Consimtamantul - obtinere, dovada, gestionare si revocare

1. Aspecte generale
Consimtamantul este definit in GDPR ca fiind orice manifestare de vointa libera, specifica, informata si lipsita de ambiguitate a persoanei vizate prin care aceasta accepta, printr-o declaratie sau printr-o actiune fara echivoc, ca datele cu caracter personal care o privesc sa fie prelucrate (art. 4 pct. 11).
Consimtamantul exprimat in mod valabil trebuie sa respecte urmatoarele cerinte:

2. Consimtamant vs. alte temeiuri de prelucrare
Consimtamantul personei vizate reprezinta unul dintre cele sase temeiuri legale de prelucrare a datelorcu caracter personal, alaturi de executarea unui contract (lit. b), indeplinirea unei obligatii legale (lit.c), protejarea interesele vitale ale persoanei vizate (lit. d), indeplinirea unei sarcini care serveste unui interes public (lit. e) si interesul legitim al operatorului (lit. f), asa cum sunt definite in cuprinsul articolului 6 din GDPR.
Stabilirea incidentei unuia dintre cele sase temeiuri de prelucrare trebuie sa se faca anterior desfasurarii oricarei activitati de prelucrare si in legatura cu scopul in care sunt prelucrate datele cu caracter personal (art. 13 alin. (1) lit. c) si/sau art. 14 alin. (1) lit. d) GDPR). Incidenta temeiurilor de prelucrare este esentiala pentru operator pentru ca, ulterior, acesta nu va putea schimba temeiurile intre ele (de exemplu, operatorul nu va putea justifica retroactiv lipsa sau nevaliditatea consimtamantului cu interesul legitim al prelucrarii).

3. Obtinerea consimtamantului
Regulamentul stabileste ca pentru un consimtamant valabil este necesara o declaratie din partea persoanei vizate sau o actiune neechivoca, adica o manifestare activa de vointa.
Sintagma o actiune fara echivoc se refera la faptul ca persoana vizata a actionat in mod deliberat pentru a consimti la o anumita prelucrare. In ceea ce priveste existenta unei declaratii din partea persoanei vizate , aceasta poate sa fie facuta in scris, inclusiv in format electronic, sau verbal.

In anumite situatii, atunci cand este posibilsa existe un risc major privind protectia datelor, este necesar obtinerea unuiconsimtamant explicit din partea persoanelor vizate. Astfel de situatii se intalnesc in cazul prelucrarii unor categorii speciale de date (art. 9 GDPR), transferurilor de date catre tari terte sau organizatii internationale in absenta garantiilor adecvate (art. 49 GDPR), precum si in cazul unui proces decizional individual automatizat, inclusiv crearea de profiluri (art. 22 GDPR).

Obtinerea consimtamantului prin declaratie scrisa. De regula, pentru obtinerea consimtamantului din partea persoanelor vizate printr-o declaratie scrisa,se foloseste un model pus la dispozitie de operator. Aceasta declaratie trebuie sa aiba in vedere, in principal, dispozitiile de la art. 7, 13, 14, 15-22 GDPR.
Obtinerea consimtamantului in format electronic. Obtinerea consimtamantului in format electronic se va putea face si prin completarea unui formular electronic, prin trimiterea unui e-mail, prin incarcarea unui document scanat care poarta semnatura persoanei vizate.

4. Dovada consimtamantului
GDPR instituie in mod expres operatorului sarcina probei in ceea ce priveste dovada consimtamantului persoanei vizate. Astfel, potrivit art. (7) alin. (1) GDPR, in cazul in care prelucrarea se bazeaza pe consimtamant, operatorul trebuie sa fie in masura sa demonstreze ca persoana vizata si-a datconsimtamantul pentru prelucrarea datelor sale cu caracter personal.

Operatorul poate tine o evidenta fizica a declaratiilor de consimtamant, atunci cand este cazul, pentru a demonstra modul in care a fost obtinut consimtamantul, momentulsicontinutul informatiilor furnizate persoanei vizate la acel moment.

Dovada luarii consimtamantului in format electronic va fi stocata in baza de date si dupa ce acesta va fi retras, pana la respectarea obligatiilor legale, dupa caz, sau pana la disparitia unui potential litigiu intre operator si persoana vizata.

5. Gestionarea consimtamantului
Operatorul trebuie sa se asigure ca respecta urmatoarele principii in ceea ce priveste gestionarea consimtamantului cu privire la prelucrarea datelor cu caracter personal acordat de catre persoanele vizate:

6. Prelucrarea datelor cu caracter personal ale copiilor
Prelucrarea datelor cu caracter personal ale copiilor se va face numai dupa verificarea daca acestia au varsta de 16 ani implinita. Daca copilul are sub varsta de 16 ani, consimtamantul va fi obtinut numai de la titularul raspunderii parintesti asupra copilului.
Daca utilizatorii afirma ca au implinit varsta minima necesara pentru consimtamantul obtinut in format electronic, se vor efectua verificari pentru a se asigura ca aceasta afirmatie este adevarata prin introducerea datei nasterii.

In cazul in care exista dubii cu privire la varsta copilului, se vor lua masuri prin verificarea confirmarii via e-mail a persoanei care exprima consimtamantul in numele copiluluicare este titularul raspunderii parintesti. In aceasta situatie, verificarea nu se va putea face decat dupa obtinerea consimtamantului parintelui.
Consimtamantul acordat sau autorizat de titularul raspunderii parintesti expira odata ce minorul a atins varsta minima obligatorie pentru exprimarea consimtamantului digital. Dupa implinirea varstei minime obligatorii, va fi obtinut un nou consimtamant.

7. Revocarea consimtamantului
Regulamentul ii acorda institutiei revocariisau retrageriiconsimtamantului un rol foarte important. Astfel, persoana vizata isi poate retrage consimtamantul in orice moment, aplicandu-se procedura obtinerii acestuia. Retragerea consimtamantului nu afecteaza legalitatea prelucrarii efectuate pe baza consimtamantului inainte de retragerea acestuia.
Inainte de luarea consimtamantului, persoana vizata va fi informata in mod clar si expres despre dreptul de a-si retrage oricand consimtamantul, prin intermediul formularului de consimtamant, prin inserarea unui paragraf la inceputul formularului, inainte de orice alt text.

Retragerea consimtamantului in ceea ce priveste prelucrarea unorcategoriispeciale de date nu afecteaza consimtamantul obtinut pentru prelucrarea celorlalte date, altele decat cele considerate sensibile. Retragerea consimtamantului care vizeaza un anumitscop al prelucrarii nu afecteaza prelucrarile de date care au un alt scop pentru care a fost obtinut un consimtamant valabil.

Persoana vizata trebuie sa isi poata retrage consimtamantul fara a fi prejudiciata, adica operatorul sa poata faca posibil acest lucru fara a scadea calitatea serviciului.
Operatorul trebuie sa stearga datele prelucrate pe baza consimtamantului dupa retragerea acestuia, in situatia in care nu exista un alt scop sau temei al prelucrarii care sa justifice pastrarea lor in continuare. Orice modificare a temeiului legal de prelucrare trebuie notificata persoanei vizate in conformitate cu art. 13 si 14 din GDPR.

Cererea de retragere a consimtamantului
Persoana responsabila de analiza solicitarii de retragere a consimtamantului primite din partea persoanelor vizate trebuie sa fie o persoana cu atributii in ceea ce priveste prelucrarea datelor cu caracter personal. Persoana responsabila trebuie sa fie nominaliza si adusa la cunostinta salariatilor operatorului, potrivit procedurilor interne.
In vederea analizarii solicitarilor primite din partea persoanelor vizate, responsabilul va putea sa obtina informatii inclusiv de la alte departamente sau structuri ale operatorului.