Consimțămantul ca Temei de Prelucrare a Datelor Personale

Articol pregatit de Alina S., Managing Partner la Advice Accounting – una dintre cele mai experimentate companii de Accounting & Legal din Romania. Advice Accounting are in portofoliu atat clienti din Romania, cat si clienti Europeni si a ajutat cateva sute de firme sa creasca eficient in ecosistemul fiscal & legal din Romania.

LEGISLAȚIE

1. Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (denumit în continuare “Regulamentul”);
2. Legea nr. 102 din 3 mai 2005 privind înfiinţarea, organizarea şi funcţionarea Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal (denumită în continuare “Legea nr. 102/2005”);
3. Legea nr. 190 din 18 iulie 2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European şi al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (denumită în continuare “Legea nr. 190/2018”); 
4. Legea nr. 363 din 28 decembrie 2018 privind protecţia persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autorităţile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale şi combaterii infracţiunilor sau al executării pedepselor, măsurilor educative şi de siguranţă, precum şi privind libera circulaţie a acestor date (denumită în continuare “Legea nr. 363/2018”).

Conform Regulamentului, prezența consimțământului persoanei vizate de prelucrarea datelor cu caracter personal este doar una dintre condițiile de sine stătătoare pentru ca procedura prelucrării datelor personale să fie una legală. 

Astfel, consimțământul dat în conformitate cu legea este suficient per se, chiar dacă prelucrarea datelor cu caracter personal nu este necesară în executarea unui contract, în îndeplinirea unei obligații legale a operatorului, pentru a proteja interesele vitale ale persoanei vizate, pentru îndeplinirea unei sarcini care servește unui interes public sau pentru apărarea intereselor legitime ale operatorului sau ale unui terț. 

CONDIȚII ALE CONSIMȚĂMÂNTULUI

Potrivit art. 7 din Regulament, în cazul în care prelucrarea datelor personale are la baza consimțământul persoanei vizate, acesta trebuie să respecte următoarele condiții:

• consimțământul trebuie să fie liber exprimat, trebuie să fie acordat în cunoștință de cauză și pentru un scop specific;
• operatorul trebuie să fie în măsură să demonstreze existența consimțământului persoanei vizate;
• cererea privind consimțământul trebuie să respecte o formă inteligibilă și ușor accesibilă și să cuprindă un limbaj clar și simplu, atunci când consimțământul urmează a se da printr-o declarație scrisă care se referă și la alte aspecte;
• informarea persoanei vizate cu privire la dreptul de a-și retrage consimțământul, punându-i-se în vedere că exercitarea acestui drept nu afectează legalitatea prelucrării efectuate înainte de retragerea consimțământului.

Art. 8 din Regulament prevede și condițiile specifice în cazul în care prelucrarea de date se face în baza consimțământului acordat de un copil, în sensul că leagă legalitatea unei astfel de proceduri de vârsta copilului care trebuie să fie de cel puțin 16 ani. Dacă copilul are sub vârsta de 16 ani, respectiva prelucrare este legală numai în măsura în care consimțământul respective este acordat sau autorizat de titularul răspunderii părintești asupra copilului. 

Regulamentul oferă statelor libertatea de a stabili vârsta minima de la care o persoană este prezumată că poate da un consimțământ legal, însă stabilește cu titlu imperativ că această vârstă nu poate fi mai mica de 13 ani.

În România, în conformitate cu prevederile legale aplicabile, colectarea și procesarea datelor cu caracter personal ale minorilor cu vârsta sub 18 ani este consimțită pe seama acestora de către părinți, tutori sau responsabili legali, care își dau acordul cu privire la scopurile pentru care sunt de acord să fie procesate datele cu caracter personal. În acest sens, se poate solicita părintelui/tutorelui/responsabilului legal al minorului sub 18 ani să facă dovada statutului său de părinte/tutore/responsabil legal.

Prelucrarea de date cu caracter personal nu este absolută și cunoște limitări. Astfel, conform art. 3 din Legea nr. 190/2018, prelucrarea datelor genetice, biometrice sau a datelor privind sănătatea, în scopul realizării unui proces decizional automatizat sau pentru crearea de profiluri, este permisă cu consimțământul explicit al persoanei vizate sau dacă prelucrarea este efectuată în temeiul unor dispoziții legale exprese, cu instituirea unor măsuri corespunzătoare pentru protejarea drepturilor, libertăților și intereselor legitime ale persoanei vizate.

O altă limitare se regăsește în art. 10 din Legea nr. 363/2018, unde se prevede că datele cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice, afilierea sindicală, prelucrarea datelor genetice, prelucrarea datelor biometrice pentru identificarea unică a unei persoane fizice, prelucrarea datelor privind sănătatea sau a datelor privind viața sexuală și orientarea sexuală a unei persoane fizice pot fi prelucrate numai dacă sunt strict necesare într-un caz determinat, dacă sunt instituite garanții adecvate pentru drepturile și libertățile persoanei vizate și dacă este îndeplinită una dintre următoarele condiții: 

• prelucrarea este prevăzută expres de lege;
• prelucrarea este necesară pentru prevenirea unui pericol iminent cel puțin asupra vieții, integrității corporale sau sănătății persoanei vizate sau ale unei alte persoane fizice;
• prelucrarea se referă la date cu caracter personal care sunt făcute publice în mod manifest de persoana vizată.

Potrivit art. 14 alin. (5) și (6) din Legea nr. 190/2018, încălcarea de către operator/persoana împuternicită de operator a dispozițiilor referitoare la legalitatea și valabilitatea consimțământului constituie contravenție și se sancționează cu amendă între 10.000 și 200.000 lei.

Constatarea contravențiilor și aplicarea sancțiunilor contravenționale, precum și a celorlalte măsuri corective prevăzute de Regulament privind protecția datelor se fac de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal înființată în conformitate cu dispozițiile Regulamentului și ale Legii nr. 102/2005.