Consimțământ GDPR. Cum obții un consimțământ valabil pentru prelucrare? (II)

În continuarea articolului precedent, azi discutăm despre consimțământul explicit, retragerea acestuia, consimțământul copiilor și în ce măsură consimțământul obținut pe Legea 677/2001 este valabil începând cu 25 mai 2018.

COSIMȚĂMÂNTUL EXPLICIT

Consimțământul explicit este necesar numai dacă se prelucrează categorii de date sensibile (de exemplu, datele medicale, genetice, biometrice, datele care dezvăluie originea rasială, etnică, convingerile religioase, filozofice), în situația transferurilor către state terțe UE fără garanții adecvate și în situația deciziilor automate cu efect semnificativ.

O declarație scrisă semnată este cel mai bun exemplu pentru un consimțământ explicit. Alte recomandări ale Grupului de lucru sunt un proces de verificare în doi factori a consimțământului (verificare ulterioară prin e-mail, sms, telefon pentru a se asigura că acordul este explicit), utilizarea unei semnături electronice, urcarea unui document scanat semnat, înregistrarea unei declarații verbale.  Pe lângă condițiile detaliate mai sus, operatorii au obligația de a păstra evidențele pentru a demonstra că s-a luat un consimțământ valabil și că subiectul a fost informat.

Implementează GDPR rapid, simplu și eficient!

De asemenea, GDPR obligă controlorii să se asigure că consimțământul poate fi retras la fel de ușor cum a fost dat, în orice moment și în mod gratuit, dar nu neapărat prin aceeași acțiune. Retragerea consimțământului nu trebuie să aducă prejudicii. Neîndeplinirea unui mecanism de retragere duce la eșecul validității acordului. În cazul retragerii, prelucrarea care a avut loc anterior rămâne legală, însă prelucrarea ulterioară trebuie să înceteze. Un nou consimțământ valabil este necesar. Nu este permisă migrarea tacită din consimțământ către altă bază legală pentru procesare.

În privința copiilor, dacă aceștia au vârsta sub 16 ani, consimțământul trebuie dat sau autorizat de reprezentantul legal (de obicei, părintele). Statele membre pot reduce această vârsta la 13 ani. În funcție de riscul prelucrării, consimțământul părinților se va obține diferit: pentru activități cu risc scăzut se poate realiza o verificare pe e-mail, însă pentru cele cu risc mare, este nevoie de cereri suplimentare. Odată ce copilul a ajuns la vârsta consimțământului digital (16 ani), un nou consimțământ este necesar direct de la subiect.

În situația în care consimțământul a fost obținut în conformitate cu legea 677/2001 este valabil dacă respectă condițiile stabilite de GDPR. Totuși, Grupul de Lucru avertizează că GDPR introduce standarde mult mai stricte care necesită revizuirea tuturor mecanismelor privind consimțământul și nu simpla actualizare a notelor de informare. Grupul avertizează în special operatorii care se bazează pe un consimțământ inactiv, cum este cazul colectării consimțământului prin utilizarea unor căsute pre-bifate.