Articolul 18 GDPR — Dreptul la restricționarea prelucrării

Articolul 18 GDPR dă persoanei vizate dreptul de a cere restricționarea prelucrării — nu ștergerea datelor, ci „înghețarea" lor temporară. Datele rămân stocate, dar nu mai pot fi folosite activ, până se lămurește o situație anume.

Ce prevede articolul?

Restricționarea se aplică în patru situații:

• Persoana contestă exactitatea datelor, pe perioada în care verifici corectitudinea lor.
• Prelucrarea e ilegală, dar persoana se opune ștergerii și preferă restricționarea.
• Nu mai ai nevoie de date pentru scopul inițial, dar persoana ți le cere pentru a constata, exercita sau apăra un drept în instanță.
• Persoana s-a opus prelucrării (Art. 21), pe perioada în care verifici dacă interesele tale legitime prevalează.

Cât timp datele sunt restricționate, le poți doar stoca — orice altă prelucrare necesită consimțământul persoanei, sau e permisă doar pentru constatarea/apărarea unui drept în instanță, protecția drepturilor altei persoane sau un interes public important. Înainte de a ridica restricția, trebuie să informezi persoana.

Ce înseamnă în practică pentru o firmă?

Tehnic, restricționarea înseamnă să marchezi datele ca „blocate" în sistemele tale (CRM, bază de date) — nu le ștergi, dar le excluzi din orice utilizare activă (marketing, analiză, decizii automate) până se rezolvă disputa. Practic, ai nevoie ca sistemele tale IT să poată izola un set de date fără a le elimina — o cerință tehnică pe care mulți furnizori de CRM sau ERP nu o oferă implicit, așa că merită verificată din timp, nu abia când primești prima cerere de restricționare.

Cum se combină cu celelalte drepturi?

Restricționarea funcționează adesea ca o „soluție intermediară" între alte două drepturi: o folosești când persoana contestă un aspect al datelor (leagă-te de dreptul la rectificare) sau când s-a opus prelucrării, dar disputa nu s-a lămurit încă (leagă-te de dreptul la opoziție). În ambele cazuri, restricționarea îți dă timpul necesar să analizezi situația fără să continui să folosești activ datele contestate, dar și fără să le ștergi definitiv, ceea ce ar putea fi ireversibil dacă persoana avea de fapt dreptate să conteste corectitudinea lor.

Exemplu concret

Un client contestă corectitudinea unei sume dintr-un istoric de plăți. Cât timp verifici situația, restricționezi prelucrarea acelor date — nu le mai folosești în rapoarte sau comunicări automate — dar nu le ștergi, pentru că ai putea avea nevoie de ele ca dovadă. După ce clarifici situația (confirmi sau corectezi suma), informezi clientul înainte de a ridica restricția și de a relua prelucrarea normală.

Greșeli frecvente

• Confuzia dintre restricționare și ștergere (Art. 17) — sunt drepturi diferite, cu efecte diferite.
• Continuarea folosirii active a datelor restricționate în campanii de marketing sau rapoarte.
• Ridicarea restricției fără să informezi persoana în prealabil.
• Lipsa unui mecanism tehnic real de „izolare" a datelor, ceea ce face restricționarea imposibil de aplicat corect.
• Ștergerea „din grabă" a datelor restricționate, deși scopul cererii era tocmai păstrarea lor temporară, nu eliminarea.
• Neinformarea celorlalte departamente (vânzări, marketing) că un set de date e restricționat, ceea ce duce la folosirea lor din neatenție.

Cine decide dacă se aplică restricționarea?

Decizia îi revine operatorului, dar trebuie motivată — nu poți refuza o cerere de restricționare fără o justificare reală, la fel cum nu poți accepta orice cerere fără verificare. Documentează întotdeauna motivul pentru care ai restricționat (sau nu) o prelucrare, ca să poți explica decizia dacă persoana se adresează ulterior ANSPDCP.

Vezi și toate drepturile GDPR și ghidul GDPR. Ai o cerere de restricționare de gestionat? Cere sfatul nostru.

Întrebări frecvente