Cum se face dovada informării persoanelor vizate?
9 iulie 2018 | Andrei SĂVESCU
Andrei Săvescu
1. Interacțiunea cu operatorii preocupați de Regulamentul general european privind protecția datelor cu caracter personal (General Data Protection Regulation – GDPR), operatori care au interes și resurse pentru măsurile organizatorice și tehnice necesare conformării cu dispozițiile unei reglementări atât de aspre, ne-a dezvăluit o confuzie în interpretarea uneia dintre zonele sensibile: informarea persoanelor vizate. Clarificarea acestei confuzii este scopul acestui material.
2. Una dintre obligațiile cele mai importante ale operatorilor de date cu caracter personal prevăzute de GDPR este obligația de informare a persoanelor vizate.
3. Obligația de informare decurge, în principal, din dispozițiile art. 13 și 14 GDPR, care dispun cu privire la care anume informații trebuie furnizate de operator în cazul în care datele cu caracter personal sunt colectate de la persoana vizată și ce informații trebuie furnizate în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată.
4. Operatorii își pun problema cum trebuie făcută dovada consimțământului persoanelor vizate cu privire la informarea obligatorie. Această problemă este greșită, așa după cum vom arăta în continuare. De fapt, operatorii nu trebuie să facă dovada informării, ci trebuie doar să dovedească accesibilitatea informării.
5. Obligația de obținere a consimțământului de la persoanele vizate este reglementată de art. 6 alin. (1) lit. a) GDPR, potrivit cărora prelucrarea este legală dacă persoana vizată și-a dat consimțământul pentru prelucrarea datelor sale cu caracter personal.
6. Confuzia la care ne referim provine din faptul că informarea persoanelor vizate este obligatorie. Îndeplinirea obligației trebuie dovedită, în cazul unui control al Autorității Naționale pentru Supravegherea Prelucrării Datelor cu Caracter Personal (ANSPDCP). Operatorul își pune problema unui răspuns scris din partea persoanelor vizate, un răspuns care să certifice faptul că au luat cunoștință, că au fost informate. Acest răspuns scris din partea persoanelor vizate ar fi de natură să dovedească îndeplinirii obligației de informare.
7. Din acest motiv, operatorii și-ar dori un răspuns scris din partea persoanelor vizate. Un asemenea răspuns din partea persoanelor vizate seamănă foarte mult, din punct de vedere formal, cu exprimarea consimțământului. De aceea, operatorul își pune problema să obțină consimțământul persoanelor vizate.
8. Din fericire, consimțământul persoanelor nu este necesar în cazul informării obligatorii. Exprimarea consimțământului persoanelor vizate este, în realitate, doar una dintre condițiile necesare prelucrării legale a datelor cu caracter personal, alături de celelalte condiții prevăzute de art. 6 alin. (1) GDPR. Prelucrarea datelor cu caracter personal poate fi pe deplin legală și în cazul în care consimțământul este cuprins într-un contract, caz în care este subînțeles (art. 6 alin. 1 lit. b GDPR). Deopotrivă, prelucrarea poate fi legală și atunci când consimțământul persoanelor nu doar că nu există, dar persoanele vizate chiar se opun prelucrării datelor lor cu caracter personal, de exemplu atunci cănd prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului (art. 6 alin. 1 lit. b GDPR).
9. Operatorii trebuie să facă dovada faptului că au informat persoanele vizate prin punerea la dispoziție a tuturor informațiilor prevăzute de art. 13 și 14 GDPR, într-o modalitate și într-un format care să aibă un nivel de accesibilitate ridicat.
10. În ce privește accesibilitatea informațiilor, GDPR nu ne oferă detalii, însă apreciem că informarea este ușor accesibilă dacă se face prin punerea la dispoziție a textului informării, online într-o pagină web ușor accesibilă pe website, prin e-mail trimis la adresa de comunicare obișnuită, sau prin afișare pe suport fizic, într-un loc ușor accesibil. De asemenea, informarea este ușor accesibilă dacă persoanelor vizate le este pusă la dispoziție o indicație simplă și clară cu privire la procurarea textului integral al informării, de exemplu sub forma un link web sau unui indicator foarte vizibil cu privire la locul fizic sau online unde este disponibilă informarea.
11. Interpretarea pe care o susținem aici este aceeași cu interpretarea Autorității Europene pentru Protecția Datelor (European Data Protection Supervisor – EDPS), Comitetului European pentru Protecția Datelor (European Data Protection Board – EDPB) și Parlamentului European, care își îndeplinesc obligația de informare a persoanelor vizate utilizând pagini web către care există linkuri vizibile în fiecare pagină a website-urilor respective:
– https://edps.europa.eu/about-edps/data-protection-edps_en
– https://edpb.europa.eu/about-edpb/legal-notices/data-protection-notice_ro
– http://www.europarl.europa.eu/portal/ro/legal-notice
12. Pagina web de informare poate să fie special dedicată informării, sau poate să fie cuprinsă în pagina referitoare la condițiile de utilizare. Asemănător, informațiile cu privie la cookies pot să fie cuprinse într-o pagină cu un conținut mai larg, sau într-o pagină distinctă. Important este ca informațiile să fie ușor accesibile, în mod real.
13. Pentru ca obligația de informare a persoanelor vizate să fie îndeplinită nu este necesar consimțământul persoanelor vizate, și nici măcar dovada vreunei comunicări directe, ci este suficient ca informațiile să aibă un nivel de accesibilitate ridicat, adică să fie realmente ușor accesibile pentru orice persoană vizată.
14. În concluzie, răspunsul la întrebarea din titlul acestui material este: Operatorul trebuie să dovedească faptul că a pus la dispoziția persoanelor vizate informațiile într-o modalitate cu un nivel de accesibilitate ridicat.
15. Buna credință a operatorului în îndeplinirea obligației de informare este esențială. Aprecierea cu privire la buna credință a operatorului revine ANSPDCP, care va evalua în concret felul în care operatorul și-a îndeplinit obligația de informare, cu luarea în considerare a dispozițiilor art. 57 din Constituția României și art. 14 din Codul civil român.
Avocat dr. Andrei Săvescu
- Flux integral: www.juridice.ro/feed
- Flux secţiuni: www.juridice.ro/*url-sectiune*/feed
Pentru suport tehnic contactaţi-ne: tehnic@juridice.ro
