Noul Regulament european privind protecţia persoanelor fizice („GDPR”) în ceea ce priveşte prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date va intra în vigoare la data de 25 mai 2018. Dar cât sunt de pregătiţi operatorii de date să ne prelucreze datele cu caracter personal?
Fiecare dintre noi, cel puţin o dată în viaţă, a avut ocazia de a interacţiona cu o bancă. În acest context, apare întrebarea, câţi dintre noi cunosc drepturile pe care le au în cadrul acestui raport, în special în ceea ce priveşte protecţia datelor cu caracter personal. Dintre principiile fundamentale în acest domeniu amintesc principiul legalităţii, echităţii şi transparenţei prelucrării, precum şi acela ca datele personale să fie colectate în scopuri determinate, explicite şi legitime şi nu sunt prelucrate ulterior într-un mod incompatibil cu aceste scopuri.
Analiza unei situaţii practice
Persoana X, un client mai vechi al unei bănci, se deplasează la o sucursală locală a acesteia pentru a beneficia de un serviciu. La bancă, i se cere actualizarea datelor sale, aceasta fiind efectuată deja un an mai înainte, dar la o altă sucursală a aceleaşi bănci. (1) Angajata băncii, de la ghişeu, îi explică persoanei faptul că în aplicaţie nu îi apar datele actualizate, fiind indicat alt domiciliu, alt e-mail şi alt număr de telefon. Clientul se conformează cerinţei şi începe a completa un nou formular. (2) În formular apare menţiunea că „clientul este de acord să îşi dea datele sale iar acestea pot fi folosite în scopul transferării în alt stat în scop de marketing”. (3) În dreptul acestei menţiuni figurează un „DA” tipărit, iar clientul nu sesizează acest fapt deoarece menţiunea era pe a 3-a pagină a formularului (ultima), textul începând din josul paginii nr. 2. După ce semnează, primeşte un răspuns evaziv în legătură cu textul puţin lizibil de pe pagină din partea angajatei de la ghişeu, (4) care se pare că nu cunoştea nici ea răspunsul privind acea menţiune.
1. Potrivit art. 5 alin. (1) lit. f) al GDPR, datele cu caracter personal ale persoanelor trebuie „prelucrate într-un mod care asigură protecţia adecvată a [acestora], inclusiv protecţia împotriva prelucrării neautorizate sau ilegale şi împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare”. Prin urmare, este obligaţia băncii de a păstra datele clientului în siguranţă, iar nerespectarea acestei obligaţii atrage răspunderea în temeiul GDPR.
2. În ceea ce priveşte transferul datelor cu caracter personal către o ţară terţă, operatorul este obligat să furnizeze persoanei vizate intenţia sa, precum şi „existenţa sau absenţa unei decizii a Comisiei [Europene] privind caracterul adecvat al protecţiei sau, în cazul transferurilor menţionate la articolele 46, 47 şi 49 alin. (1), subalin. 2 [care implică absenţa deciziei Comisiei], o trimitere la garanţiile adecvate sau corespunzătoare”, potrivit art. 13 al GDPR. Pe cale de consecinţă, persoana vizată trebuie să cunoască dacă datele sale cu caracter personal vor fi transferate într-un stat care asigură caracterul adecvat al protecţiei datelor.
3. Potrivit art. 12 al GDPR, informaţia oferită persoanei vizate cu privire la prelucrarea datelor cu caracter personal trebuie să fie furnizată într-o formă concisă, transparentă, inteligibilă şi uşor accesibilă, utilizând un limbaj clar şi simplu. Informaţia trebuie diferenţiată clar de către alte informaţii care nu ţin de confidenţialitate, cum ar fi prevederile contractuale. Mai mult decât atât, potrivit art. 7 alin. (2) al GDPR, „În cazul în care consimţământul persoanei vizate este dat în contextul unei declaraţii scrise care se referă şi la alte aspecte, cererea privind consimţământul trebuie să fie prezentată într-o formă care o diferenţiază în mod clar de celelalte aspecte, într-o formă inteligibilă şi uşor accesibilă, utilizând un limbaj clar şi simplu.”. Astfel, tipărirea răspunsului afirmativ din timp, cu privire la consimţământ, pe o pagină diferită decât cea a textului şi amplasarea acestuia în josul paginii, în locul unde se pune semnătura, nu pot fi considerate ca fiind o informare realizată în mod clar şi într-o formă uşor accesibilă. De altfel GDPR pretinde inclusiv ca operatorul de date să-i ofere şi o alternativă persoanei vizate, respectiv posibilitatea de a refuza acordarea consimţământului pentru prelucrarea datelor sale, mai ales când o asemenea prelucrare este legată de acordarea unui alt serviciu (în cazul de faţă, actualizarea datelor).
4. Considerentele 39 şi 47 din GDPR se referă la necesitatea instruirii angajaţilor cu privire la operaţiunile de prelucrare a datelor cu caracter personal şi protecţia acestora. Angajaţii băncii care se află la ghişeu şi interacţionează cu clienţii sunt vizaţi direct de aceste prevederi. Deci, instruirea acestora, în temeiul GDPR, este obligatorie. Aceşti angajaţi trebuie să fie pregătiţi să răspundă la întrebările clienţilor în legătură cu procesarea datelor cu caracter personal. Incapacitatea de a furniza clientului informaţii cu privire la prelucrarea datelor cu caracter personal poate constitui un criteriu de neconformitate a băncii cu prevederile GDPR.
În final, dacă vă găsiţi în situaţia amintită mai sus, solicitaţi operatorului de date să ia măsuri pentru a fi conform cu prevederile GDPR!