Aici descoperim
dreptul tehnologiei

Pot-accesa-e-mailul-unui-angajat-dupa-ce-a-parasit-locul-de-munca_-3.png

Atunci când recrutezi, ai nevoie de date cu caracter personal ale candidaților pentru a alege angajatului potrivit. Deși companiile vor fi întotdeauna interesate să afle cât mai multe date despre viitorul angajat, interesul acestora trebuie pus în balanță cu dreptul la viață privată pentru a se găsi un echilibru astfel încât prelucrarea de date să fie legală. În prezentul articol, îmi propun să trec în reviste câteva sfaturi practice care să te ajute să respecți GDPR atunci când recrutezi.

1. Informarea candidatului

Înainte să colectăm date despre un potențial angajat, trebuie să îl informăm pe acesta cu privire la modalitatea în care îi vei prelucra datele care trebuie să cuprindă în mod obligatoriu elementele de la art. 13 și 14 din GDPR și să fie realizată într-un limbaj simplu și ușor de înțeles.  Un model de notă de informare la standardele cerute de GDPR găsiți aici.

Dacă vrei să afli mai multe despre informarea candidatului, cu exemple concrete, îți recomandăm acest articol.

2. Durata de stocare

Putem să păstrăm CV-ul și alte date ale unor candidați care nu au fost angajați pe o perioadă nedeterminată? GDPR spune că nu și tot GDPR spune că ar trebui să stabilim termene de stocare. Întrucât poate fi atât în interesul companiei să păstreze datele pentru viitoare poziții, dar și în interesul persoanelor fizice să fie la curent cu noile poziții sau joburi, considerăm că angajatorii pot păstra datele pe o perioadă mai lungă de timp pe temeiul interesului legitim. Cu toate acestea, în măsura în care se dorește păstrarea pe o perioadă mai lungă, legea prevede ca angajatorii să desfășoare următoarele:

  • Stabilirea unei durate de retenție. De exemplu, un an de la transmiterea CV-ului, doi ani de la data interviului. Acest lucru se realizează în practică prin întocmirea unei Politici de retenție/Stocare. Un model de politică de retenție/stocare găsiți aici
  • Realizarea unei analize a interesului legitim prin care puneți în balanță interesul companiei de a păstra datele și impactul negativ real sau potențial asupra vieții private a persoanelor fizice. Dacă rezultatul analizei indică faptul că interesul companiei prevalează, atunci puteți stoca datele pe perioada X de timp. Dacă rezultatul analizei indică faptul că primează viața privată a individiului (de exemplu, atunci când s-au colectat o serie de informații sensibile), atunci nu veți putea stoca datele. Cu toate acestea, chiar dacă primul rezultat este negativ, în măsura în care reușiți să instituiți măsuri suplimentare de protecție, rezultatul testului poate fi în favoarea dvs. Un model de analiză interes legitim găsiți aici.
  • Informarea candidatului cu privire la durata de stocare. Ar trebui să verificați că nota de informare despre care am vorbit la punctul 1. conține și durata de stocare.

3. Respectarea drepturilor candidaților

Potrvit GDPR, orice persoană fizică are următoarele drepturi: informare, acces, portabilitate, rectificare, restricționare, opoziție, ștergere, dreptul de a nu fi supusă unei decizii automate cu impact semnificativ.

Personalul companiei ar trebui să aibă proceduri clare pentru:

  • Identificarea cererilor de exercitare a drepturilor din partea persoanelor fizice;
  • Cunoștințe temeinice pentru a răspunde în mod adecvat la cereri;
  • Mecanisme concrete pentru a răspunde efectiv la cereri în termenul de o lună, care poate fi prelungit la maxim 3 luni în situații excepționale.

Te-ar putea interesa și: 10.000 lei – daune morale. Prelucrarea excesivă a datelor personale. Judecătoria Sectorului 5.

4. Recrutarea prin companii de recrutare

Dacă recrutezi prin companii de recrutare, ar trebui să alegi companiile de recrutare care prezintă suficiente garanții că respectă GDPR și să te asiguri că ai încheiat, distinct de contractul de prestări servicii, un contract pentru protecția datelor (Acord de prelucrare a datelor). În funcție de circumstanțele specifice, compania de recrutare poate fi persoană împuternicită (dacă prelucrează datele companiei doar pentru tine) sau operator asociat (dacă utilizează datele unui candidat și pentru alți clienți).

5. Categorii speciale de date

În lipsa unui temei legal, ar trebui să evităm să prelucrăm date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice pentru identificarea unică a unei persoane fizice, de date privind sănătatea sau de date privind viața sexuală sau orientarea sexuală ale unei persoane fizice, date privitoare la contravenții și infracțiuni și numărul de identificare național.

Te-ar putea interesa și:

6. Colectarea de date de pe rețelele de socializare

Grupul de Lucru Art. 29, prin Avizul nr. 2/2017 privind prelucrarea datelor la locul de muncă, este de părere că, în principiu, companiile nu pot utiliza informațiile colectate de pe rețelele de socializare pentru a decide dacă va angajeza sau nu o persoană. Din punctul nostru de vedere, LinkedIn este o excepție în acest caz, dar suntem de acord cu opinia Grupului de Lucru pentru celelalte rețele de socializare non-profesionale: Facebook, Instagram etc.

Exemplu oferit de Grupul de Lucru Art. 29:
La recrutarea unor noi angajați, un angajator verifică profilurile candidaților pe diverse rețele de socializare și include informații de pe aceste rețele (și orice alte informații disponibile pe internet) în procesul de verificare.
Doar dacă este necesar pentru locul de muncă să se verifice pe platformele de comunicare socială informații privind un candidat, de exemplu, pentru a putea evalua riscurile specifice în ceea ce privește candidații la o anumită funcție, iar candidații sunt informați în mod corect (de exemplu, în anunțul pentru postul vacant), angajatorul poate avea un temei juridic în conformitate cu articolul 7 litera (f) pentru a verifica informații publice despre candidați.

7. Protecția datelor candidaților

Trebuie să protejăm datele cu caracter personal așa cum protejăm cele mai sensibile secrete comerciale. Ar trebui utilizate tehnici precum criptarea, anonimizarea și pseudonimizarea și ar trebui să ne asigurăm că doar angajatul care are nevoie concret să acceseze CV-urile și alte date ale candidaților poate accesa acele date, nu și alte persoane. Bazele de date ar trebui separate pentru fiecare departament, iar în cadrul departamentelor, ar trebui separate pentru a fi accesate doar de către personalul implicat direct. De exemplu, un angajat de la departamentul marketing nu ar avea de ce să acceseze datele unui candidat.

Cu toți angajații și alți colaboratori care au acces la date cu caracter personal trebuie încheiate acorduri de confidențialitate și trebuie să li se aducă la cunoștință Politicile de protecție a datelor ale companiei.

Rețineți faptul că răspundeți pentru faptele angajaților care nu respectă protecția datelor, de aceea ar trebui să investiți timp în instruirea corespunzătoare a angajaților, cele mai multe breșe de securitate provenind de la fapta omului. Companiile ar trebui să aibă proceduri și politici clare care să pună bazele unei culturi adecvate a protecției datelor la standardele cerute de legislația europeană și națională.

Concluzii. Recomandări.

Personalul care are acces la date cu caracter personal trebuie să respecte GDPR și să protejeze corespunzător datele. Companiile trebuie să manifeste deschidere spre a înțelege noile prevederi europene și a le integra, pas cu pas, în activitatea lor. Datele sunt noua monedă de schimb, iar conformarea la GDPR nu este opțională și este nevoie de implicare activă și constantă pentru a înțelege noile reguli și pentru a le integra concret activității fiecărei companii care dorește să evolueze într-o societate care funcționează pe schimb de date.

Vrei să înveți cum să implementezi corect GDPR? Îți recomandăm cursul nostru online cu 28 de module care acoperă integral, teoretic și practic, materia. La finalul cursului vei obține certificatul de absolvire și documentația GDPR (șabloane editabile în Word și Excel) pentru a implementa cu succes. Află mai multe aici 

 

 


 

 

[Conținutul prezentului articol nu reprezintă o consultație juridică în temeiul Legii nr. 51/1995 privind organizarea și exercitarea profesiei de avocat, iar site-ul nu își asumă răspunderea pentru conținutul publicat de autori, editori și colaboratori. Pentru consultații juridice, ne puteți contacta aici]


Pot-accesa-e-mailul-unui-angajat-dupa-ce-a-parasit-locul-de-munca_-2.png

Prin hotărârea nr. 747/2019, Judecătoria Sectorului 5 București a obligat Compania Națională „Aeroporturi București” SA să achite reclamantei suma de 10.000 lei daune morale pentru publicarea pe pagina de internet (platforma http://www.bucharestairports.ro) a unei hotărâri societare care conținea datele personale ale reclamantei (CNP, adresă, număr și serie de buletin etc). Instanța a considerat că încălcarea confidențialității acestor date încalcă principiile prelucării datelor: limitarea la ceea ce este necesar (principiul minimizării). 

Ce s-a întâmplat?

Reclamanta a introdus acțiune împotriva pârâtei Compania Națională „Aeroporturi București” SA, solicitând:

  • înlăturarea (ștergerea) datelor personale constând în adresa de domiciliu, cod numeric personal,  data și locul eliberării cărții de identitate publicate și menținute de către societatea pârâtă în cadrul platformei online http://www.bucharestairports.ro;
  • obligarea acesteia la plata unor daune morale în cuantum de 60 000 lei pentru prejudiciul continuu cauzat, constând în lezarea drepturilor garantate privind protecția datelor cu caracter personal prin prelucrarea în cadrul platformei online indicate anterior a datelor cu caracter personal; și
  • obligarea acesteia la plata cheltuielilor de judecată ocazionate de acest proces.

În drept, reclamanta a invocat prevederile Regulamentului nr. 679/2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE, prevederile Legii nr. 190/2018 privind măsurile de punere în aplicare a Regulamentului nr. 679/2016, dispozițiile art. 70-77 C.civ., art. 252-253 C.civ., art. 1349 C.civ., art. 1357-1358 C.civ., art. 1382-1382 C.civ., art. 1385-1386 C.civ., art. 194 și următoarele C.proc.civ.

Ce a decis instanța?

Instanța a considerat că fapta ilicită de a publica datele cu caracter personal fără a avea un temei juridic atrage răspunderea civilă delictuală a societății și, în consecință:

  • a obligat pârâta să  inlature (stergerea) datelor personale ale reclamantei constand in adresa de domiciliu, cod numeric personal,  data si locul eliberarii cartii de identitate, publicate si mentinute de parata in cadrul platformei online http//www.bucharestairports.ro;
  • a obligat pârâta la plata către reclamantă a sumei de 10.000 lei – daune morale;
  • a obligat pârâta la plata catre reclamanta a sumei de 625 lei cheltuieli de judecata.

Pentru a decide în sensul celor precizate anterior, instanța a avut în vedere inexistența unui temei legal.

„Cu privire la fondul litigiul, instanța reține că art. 6 din Regulamentul nr. 679/2016 reglementează că prelucrarea datelor cu caracter personal este legală numai dacă și în măsura în care se aplică cel puțin una din următoarele condiții: persoana vizată și-a dat consimțământul (…), prelucrarea este necesară pentru executarea unui contract , prelucrarea este necesară în vederea îndeplinirii unei obligații legale ce revine operatorului, prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice, prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public  sau prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță”

Deși pârâta s-a apărat, invocând că a obținut consimțământul reclamantei, instanța a apreciat că „având în vedere lipsa unui consimțământ expres al reclamantei în sensul publicării datelor sale personale pe site-ul pârâtei și în lipsa unor elemente din care să se întrevadă existența unui consimțământ tacit în același sens, instanța reține inaplicabilitatea art. 6 alin. (1) lit. (a) din Regulamentul nr. 679/2016” .Dacă vrei să afli mai multe despre consimțământul GDPR, poți consulta ghidul nostru de aici, iar formulare de consimțământ la standardele GDPR găsești în pachetul nostru de formulare (click aici)

Recomandări. Concluzii

Decizia instanței întărește concluzia că protecția datelor cu caracter personal este un subiect de maximă importanță în actualul context economic și social. Se spune că datele sunt noua monedă de schimb, prin urmare companiile trebuie să întreprindă acțiuni concrete pentru a respecta drepturile persoanelor fizice cu privire la protecția și confidențialitatea datelor cu caracter personal. Pentru a evita litigiile, vă recomandăm următoarele:

Înțelegeți noile prevederi europene și naționale în materie de protecție a datelor. Externalizarea poate părea o soluție la îndemână, însă personalul companiei trebuie să fie instruit corespunzător pentru a proteja datele și a respecta drepturile persoanelor vizate. Vă recomandăm cursul nostru online cu 28 de module care acoperă integral, teoretic și practic, materia. 

Înțelegeți că GDPR este despre protecția datelor persoanelor fizice, de aceea, aveți grijă să aveți focusul potrivit – către persoana fizică vizată. Clientul, angajatul, candidatul, colaboratorul, reprezentatul sau persoana de contact din cadrul unei companii sunt persoane vizate, iar datele lor trebuie protejate. Înțelegeți-le drepturile și respectați-le. 

Numiți un responsabil cu protecția datelor, chiar dacă nu este necesar. În mod ideal, ar trebui că responsabilul să fie un angajat care să fie la curent cu activitățile de zi cu zi ale companiei, însă, în măsura în care doriți să apelați la un responsabil extern, asigurați-vă că îl țineți la curent cu toate activitățile companiei care pot afecta viața privată a persoanelor fizice. De aemenea, responsabilul cu protecția datelor ar trebui verificat că își îndeplinește sarcinile, deoarece răspunderea este a companiei, indiferent că a numit sau nu un responsabuil cu protecția datelor. În situația unei amenzi sau a unor despăgubiri, compania se poate îndrepta împotriva responsabilului dacă prin acțiunea sau inacțiunea lui a declanșat premisele unei răspunderi.

Implementați juridic, tehnic și organizatoric prevederile GDPR și aveți grijă să documentați în scris toate procesele. Având în vedere că atât în instanță, cât și în fața ANSPDCP pot fi aduse înscrisuri care să ateste că v-ați respectat obligațiile, documentația nu este opțională, ci obligatorie. Vă recomandăm KIT-ul nostru de implementare, care conține documentația standard și adaptabilă oricărei companii (click aici).

 

Te-ar putea interesa și:

 

 

 

[Conținutul prezentului articol nu reprezintă o consultație juridică în temeiul Legii nr. 51/1995 privind organizarea și exercitarea profesiei de avocat, iar site-ul nu își asumă răspunderea pentru conținutul publicat de autori, editori și colaboratori. Pentru consultații juridice, ne puteți contacta aici]



Pot-accesa-e-mailul-unui-angajat-dupa-ce-a-parasit-locul-de-munca_-1.png

Regulamentul General privind Protecția Datelor (GDPR) ridică multe întrebări cu privire la impactul GDPR asupra relațiilor de muncă. Nu este o noutate faptul că în cadrul majorității organizațiilor, angajații au fiecare câte o adresă de e-mail de serviciu pe formatul nume.prenume@companie.ro. În prezentul articol voi aborda un subiect de actualitate și întâlnit frecvent în practică: poate un angajator să acceseze adresa de e-mail de serviciu a unui fost angajator?

Înainte de a răspunde la întrebare, vom discuta, cu titlu preliminar, câteva aspecte deosebit de importante pentru înțelegerea problematicii abordate.

Este adresa de e-mail o dată cu caracter personal?

Orientările europene sunt în sensul în care o adresă de e-mail pe formatul nume.prenume@companie.ro sau chiar pe formatul nume@companie.ro, este o dată cu caracter personal. Adresele de e-mail pe formatul office@companie.ro nu sunt date cu caracter personal, însă acest lucru nu înseamnă că acestea nu ar trebui protejate deoarece conțin informații sensibile. Conținutul e-mailurilor pot conține de asemenea, o multitudine de informații personale, precum datele de contact ale clienților, informații financiare, date medicale, iar în cazurile nefericite, inclusiv discuțiile private ale angajatului/fostului angajat.

De asemenea, Deciziei civile nr. 34/09.03.2017 a Curții de Apel București, Secția a VIII-a Contencios Administrativ și Fiscal (nepublicată), s-a statuat, în mod definitiv, faptul că adresele de e-mail a căror denumire cuprinde numele, prenumele și locul de muncă al unei persoane (de exemplu, ion.ionescu@companie.ro), reprezintă informații ce servesc la identificarea persoanei fizice, respectiv sunt date cu caracter personal în sensul legislației privind protecția datelor.

În acest sens, a statuat și Înalta Curte de Casație și Justiție în decizia privind dezlegarea unor chestiuni de drept, decizia nr. 37 din 7 decembrie 2015, potrivit căreia în interpretarea și aplicarea art. 2 alin. (1) lit. c) din Legea nr. 544/2001 și art. 3 alin. 91) lit. a) din Legea nr. 677/2001, numele și prenumele unei persoane reprezintă informații referitoare la date cu caracter personal, indiferent dacă, într-o situație dată, sunt sau nu suficiente pentru identificarea persoanei.

 

Te-ar putea interesa și:

 

Conversații private pe e-mail-ul de serviciu…

Comoditatea îi determină pe unii angajați să folosească adrese de e-mail de serviciu pentru activități domestice, precum achiziții online sau chiar discuții personale. Cât de permis este acest lucru de GDPR? În primul rând, e lesne de înțeles că angajatorul nu poate controla cum folosește un angajat e-mailul de serviciu. Însă, având în vedere că (1) GDPR impune angajaților să nu colecteze mai multe date decât sunt necesare și (2) orice operator (în speță, angajatorul) trebuie să implementeze măsuri tehnice și organizatorice adecvate, aș spune că angajatorii ar trebui să cunoască faptul că… nu ar trebui să amestece viața personală cu atribuțiile de serviciu. Organizația ar trebui să aibă politici adecvate prin care angajaților li se aduce la cunoștință nu doar cum să protejeze datele personale ale organizației, ci cum să își protejeze datele lor personale. Compania ar trebui să explice angajaților că nu ar trebui să folosească e-mail-ul de serviciu în scop personal atât prin training-uri și ar trebui să aibă proceduri implementate (actualizarea ROI cu un capitol privind protecția datelor, acorduri de confidențialitate, politici de confidentialitate/securitate etc) pentru protecția datelor personale, inclusiv protecția propriilor informații personale.

Cu alte cuvinte, conversațiile private pe e-mailul de serviciu nu sunt interzise per se de Regulament, însă angajatorii ar trebui să depună diligențe pentru a atrage atenția angajaților asupra riscurilor la care se pot expune, mai ales în situația în care e-mailurile de serviciu sunt monitorizate 🙂

 

 

E-mail-uri de serviciu monitorizate

Vă amintiți de celebru caz de la CEDO Bărbulescu vs România? Pe scurt, domnul Bărbulescu a fost obligat de către angajator să își creeze o adresă de yahoo messenger pentru a ține legătura cu clienții, însă conversațiile de pe yahoo messenger cu logodnica și fratele său au fost monitorizate de către companie, fără ca dnul Bărbulescu să aibă cunoștință de acest lucru. Peste ceva timp, domnul Bărbulescu a fost concediat deoarece încălcase regulamentul intern care îl obliga să nu folosească internetul în scop personal. A contestat fără succes decizia la instanțele din România invocând violarea secretului corespondenței. În cele din urmă, CEDO (Marea Camera) a dat o decizie cel puțin interesantă, prin care statuat, printre altele, că monitorizarea conversațiilor electronice la locul de muncă este permisă dacă se îndeplinesc cumulativ următoarele condiții:

  • există un interes legitim al companiei de a monitoriza (supravegherea îndeplinirii sarcinilor de serviciu, securitate etc);
  • nu au fost găsite metode mai puțin intruzive pentru atingerea scopului;
  • angajatul a fost informat în prealabil cu privire la faptul că e-mailul este supravegheat.

În această situație, temeiul juridic nu este consimțământul angajatului (care, conform opiniei WP29, în majoritatea cazurilor, este invalid, existând un dezechilibru de putere), ci interesul legitim.

Cu privire la monitorizare ar trebui să ne amintim că Legea 190/2018 privind măsurile de punere în aplicare al GDPR impune următoarele condiții:

a) interesele legitime urmărite de angajator sunt temeinic justificate și prevalează asupra intereselor sau drepturilor și libertăților persoanelor vizate – prin urmare trebuie documentată o analiză a interesului legitim și păstrată pentru un eventual control. 

b) angajatorul a realizat informarea prealabilă obligatorie, completă și în mod explicit a angajaților;- notele de informare către angajați trebuie să prevadă că se utilizează mijloace de monitorizare.

c) angajatorul a consultat sindicatul sau, după caz, reprezentanții angajaților înainte de introducerea sistemelor de monitorizare;

d) alte forme și modalități mai puțin intruzive pentru atingerea scopului urmărit de angajator nu și-au dovedit anterior eficiența; și

e) durata de stocare a datelor cu caracter personal este proporțională cu scopul prelucrării, dar nu mai mare de 30 de zile, cu excepția situațiilor expres reglementate de lege sau a cazurilor temeinic justificate.

 

 

Putem accesa e-mailul fostului angajat? 

Pe scurt, da, însă doar dacă sunt respectate anumite condiții pe care le vom indica mai jos.

„Atunci când un angajat părăsește organizația, angajatorul ar trebui să ia măsurile tehnice și organizatorice necesare, astfel încât poșta electronică a angajatului să fie dezactivată în mod automat. În cazul în care, pentru buna funcționare a organizației, este necesar să fie recuperat conținutul poștei electronice a unui angajat, angajatorul ar trebui să adopte măsurile adecvate pentru recuperarea conținutul acesteia înainte de plecarea angajatului și, dacă este posibil, în prezența lui.” – CEDO, Cauza Bărbulescu vs România.

Așadar, atunci când un angajat părăsește compania, e-mailul trebuie dezactivat și redirecționat către o nouă adresă, iar conținutul ar trebui recuperat înainte de plecarea angajatului. Dacă totuși, angajatul e plecat deja, iar compania nu avea cunoștință de acest lucru, va trebui să recupereze și să dezactiveze în cel mai scurt timp, deoarece un timp îndelungat poate conduce către un cuantum al amenzii mai mare. 

În cursul anului 2016, o societate din România a fost amendată de ANSPDCP deoarece a păstrat mai mult decât era cazul (aproximativ un an) un e-mail al unui fost colaborator, invocând, printre altele, că a trebuit să păstreze adresa de e-mail deoarece clienții societății erau obișnuiți să contacteze această adresă de e-mail. Procesul-verbal a fost contestat la Tribunalul București. S-a pierdut în fond și s-a făcut apel la Curtea de Apel București.

Prin Decizia Civilă nr. 34/09.03.2017, Curtea de Apel București a statuat, printre altele, că:

există un interes legitim („Tribunalul reține că redirecționarea e-mailurilor este similară noțiunii de acces la informații, din moment ce poate vizualiza conținutul e-mailurilor trimise pe adresa de e-mail vizată. De asemenea, la data de ___, toate e-mailurile au fost recuperate, petenta având acces la conținutul acestora. Tribunalul reține că intervenția petentei pentru a urmări modul în care și-a desfășurat activitatea fostul angajat a fost legitimă.”)

nu este nevoie consimțământ, angajatorul se poate baza pe interes legitim („Totuși, potrivit art. 5 alin. (2) lit. e) din lege, consimțământul persoanei vizate nu este cerut când prelucrarea este necesară în vederea realizării unui interes legitim al operatorului sau al terțului căruia îi sunt dezvăluite datele, cu condiția ca acest interes să nu prejudicieze interesul sau drepturile și libertățile fundamentale ale persoanei vizate. Tribunalul reține că petenta avea dreptul de a verifica dacă obligațiile asumate în desfășurarea raporturilor contractuale cu clienții au fost respectate și nu se poate reține vreun prejudiciu față de angajatul care avea obligația de a presta activitatea pentru societate. Pentru aceste motive, Tribunalul reține că fapta sub aspectul accesării și prelucrării informațiilor din e-mailurile cu caracter profesional nu se confirmă, pe de-o parte, conținutul e-mailurilor profesionale nefiind date cu caracter personal, iar, pe de altă parte, intră sub regimul excepției reglementate de art. 5 alin. (2) lit. e) din lege.”)

angajatorii ar trebui să nu acceseze niciodată discuții personale și să le șteargă în cel mai scurt timp („Cu toate acestea, aprecierile instanței nu rămân valabile în privința e-mailurilor cu conținut privat sau din alte activități. Deși intervenienta avea obligația să utilizeze e-mailul doar în scop profesional și petenta nu avea așteptarea să regăsească aceste e-mailuri în contul intervenientei, totuși acestea au fost recuperate și stocate pentru un an, fapt ce presupune prelucrarea lor în sensul art. 3 lit. b) din lege. Interdicția impusă intervenientei nu schimbă caracterul de date cu caracter personal al e-mailurilor personale sau din alte activități. […] Pentru aceste motive, fapta se confirmă în ceea ce privește prelucrarea e-mailurilor cu caracter personal sau din alte activități.”)

La o primă lectură, apare un paradox. CEDO spune că angajatorul ar trebui să recupereze e-mailurile înainte de plecarea angajatului, iar Curtea de Apel București spune că recuperarea se poate face și după plecare, însă, în cel mai scurt timp. Luând în calcul (1) formularea „ar trebui” în loc de „trebuie” a CEDO și (2) faptul că accesul la conținutul e-mailului poate fi extrem de important, de la caz la caz, se poate aprecia dacă există un interes legitim de a accesa adresa de e-mail a fostului angajat.

 

Recomandări. Soluții. 

Având în vedere cele expuse mai sus putem concluziona și putem emite chiar o soluție care poate fi utilă companiilor aflate în această situație:

  1. Pe viitor, companiile ar trebui să aibă grijă să recupereze conținutul e-mailului înainte de plecare și, dacă se poate, în prezența angajatului.
  2. Dacă nu s-a respectat punctul 2., companiile ar trebui să recupereze în cel mai scurt timp conținutul necesar, să redirecționeze și să șteargă e-mailul. Poate fi util să informeze în acest sens angajatul și să îi propună ștergerea conținutului confidențial.
  3. În toate cazurile în care se merge pe interes legitim pentru monitorizarea și/sau accesarea e-mail-urilor după plecarea angajatului, trebuie documentată o analiză a interesului legitim care să îi permită angajatorului să aibă acces.

Rețineți faptul că GDPR nu cere perfecțiune, ci o abordare bazată pe risc, și, atâta timp cât compania depune eforturi constante pentru respectarea Regulamentului, nu ar trebui să existe probleme. Iar când e vorba despre protecția datelor cu caracter personal, ar trebui să ne punem mai des întrebări.

 

Vrei să înveți cum să implementezi corect GDPR? Îți recomandăm cursul nostru online cu 28 de module care acoperă integral, teoretic și practic, materia. La finalul cursului vei obține certificatul de absolvire și documentația GDPR (politici, proceduri, acorduri, note de informare – șabloane editabile în Word și Excel) pentru a implementa cu succes. Află mai multe aici 


google-spying-1024x576.jpg

Transparență, informare și consimțământ. Azi, 21 ianuarie 2019, CNIL, Autoritatea de supraveghere din Franța a amendat Google în temeiul Regulamentului General privind Protecția Datelor cu 50.000.000 Euro pentru lipsa transparenței față de persoanele vizate, pentru informarea neadecvată și lipsa unui consimțământ valabil pentru utilizarea reclamelor personalizate. 

Amendă GDPR Google. Istoric

Investigația a început în iunie 2018 la plângererile persoanelor vizate și a durat aproximativ 7 luni. Pentru a investiga plângerile depuse, CNIL a efectuat inspecții online în luna septembrie 2018. Scopul a fost de a verifica conformitatea operațiunilor de prelucrarea implementate de GOOGLE cu legislația privind protecția datelor din Franța și GDPR. Verificarea conformității cu legislația privind protecția datelor s-a realizat prin analizarea modelului de navigare al unui utilizator și documentele la care utilizatorul poate avea acces atunci când creează un cont GOOGLE în timpul configurării unui echipament mobil care utilizează Android.


Amendă GDPR Google. Încălcarile GDPR sesizate de către CNIL

Pe baza inspecțiilor efectuate, comisia restrânsă a CNIL responsabilă de examinarea încălcărilor legii privind protecția datelor a observat două tipuri de încălcări ale GDPR.

Încălcarea obligațiilor de transparență și informare a persoanelor vizate

În primul rând, comisia restrânsă a observat că informațiile furnizate de GOOGLE nu sunt ușor accesibile utilizatorilor.

CNIL a observat că modul de structurare a informațiilor prezentate utilizatorilor nu respectă GDPR. Informațiile esențiale, cum ar fi scopurile procesării datelor, perioadele de stocare a datelor sau categoriile de date personale utilizate pentru personalizarea anunțurilor, sunt difuzate excesiv în mai multe documente, cu butoane și link-uri pe care trebuie să faceți clic pentru a accesa informații suplimentare. Informațiile relevante sunt accesibile după mai multe etape, implicând uneori până la 5 sau 6 acțiuni. De exemplu, acesta este cazul când un utilizator dorește să aibă o informație completă cu privire la datele sale colectate în scopuri de personalizare sau pentru serviciul de urmărire geografică.

Mai multe despre modul în care trebuie să efectuați informarea online a utilizatorilor puteți afla aici

În plus, CNIL a observat că unele informații nu sunt întotdeauna clare și complete.

 

Te-ar putea interesa și:

 

Utilizatorii nu sunt în măsură să înțeleagă pe deplin amploarea operațiunilor de procesare efectuate de GOOGLE. Dar operațiunile de procesare sunt deosebit de masive și intruzive datorită numărului de servicii oferite (aproximativ douăzeci), cantității și naturii datelor prelucrate și combinate. CNIL observă în special că scopul prelucrării este descris într-o manieră prea  vagă, la fel și categoriile de date prelucrate în aceste scopuri diferite. În mod similar, informațiile comunicate nu sunt suficient de clare, astfel încât utilizatorul să poată înțelege ca baza legală a operațiunilor de procesare (anunțurilor personalizate) este consimțământul, iar nu interesul legitim al companiei. În cele din urmă, CNIL observă că informațiile privind perioada de păstrare nu sunt furnizate pentru unele date.

Amendă GDPR Google. Încălcarea obligației de a avea un temei juridic pentru utilizarea anunțurilor personalizate. Consimțământul nu este valabil

Compania GOOGLE afirmă că obține consimțământul utilizatorului de a procesa date în scopul personalizării anunțurilor. Cu toate acestea, CNIL consideră că acordul nu este obținut în mod valabil din două motive.

În primul rând, comisia restrânsă observă că acordul utilizatorilor nu este suficient de informat.

Mai multe despre ce condiții trebuie să îndeplinească consimțământul pentru a respecta GDPR, puteți afla aici

Informațiile despre operațiile de prelucrare cu privire la anunțurile personalizate sunt împrăștiate în mai multe documente și nu permit utilizatorului să fie conștient de amploarea lor.

Dacă vrei să aflii mai multe despre ce condiții trebuie să îndeplinească consimțământul pentru a fi valabil din punct de vedere GDPR, poți afla de aici. 

CNIL observă că acordul colectat nu este “specific” și nici “neechivoc” așa cum cere GDPR. Atunci când un cont este creat, utilizatorul poate modifica anumite opțiuni asociate contului făcând clic pe butonul «Mai multe opțiuni», accesibil deasupra butonului «Creare cont». Dar acest lucru nu înseamnă că GDPR este respectat având în vedere că, printre altele, afișarea personalizării anunțurilor este, de asemenea, pre-bifată. Cu toate acestea, așa cum se prevede în GDPR, consimțământul este “neechivoc” doar în urma unei acțiuni afirmative a utilizatorului (prin bifarea unei casete care nu este pre-bifată, de exemplu). În cele din urmă, înainte de a crea un cont, utilizatorul este rugat să bifeze casetele “Sunt de acord cu Termenii și condițiile Google” și “Sunt de acord cu prelucrarea informațiilor mele așa cum sunt descrise mai sus și explicate în continuare în Politica de confidențialitate” pentru a crea cont. Prin urmare, utilizatorul își dă consimțământul în întregime pentru toate operațiunile de procesare efectuate de GOOGLE pe baza acestui consimțământ (personalizarea anunțurilor, recunoașterea vorbirii etc.). Această practică nu corespunde cerințelor GDPR deoarece acordul este „specific” numai dacă este acordat distinct pentru fiecare scop, iar nu o singură dată pentru toate scopurile.

 

Te-ar putea interesa și:

 

Google este amendat cu 50 de milioane de EURO

CNIL sancționează Google cu o amendă de 50 de milioane de EURO.

Aceasta este prima dată când CNIL aplică noile limite de sancționare prevăzute de GDPR. Suma stabilită și publicitatea amenzii sunt justificate de gravitatea încălcărilor constatate în ceea ce privește principiile esențiale ale GDPR: transparență, informare și consimțământ.

În ciuda măsurilor puse în aplicare de GOOGLE,  încălcările constatate îi privează pe utilizatori de garanții esențiale în ceea ce privește operațiunile de procesare care pot dezvălui părți importante din viața privată, deoarece se bazează pe procesarea unei cantități imense de date și combinații aproape nelimitate. CNIL reamintește că amploarea acestor operațiuni de prelucrare în cauză impune utilizatorilor să-și controleze datele. Utilizatorii trebuie să fie informați, să își dea consimțământul în mod valabil și să le fie respectate drepturile în temeiul GDPR.

Amenda uriașă este justificată și raportat la faptul că încălcările sunt continue ale Regulamentului, deoarece acestea încă se produc.

În sfârșit,  CNIL justifică amendă și raportat la numărul mare de utilizatori vizați, luând în considerare locul important pe care sistemul de operare Android îl are pe piața franceză, mii de utilizatori francezi creând zilnic noi conturi Google.

Sursa aici



143-1439437_student-school-pupil-education-pupil-going-to-school-1200x861.png

Respectarea principiilor privind protecția datelor și, în special, corectitudinea ar trebui să fie esențiale pentru prelucrarea datelor personale ce aparțin copiilor.

Trebuie să aveți un temei legal pentru prelucrarea datelor personale ale unui copil. Consimțământul este un temei posibil, dar nu este singura opțiune. Uneori, alegerea unui alt temei este mai adecvată și oferă o protecție mai bună datelor copilului.

Ce e nou în cadrul GDPR?

Dacă vă bazați pe consimțământ ca temei legal pentru prelucrarea datelor cu caracter personal atunci când oferiți un serviciu direct copiilor, ar trebui să verificați dacă persoana care își dă consimțământul în aceste condiții are vârsta potrivită pentru a face acest lucru. Pentru copiii sub vârsta de 16 ani, trebuie să obțineți consimțământul de la cei care au autoritatea părintească asupra acestora, cu excepția cazului în care serviciul pe care îl oferiți este un serviciu online de prevenire sau consiliere. Trebuie, de asemenea, să verificați dacă persoana care acordă consimțământul deține, de fapt, autoritatea părintească pentru copil.

Copiii necesită, de asemenea, o protecție sporită atunci când colectați datele lor personale și le utilizați în scopuri de marketing sau pentru a crea pagini sau profiluri de utilizator.

În cele mai multe cazuri, nu trebuie să luați decizii cu privire la copii numai pe baza prelucrării automatizate, dacă acest lucru va avea un efect juridic sau alt efect similar semnificativ asupra acestora. Circumstanțele în care GDPR vă permite să luați astfel de decizii sunt limitate și se aplică numai dacă ați luat măsuri adecvate pentru protejarea intereselor copilului.

Ce trebuie să luăm în considerare atunci când alegem temeiul pentru prelucrarea datelor cu caracter personal ale copiilor?

Înainte de a începe prelucrarea datelor unui copil, trebuie să alegeți un temei legal. Puteți utiliza orice temei dintre cele prevăzute de GDPR.

Dacă doriți să vă bazați pe consimțământ ca temei pentru prelucrare, atunci copilul trebuie să poată înțelege ceea ce acceptă, altfel consimțământul nu este “informat” și, prin urmare, nu este valabil. Există și câteva reguli suplimentare pentru consimțământul online.

Dacă vă bazați pe “executarea unui contract”, atunci trebuie să luați în considerare capacitatea copilului de a accepta contractul și de a înțelege implicațiile prelucrării.

Dacă vă bazați pe interesul legitim, trebuie să vă echilibrați propriile interese legitime (sau ale terților) cu drepturile și libertățile fundamentale ale copilului. Aceasta implică o verificare în ceea ce privește natura și scopul prelucrării și riscurile potențiale pntru copii. De asemenea, trebuie să luați măsurile adecvate pentru a-i proteja împotriva acestor riscuri.

Ce se întâmplă dacă vrem să direcționăm marketingul către copii?

Copiii necesită o protecție sporită atunci când utilizați datele lor personale în scopuri de marketing. Nu trebuie să exploatați lipsa lor de înțelegere sau vulnerabilitatea.

Aceștia au dreptul să se opună prelucrării datelor personale pentru marketingul direct. Asadar, trebuie să încetați prelucrarea dacă vă cere copilul sau persoana care acționează în numele acestuia.

Ce se întâmplă când facem un profil sau luăm decizii automate în legătură cu ei?

În cele mai multe cazuri, nu trebuie să luați decizii care se bazează exclusiv pe prelucrarea automată (inclusiv profilarea)cu privire la copii, în cazul în care acestea au un efect juridic asupra lor. Dacă luați astfel de decizii, trebuie să vă asigurați că ați luat măsuri menite să protejeze drepturile, libertățile și interesele legitime ale copilului. Dacă faceți un profil pentru copii, atunci trebuie să le oferiți informații clare despre ceea ce faceți cu datele lor personale și nu trebuie să exploatați lipsa lor de înțelegere sau vulnerabilitatea.

În general, trebuie să evitați crearea de profiluri copiilor în scopuri de marketing. Trebuie, de asemenea, să respectați dreptul absolut al copiilor de a se opune profilării, care este legată de marketingul direct și să nu mai faceți acest lucru dacă vi se cere.

Cum se aplică dreptul de a fi informat copiilor?

Trebuie să oferiți copiilor aceleași informații pe care le oferiți adulților despre modul în care le utilizați datele personale. Este bine să le explicați și riscurile inerente prelucrării și garanțiile pe care le aveți. Trebuie să scrieți într-un stil concis, clar și simplu orice informație pe care o adresați copiilor. Trebuie să fie potrivită vârstei și prezentată într-un mod care să atragă publicul tânăr.

Cum se aplică dreptul la ștergerea datelor copiilor?

Copiii au același drept de a șterge datele lor personale ca și adulții. Acest drept este relevant în situația în care o persoană și-a dat inițial consimțământul la prelucrare când era copil, fără a fi pe deplin conștient de riscuri.

Una dintre circumstanțele specifice în care se aplică dreptul de ștergere este atunci când colectați datele personale ale unui copil pe baza consimțământului pentru a-i oferi un serviciu direct.

https://ico.org.uk/for-organisations/guide-to-the-general-data-protection-regulation-gdpr/applications/children/


header-balance-rocks-mobile.jpg

GDPR spune că interesul legitim este cel mai flexibil temei de prelucrare, dar alegerea acestui temei trebuie să fie adecvată.

Interesul legitim este un temei potrivit pentru prelucrare atunci când persoanele vizate se așteaptă în mod rezonabil la utilizarea datelor personale pe care le dețin și prelucrarea va avea un impact minim asupra vieții private.

Dacă alegeți temeiul interesului legitim, vă asumați responsabilitatea suplimentară de a proteja drepturile și interesele persoanelor fizice.

Ce prevede GDPR?

Articolul 6 alineatul (1) litera (f) indică un temei pentru prelucrare în cazul în care:

“Prelucrarea este necesară în scopul intereselor legitime urmărite de către operator sau de un terț, cu excepția cazului în care aceste interese sunt înlăturate de interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protecția datelor cu caracter personal, în special atunci când datele aparțin unui copil.”

Interesele legitime pot fi atât interesele dvs., cât și interesele terților. Acestea pot include interesele comerciale, interesele individuale sau beneficiile sociale.

Cum prelucrăm în temeiul interesului legitim?

  • Prelucrarea trebuie să fie necesară. Dacă puteți obține în mod rezonabil același rezultat într-un alt mod mai puțin intruziv, temeiul interesului legitim nu va fi aplicabil.
  • Trebuie să vă echilibrați interesele cu cele ale persoanei vizate. Dacă persoana nu s-ar aștepta în mod rezonabil la prelucrare sau dacă i-ar provoca un prejudiciu, interesele acesteia depășesc interesele dvs.
  • Mențineți o evidență a evaluării intereselor legitime (Legitimate Interest Assessment) pentru a demonstra legalitatea prelucrării, dacă este necesar.
  • Trebuie să includeți detalii despre interesele dvs. legitime în notificarea de confidențialitate.

Ce sunt interesele legitime?

O gamă largă de interese reprezintă interese legitime, din perspectiva GDPR. Acestea pot fi interesele dvs. sau interesele terților, interese comerciale, precum și beneficii sociale. GDPR menționează în mod special utilizarea datelor despre clienți sau angajați, marketingul, prevenirea fraudei, transferuri între grupuri sau securitatea IT ca potențiale interese legitime, însă aceasta nu este o listă exhaustivă. De asemenea, puteți spune că aveți un interes legitim atunci când dezvăluiți autorităților informații despre posibile activități infracționale sau amenințări la adresa securității.

https://ico.org.uk/for-organisations/guide-to-the-general-data-protection-regulation-gdpr/lawful-basis-for-processing/legitimate-interests/

 


privacy-10x10-FB-1200x1200.jpg

În situația în care trebuie să prelucrați datele personale pentru a proteja viața cuiva,  GDPR spune că puteți alege temeiul interesului vital.

Ce presupune temeiul interesului vital?

Pentru a putea alege temeiul intersului vital, prelucrarea trebuie să fie necesară. Dacă puteți proteja în mod rezonabil interesul vital al persoanei vizate într-un mod mai puțin intruziv, acest temei nu se va aplica.

Nu puteți alege interesul vital pentru prelucrarea datelor privind sănătatea sau a categoriilor speciale de date dacă persoana vizată este capabilă să-și exprime consimțământul, chiar dacă refuză acest lucru. Trebuie să stabiliți dacă puteți alege acest temei, să documentați circumstanțele în care acesta va fi relevant și să justificați raționamentul.

 

Ce spune GDPR?

Articolul 6 alineatul (1) litera d) oferă un temei pentru prelucrare atunci când:

“Prelucrarea este necesară pentru protejarea intereselor vitale ale persoanei vizate sau ale altei persoane fizice”.

Considerentul 46 oferă câteva îndrumări suplimentare:

“Prelucrarea datelor cu caracter personal ar trebui, de asemenea, considerată legală atunci când este necesară protecția unui interes esențial pentru viața persoanei vizate sau a unei alte persoane fizice. Prelucrarea datelor cu caracter personal pe baza interesului vital al unei alte persoane fizice ar trebui, în principiu, să aibă loc numai atunci când prelucrarea nu se poate baza în mod evident pe un alt temei juridic.”

Ce reprezintă un interes vital?

Este clar din considerentul 46 că interesele vitale sunt menite să includă doar elemente esențiale pentru viața cuiva. Prin urmare, domeniul de aplicare al acestui temei este foarte limitat și, în general, se aplică numai aspectelor ce țin de viață și deces.

Când se aplică temeiul interesului vital?

Poate fi aplicabil asistenței medicale de urgență, atunci când trebuie să prelucrați date cu caracter personal în scopuri medicale și persoana este incapabilă să își exprime consimțământul.

Exemplu:

O persoană este internată în Secția X a unui spital, având leziuni care îi pun viața în pericol, ca urmare a unui accident rutier grav. Dezvăluirea istoricului medical al persoanei vizate către spital este necesară pentru protejarea intereselor sale vitale.

Interesul vital nu este considerat adecvat pentru îngrijirea medicală planificată în prealabil. Într-un astfel de caz, ar putea fi potrivite alte temeiuri, cum ar fi interesul public sau interesul legitim.

Prelucrarea datelor personale ale unei persoane fizice pentru a proteja interesele vitale ale altei persoane este rar întâlnită în practică. Poate fi relevantă, de exemplu, dacă este necesară prelucrarea datelor personale ale unui părinte pentru a proteja interesul vital al copilului.

Cu toate acestea, dacă prelucrați datele personale ale unei persoane pentru a proteja viața altei persoane, considerentul 46 indică de asemenea că, în general, ar trebui să alegeți un temei alternativ, cu excepția cazului în care niciunul nu este în mod evident adecvat. De exemplu, în multe cazuri ați putea alege interesul legitim, care vă poate oferi un cadru în care se pot echilibra drepturile și interesele persoanei (persoanelor) vizate cu interesele vitale ale persoanei sau ale persoanelor pe care încercați să le protejați.

Ce altceva trebuie să avem în vedere?

În cele mai multe cazuri, protecția interesului vital poate să apară în contextul datelor privind sănătatea. Acestea fac parte din categoriile speciale de date, ceea ce înseamnă că va trebui să respectați și o condiție specială pentru prelucrarea categoriilor speciale de date, conform articolului 9 din GDPR.

Există o condiție specială la articolul 9 alineatul (2) litera (c) pentru prelucrarea categoriilor speciale de date atunci când este necesară protejarea interesului vital. Însă, acest lucru se aplică doar dacă persoana vizată este fizic sau legal incapabilă să își dea consimțământul. Aceasta înseamnă că un consimțământ explicit este mai adecvat în multe cazuri și nu puteți alege interesul vital pentru categoriile speciale de date (inclusiv date privind sănătatea) atunci când persoana vizată refuză să își dea consimțământul, cu excepția cazului în care nu este capabilă să facă acest lucru.

https://ico.org.uk/for-organisations/guide-to-the-general-data-protection-regulation-gdpr/lawful-basis-for-processing/vital-interests/

 


Agreement.png

Ce trebuie să știm?

  • GDPR indică acest temei dacă trebuie să prelucrați datele personale atunci când trebuie să îndepliniți obligații contractuale față de o persoană fizică sau pentru că aceasta a solicitat să luați anumite măsuri precontractuale (de exemplu, să faceți o ofertă).
  • Prelucrarea trebuie să fie necesară. Dacă puteți obține în mod rezonabil ceea ce doriți fără a prelucra datele personale, acest temei nu se poate aplica.
  • Trebuie să documentați decizia dvs. de a vă baza pe contract și să puteți justifica raționamentul.

Ce spune GDPR?

Articolul 6 alineatul (1) litera (b) indică un temei pentru prelucrare în cazul în care:

“Prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a lua măsuri premergătoare contractului, la cererea persoanei vizate”

Când se aplică temeiul contractului?

  • atunci când aveți un contract cu persoana vizată și trebuie să îi prelucrați datele personale pentru a executa obligațiile contrctuale.
  • nu ați încheiat încă un contract cu persoana vizată, dar v-a cerut să luați o măsură precontractuală și trebuie să îi prelucrați datele personale pentru face acest lucru.
  • Nu se aplică dacă trebuie să prelucrați datele unei persoane și contractul este încheiat cu altcineva.
  • Nu se aplică dacă luați măsuri precontractuale din proprie inițiativă sau la cererea unui terț.

Exemplu

O persoană care dorește să încheie asigurarea unei mașini solicită o ofertă. Asigurătorul trebuie să prelucreze anumite date pentru a pregăti oferta, cum ar fi marca și vechimea mașinii.

În acest context, un contract nu trebuie să fie un document formal semnat sau chiar în formă scrisă, atât timp cât există un acord care îndeplinește cerințele dreptului contractual. Acest lucru înseamnă că termenii au fost oferiți și acceptați și există un element de schimb (poate fi vorba despre orice bun evaluabil).

Când este prelucrarea necesară pentru un contract?

A fi “necesară” nu înseamnă că prelucrarea trebuie să fie esențială pentru realizarea unei activități contractuale sau pentru luarea unor măsuri precontractuale, însă acest temei nu se aplică dacă există alternative rezonabile și mai puțin intruzive.

Prelucrarea trebuie să fie necesară pentru a vă îndeplini partea dvs. de contract. În cazul în care prelucrarea este necesară numai pentru a vă menține modelul de afaceri, acest temei nu va fi aplicabil și ar trebui să alegeți un alt temei, cum ar fi interesul legitim.

Ce altceva ar trebui să avem în vedere?

  • Dacă prelucrarea este necesară pentru un încheierea unui contract cu persoana fizică, atunci este considerată legală și nu trebuie să obțineți consimțământul separat.
  • Dacă prelucrarea unor categorii speciale de date este necesară pentru contract, trebuie să îndepliniți și o altă condiție pentru prelucrarea acestora.
  • În cazul în care contractul este încheiat cu un copil cu vârsta sub 18 ani, trebuie să stabiliți dacă are competența de a încheia un contract. Dacă aveți îndoieli, vă recomandăm să alegeți un temei alternativ, cum ar fi interesul legitim, care vă poate ajuta să demonstrați că drepturile și interesele copilului sunt protejate corespunzător.
  • Dacă prelucrarea nu este necesară pentru contract, trebuie să alegeți un alt temei, cum ar fi interesul legitim sau consimțământul. Rețineți că, dacă doriți să vă bazați pe consimțământ, nu veți putea, în general, să considerați prelucrarea o condiție a contractului.
  • Dacă prelucrați pe baza contractului, dreptul persoanei vizate la opoziție și dreptul de a nu fi supus la o decizie bazată exclusiv pe prelucrarea automată, nu se vor aplica. Cu toate acestea, va avea dreptul la portabilitatea datelor.

Amintiți-vă să comunicați decizia că prelucrarea este necesară pentru contract și includeți informații despre scop și temei în notificarea dvs. de confidențialitate.

https://ico.org.uk/for-organisations/guide-to-the-general-data-protection-regulation-gdpr/lawful-basis-for-processing/contract/

 


Reține-principiile-de-mai-sus.-Te-va-ajuta-să-respecți-GDPR-2.png

Ce trebuie să știm?

  • Obligația legală reprezintă unul dintre cele șase temeiuri de prelucrare prevăzute de GDPR.
  • Articolul 6 alineatul (1) litera (c) din GDPR prevede un temei pentru prelucrare atunci când:

“Prelucrarea este necesară pentru respectarea unei obligații legale care îi revine operatorului”.

  • Puteți alege acest temei dacă trebuie să prelucrați datele cu caracter personal pentru a respecta o lege sau o obligație legală, însă acest lucru nu se aplică obligațiilor contractuale.
  • Prelucrarea trebuie să fie necesară. Dacă vă puteți conforma în mod rezonabil fără a prelucra date personale, acest temei nu se aplică.
  • Trebuie să documentați decizia de a alege acest temei și să vă justificați raționamentul. Trebuie să identificați dispoziția legală specifică sau o sursă adecvată de sfaturi sau îndrumări care să stabilească în mod clar obligația în cauză.

Când se aplică temeiul obligației legale?

Pe scurt, atunci când sunteți obligat să prelucrați datele personale pentru a respecta legea. Articolul 6 alineatul (3) prevede că obligația legală trebuie stabilită de legislația națională sau legislația UE. Aceasta nu trebuie să fie o obligație legală explicită, atât timp cât aplicarea legii este previzibilă pentru persoanele vizate. Prin urmare, aici sunt incluse obligațiile din domeniul dreptului comun.

Însă acest lucru nu înseamnă că trebuie să existe o obligație legală care să impună în mod specific activitatea de prelucrare. Ideea este că scopul dvs. general trebuie să fie acela de a respecta o obligație care are o bază legală în dreptul comun sau statut. Trebuie să identificați obligația fie prin referire la dispoziția juridică specifică, fie indicând o sursă adecvată de sfaturi sau îndrumări în care aceasta se regăsește. De exemplu, puteți face referire la un site web guvernamental sau la îndrumări din industrie care expun în general obligații legale aplicabile.

Când este prelucrarea “necesară” pentru conformare?

Deși prelucrarea nu trebuie să fie esențială pentru îndeplinirea obligației legale, ea trebuie să fie rezonabilă și proporțională pentru atingerea conformității. Nu puteți alege acest temei dacă, în afară de prelucrarea datelor cu caracter personal, există și un alt mod de conformare.

Ce altceva ar trebui să luăm în considerare?

Dacă prelucrați datele în temeiul obligației legale, persoana fizică nu are dreptul la ștergere, dreptul la portabilitate sau dreptul la opoziție.

Amintiți-vă să:

  • demonstrați că prelucrarea este necesară pentru respectarea unei obligații legale;
  • identificați o sursă adecvată pentru obligația în cauză; și
  • includeți informații despre scopurile dvs. și temei în notificarea de confidențialitate.

https://ico.org.uk/for-organisations/guide-to-the-general-data-protection-regulation-gdpr/lawful-basis-for-processing/legal-obligation/


date-4.png

Comsimțământ GDPR. Ghid complet pentru operatori

 

Oana Neghină, Consilier Juridic

Ruxandra Sava, Avocat, CIPP/E

Pe scurt

GDPR stabilește standarde ridicate pentru obținerea consimțământului. Însă, în multe cazuri nu veți avea nevoie de consimțământ. Dacă luarea consimțământului este dificilă, căutați un alt temei.

Consimțământul înseamnă a oferi persoanelor posibilitatea de a alege și a controla. Consimțământul real ar trebui să responsabilizeze indivizii, să vă construiți încrederea și implicarea și să vă îmbunătățiți reputația.

  • Verificați practicile de consimțământ și formularele de consimțământ existente. Actualizați consimțământul dacă nu întâlnește standardele GDPR.
  • Consimțământul necesită un opțiune pozitivă. Nu utilizați căsuțe pre-bifate sau alte metode prestabilite.
  • Consimțământul explicit necesită o declarație foarte clară și specifică.
  • Păstrați formularele de consimțământ separate de contracte sau termeni și condiții. 
  • Fiți specifici și minuțioși, pentru a obține consimțământul separat pentru scopuri diferite. Un consimțământ vag sau mascat nu este suficient.
  • Fiți clari și conciși.
  • Facilitați retragerea consimțământului de către persoanele vizate.
  • Păstrați dovezi ale consimțământului – cine, când, cum și ce le-ați spus oamenilor.
  • Păstrați consimțământul în curs de examinare și actualizați-l dacă intervine schimbare.
  • Evitați să cereți consimțământul pentru a prelucra o precondiție a unui serviciu.

Ar trebui să te asiguri că:

  • Consimțământul este cel mai potrivit temei pentru prelucrare.
  • Formularul de consimțământ este separat în mod clar de contract sau termeni și condiții.
  • Oamenii pot să opteze pozitiv.
  • Nu se folosesc căsuțe pre-bifate sau orice alt tip de consimțământ implicit.
  • Se foloște un limbaj clar, simplu, ușor de înțeles.
  • Se specifică de ce se solicită datele și ce se va face cu ele.
  • Oferim opțiuni distincte (“stratificate”) pentru a consimți separat de diferite scopuri sau tipuri de prelucrare.
  • Denumim organizația noastră și orice operator terț care se va baza pe consimțământ.
  • Le spunem persoanelor că își pot retrage consimțământul.
  • Ne asigurăm că persoanele pot refuza să-și dea consimțământul fără a fi în detrimentul lor.
  • Evităm ca consimțământul să fie o condiție prealabilă a unui serviciu.
  • Dacă oferim servicii online direct copiilor, solicităm consimțământul numai dacă există măsuri de verificare a vârstei, dacă au sub 16 ani, vom solicita consimțământul părinților.
  • Menținem o evidență a momentului și a modului în care am obținut consimțământul de la individ.
  • Menținem o evidență exactă a ceea ce li sa spus în acel moment.
  • Revizuim regulat consimțămintele pentru a verifica dacă relația, prelucrarea și scopurile nu s-au schimbat.
  • Avem procese în vigoare pentru a reînnoi consimțământul la intervale adecvate, inclusiv orice consimțământ parental.
  • Considerăm utilizarea unor tablouri de bord pentru confidențialitate sau a altor instrumente de gestionare a preferințelor drept o chestiune de bună practică.
  • Facilităm retragerea consimțământului în orice moment și dăm indicații despre acest lucru.
  • Acționăm în urma retragerii consimțământului cât mai curând posibil.
  • Nu sancționăm persoanele care doresc să-și retragă consimțământul.

Ce mai e nou?

GDPR stabilește un standard ridicat pentru consimțământ, dar cea mai mare schimbare este însemnătatea în practică a mecanismelor de consimțământ.

GDPR clarifică faptul că indicația consimțământului trebuie să fie lipsită de ambiguitate și să aibă o acțiune afirmativă. În mod specific interzice căsuțele pre-bifate. De asemenea, este nevoie o procedură distinctă (“granulară”) de consimțământ pentru operațiuni distincte de prelucrare. Formularele de consimțământ ar trebui să fie separate de contract și nu ar trebui, în general, să fie o condiție prealabilă pentru achiziționarea unui serviciu.

Trebuie să păstrați înregistrări clare pentru a demonstra consimțământul.

GDPR oferă un drept specific de retragere a consimțământului. Trebuie să le spuneți oamenilor despre dreptul lor de a se retrage și să le ofere modalități ușoare de retragere a consimțământului în orice moment.

Autoritățile publice, angajatorii și alte organizații aflate într-o poziție de conducere ar putea afișa mai greu un consimțământ valabil acordat.

Trebuie să revizuiți consimțămintele existente și mecanismele de consimțământ pentru a verifica dacă acestea respectă GDPR. În acest caz, nu este nevoie să obțineți un nou consimțământ.

De ce este important consimțământul?

Consimțământul este un temei pentru prelucrare, iar consimțământul explicit poate, de asemenea, să legitimizeze folosirea unor categorii speciale de date. Consimțământul poate fi, de asemenea, relevant în cazul în care individul și-a exercitat dreptul la restricție, iar consimțământul explicit poate legitima luarea automată a deciziei și transferurile de date peste hotare.

Consimțământul autentic ar trebui să pună indivizii într-o poziție de control, să construiască încredere și angajament și să vă îmbunătățească reputația.

Dacă vă bazați pe consimțământul necorespunzător sau nevalabil, acest lucru ar putea distruge încrederea și vă poate afecta reputația – și vă poate expune unor amenzi mari.

Când este potrivit consimțământul?

Consimțământul este un temei pentru prelucrare, dar există și alternative. Consimțământul nu este în mod inerent mai bun sau mai important decât aceste alternative. Dacă luarea consimțământului este dificilă, trebuie să luați în considerare utilizarea unei alternative.

Consimțământul este potrivit dacă puteți oferi oamenilor posibilitatea reală de a alege și a controla modul în care utilizați datele lor. Dar dacă nu puteți oferi o alegere reală, consimțământul nu este valabil. Dacă puteți prelucra datele cu caracter personal fără consimțământ, solicitarea consimțământului poate fi înșelătoare și nedreaptă.

Autoritățile publice, angajatorii și alte organizații aflate într-o poziție de putere asupra persoanelor ar trebui evite să se bazeze pe consimțământ, cu excepția cazului în care pot demonstra că este acordat în mod liber.

Ce reprezintă consimțământul valabil?

Consimțământul trebuie acordat în mod liber; acest lucru înseamnă a oferi oamenilor posibilitatea reală de a alege și control asupra modului în care le utilizați datele.

Consimțământul ar trebui să fie evident și să necesite o opțiune pozitivă. Formularele de consimțământ trebuie să fie evidente, separate de alți termeni și condiții, concise, ușor de înțeles și ușor de utilizat.

Consimțământul trebuie să acopere în mod specific numele operatorului, scopurile prelucrării și tipurile de activități de prelucrare.

Nu există o limită de timp stabilită pentru consimțământ. Cât durează aceasta va depinde de context. Trebuie să revizuiți și să actualizați acordul, după caz.

Cum ar trebui să obținem, să înregistrăm și să gestionăm consimțământul?

Asigurați-vă că formularul de consimțământ este evident, concis, separat de contract sau termeni și condiții și ușor de înțeles. Include:

  • Denumirea organizației dvs.; numele oricăror operatori terți care se vor baza pe consimțământ;
  • de ce solicitați datele;
  • ce veți face cu ele; și
  • faptul că persoanele fizice își pot retrage consimțământul în orice moment.

Trebuie să le cereți utilizatorilor să acționeze pozitiv. Cel mai bun mod de a opta pozitiv este de a semna un formular de consimțământ în care le explicați pentru ce anume le prelucrați datele, ce faceți cu ele și ce drepturi au.  Nu utilizați căsuțe pre-bifate, casete de renunțare sau alte setări implicite. Ori de câte ori este posibil, furnizați opțiuni separate (“stratificate”) pentru a consimți la diferite scopuri și diferite tipuri de prelucrare.

Păstrați înregistrări pentru a dovedi consimțământul – cine a consimțit, când, cum și ce li s-a spus.

Facilitați retragerea consimțământului oricând persoanele vizate aleg să o facă. Luați în considerare utilizarea instrumentelor de gestionare a preferințelor.

Păstrați consimțămintele luate și actualizați-le dacă se schimbă ceva. Revizuiți periodic consimțămintele în activitatea dumneavoastră. 

Sursa aici

 

Vrei formulare de consimțământ?


arhive-temeiuri-juridice-legalup

Ești în siguranță pe site-ul nostru.

LegalUp Innovators at Law utilizează fişiere de tip cookie pentru a personaliza și îmbunătăți experiența ta pe Website-ul nostru. Te informăm că ne-am actualizat politicile pentru a integra în acestea si în activitatea curentă a LegalUp.ro cele mai recente modificări propuse de Regulamentul (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date. Înainte de a continua navigarea pe Website-ul nostru te rugăm să aloci timpul necesar pentru a citi și înțelege conținutul Politica privind utilizarea modulelor Cookie și Politica noastră de confidențialitate. Nu uita totuși că poți modifica în orice moment setările acestor fişiere cookie urmând instrucțiunile din Politica de Cookies.

Privacy Settings saved!
Setari permisiuni

Cookie-urile sunt folosite pe acest site pentru a oferi cea mai bună experiență de utilizator. Dacă continuați, presupunem că sunteți de acord să primiți cookie-uri de pe acest site

Utilizăm fișiere de tip cookie pentru a personaliza și imbunătăți experiența ta pe website-ul nostru.

Utilizăm fișiere de tip cookie pentru a personaliza și îmbunătăți experiența ta pe website-ul nostru.
  • wordpress_test_cookie
  • wordpress_logged_in_
  • wordpress_sec

Decline all Services
Da, Sunt de acord