GDPR – Consimțământ

Prelucrarea datelor cu caracter personal este în general interzisă, cu excepția cazurilor în care este permisă în mod expres de lege sau persoana vizată a consimțit la prelucrare. Deși este una dintre bazele legale mai cunoscute pentru prelucrarea datelor cu caracter personal, consimțământul este doar una dintre cele șase baze menționate în Regulamentul General privind Protecția Datelor (GDPR). Celelalte sunt: contract, obligații legale, interese vitale ale persoanei vizate, interes public și interes legitim, așa cum este menționat în Articolul 6(1) GDPR.

Cerințele de bază pentru eficacitatea unui consimțământ legal valid sunt definite în Articolul 7 și specificate în continuare în considerentul 32 al GDPR. Consimțământul trebuie să fie acordat în mod liber, specific, informat și fără echivoc. Pentru a obține un consimțământ acordat în mod liber, acesta trebuie să fie dat pe bază voluntară. Elementul „liber” implică o alegere reală de către persoana vizată. Orice element de presiune inadecvată sau influență care ar putea afecta rezultatul acelei alegeri face consimțământul invalid. Astfel, textul legal ia în considerare un anumit dezechilibru între operator și persoana vizată. De exemplu, într-o relație angajator-angajat: Angajatul se poate îngrijora că refuzul său de a consimți poate avea consecințe negative severe asupra relației sale de muncă, astfel că consimțământul poate fi o bază legală pentru prelucrare doar în câteva circumstanțe excepționale. În plus, se aplică o așa-numită „interdicție de cuplare” sau „interdicția de cuplare sau condiționare”. Astfel, executarea unui contract nu poate fi condiționată de consimțământul de a prelucra date personale suplimentare, care nu sunt necesare pentru executarea acelui contract.

Pentru ca consimțământul să fie informat și specific, persoana vizată trebuie să fie cel puțin notificată despre identitatea operatorului, ce tip de date vor fi prelucrate, cum vor fi utilizate și scopul operațiunilor de prelucrare ca măsură de protecție împotriva ‘creșterii funcțiilor’. Persoana vizată trebuie, de asemenea, să fie informată despre dreptul său de a retrage consimțământul în orice moment. Retragerea trebuie să fie la fel de ușoară ca acordarea consimțământului. Dacă este relevant, operatorul trebuie, de asemenea, să informeze despre utilizarea datelor pentru luarea de decizii automate, riscurile posibile ale transferurilor de date din cauza lipsei unei decizii de adecvare sau a altor garanții adecvate.

Consimțământul trebuie să fie legat de unul sau mai multe scopuri specificate, care trebuie apoi explicate suficient. Dacă consimțământul ar trebui să legitimeze prelucrarea unor categorii speciale de date cu caracter personal, informațiile pentru persoana vizată trebuie să facă referire expresă la aceasta.
Trebuie să existe întotdeauna o distincție clară între informațiile necesare pentru consimțământul informat și informațiile despre alte aspecte contractuale.

În ultimul rând, consimțământul trebuie să fie neechivoc, ceea ce înseamnă că necesită fie o declarație, fie un act clar afirmativ. Consimțământul nu poate fi implicit și trebuie întotdeauna oferit printr-un sistem de opt-in, o declarație sau o acțiune activă, astfel încât să nu existe nicio neînțelegere că persoana vizată a acordat consimțământul pentru procesarea respectivă. Astfel fiind spus, nu există o cerință de formă pentru consimțământ, chiar dacă consimțământul scris este recomandat datorită responsabilității operatorului. Prin urmare, poate fi, de asemenea, oferit în formă electronică. În acest sens, consimțământul copiilor și adolescenților în legătură cu serviciile societății informaționale este un caz special. Pentru cei care au sub vârsta de 16 ani, există o cerință suplimentară de consimțământ sau autorizare din partea titularului responsabilității părintești. Limita de vârstă este subiectul unei clauze de flexibilitate. Statele membre pot prevedea o vârstă mai mică prin lege națională, cu condiția ca această vârstă să nu fie mai mică de 13 ani. Când o ofertă de servicii nu este adresată explicit copiilor, este eliberată de această regulă. Totuși, aceasta nu se aplică ofertelor care sunt adresate atât copiilor, cât și adulților.

După cum se poate observa, consimțământul nu este o soluție universală atunci când vine vorba de prelucrarea datelor personale. În special, având în vedere că autoritățile europene de protecția datelor au clarificat că „dacă un operator alege să se bazeze pe consimțământ pentru orice parte a prelucrării, trebuie să fie pregătit să respecte această alegere și să oprească acea parte a prelucrării dacă o persoană își retrage consimțământul.” Interpretat strict, acest lucru înseamnă că operatorul nu are voie să treacă de la temeiul juridic consimțământ la interes legitim odată ce persoana vizată își retrage consimțământul. Acest lucru se aplică chiar dacă inițial a existat un interes legitim valabil. Prin urmare, consimțământul ar trebui să fie întotdeauna ales ca ultimă opțiune pentru prelucrarea datelor personale.