Articolul 14 GDPR — Informarea când datele NU sunt colectate direct de la persoană

Articolul 14 GDPR stabilește ce informații trebuie să oferi unei persoane atunci când obții datele ei NU direct de la ea, ci dintr-o altă sursă — un registru public, un partener de afaceri, o bază de date cumpărată sau chiar o platformă socială. Regula e o „oglindă" a Articolului 13, dar cu diferențe importante de conținut și, mai ales, de termen.

Ce prevede articolul 14?

Trebuie să comunici persoanei aproape aceleași informații ca la Art. 13 — identitatea operatorului, scopurile, temeiul, destinatarii, perioada de stocare, drepturile — plus două elemente specifice:

• Categoriile de date cu caracter personal vizate.
• Sursa din care provin datele și, dacă e cazul, dacă provin din surse public accesibile.

Când trebuie oferită informarea?

Spre deosebire de Art. 13 (unde informarea se dă la colectare), aici legea prevede momente alternative:

• Cel târziu într-o lună de la obținerea datelor.
• Dacă datele sunt folosite pentru a comunica cu persoana, cel târziu la prima comunicare.
• Dacă se intenționează divulgarea datelor către un alt destinatar, cel târziu la prima divulgare.

Când NU se aplică (excepții)

• Persoana deține deja informația.
• Furnizarea informării se dovedește imposibilă sau ar necesita eforturi disproporționate — în special pentru scopuri de arhivare, cercetare sau statistică, cu condiția existenței unor garanții adecvate.
• Obținerea sau divulgarea e prevăzută expres de dreptul UE sau național.
• Datele trebuie să rămână confidențiale, dintr-o obligație legală de secret profesional.

Ce înseamnă în practică pentru o firmă?

Multe firme uită de Art. 14 pentru că „nu au colectat ele direct datele" — dar obligația de informare rămâne. Cazuri tipice: cumperi o listă de contacte B2B pentru marketing, preiei date din registre publice (ex. ONRC) pentru prospectare, sau primești datele unui candidat printr-un recrutor. În toate aceste situații ești obligat să trimiți o informare, chiar dacă persoana nu ți-a dat ea datele direct.

Exemplu concret

O firmă de consultanță cumpără o listă cu adresele de e-mail ale administratorilor de firme dintr-un anumit județ, pentru o campanie de prospectare B2B. Conform Art. 14, trebuie să trimită o informare — cel târziu la primul e-mail — care spune cine este operatorul, de unde a obținut adresa, în ce scop o folosește și cum poate persoana să se opună.

Greșeli frecvente

• Presupunerea că „datele publice" nu au nevoie de informare — fals, doar sursa e diferită.
• Trimiterea de marketing fără nicio informare prealabilă sau concomitentă.
• Invocarea excepției de „efort disproporționat" fără o analiză reală, doar din comoditate.
• Nedocumentarea sursei exacte din care provin datele, ceea ce face imposibilă demonstrarea conformității ulterior, la un control.

Cum aplici testul „efort disproporționat"?

Excepția de la informare pentru „efort disproporționat" nu se aplică automat doar pentru că firma are mulți contacți în baza de date. Trebuie să analizezi realist: câți destinatari sunt, cât de costisitor ar fi să-i contactezi individual, ce alternative rezonabile există (de exemplu, o comunicare publică pe site) și ce risc real ar suporta persoanele dacă nu sunt informate. Documentează această analiză — dacă ANSPDCP verifică ulterior, va cere exact acest raționament, nu doar afirmația „a fost prea complicat".

Recomandăm ca orice firmă care lucrează cu liste de contacte cumpărate sau agregate din surse externe să integreze verificarea Art. 14 chiar în procesul de achiziție a listei, nu ca pas ulterior, uitat.

Art. 14 se completează cu temeiurile legale și cu dreptul la opoziție, esențial pentru marketingul B2B. Vezi și ghidul GDPR. Prelucrezi date din surse terțe? Verificăm conformitatea.

Întrebări frecvente