Ce date personale puteți prelucra la încheierea contractelor la distanță

Ghidul CEPD se referă la firmele și profesionștii care oferă, „în schimbul unei remunerații, servicii la distanță, prin mijloace electronice și la solicitarea specifică a beneficiarului acelui serviciu.” Ghidul dă ca exemplu servicii precum:

• social media;
• comerț electronic;
• motoare de căutare online;
• servicii de comunicare;
• servicii de călătorie.

Este important pentru cei care furnizează astfel de servicii să știe, atunci când prelucrează date în vederea negocierii sau încheierii unui contract, cum pot să se folosească de acele date. În același timp, este important să rețineți că întregul sistem al Regulamentului general privind protecția datelor (GDPR) pretinde ca temeiul folosit pentru justificarea prelucrării de date să fie obiectiv aplicabil. Cu alte cuvinte, va trebui să depuneți diligențe să vedeți dacă, atunci când prelucrați date, cea mai potrivită justificare este cea a negocierii sau încheierii contractelor sau trebuie să recurgeți la alt temei (precum consimțământul celui căruia îi prelucrați date, de exemplu).

Prelucrarea datelor personale în timpul negocierii sau înaintea încheierii unui contract

În primul rând, ca o regulă generală, pot fi prelucrate date doar pentru scopuri specifice și predeterminate și doar în măsura în care este necesar pentru atingerea scopului respectiv.

Pentru a înțelege ce este necesar în vederea negocierii unui contract, de exemplu, trebuie să urmăriți, întotdeauna, să atingeți un echilibru între respectarea vieții private și a așteptărilor clienților și datele prelucrate în vederea atingerii scopului. Acest echilibru poate fi atins prin analizarea existenței alternativelor, pentru atingerea aceluiași scop. Dacă există alternative care sunt mai puțin intruzive decât prelucrarea datelor sau care permit prelucrarea mai puținor date, ele trebuie folosite.

Bineînțeles, contractele sunt variate, astfel că nu există ceva universal valabil în privința determinării cazurilor când prelucrarea datelor pentru etapa premergătoare contractului este necesară. Analiza trebuie făcută în funcție de situație. 

După aceea, GDPR-ul prevede clar că, în vederea actelor premergătoare contractului, prelucrarea se poate face doar la solicitarea persoanei vizate (solicitare care ar fi făcută în vederea încheierii contractului, de exemplu). Prin urmare, nu veți putea să trimiteți reclame și, ulterior, să argumentați că v-ați bazat pe temeiul prelucrării datelor în vederea încheierii unui contract.

Ghidul CEPD dă un exemplu relevant, pentru această situație: un potențial client își furnizează codul poștal, pentru a vedea dacă oferiți servicii în zona lui.

Prelucrarea datelor personale pentru executarea unui contract

La fel ca în cazul datelor prelucrate înainte de încheierea unui contract, scopul prelucrării trebuie și aici să fie specific și predeterminat și datele trebuie prelucrate doar în măsura în care este necesară folosirea acestora pentru executarea unui contract.

De asemenea, și aici se pune problema, exact ca mai sus, a unei analize a necesității măsurii. Prin urmare, trebuie să vedeți ce opțiuni aveți și dacă nu cumva există vreuna mai puțin intruzivă.

Practic, aici trebuie îndeplinite trei condiții pentru ca firmele să poată recurge la temeiul prelucrării datelor pentru executarea unui contract:

• să fi fost încheiat un contract, în mod valabil;
• prelucrarea să se facă, pentru executarea contractului;
• măsurile luate să fie obiectiv necesare pentru executarea contractului și să nu existe altele mai puțin intruzive.

Pentru a vă fi mai ușor să vedeți dacă respectați condițiile, ghidul CEPD menționează analiza obiectului exact al contractului, pentru a înțelege logica acestuia. În baza corelării unor astfel de elemente cu datele care urmează a fi prelucrate, se poate vedea dacă acel contract va putea fi executat doar dacă sunt prelucrate acele date.

Un exemplu, în acest sens, este dat în ghid: dacă o persoană comandă ceva de pe internet, vrând să plătească prin intermediul unui card și să îi fie livrate bunurile acasă, e justificată atât prelucrarea datelor cardului, a adresei de factuarare, cât și a adresei de acasă. În schimb, dacă acel client dorește să ridice bunul de la un pick-up point, nu mai este justificată solicitarea adresei de acasă.