Articolul 19 GDPR te obligă să comunici fiecărui destinatar căruia i-ai transmis anterior datele unei persoane orice rectificare, ștergere sau restricționare ulterioară a acelor date. E articolul care „închide bucla" pentru drepturile de la Articolul 16, 17 și 18 — altfel o corectare făcută la tine rămâne „veche" la partenerii tăi.
Ce prevede articolul?
Când corectezi, ștergi sau restricționezi datele unei persoane, trebuie să notifici fiecare destinatar căruia i le-ai divulgat anterior — cu excepția cazului în care acest lucru se dovedește imposibil sau presupune eforturi disproporționate. Persoana vizată are dreptul să te întrebe cine sunt acei destinatari, iar tu trebuie să-i răspunzi.
Ce înseamnă în practică pentru o firmă?
Pentru a respecta acest articol, trebuie să știi cui ai transmis datele — furnizori, parteneri, împuterniciți conform Articolului 28. Fără o evidență a destinatarilor, notificarea devine imposibilă. De aceea, registrul de evidență a prelucrărilor (Art. 30) și inventarul de furnizori sunt esențiale și pentru acest articol. Excepția de „efort disproporționat" nu se aplică automat doar pentru că lista de destinatari e lungă — trebuie o analiză reală, documentată, similară celei cerute la Articolul 14.
Un aspect ușor de omis: obligația de notificare nu se limitează la furnizori tehnici precum un CRM sau o platformă de e-mailing. Se aplică oricărui destinatar căruia i-ai transmis efectiv datele — un partener comercial, o firmă de curierat, un birou de contabilitate externalizat sau chiar o altă divizie a grupului tău, dacă funcționează ca entitate juridică separată. Cu cât rețeaua de destinatari e mai extinsă, cu atât contează mai mult să ai o evidență centralizată, actualizată, a cui a primit ce date și când.
Exemplu concret
Un client își cere ștergerea contului. Firma a transmis anterior datele lui unui curier pentru livrări și unei platforme de e-mail marketing. Conform Art. 19, firma trebuie să notifice și aceste două părți despre ștergere, ca datele să nu rămână active în alte sisteme — de exemplu, ca numele lui să nu mai apară pe o listă de curierat sau într-o campanie ulterioară de marketing trimisă de partenerul respectiv.
Greșeli frecvente
- Lipsa unei evidențe clare a destinatarilor cărora le-ai transmis datele fiecărei persoane.
- Invocarea „efortului disproporționat" fără nicio analiză reală a situației.
- Tratarea notificării destinatarilor ca un pas opțional, „de bifat" doar la cerere, deși e o obligație activă.
- Nedocumentarea faptului că notificarea a fost efectiv trimisă și confirmată de destinatar.
Cum construiești un flux funcțional pentru Art. 19?
În practică, cel mai simplu e să integrezi notificarea destinatarilor direct în procesul deja existent pentru cererile de rectificare, ștergere și restricționare: de fiecare dată când unul dintre aceste drepturi e exercitat, o listă de verificare internă ar trebui să includă automat pasul „am notificat toți destinatarii relevanți?", cu o casetă bifată doar după confirmare. Astfel, obligația nu mai depinde de memoria persoanei care gestionează cererea, ci devine parte a procesului standard.
Merită subliniat și că Art. 19 se aplică indiferent de forma prin care ai transmis datele — un export dintr-un CRM, un e-mail cu un fișier atașat, o integrare automată între două sisteme. Toate contează ca „divulgare", iar toate impun aceeași obligație de notificare ulterioară — indiferent dacă transferul de date s-a făcut manual, o singură dată, sau printr-o integrare automată recurentă între sisteme.
Vezi și toate drepturile GDPR și ghidul GDPR. Vrei să știi exact cui trebuie să notifici o schimbare de date? Te ajutăm să mapezi fluxurile.
Întrebări frecvente
Trebuie să anunț toți furnizorii când șterg datele unui client?
Da, pe cei cărora le-ai transmis anterior acele date, cu excepția cazului în care e imposibil sau presupune eforturi disproporționate — dar trebuie să poți justifica excepția.
Persoana poate afla cui i-am transmis datele?
Da, are dreptul să te întrebe cine sunt destinatarii, iar tu ești obligat să-i răspunzi.