Protecția datelor personale: ghid GDPR pentru cetățeni

Protecția datelor personale înseamnă, pe scurt, că orice firmă sau instituție care îți folosește numele, telefonul, adresa, CNP-ul sau imaginea trebuie să aibă un motiv legal, să îți spună ce face cu ele și să îți respecte drepturile. Regula de bază vine din Regulamentul general privind protecția datelor, cunoscut după inițialele din engleză ca GDPR, aplicat direct în toate statele Uniunii Europene, inclusiv în România.

Ghidul de față explică regulamentul din perspectiva cetățeanului, nu a juristului: ce înseamnă „date personale”, cine răspunde de ele, ce drepturi ai și cum le folosești concret, de la o cerere trimisă unui magazin online până la plângerea depusă la autoritatea de supraveghere. Informațiile au caracter general; legislația și practica autorităților se pot schimba, iar pentru un caz concret merită să consulți un avocat specializat sau autoritatea competentă.

Ce sunt datele personale și ce înseamnă GDPR

Datele personale sunt orice informații care te identifică sau te pot identifica, direct ori combinate cu alte informații. Nu e vorba doar de nume și CNP. Intră aici și numărul de telefon, adresa de e-mail, adresa de domiciliu, numărul de înmatriculare al mașinii, înregistrarea video în care apari, vocea dintr-un apel înregistrat, adresa IP, identificatorii unui dispozitiv sau istoricul de cumpărături legat de contul tău de client.

GDPR (Regulamentul (UE) 2016/679) este actul european care stabilește regulile de prelucrare a acestor date și se aplică din mai 2018. „Prelucrare” are un sens foarte larg: colectarea, înregistrarea, stocarea, consultarea, transmiterea, combinarea, publicarea și chiar ștergerea datelor sunt toate operațiuni de prelucrare. În România, regulamentul este completat de legi naționale, între care Legea nr. 190/2018, care conține reguli speciale, de exemplu pentru codul numeric personal sau pentru monitorizarea video la locul de muncă.

Date obișnuite și categorii speciale

Regulamentul face diferența între datele obișnuite și categoriile speciale de date, numite uneori „date sensibile”. În a doua grupă intră informațiile despre sănătate, originea rasială sau etnică, opiniile politice, convingerile religioase, apartenența la un sindicat, datele genetice, datele biometrice folosite pentru identificare și cele despre viața sexuală sau orientarea sexuală. Pentru ele regulile sunt mult mai stricte: prelucrarea este în principiu interzisă, cu excepții limitate (consimțământ explicit, obligații din dreptul muncii, servicii medicale, interes public major și altele prevăzute expres).

Datele despre condamnări penale și infracțiuni au și ele un regim separat, sub controlul autorităților publice.

Când nu se aplică regulamentul

GDPR nu se aplică atunci când o persoană fizică folosește date în scop strict personal sau casnic: agenda telefonului, pozele de familie, lista de invitați la nuntă. Excepția are însă limite. O cameră de supraveghere montată pe casă care filmează și trotuarul sau strada iese, potrivit jurisprudenței europene, din sfera „strict casnică”, iar proprietarul ei are obligații de operator. Regulamentul nu se aplică nici datelor persoanelor decedate și nici informațiilor cu adevărat anonimizate, din care nimeni nu mai poate fi identificat.

Cine răspunde de datele tale: operatorul și ceilalți actori

Persoana sau entitatea care decide de ce și cum îți sunt prelucrate datele se numește operator și ea îți datorează răspunsuri. Când trimiți o cerere, o trimiți operatorului, chiar dacă datele sunt găzduite tehnic de altcineva.

Responsabilul cu protecția datelor este obligatoriu pentru autoritățile publice și pentru operatorii a căror activitate principală implică monitorizarea pe scară largă sau prelucrarea masivă de date sensibile. Datele lui de contact apar de obicei în nota de informare (politica de confidențialitate) a operatorului.

Principiile pe care orice operator trebuie să le respecte

Orice prelucrare de date trebuie să respecte câteva principii de bază, iar încălcarea oricăruia dintre ele poate fi motiv de plângere. Le găsești formulate în regulament și sunt utile ca listă de verificare atunci când ceva ți se pare în neregulă:

1. Legalitate, echitate și transparență: există un temei legal, iar tu ești informat clar, nu prin formulări ascunse.
2. Limitarea scopului: datele colectate pentru livrarea unei comenzi nu pot fi folosite, fără alt temei, pentru cu totul alte scopuri.
3. Reducerea la minimum a datelor: se cer doar datele necesare; pentru un card de fidelitate nu e nevoie de copia actului de identitate.
4. Exactitatea: datele greșite se corectează sau se șterg.
5. Limitarea stocării: datele nu se păstrează la nesfârșit, ci doar cât e necesar scopului sau cât impune legea.
6. Integritate și confidențialitate: operatorul ia măsuri de securitate împotriva pierderii, furtului sau accesului neautorizat.
7. Responsabilitatea: operatorul trebuie să poată dovedi că respectă toate cele de mai sus.

Principiul minimizării explică de ce multe practici obișnuite, cum ar fi fotocopierea buletinului la orice ghișeu, sunt discutabile. Detaliile sunt în articolul despre copia buletinului și situațiile în care e legală.

Temeiurile legale: consimțământul nu este singurul

O prelucrare de date este legală doar dacă se sprijină pe unul dintre cele șase temeiuri prevăzute de regulament, iar consimțământul este doar unul dintre ele. Mulți oameni cred că nicio firmă nu le poate folosi datele fără acordul lor, dar în realitate o mare parte din prelucrări au alt temei.

Contează să știi temeiul, pentru că de el depind drepturile pe care le poți folosi. Dacă temeiul este consimțământul, îl poți retrage, iar operatorul trebuie să oprească prelucrarea pentru viitor. Toate condițiile unui acord valabil sunt explicate în Consimțământul GDPR: când e necesar și cum îl retragi.

Atenție: Un formular care spune „prin semnare sunteți de acord cu prelucrarea datelor” nu transformă automat orice prelucrare în una legală. Dacă datele nu sunt necesare scopului, acordul smuls ca o condiție pentru serviciu poate fi contestat.

Drepturile tale, pe scurt

GDPR îți dă opt drepturi principale, la care se adaugă dreptul de a retrage consimțământul și dreptul de a face plângere. Fiecare are condiții și excepții proprii, așa că tabelul de mai jos este un punct de plecare, iar articolele dedicate intră în detalii.

Două dintre ele sunt folosite cel mai des. Dreptul de acces îți arată ce știe o firmă despre tine și e adesea primul pas în orice dispută; procedura e descrisă în Dreptul de acces la date: cum afli ce știe o firmă despre tine. Dreptul la ștergere, numit și „dreptul de a fi uitat”, are mai multe excepții decât se crede; vezi Dreptul la ștergere: când poți cere eliminarea datelor pentru situațiile în care operatorul chiar trebuie să șteargă.

Dreptul de opoziție la marketing

Opoziția la marketingul direct este singurul drept fără excepții: dacă spui că nu mai vrei oferte, operatorul trebuie să se oprească, fără să îți ceară motive. Pentru apelurile, SMS-urile și e-mailurile comerciale se aplică și reguli din legislația comunicațiilor electronice, explicate în Apelurile și mesajele de marketing nedorite: ce poți face.

Cum îți exerciți drepturile în practică

Un drept din GDPR se exercită printr-o cerere adresată operatorului, de preferat în scris, ca să ai dovada datei. Nu există un formular obligatoriu și nu trebuie să justifici de ce vrei să afli ce date au despre tine.

1. Identifică operatorul și datele lui de contact din nota de informare: adresa RPD, o adresă de e-mail dedicată sau un formular online.
2. Formulează cererea clar: ce drept exerciți, la ce date se referă (cont de client, număr de telefon, contract), ce aștepți concret.
3. Dă doar datele necesare pentru identificare. Operatorul poate cere informații suplimentare dacă are îndoieli rezonabile, dar nu mai multe decât e nevoie.
4. Păstrează dovada trimiterii: e-mailul trimis, numărul de înregistrare, confirmarea de primire a scrisorii recomandate.
5. Notează termenul. Regula generală este un răspuns în cel mult o lună de la primire, termen care poate fi prelungit cu încă două luni pentru cereri complexe sau numeroase, cu condiția să fii anunțat în prima lună, cu motivele.

Răspunsul este gratuit. Operatorul poate percepe o taxă rezonabilă sau poate refuza doar cererile vădit nefondate ori excesive, de exemplu cele repetate abuziv, iar sarcina de a dovedi caracterul excesiv îi revine lui.

Sfat: Trimite cererea pe e-mail sau prin formularul oficial al operatorului și salvează o copie în format PDF, cu data. Dacă ajungi la ANSPDCP, primul lucru pe care îl vei atașa este exact această dovadă.

Modelul de organizare a probelor descris în ghidul despre dovezile pentru o reclamație funcționează la fel de bine și pentru cererile de date personale: cronologie, copii, capturi de ecran datate.

Situații de zi cu zi în care intră în joc GDPR

Cele mai multe întrebări ale cetățenilor despre date personale apar în câteva situații recurente, iar fiecare are regulile ei. Iată unde se întâlnesc cel mai des și unde găsești explicații detaliate.

• Copia actului de identitate cerută la recepția unei clădiri, la închirierea unui apartament sau la un club sportiv. Uneori legea o impune, de multe ori nu.
• Camerele de supraveghere din bloc, de la vecin, din magazin sau de la locul de muncă: cine are voie să filmeze, ce trebuie să afișeze și cât păstrează imaginile. Regulile sunt explicate în Camerele de supraveghere video: ce reguli trebuie respectate.
• Apelurile și mesajele comerciale primite fără să fi dat vreun acord, inclusiv cele automate.
• Bannerele de cookie-uri de pe site-uri, unde ai dreptul să refuzi la fel de ușor cum accepți; vezi Bannerele de cookie-uri: ce alegeri ai ca vizitator.
• Breșele de securitate: când o firmă anunță că datele clienților au fost accesate de persoane neautorizate. Ce poți face concret afli din Breșa de securitate a datelor: ce drepturi ai ca persoană.
• Datele cerute la cumpărături online, unde un magazin care cere informații excesive sau nu are nicio politică de confidențialitate este adesea și un semnal de alarmă, așa cum arătăm în Magazinele online false: semnele după care le recunoști.

Datele copiilor

Pentru serviciile online oferite direct copiilor, regulamentul stabilește că, sub o anumită vârstă, consimțământul trebuie dat sau autorizat de părinte. Vârsta implicită din regulament este de 16 ani, iar statele membre o pot coborî până la 13 ani; verifică regula aplicabilă în România la data la care te interesează, pe site-ul ANSPDCP.

Când și unde te plângi

Dacă operatorul nu răspunde în termen, refuză nejustificat sau continuă o prelucrare ilegală, ai trei căi, care se pot folosi și în paralel.

Plângerea la autoritate este gratuită și se poate depune online, prin poștă sau la sediu. Pașii, documentele de atașat și ce se întâmplă după depunere sunt descriși în Plângerea la ANSPDCP: când și cum o depui. Informațiile oficiale actualizate sunt pe site-ul ANSPDCP.

Regulamentul îți recunoaște și dreptul la despăgubire pentru prejudiciul material sau moral suferit ca urmare a unei încălcări. Despăgubirea nu o acordă autoritatea de supraveghere, ci instanța, așa că pentru o astfel de cerere este recomandat sfatul unui avocat.

Important: Termenele, formularele și practica ANSPDCP sau a instanțelor se pot schimba. Înainte să depui o plângere sau o acțiune, verifică informațiile la zi pe site-ul autorității și, dacă miza e mare, discută cu un avocat.

Legătura cu reclamațiile de consum

Când problema cu datele vine la pachet cu un litigiu comercial, de exemplu un abonament pe care nu l-ai cerut sau o comandă pe care nu ai făcut-o, reclamația către firmă poate acoperi ambele aspecte. Structura unei astfel de scrisori e explicată în Reclamația către comerciant: cum o scrii ca să fie eficientă, iar partea comercială rămâne, de regulă, în competența ANPC, nu a ANSPDCP.

Greșeli frecvente când îți aperi datele

Majoritatea cererilor care eșuează au aceleași câteva probleme, ușor de evitat dacă știi de ele din start.

• Cererea făcută doar telefonic, fără nicio urmă scrisă a datei și a conținutului.
• Cererea adresată greșit, de exemplu curierului în loc de magazinul care l-a folosit, adică persoanei împuternicite în loc de operator.
• Confuzia dintre drepturi: ceri „ștergerea” când de fapt vrei doar să nu mai primești oferte, caz în care opoziția la marketing este mai simplă și fără excepții.
• Trimiterea a prea multe documente personale pentru identificare, ceea ce creează riscuri noi.
• Plângerea la ANSPDCP fără cererea prealabilă către operator, deși în majoritatea situațiilor e mai eficient să îi dai întâi operatorului ocazia să răspundă.
• Așteptarea că autoritatea acordă bani: amenzile aplicate operatorului merg la bugetul statului, nu la tine.

Ce merită reținut despre datele tale

Protecția datelor personale funcționează pe un principiu simplu: cine îți folosește datele trebuie să aibă un motiv legal, să fie transparent și să îți răspundă când întrebi. Tu ai instrumentele necesare, de la cererea de acces până la plângerea la autoritate, iar o cerere bine formulată, cu dovada trimiterii, rezolvă multe situații fără alte proceduri.

De reținut:

• datele personale includ orice te poate identifica, de la telefon și e-mail până la imagini video și adresă IP;
• consimțământul este doar unul dintre cele șase temeiuri legale;
• operatorul răspunde, de regulă, în cel mult o lună, gratuit;
• opoziția la marketingul direct nu are excepții;
• ANSPDCP primește plângeri, iar despăgubirile se cer în instanță;
• pentru un caz concret, verifică regulile la zi și cere sfatul unui avocat.