Consimțământul privind prelucrarea datelor personale. Despre căsuțe prebifate și jurisprudența CJUE

Indiferent de anotimp, consimțământul privind prelucrarea datelor personale rămâne cel mai fierbinte subiect din sfera protecției datelor cu caracter personal. Consimțământul interesează atât persoanele fizice care doresc să își exercite libertatea de a spune, în funcție de context, DA sau NU, dar și operatorii de date personale care caută deseori modalități practice pentru a obține cât mai rapid consimțământul pentru a genera profit. Se va termina cu DA și happily ever after sau cu o plângere la ANSPDCP sau, și mai grav, cu un proces în instanță? Consimțământ sau refuz, armonie sau conflict? Ca lucrurile să fie armonioase, noi, specialiștii (e.g. avocați, responsabili cu protecția datelor) muncim, dezbatem și veghem ca fiecare actor să primească ceea ce i se cuvinte: drepturi, profit, tranzacții, respect. Fără legaleză, acest articol își propune să prezinte, simplu și la obiect, particularitățile consimțământului privind prelucrarea datelor din perspectiva jurisprudenței Curții de Justiție a Uniunii Europene.

Să începem, așadar, cu definiția consimțământului. Consimțământul este un act juridic unilateral. Consimțământul privind prelucrarea datelor personale este definit de RGPD la art. 4 pct. 11 drept „orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate”. Din această definiție rezultă condițiile intrinseci de valabilitate ale consimțământului, respectiv (1) o manifestare de voință liber exprimată; (2) o manifestare de voință specifică; (3) o manifestare de voință informată; (4) o manifestare de voință lipsită de ambiguitate.

Consimțământul privind prelucrarea datelor personale. Condiții

Astfel cum am menționat anterior, consimțământul privind prelucrarea datelor personale trebuie să îndeplinească mai multe condiții de valabilitate, astfel cum vom arată în cele ce urmează.

1. Consimțământul este o manifestare de voință liber exprimată

Pentru a putea fi valabil în conformitate cu standardele RGPD, consimțământul cu privire la prelucrarea datelor trebuie să fie o manifestare unilaterală de voință autonomă a persoanei vizate, liberă de influențe, presiuni sau consecințe nedorite în situația unui refuz. Comitetul European pentru Protecția Datelor (în continuare „CEPD”) atrage atenția asupra mai multor aspecte[1]. Pe de o parte, ca regulă generală, persoana vizată trebuie să aibă o alegere reală deoarece consimțământul nu este considerat a fi valabil dacă persoana este obligată să consimtă sau să suporte consecințe negative[2]. Pe de altă parte, consimțământul trebuie să fie un document distinct, neputând fi înglobat în termeni și condiții sau în contract deoarece, într-o atare situație, există prezumția că nu a fost acordat în mod liber[3]. În cauza Orange Romania, CJUE a considerat, inter alia, că includerea unei clauze bifate cu privire la acordarea consimțământului cu privire la stocarea copiilor de identitate în Termeni și condiții încalcă condiția privind caracterul liber al consimțământului. Motivul pentru care declarația de consimțământ trebuie separată de contractul principal este acela că persoana trebuie să aibă libera alegere de a-și oferi sau nu consimțământul cu privire la prelucrarea datelor, indiferent de dorința (sau graba) de a încheia un contract. Un alt element extrem de important, deja menționat anterior, este acela că, pentru a exista un consimțământ liber, persoana vizată nu ar trebui să sufere un prejudiciu în absența unui refuz. În cauza Orange Romania, Orange Romania obliga persoanele care refuzau să își dea consimțământul să completeze un formular separat prin care să declare că nu consimt la stocarea cărții de identitate. CJUE a fost de părere că „o asemenea cerință suplimentară [completarea unui formular privind exprimarea refuzul de a consimți la prelucrarea datelor] este de natură să afecteze în mod nejustificat libera alegere” (pct. 50).

2. Consimțământul este o manifestare de voință specifică

Consimțământul trebuie să fie specific, adică acordat în cunoștință de cauză. Mai precis, persoana fizică trebuie să știe pentru ce anume și-a dat consimțământul, să cunoască scopul specific al prelucrării datelor. Un consimțământ generic, fără specificarea scopului/scopurilor – pe formula „vom putea utiliza datele dumneavoastră oricum dorim” – nu este valabil. În cauza Planet49, CJUE a subliniat faptul că „manifestarea de voință […] trebuie să fie „specifică”, în sensul că trebuie să privească în mod precis prelucrarea datelor în cauză și nu poate fi dedusă dintr‑o manifestare de voință care are un obiect distinct”  (pct. 58). În această cauză, CJUE a arătat faptul că prin activarea unui buton de participare la un joc promoțional nu se poate considera că un utilizator și-a dat consimțământul și cu privire la plasarea de cookie-uri. Într-adevăr, în exemplul anterior, erau două scopuri (participarea la un joc promoțional și plasarea de cookie-uri), așadar, pentru valabilitatea consimțământului, trebuiau să existe două consimțăminte diferite.

3. Consimțământul este o manifestare de voință informată

Consimțământul trebuie să fie informat. Cu alte cuvinte, înainte de a-și oferi consimțământul privind prelucrarea datelor personale, o persoana fizică trebuie să cunoască modul în care i se prelucrează datele (e.g. cine prelucrează, care sunt scopurile, ce se întâmplă cu datele, cum sunt stocate, cui sunt transmise, pe ce perioadă sunt stocate, ce drepturi are și cum le poate exercita). În cauza Planet49, CJUE a subliniat faptul că  „[…] o informare clară și completă presupune că un utilizator este în măsură să stabilească cu ușurință consecințele consimțământului pe care l‑ar putea da și garantează că acest consimțământ este dat în deplină cunoștință de cauză. Informarea trebuie să fie ușor de înțeles și suficient de detaliată […]” (pct. 74). Deși art. 13 și 14 din RGPD prevede o listă minimă de informații care trebuie prezentate persoanei vizate înainte de a-i cere consimțământul, CJUE este de părere că această listă nu este una exhaustivă și că operatorul trebuie să depună diligențele necesare pentru a furniza persoanei vizate toate informațiile necesare care să îi permită a înțelege pe deplin activitatea de prelucrare a datelor personale și consecințele[4].

4. Consimțământul privind prelucrarea datelor este o manifestare de voință lipsită de ambiguitate

Consimțământul trebuie să implice o manifestare activă de voință, iar nu una pasivă. În Planet49, CJUE a arătat că o căsuță bifată în prealabil nu valorează consimțământ deoarece nu reprezintă un comportament activ, poziție care a fost reluată, mai târziu, în cauza Orange Romania.

Deși discuția despre consimțământ ar trebui continuată pentru a atinge și alte subiecte importante (e.g., consimțământul copiilor, consimțământul explicit), spre final este important a menționa și faptul că sarcina probei obținerii unui consimțământ valabil aparține, conform art. 7 alin (1) RGPD, operatorului care „trebuie să fie în măsură să demonstreze că persoana vizată și-a dat consimțământul pentru prelucrarea datelor sale cu caracter personal”. În concret, operatorul trebuie să fie în măsura să demonstreze nu doar că a obținut consimțământul persoanei vizate, ci și că acel consimțământ respectă, în mod cumulativ, toate condițiile de validitate, fiind liber, specific, informat și lipsit de ambiguitate.

Referințe 

[1] Disponibil la următoarea adresă, link accesat 20.08.2021.  

[2] Ibidem.

[3] Ibidem.

[4] Hotărârea CJUE în cauza Planet49, pct. 78.