Consimțământul GDPR: ce este, când e nevoie și cum îl obții corect

Consimțământul GDPR este acordul liber, specific, informat și lipsit de echivoc pe care o persoană îl dă pentru ca datele ei să fie folosite într-un anumit scop — și este doar unul dintre cele șase temeiuri legale prin care poți prelucra date, nu o condiție obligatorie pentru orice colectare. Confuzia asta este cea mai frecventă greșeală GDPR: multe firme cer consimțământ acolo unde ar avea deja un temei mai potrivit (contract, obligație legală, interes legitim) și, în același timp, tratează greșit consimțământul acolo unde chiar au nevoie de el — de exemplu, la newsletter sau la cookie-uri de marketing.

Acest ghid completează ghidul general despre ce este GDPR și explică, punctual, ce înseamnă un consimțământ valid și cum îl obții corect. Nu este consultanță juridică — pentru texte și formulare personalizate, cere sprijin de specialitate.

Ce condiții trebuie să îndeplinească un consimțământ valid?

Regulamentul cere patru condiții cumulative:

• Liber exprimat — persoana nu e forțată; refuzul nu blochează accesul la un serviciu care nu are, de fapt, nevoie de acel consimțământ.
• Specific — pentru un scop clar declarat, nu „pentru orice utilizare viitoare a datelor".
• Informat — persoana știe cine colectează datele, ce face cu ele și cât timp le păstrează, înainte să bifeze.
• Lipsit de echivoc — o acțiune clară de acord (o bifă apăsată activ), nu tăcerea, o casetă pre-bifată sau simpla navigare pe site.

Când ai nevoie efectiv de consimțământ?

Consimțământul e temeiul potrivit mai ales când prelucrarea depășește ce e strict necesar pentru un contract sau o obligație legală. Cazurile tipice: newsletter către persoane care nu sunt încă clienți, cookie-uri de analiză sau marketing, folosirea imaginii cuiva într-un material promoțional sau trimiterea de oferte comerciale prin SMS. În schimb, datele necesare ca să livrezi o comandă sau să emiți o factură au alt temei — nu ai nevoie de o bifă separată pentru ele. Detaliem temeiurile legale, pe larg, în ghidul GDPR pentru firme mici.

Ce forme poate lua consimțământul, practic?

Cel mai des, pe un site, e o casetă bifată activ de vizitator, lângă un formular. Poate fi și un buton dedicat într-un banner de cookie-uri („Accept cookie-uri de marketing"), o semnătură pe un formular fizic sau un răspuns explicit „da" într-o conversație telefonică înregistrată corect. Ce nu contează drept consimțământ valid: navigarea pe site fără să închizi bannerul de cookie-uri, o casetă deja bifată din start sau o clauză ascunsă în termeni și condiții generale. Pentru cookie-uri, vezi și secțiunea dedicată din ghidul GDPR pentru site web.

Cum obții un consimțământ valid, pas cu pas?

1. Separă scopurile. O bifă pentru politica de confidențialitate, alta pentru newsletter, alta pentru cookie-uri de marketing — nu le combina într-una singură.
2. Explică pe scurt, lângă bifă, ce înseamnă acordul — de exemplu, „sunt de acord să primesc oferte comerciale prin e-mail".
3. Nu pre-bifa nimic. Persoana trebuie să acționeze activ.
4. Păstrează dovada — data, ora și textul exact pe care persoana l-a acceptat, utilă în caz de control sau plângere.
5. Oferă o cale la fel de simplă de retragere — un link de dezabonare sau o opțiune clară în contul de utilizator.

Care e diferența dintre consimțământ și interes legitim?

Cele două temeiuri se confundă des, dar funcționează diferit. Consimțământul pune decizia exclusiv în mâna persoanei — dacă refuză, prelucrarea nu poate avea loc, indiferent cât de utilă ar fi pentru tine. Interesul legitim, în schimb, permite prelucrarea fără o bifă explicită, dar numai dacă poți demonstra, printr-un test de evaluare, că interesul tău (de exemplu, securitatea sediului sau marketingul direct către clienți existenți) nu este depășit de drepturile și așteptările rezonabile ale persoanei. Diferența practică: pe interes legitim, persoana are întotdeauna dreptul să se opună oricând, gratuit, iar tu trebuie fie să oprești prelucrarea, fie să demonstrezi un motiv legitim superior. Alegerea greșită a temeiului — de exemplu, consimțământ acolo unde interesul legitim ar fi fost suficient și mai puțin fricțional pentru utilizator — e o greșeală frecventă, dar nu periculoasă legal; alegerea inversă, adică folosirea interesului legitim acolo unde legea cere clar consimțământ (marketing prin e-mail către persoane noi, de exemplu), este cea care atrage riscul real de sancțiune.

Poți retrage consimțământul oricând?

Da, iar retragerea trebuie să fie la fel de simplă ca acordarea — dacă te-ai abonat printr-un click, nu poți cere un apel telefonic sau o cerere scrisă ca să te dezabonezi. Retragerea nu afectează legalitatea prelucrărilor făcute înainte de retragere, dar organizația trebuie să oprească prelucrarea ulterioară imediat ce primește cererea. Pentru celelalte drepturi legate de datele deja colectate, vezi drepturile tale conform GDPR.

Ce greșeli invalidează cel mai des consimțământul?

• Casete pre-bifate sau bifă unică pentru mai multe scopuri diferite.
• Consimțământ „ascuns" în termeni și condiții pe care nimeni nu-i citește.
• Condiționarea unui serviciu de acceptarea unui marketing care nu are legătură cu serviciul respectiv.
• Lipsa unei metode simple de retragere.
• Nicio dovadă păstrată despre ce anume a acceptat persoana și când.

Ce faci dacă ai colectat date fără un consimțământ valid?

Oprește imediat prelucrarea bazată pe acel consimțământ (de exemplu, scoate din lista de newsletter persoanele care nu s-au abonat clar) și corectează formularul sau bannerul pentru colectările viitoare. Dacă descoperi o problemă mai amplă — o bază de date de marketing construită fără consimțământ real —, documentează corectarea; e un semn de responsabilitate (accountability) dacă apare vreodată un control.

Nu ești sigur dacă formularele și bannerul de cookie-uri de pe site-ul tău obțin un consimțământ valid? Cere o evaluare GDPR — verificăm exact ce colectezi și cum, și corectăm ce nu e conform.

Întrebări frecvente