Când pot fi prelucrate date cu caracter personal?

Răspuns

Societatea/organizația dvs. poate prelucra date cu caracter personal numai în situațiile următoare:

• cu consimțământul persoanelor fizice în cauză;
• când există o obligație contractuală (un contract între societatea/organizația dvs. și un client);
• pentru a respecta o obligație legală (prevăzută în legislația UE sau în legislația națională);
• când prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public (prevăzute în legislația UE sau în legislația națională);
• pentru a proteja interesele vitale ale unei persoane fizice;
• în scopul intereselor legitime ale organizației dvs., dar numai după ce v-ați asigurat că acest lucru nu are un impact grav asupra drepturilor și a libertăților fundamentale ale persoanei ale cărei date le prelucrați. Dacă drepturile persoanei respective prevalează în raport cu interesele dvs., prelucrarea nu poate fi efectuată în temeiul unui interes legitim. Stabilirea aspectului dacă societatea/organizația dvs. are interese legitime privind prelucrarea în raport cu cele ale persoanelor în cauză depinde de circumstanțele individuale. 

Exemple

Consimțământul
Societatea/organizația dvs. oferă o aplicație de muzică și solicitați consimțământul cetățenilor pentru a le prelucra preferințele muzicale, cu scopul de a le oferi sugestii personalizate privind melodiile și eventuale concerte.

Obligație contractuală
Societatea/organizația dvs. vinde produse online. Aceasta poate prelucra datele care sunt necesare pentru a parcurge etapele premergătoare încheierii contractului la solicitarea persoanei respective și pentru executarea contractului. Așadar, puteți prelucra numele, adresa de livrare, numărul cardului de credit (dacă plata se efectuează cu cardul) etc.

Obligație legală
Sunteți proprietarul unei societăți cu angajați. Pentru a obține acoperire în materie de securitate socială, legea vă obligă să furnizați autorității relevante date cu caracter personal (de exemplu, venitul săptămânal al angajaților dvs.).

Interes public
Exemplu: o asociație profesională, cum ar fi o asociație de tip barou sau o cameră a profesioniștilor din domeniul medical învestită cu o autoritate oficială în acest scop, poate efectua proceduri disciplinare împotriva unor membri ai săi.

Interesele vitale ale unei persoane
Un spital tratează un pacient după un accident rutier grav; spitalul nu are nevoie de consimțământul acestuia pentru a-i căuta actul de identitate și a verifica dacă persoana respectivă se află în baza sa de date, pentru a-i găsi fișa medicală sau a-i contacta rudele cele mai apropiate.

Interesele legitime ale organizației dvs.
Societatea/organizația dvs. asigură securitatea rețelei sale, monitorizează utilizarea dispozitivelor de TI ale angajaților săi. Societatea/organizația dvs. poate prelucra în mod legitim date cu caracter personal în acest scop numai dacă alegeți metoda cel mai puțin intruzivă în ceea ce privește drepturile angajaților dvs. la protejarea confidențialității și a datelor, de exemplu, limitând accesibilitatea anumitor site-uri (Rețineți că acest lucru nu este posibil în statele membre UE în care legislația națională stabilește norme mai stricte pentru prelucrarea în contextul legat de forța de muncă.)

Referințe

• Articolul 6; motivele 40, 41, 42, 43, 44, 45, 46, 47, 48, 49 din RGPD
• Avizul 06/2014 al Grupului de lucru al articolului 29 privind noțiunea de interese legitime ale operatorului de date în temeiul articolului 7 din Directiva 95/46/CE

Examples

Consent

Your company/organisation offers a music app and ask for citizens’ consent to process their musical preferences in order to suggest tailored songs and possible concerts to them. 

Contractual obligation
Your company/organisation sell goods online. It can process data that is necessary to take steps at the request of the individual prior to entering into the contract and for the performance of the contract. So you can process the name, delivery address, credit card number (if payment by card), etc.

Legal obligation
You own a company with employees. In order to obtain social security cover, the law obliges you to provide personal data (for example weekly income of your employees) to the relevant authority.

Public interest
Example: a professional association such as a bar association or a chamber of medical professionals vested with an official authority to do so may carry out disciplinary procedures against some of their members.

Vital interests of a person
A hospital is treating a patient after a serious road accident; the hospital doesn't need his consent to search for his ID to check whether that person exists in the hospital's database to find previous medical history or to contact his next of kin.

Your organisation’s legitimate interests
Your company/organisation ensures its network security by monitoring the use of its employees’ IT devices. Your company/organisation may legitimately process personal data for that purpose, only if the least intrusive method is chosen as regards the privacy and data protection rights of your employees, for example, by limiting the accessibility of certain websites. (Note that this can’t be done in EU Member States where national law sets out stricter rules for processing in the employment context).