În primul rând, dacă ne referim strict la prelucrările de date cu caracter personal prin intermediul unei platforme online, discutăm despre “politica de confidențialitate sau politica de protecția datelor”, nu despre documentul denumit “termeni și condiții” care are cu totul alt rol (acela de contract care conține regulile utilizării platformei respective).
Documentul denumit politica de confidențialitate are rolul de a explica utilizatorilor platformei online contextul prelucrării datelor lor personale la accesarea platformei (site, aplicație mobile etc.). Mai exact, politica este o modalitate a a respecta dreptul la informare al persoanelor vizate.
Acest drept, care se naște în temeiul principiului transparenței, este prevăzut în Regulamentul UE nr. 679/2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), cunoscut drept GDPR.
Articolul 13 din Regulament stabilește toate informațiile care trebuie aduse la cunoștința persoanei vizate, respectiv a utilizatorilor platformelor online.
Așadar, o astfel de politică de confidențialitate trebuie să conțină minim următoarele informații:
– identitatea și datele de contact ale operatorului și, după caz, ale reprezentantului acestuia;
– datele de contact ale responsabilului cu protecția datelor, după caz;
– scopurile în care sunt prelucrate datele cu caracter personal, precum și temeiul juridic al prelucrării;
– în cazul în care prelucrarea se face în temeiul interesului legitim al operatorului, interesele legitime urmărite de operator sau de o parte terță;
– destinatarii sau categoriile de destinatari ai datelor cu caracter personal;
– dacă este cazul, intenția operatorului de a transfera date cu caracter personal către o țară terță sau o organizație internațională
– perioada pentru care vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă;
– existența dreptului de a solicita operatorului, în ceea ce privește datele cu caracter personal referitoare la persoana vizată, accesul la acestea, rectificarea sau ștergerea acestora sau restricționarea prelucrării sau a dreptului de a se opune prelucrării, precum și a dreptului la portabilitatea datelor;
– atunci când prelucrarea se bazează pe consimțământ, existența dreptului de a retrage consimțământul în orice moment, fără a afecta legalitatea prelucrării efectuate pe baza consimțământului înainte de retragerea acestuia;
– dreptul de a depune o plângere în fața unei autorități de supraveghere;
– dacă furnizarea de date cu caracter personal reprezintă o obligație legală sau contractuală sau o obligație necesară pentru încheierea unui contract, precum și dacă persoana vizată este obligată să furnizeze aceste date cu caracter personal și care sunt eventualele consecințe ale nerespectării acestei obligații;
– existența unui proces decizional automatizat incluzând crearea de profiluri, informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată.
Desigur, nu pot exista 2 politici identice, lista de mai sus personalizându-se după tipicul fiecărei platforme/operator.
Cum stau site-urile din România la capitolul politică de confidențialitate?
Aproape că nu mai există platformă online care să nu aibă o astfel de politică de confidențialitate publicată pe site. Dar informațiile care se regăsesc în aceste documente nu sunt întotdeauna toate cele din lista de mai sus sau, chiar dacă sunt bifate toate, nu înseamnă că sunt corecte sau suficiente.
Am văzut de multe ori politici copiate de pe site-uri mari dar care nu se “mulau” pe activitatea prestată de site-ul pentru care fuseseră copiate. O atitudine de tipul “dacă merge la X, merge și la site-ul meu”, poate atrage investigații și chiar sancțiuni deoarece informațiile furnizate persoanelor vizate nu sunt conforme cu realitatea operatorului.
Un alt aspect identificat în aceste politici este cel referitor la transferul de date personale către țări terțe sau organizații internaționale. Operatorii trebuie să fie conștienți că prin intermediul cookie-urilor, a newsletterului, a găzduirii site-ului etc. pot transfera datele vizitatorilor/clienților către țări terțe, că acest lucru trebuie adus la cunoștința persoanelor vizate și că trebuie luate măsuri suplimentare pentru conformitatea cu legislația Uniunii Europene.
O politică de confidențialitate în care se face referire doar la prelucrarea datelor prin intermediul cookie-urilor, iarăși nu duce la conformitate.
O corectă și reală implementare se referă la întreaga activitate a operatorului, inclusiv partea din spatele platformei online (angajați, persoane împuternicite, măsuri tehnice și organizatorice etc.), care, uneori, este neglijată.
