Articolul 12 GDPR stabilește regulile generale de comunicare între operator și persoana vizată — cum trebuie formulate informările despre prelucrare și, mai ales, cum trebuie tratate cererile prin care oamenii își exercită drepturile (acces, ștergere, opoziție și celelalte). Este, practic, „regulamentul de procedură" care face funcționale toate celelalte drepturi din GDPR.
Ce prevede articolul 12?
Articolul 12 cere ca orice informație sau comunicare privind prelucrarea să fie oferită:
- Într-o formă concisă, transparentă, inteligibilă și ușor accesibilă.
- Într-un limbaj clar și simplu, mai ales dacă informația se adresează unui copil.
- În scris sau prin alte mijloace, inclusiv, când e cazul, electronic.
- Gratuit, ca regulă generală.
Pentru cererile prin care persoana își exercită drepturile, operatorul trebuie să răspundă fără întârzieri nejustificate și, în orice caz, în cel mult o lună de la primire. Termenul poate fi prelungit cu încă două luni, dacă cererea e complexă sau sunt mai multe cereri, dar persoana trebuie informată despre prelungire și despre motive, în prima lună.
Dacă operatorul nu dă curs unei cereri, trebuie să informeze persoana, în cel mult o lună, despre motivele refuzului și despre dreptul ei de a depune plângere la ANSPDCP sau de a se adresa instanței.
Ce înseamnă în practică pentru o firmă?
Articolul 12 nu adaugă drepturi noi — pune „ceasul" și „forma" pentru drepturile de la Articolul 15 la Articolul 21. Ca firmă, ai nevoie de:
- Un canal clar prin care oamenii pot trimite cereri (adresă de e-mail dedicată sau formular).
- O procedură internă de înregistrare a datei primirii, pentru a urmări termenul de o lună.
- O modalitate rezonabilă de verificare a identității — fără să ceri copii după buletin „de siguranță", dacă nu există un motiv real de îndoială.
- Răspunsuri într-un limbaj pe înțelesul oricui, nu în jargon juridic.
Recomandăm un document intern de tip procedură pentru drepturile persoanelor vizate, care fixează pașii, termenele și responsabilii, astfel încât nicio cerere să nu „se piardă" în inbox-ul unui angajat plecat în concediu.
Exemplu concret
Un fost angajat trimite un e-mail prin care cere să afle ce date mai păstrează fostul angajator despre el. Firma confirmă primirea, verifică identitatea minimal (adresa de e-mail folosită la angajare, eventual un cod), și răspunde în maximum o lună, gratuit, într-un limbaj clar — nu cu un extras tehnic din baza de date.
Greșeli frecvente
- Ignorarea cererii sau răspunsul „peste" termenul de o lună, fără nicio comunicare.
- Cererea de taxe pentru cereri normale, ne-repetitive.
- Solicitarea unor documente de identificare excesive, disproporționate față de risc.
- Lipsa unui sistem de înregistrare a datei primirii — termenul curge chiar dacă cererea „s-a rătăcit" intern.
Cum gestionezi cererile complexe sau multiple?
Dacă o persoană depune mai multe cereri deodată, sau cererea implică o căutare amplă în mai multe sisteme (CRM, contabilitate, e-mail), poți prelungi termenul cu până la două luni — dar trebuie să anunți persoana în prima lună, cu motivele concrete ale prelungirii, nu cu o formulare vagă. Dacă ai îndoieli rezonabile cu privire la identitatea solicitantului, poți cere informații suplimentare de identificare, dar doar atât cât e strict necesar, nu un dosar complet.
Regula se aplică simetric tuturor drepturilor din Articolul 15 până la Articolul 21: același termen de o lună, aceeași gratuitate, aceeași obligație de a motiva un refuz. De aceea majoritatea firmelor folosesc un singur flux intern pentru toate tipurile de cereri, cu variații doar la conținutul răspunsului final.
Art. 12 se leagă direct de dreptul de acces și de toate drepturile persoanelor vizate. Vezi și ghidul GDPR. Vrei o procedură solidă pentru cereri? Te ajutăm să o construiești.
Întrebări frecvente
Pot cere bani pentru a răspunde la o cerere GDPR?
Ca regulă, nu — informarea și răspunsul sunt gratuite. Poți percepe o taxă rezonabilă sau poți refuza doar dacă cererea e vădit nefondată sau excesivă, de exemplu repetitivă.
Ce se întâmplă dacă depășesc termenul de o lună?
Depășirea nejustificată a termenului e o încălcare a Art. 12 și poate fi sancționată. Dacă ai nevoie de prelungire, trebuie să informezi persoana în prima lună, cu motivele.