GDPR: Prelucrarea datelor in contextul marketingului direct

Autoritatea nationala de supraveghere a precizat cu privire la modalitatea de prelucrare a datelor cu caracter personal, inclusiv sub aspectul colectarii, stocarii, divulgarii prin transmitere, diseminarii sau punerii la dispozitie in orice alt mod, potrivit

Regulamentului (UE) 2016/679, ca aceasta se realizeaza cu consimtamantul persoanei vizate sau in celelalte conditii prevazute de art. 6, art. 9 si art. 10 din acelasi act normativ, in functie de natura datelor si categoriilor de date colectate si prelucrate.

In documentul intitulat ``Orientari asupra Consimtamantului in temeiul Regulamentului 2016/679`` (WP 259/Versiunea 1.1 adoptata in 4 mai 2020), fostul Grup de Lucru Art. 29 (in prezent Comitetul european pentru protectia datelor) mentioneaza urmatoarele:

``In general, consimtamantul poate fi temeiul juridic adecvat doar atunci cand persoanei vizate i s-a acordat controlul si posibilitatea unei alegeri reale in ceea ce priveste fie acceptarea fie respingerea termenilor conferiti sau respingerea acestora fara nici un prejudiciu. Atunci cand se solicita consimtamantul, un operator de date are obligatia sa evalueze daca aceasta solicitare intruneste toate conditiile de obtinere a unui consimtamant valabil. Daca este obtinut in conformitate deplina cu GDPR, consimtamantul este un instrument care confera persoanelor vizate controlul asupra posibilitatii ca datele lor cu caracter personal sa fie sau nu prelucrate. Altfel, controlul detinut de persoanele vizate devine iluzoriu si consimtamantul va fi un temei anulabil in ceea ce priveste prelucrarea, cu consecinta ca activitatea de prelucrare este nelegala``.

De asemenea, in acelasi document se precizeaza: ``Consimtamantul nu va fi liber in cazurile in care exista vreun element de constrangere, presiune sau incapacitate de exercitare libera a vointei``, precum si faptul ca ``includerea [in Regulamentul (UE) 2016/679] unor prevederi si considerente specifice asupra retragerii consimtamantului confirma faptul ca, acordarea consimtamantului trebuie sa constituie o decizie reversibila si este mentinut un grad de control de catre persoana vizata.``

Totodata, in acelasi document se mentioneaza: ``Daca un operator poate demonstra ca un serviciu include posibilitatea de retragere a consimtamantului fara consecinte negative, (aa��A�) acest lucru poate servi la demonstrarea faptului ca consimtamantul a fost exprimat in mod liber . Regulamentul (UE) 2016/679 nu exclude toate stimulentele, dar ii revine operatorului sarcina sa demonstreze ca consimtamantul a fost exprimat in continuare in mod liber in toate circumstantele.``

Ca atare, obtinerea consimtamantului persoanei vizate, in masura in care prelucrarea are loc pe baza acestuia, trebuie sa indeplineasca conditiile din Regulamentul (UE) 2016/679 mentionate mai sus.

Un aspect important pe care Regulamentul (UE) 2016/679 il reglementeaza, iar operatorii trebuie sa il respecte, este reprezentat de informarea persoanelor vizate (indiferent de temeiul prelucrarii, la consimtamant sau pe baza celorlalte conditii de prelucrare).

In sensul celor de mai sus este considerentul (70) din Regulamentul (UE) 2016/679 ``In cazul in care datele cu caracter personal sunt prelucrate in scopuri de marketing direct, persoana vizata ar trebui sa aiba dreptul de a se opune unei astfel de prelucrari, inclusiv crearii de profiluri in masura in care aceasta are legatura cu marketingul direct, indiferent daca prelucrarea in cauza este cea initiala sau una ulterioara, in orice moment si in mod gratuit. Acest drept ar trebui adus in mod explicit in atentia persoanei vizate si prezentat in mod clar si separat de orice alte informatii.``

In acelasi timp, operatorul trebuie sa respecte principiile de prelucrare stabilite in art. 5 din Regulamentul (UE) 2016/679 si sa asigure, totodata, masurile tehnice si organizatorice in conformitate cu art. 32 si art. 25 din acelasi Regulament.

Totodata, s-a precizat ca fiecarui operator ii revine obligatia de a analiza, in functie de specificul tuturor activitatilor efectiv realizate, fiecare prelucrare de date personale efectuata, de a decide cu privire la legitimitatea prelucrarii si, in acelasi timp, de a lua toate masurile necesare pentru respectarea drepturilor persoanelor vizate, precum si pentru asigurarea securitatii si confidentialitatii datelor, raportat la prevederile legale mai sus mentionate.