Acord GDPR - Consimțământ prelucrare date cu caracter personal

Ce este un acord GDPR și când ai nevoie de el

Acordul GDPR (sau consimțământul GDPR) este documentul juridic prin care o persoană fizică (persoana vizată) își exprimă acordul explicit ca datele sale cu caracter personal să fie prelucrate de un operator - o firmă, cabinet medical, instituție publică, ONG, cursuri online sau orice altă entitate care colectează date. Conform Regulamentului UE 679/2016 (GDPR) și Legii 190/2018, consimțământul trebuie să fie liber, specific, informat și lipsit de ambiguitate. Ai nevoie de acord GDPR pentru: recrutare și HR, publicare fotografii pe site sau social media, marketing direct și newsletter, servicii medicale sau stomatologice, cursuri și evenimente, colectarea datelor minorilor, prelucrarea datelor biometrice sau privind sănătatea, transferul datelor în afara UE.

Cadrul legal: Regulament UE 679/2016 și Legea 190/2018

Regulamentul General privind Protecția Datelor (GDPR) - Regulamentul UE 679/2016 - se aplică direct în România din 25 mai 2018 și se completează cu Legea nr. 190/2018 privind măsurile de aplicare a GDPR. Cele două acte normative reglementează prelucrarea datelor cu caracter personal și libera circulație a acestora. GDPR se aplică oricărui operator stabilit în UE care prelucrează date, indiferent dacă prelucrarea are loc sau nu în UE, precum și operatorilor din afara UE care oferă bunuri/servicii persoanelor din UE. Autoritatea de supraveghere în România este ANSPDCP, care poate aplica sancțiuni administrative de până la 20 milioane EUR sau 4% din cifra de afaceri anuală.

Ce trebuie să conțină un acord GDPR valid

Conform art. 13 și 7 GDPR, un acord valabil trebuie să includă obligatoriu: (1) identitatea și datele de contact ale operatorului și, dacă e cazul, ale reprezentantului acestuia; (2) datele de contact ale DPO (Responsabil cu Protecția Datelor), dacă a fost desemnat; (3) scopurile prelucrării și temeiul juridic; (4) interesele legitime urmărite, dacă e cazul; (5) destinatarii sau categoriile de destinatari ai datelor; (6) intenția de transfer către țări terțe și garanțiile aplicate; (7) perioada de stocare sau criteriile utilizate; (8) drepturile persoanei vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție); (9) dreptul de a retrage consimțământul; (10) dreptul de a depune plângere la ANSPDCP.

Categorii speciale de date - protecție întărită

Art. 9 GDPR interzice prelucrarea "categoriilor speciale" de date, cu excepția unor situații strict definite: originea rasială sau etnică, opiniile politice, convingerile religioase sau filozofice, apartenența sindicală, datele genetice, datele biometrice pentru identificare unică, datele privind sănătatea, viața sexuală sau orientarea sexuală. Pentru aceste categorii, consimțământul trebuie să fie EXPLICIT (nu implicit) și trebuie să existe garanții suplimentare - de exemplu, evaluarea impactului asupra protecției datelor (DPIA) în anumite cazuri. Cabinetele medicale, salile de fitness, saloanele care fac tratamente și orice operator care colectează asemenea date TREBUIE să obțină consimțământ separat, explicit, pentru fiecare categorie în parte.

Consecințele nerespectării GDPR - sancțiuni ANSPDCP

ANSPDCP a aplicat în România sancțiuni semnificative de la intrarea în vigoare a GDPR. Exemple recente includ amenzi pentru: lipsa temeiului juridic al prelucrării, informare insuficientă a persoanei vizate, lipsa acordului pentru marketing direct, transfer nesigur de date, lipsa DPO când era obligatoriu, breach-uri de securitate nenotificate. Amenzile administrative pot ajunge până la 20 milioane EUR sau 4% din cifra de afaceri anuală mondială. Pe lângă amenzi, persoanele vizate pot cere despăgubiri civile pentru prejudiciul material sau moral suferit ca urmare a încălcării drepturilor lor. Reputația operatorului este de asemenea afectată, mai ales în cazul breach-urilor publice.

Documente conexe pentru conformitate GDPR

Un acord GDPR este doar un element dintr-un cadru mai larg de conformitate. Alte documente esențiale sunt: (1) Politica de confidențialitate - afișată pe site și accesibilă înainte de colectarea datelor; (2) Registrul evidenței activităților de prelucrare - obligatoriu conform art. 30; (3) Procedura de gestionare a incidentelor de securitate (breach); (4) Contract de prelucrare cu persoana împuternicită (art. 28) - de exemplu cu firma de contabilitate, providerul de hosting, agenția de marketing; (5) Evaluarea impactului asupra protecției datelor (DPIA) pentru prelucrări cu risc ridicat; (6) Procedura pentru exercitarea drepturilor persoanei vizate. Pe completeazaonline.ro găsești modele pentru multe dintre aceste documente în categoria diverse și munca.