Temeiurile legale ale prelucrării datelor: nu doar consimțământul

Prelucrarea datelor tale este legală doar dacă se sprijină pe unul dintre cele șase temeiuri legale prevăzute de GDPR, iar consimțământul este doar unul dintre ele. Celelalte sunt contractul, obligația legală, interesele vitale, sarcina de interes public și interesul legitim. Firma trebuie să aleagă un temei înainte să înceapă prelucrarea și să te informeze despre el.

De ce nu este consimțământul singura soluție?

Multe persoane cred că orice prelucrare cere acordul lor, dar nu este așa. Dacă o firmă ar avea nevoie de consimțământ pentru fiecare operațiune, nici măcar un magazin nu ți-ar putea livra o comandă fără să bifezi ceva. Legea recunoaște mai multe situații în care datele pot fi folosite fără acordul tău, cu condiția să existe o justificare clară.

De aceea, bifa din formular nu ține loc de temei pentru orice. Când acordul este necesar, el trebuie să fie liber, specific, informat și poți să-l retragi. Detalii găsești în ghidul despre consimțământul GDPR.

Care sunt cele șase temeiuri?

1. Consimțământul: accepți tu, printr-o acțiune clară, ca datele să fie folosite pentru un scop anume.
2. Contractul: prelucrarea este necesară pentru a executa un contract cu tine sau pentru pașii dinaintea încheierii lui.
3. Obligația legală: firma trebuie să păstreze sau să raporteze anumite date pentru că legea îi impune acest lucru.
4. Interesele vitale: datele sunt necesare pentru a proteja viața cuiva, de exemplu într-o urgență medicală.
5. Sarcina de interes public: o autoritate sau o instituție prelucrează datele pentru a-și îndeplini atribuțiile.
6. Interesul legitim: firma are un interes real și justificat, care nu aduce atingere în mod disproporționat drepturilor tale.

Cum arată temeiurile în exemple din viața de zi cu zi?

Dacă cumperi ceva online, numele și adresa de livrare sunt prelucrate pe baza contractului. Dacă firma păstrează factura, o face pentru că legea o obligă, iar dacă îți trimite oferte promoționale, de multe ori are nevoie de acordul tău.

Chiar și pentru un card de fidelitate pot exista mai multe temeiuri simultan, pentru scopuri diferite. Articolul despre cardul de fidelitate și datele pe care le dai arată ce poți refuza fără să pierzi dreptul la card.

De unde afli ce temei a ales o firmă?

Temeiul trebuie să apară în politica de confidențialitate sau în nota de informare, alături de scopul prelucrării. Dacă nu găsești informația, o poți cere printr-o solicitare scrisă adresată firmei.

Merită să verifici dacă firma nu își bazează toate prelucrările pe același temei, deși scopurile sunt diferite. Un scop nou, precum marketingul direct, nu se poate sprijini automat pe contractul pe care l-ai semnat pentru un serviciu. Pentru o imagine de ansamblu asupra drepturilor tale, citește și ghidul GDPR pentru cetățeni.

Ce poți face dacă nu ești de acord cu prelucrarea?

Ai la dispoziție mai multe drepturi, în funcție de temeiul folosit. Dacă prelucrarea se bazează pe consimțământ, îl poți retrage oricând, iar de la momentul retragerii firma nu mai poate folosi datele pentru acel scop. Dacă se bazează pe interesul legitim sau pe o sarcină de interes public, ai dreptul să te opui, iar firma trebuie să arate motive imperioase pentru a continua.

Nu toate temeiurile permit aceleași drepturi. Când prelucrarea este necesară pentru executarea unui contract sau cerută de lege, anumite drepturi, precum ștergerea, sunt limitate. Dacă ți se pare că nu există niciun temei real, poți depune o plângere la autoritatea de supraveghere. Aceste informații sunt generale, iar pentru o situație concretă te poți consulta cu un avocat sau cu autoritatea competentă. Tot ce ține de acest domeniu este adunat în secțiunea Date personale.

Pe scurt

• GDPR prevede șase temeiuri legale, iar consimțământul este doar unul dintre ele.
• Firma alege temeiul înainte de prelucrare și te informează despre el.
• Același set de date poate avea temeiuri diferite pentru scopuri diferite.
• Drepturile tale, precum retragerea sau opoziția, depind de temeiul folosit.
• Temeiul trebuie să apară în politica de confidențialitate.