O firmă nu poate utiliza datele personale doar pentru că le-a primit. Pentru fiecare prelucrare trebuie să existe cel puțin un temei legal dintre cele prevăzute de GDPR.
Mulți antreprenori cred că soluția este să ceară consimțământ pentru orice. În realitate, consimțământul este doar unul dintre temeiurile posibile și nu este întotdeauna cel mai potrivit.
Executarea contractului
Dacă o persoană comandă un produs sau solicită un serviciu, firma poate prelucra datele cu caracter personal necesare pentru executarea contractului. Același temei poate fi folosit pentru demersurile efectuate la cererea persoanei înainte de încheierea contractului.
De exemplu, numele, datele de contact, adresa de livrare sau alte informații necesare prestării serviciului pot fi folosite fără un consimțământ separat.
Acest temei este aplicabil numai datelor necesare pentru ceea ce a solicitat clientul. Faptul că o anumită prelucrare este menționată în contract nu înseamnă automat că ea este necesară executării acestuia.
Obligația legală
Unele date trebuie prelucrate deoarece legea obligă firma să facă acest lucru. De exemplu, datele care trebuie înscrise în facturi sau în alte documente financiar-contabile pot fi prelucrate în baza unei obligații legale.
Persoana vizată poate solicita ștergerea datelor, dar firma nu este obligată să le elimine cât timp păstrarea lor este necesară pentru respectarea unei obligații legale. Datele nu trebuie însă păstrate nelimitat, ci numai atât cât justifică scopul și obligația aplicabilă.
Consimțământul
Consimțământul este potrivit mai ales pentru prelucrări care nu sunt necesare executării contractului și nici impuse de lege. Un exemplu frecvent este abonarea voluntară la un newsletter, cu respectarea regulilor speciale aplicabile comunicărilor comerciale.
Consimțământul trebuie să fie liber, specific, informat și lipsit de ambiguitate. O bifă preselectată, lipsa unui răspuns sau un acord ascuns într-un text general nu sunt suficiente.
Persoana trebuie să știe pentru ce își exprimă acordul și trebuie să îl poată retrage oricând, la fel de simplu cum l-a acordat. Retragerea nu afectează legalitatea prelucrării realizate anterior.
Interesul legitim
Firma poate prelucra date și în baza unui interes legitim, dar acest temei nu poate fi invocat automat. Trebuie verificat dacă există un interes legitim real, dacă prelucrarea este necesară pentru atingerea lui și dacă nu prevalează drepturile și libertățile persoanei vizate.
Interesul legitim poate fi relevant, în funcție de situație, pentru prevenirea fraudelor, securitatea sistemelor sau anumite activități de marketing direct. Persoana vizată trebuie informată despre interesul urmărit și despre dreptul său de a se opune prelucrării. Dacă se opune prelucrării în scop de marketing direct, datele sale nu mai pot fi folosite în acest scop.
Ce alte temeiuri prevede GDPR
GDPR permite prelucrarea și atunci când aceasta este necesară pentru protejarea intereselor vitale ale unei persoane sau pentru îndeplinirea unei sarcini de interes public ori exercitarea autorității publice. Pentru firmele obișnuite, aceste temeiuri sunt întâlnite mai rar.
Cum alegi temeiul corect
Pentru fiecare prelucrare, firma trebuie să stabilească de la început dacă se bazează pe contract, obligație legală, consimțământ, interes legitim sau pe un alt temei permis de GDPR. Consimțământul nu trebuie folosit ca justificare pentru orice prelucrare.
