori acordul pentru prelucrarea datelor apare înghesuit într-un contract lung, alături de condițiile comerciale. GDPR cere ca, atunci când consimțământul face parte dintr-o declarație scrisă care privește și alte aspecte, cererea de consimțământ să fie prezentată distinct, clar și ușor de înțeles. Un paragraf ascuns în pagina a șasea a unui contract standard nu îndeplinește această cerință. Din perspectiva dreptului consumatorului, astfel de mecanisme pot ridica și problema clauzelor neclare sau dezechilibrate, discutată în Clauzele abuzive în contractele cu consumatorii: exemple.
Dacă un operator refuză să îți respecte retragerea sau continuă prelucrarea, poți depune plângere conform pașilor din Plângerea la ANSPDCP: când și cum o depui. Imaginea de ansamblu asupra temeiurilor legale și a drepturilor tale este în Protecția datelor personale: ghid GDPR pentru cetățeni.
Esențialul despre consimțământ
Consimțământul este un instrument puternic, dar numai când este dat corect: liber, specific, informat și printr-o acțiune clară. Nu este singura bază legală pentru prelucrarea datelor, iar multe prelucrări obișnuite se fac fără el. Atunci când este temeiul folosit, controlul îți aparține: îl poți retrage oricând, simplu, iar operatorul trebuie să se oprească.
De reținut:
- căsuțele pre-bifate, tăcerea și navigarea continuă nu sunt consimțământ;
- acordul nu este liber dacă un serviciu e condiționat de prelucrări inutile;
- datele sensibile cer consimțământ explicit, când acesta este temeiul;
- pentru copii, sub o anumită vârstă, acordul vine de la părinte;
- retragerea are efect pentru viitor și trebuie să fie la fel de simplă ca acordarea.
Întrebări frecvente
Pot retrage consimțământul fără să dau un motiv?
Da. Retragerea nu trebuie motivată, iar operatorul nu o poate condiționa de explicații sau de proceduri complicate.
Dacă îmi retrag acordul, firma trebuie să îmi șteargă datele?
Dacă acordul era singurul temei, da. Dacă există alt temei, cum ar fi un contract sau o obligație legală, datele pot rămâne pentru acel scop, dar nu și pentru cel la care ai renunțat.
Este valabil acordul dat prin continuarea navigării pe un site?
Nu. Simpla continuare a navigării sau tăcerea nu exprimă un consimțământ neechivoc; e nevoie de o acțiune activă și clară.
Poate angajatorul să îmi ceară consimțământul pentru prelucrarea datelor?
Poate, dar într-o relație de muncă acordul este rareori liber, din cauza dezechilibrului de putere. De regulă, angajatorul trebuie să se bazeze pe alte temeiuri, cum ar fi contractul sau obligațiile legale.
Ce se întâmplă cu datele prelucrate înainte de retragere?
Prelucrarea făcută înainte rămâne legală, dacă acordul a fost valabil. Retragerea produce efecte numai pentru viitor.
