Printr-o analiză pe care ne-o dorim cât mai puțin tehnică și prin câteva exemple practice, ne dorim să clarificăm diferențele de sens dintre noțiunile de „acord de voință/consimțământ”, ce stă la baza încheierii și executării unui contract între o persoană vizată și un operator de date (noțiunea de “operator” fiind clarificată în primul articol al acestei serii pe care îl găsiți aici) și „consimțământ”, ca și temei juridic al prelucrării, noțiuni care, la o primă impresie, au aceeași valoare juridică.
Cu toate acestea, atunci când discutăm despre două dintre temeiurile juridice ale prelucrării datelor, respectiv CONTRACTUL și CONSIMȚĂMÂNTUL, aceeași noțiune –„consimțământ”- capătă sensuri diferite pe care, dacă nu le înțelegem suficient de bine, vom avea dificultăți în a identifica ușor temeiul juridic al unei prelucrări: (i) art. 6 alin. 1 lit. (a) din GDPR, respectiv CONSIMȚĂMÂNTUL sau (ii) art. 6 alin. 1 lit. b), respectiv EXECUTAREA CONTRACTULUI.
DEX definește noțiunea de „consimțământ” ca fiind „un acord de voință a persoanelor care încheie un contract.” [1]
De asemenea, din perspectiva Codului Civil, noțiunea de consimțământ este sinonimă cu cea de “acord de voință”, așa cum rezultă din cele de mai jos:
Nimeni nu poate fi supus vreunor imixtiuni în viața intimă, personală sau de familie, nici în domiciliul, reședința sau corespondența sa, fără consimţământul său.[2] (s.n. adică fără „acordul” său);
Este interzisă orice atingere adusă onoarei și reputației unei persoane, fără consimțământul acesteia (...).[3] (s.n. adică fără „acordul” său);
Căsătoria se încheie între bărbat şi femeie prin consimţământul personal şi liber al acestora.[4] (s.n. adică prin „acordul” lor).
Din punctul de vedere al unui contract, consimțământul reprezintă, potrivit Codului civil, alături de capacitate, obiect și cauză, unul dintre cele patru elemente esențiale pentru validitatea contractului intervenit între două sau mai multe persoane.
Așadar, este nevoie de consimțământ al părților pentru încheierea unui contract.
Este acest consimțământ același cu consimțământul prevăzut de GDPR drept temei juridic al prelucrării?
În alte cuvinte, ori de câte ori persoana vizată își oferă consimțământul pentru prelucrarea datelor sale personale intră într-un contract cu operatorul de date?
Cum vom ști dacă o persoana vizată și-a dat consimțământul pentru încheierea unui contract sau și l-a acordat fără ca acest lucru să conducă la încheierea unui contract?
În accepțiunea GDPR, consimțământul este un temei juridic al prelucrării diferit de executarea contractului.
Potrivit art. 6 din GDPR, prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții[5]:
(a) persoana vizată și-a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice;
(b) prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract.
Pentru o persoană cu pregătire juridică, diferențierea este facilă. Pentru operatorii de date însă, o astfel de diferențiere între consimțământ, ca temei juridic al prelucrării și consimțământ, ca și element necesar pentru încheierea unui contract pune probleme în practică.
Alegerea corectă a temeiului juridic al prelucrării, dintre cele două propuse spre analiză, este extrem de importantă cel puțin pentru următoarele considerente pe care ar trebui să le cunoască, deopotrivă atât operatorul de date, cât și persoana vizată:
În cazul în care prelucrarea are loc în temeiul consimțământului persoanei vizate, aceasta înseamnă că aceasta și-l poate retrage oricând, fără ca în urma retragerii persoana vizată să fie în vreun fel prejudiciată, fără să atragă asupra sa alte consecințe decât cele inerente retragerii acelui consimțământ.
Exemplu: Persoana vizată s-a înscris la un maraton, a oferit organizatorilor numele și prenumele, vârsta și date de contact și, înainte de începerea maratonului, nu mai dorește să participe, transmițând organizatorilor o solicitare privind retragerea consimțământului. Organizatorul va exclude acel participant de pe listele celor înscriși fără însă ca acest lucru să atragă asupra persoanei în cauză vreo sancțiune sau alte consecințe, cu excepția celei inerente, respectiv pierderea șansei de a mai alerga la acel maraton și eventual de a câștiga premiul oferit.
În schimb, când temeiul juridic al prelucrării este reprezentat de „necesitatea executării unui contract” la care persoana vizată este parte, retragerea acordului/consimțământului pe care și l-a dat la momentul semnării contractului reprezintă de fapt, o manifestare a dreptului de denunțare a acelui contract, ce va avea drept consecință încetarea contractului, alături de alte consecințe, potrivit naturii și prevederilor contractului, chiar potențiale sancțiuni pentru persoana vizată.
Exemplu: Persoana vizată a încheiat cu o agenție de turism un contract în care erau prevăzute prețul serviciilor, data de plată, precum și o penalitate de x % din valoarea contractului dacă prețul contractului nu va fi achitat la timp și integral. În acest caz, o eventuală exercitare a dreptului de opoziție la prelucrarea datelor personale va reprezenta, în fapt, o manifestare a voinței de încetare a contractului care, însă, va da naștere obligației de plată a penalității agreate pentru neplata prețului agreat.
Cele două temeiuri juridice pot coexista, însă operatorul de date trebuie să identifice corect fiecare scop al prelucrării și temeiul juridic aferent fiecăruia dintre scopuri.
Operatorul de date are obligația de a se asigura că manifestarea consimțământului persoanei vizate pentru un anumit scop al prelucrării ce se întemeiază pe consimțământ nu este obținută prin aceeași acțiune prin care se consimte la încheierea unui contract. Astfel, având temeiuri juridice independente, încetarea prelucrării pe baza unui temei nu va atrage automat și prelucrarea întemeiată pe celălalt temei juridic.
Exemplu: Cel mai relevant exemplu în această privință este cel din mediul online, în următoarea situație des întâlnită. Utilizatorului unui website de cumpărături îi este solicitat, prin “căsuțe” separate, să bifeze, pe de o parte, că este de acord cu “Termenii și Condițiile” website-ului (T&C), iar pe de altă parte, că dorește să primească comunicări de marketing.
Prin bifarea primei căsuțe, utilizatorul își exprimă acordul pentru a intra în contractul de vânzare a produselor (este acordul necesar pentru încheierea valabilă a contractului, sub forma T&C, prelucrarea datelor personale având aici drept temei juridic, necesitatea executării contractului), în timp ce prin bifarea celei de-a doua căsuțe, utilizatorul își exprimă consimțământul pentru primirea de comunicări (prelucrarea datelor personale având aici drept temei juridic, consimțământul).
În timp ce utilizatorul poate renunța oricând la comunicările de marketing, fără ca aceasta să atragă vreo consecință, din T&C se poate retrage ținând seama de prevederile T&C și de cele legale privitoare, de exemplu, la dreptul de retragere din contractele încheiate la distanță cu consumatorii.
Retragerea consimțământului (pentru comunicările de marketing, în exemplul de mai sus), nu va conduce la obligația operatorului de date de a șterge datele care sunt prelucrate în scopul executării contractului.
În consecință, operatorii ar trebui să știe clar de la început scopul prelucrării fiecărei categorii de date și temeiul legal pe care se bazează pentru a putea da curs unor eventuale solicitări din partea persoanelor vizate.
HINT pentru a face diferențierea mai ușor!
Atunci când prelucrarea datelor personale nu obligă nici persoana vizată și, de cele mai multe ori, nici operatorul de date la respectarea unor termene, condiții sau altor obligații (cu excepția celor din materia protecției datelor) și, prin urmare, nu există nicio consecință asupra persoanei vizate dacă aceasta decide să își retragă consimțământul, cel mai probabil prelucrarea respectivă se bazează pe consimțământ, ca temei juridic al prelucrării.
Dimpotrivă, atunci când prelucrarea datelor personale dă naștere unor obligații în sarcina persoanei vizate și, de cele mai multe ori, și în sarcina operatorului de date și a căror nerespectare poate avea unele consecințe pentru persoana vizată, cel mai probabil acea prelucrare are ca temei juridic al prelucrării necesitatea executării contractului.
Exemplu:
Operatorul dorește să își promoveze afacerea, sens în care dorește să organizeze o serie de evenimente de prezentare la care accesul se face pe bază de invitație, fără vreun cost din partea participanților (ex: taxă de participare). Operatorul nu va putea transmite invitațiile pe email către potențialii participanți dacă nu are consimțământul prealabil al acestora pentru a le primi. Presupunând că potențialii participanți sunt de acord cu primirea de astfel de materiale, ei își pot retrage acest consimțământ oricând, ceea ce înseamnă ca pot renunța oricând la a primi astfel de invitații, cu consecința firească de a nu mai putea participa la eveniment, fără însă a suporta vreo altă consecință ca urmare a retragerii consimțământului. În schimb, dacă o persoană este invitată la acele evenimente pentru a ține un discurs, în schimbul unei remunerații, datele sale personale ce vor fi prelucrate de organizator având ca temei juridic necesitatea executării contractului încheiat între ei. Prin urmare, dacă persoana vizată transmite organizatorului o solicitare de ștergere a datelor, cel mai probabil, în funcție de clauzele contractului încheiat cu operatorul de date, această solicitare va putea conduce la încetarea contractului, cu unele potențiale consecințe asupra persoanei vizate, iar datele sale personale vor fi, cel mai probabil, prelucrate în continuare de către operatorul de date pe baza unui alt temei juridic (ex: obligație legală sau interes legitim)
[2] Codul Civil, art. 71 alin. (2)
[3] Ibid, art. 72 alin. (2)
[4] Ibid, art. 271
[5] Art. 6 prevede și alte temeiuri juridice ale prelucrării însă, pentru scopul prezentului articol, le-am menționat doar pe cele două indicate.