Posts
DPIA – Beneficiile evaluării de impact
Scriam într-un articol precedent faptul că și în situațiile în care unii operatori nu sunt obligați să efectueze evaluarea de impact, Grupul de Lucru „Articolul 29” recomandă efectuarea acesteia. Motivul acestei recomandări este acela că DPIA este un instrument util operatorilor de date pentru respectarea legislației privind protecția datelor.
Principalele beneficii ale întocmirii DPIA (Data Protection Impact Assessment)
- ajută organizația să implementeze toate măsurile necesare pentru a asigura respectarea RGPD;
- reprezintă un mijloc eficient de dovedire a respectării prevederilor RGPD atunci când Autoritatea de supraveghere solicită informații în aceste sens;
- contribuie la îmbunătățirea transparenței în activitatea de prelucrare a datelor cu caracter personal;
- se va îmbunătăți modul în care organizația va folosi informațiile confidențiale;
- în cazul în care DPIA se va publica, va ajuta organizația să-și consolideze poziția de operator de încredere;
- prin identificarea din timp a eventualelor probleme, poate aduce avantaje financiare deoarece rezolvarea unei probleme descoperite din timp este mai puțin costisitoare;
- întocmirea DPIA ajută la creșterea conștientizării organizației asupra importanței confidențialității și a protejării datelor cu caracter personal.
Dacă doriți să aflați mai multe despre RGPD puteți accesa articolele postate pe pagina dedicată protecției datelor sau, dacă aveți întrebări, ni le puteți adresa folosind pagina de contact.
Punerea în întârziere
Punerea în întârziere – noțiune
Punerea în întârziere este manifestarea formală de voință prin care creditorul încunoștințează pe debitor, printr-o notificare scrisă că obligația lui a ajuns la scadență și îi solicită să o execute.
Punerea în întârziere a debitorului poate opera de drept sau la cererea creditorului. Debitorul se află de drept în întârziere atunci când în contract s-a stipulat că simpla împlinire a termenului stabilit pentru executare produce un asemenea efect sau când se află în următoarele cazuri expres prevăzute de lege:
-
dacă obligația nu putea fi executată în mod util decât într-un anumit timp, pe care debitorul l-a lăsat să treacă, sau când nu a executat-o imediat, deși exista urgență;
-
când prin fapta sa, debitorul a făcut imposibilă executarea în natură a obligației sau când a încălcat o obligație de a nu face;
-
dacă debitorul și-a manifestat în mod neîndoielnic față de creditor intenția de a nu executa obligația sau când, fiind vorba de o obligație cu executare succesivă, refuză ori neglijează să își execute obligația în mod repetat;
-
când nu a fost executată obligația de a plăti o sumă de bani, asumată în exercițiul activității unei întreprinderi;
-
când obligația se naște din săvârșirea unei fapte ilicite extracontractuale.
Trebuie să aveți în vedere că toate cazurile în care debitorul se află de drept în întârziere trebuie dovedite de creditor. Orice declarație sau stipulație contrară precizată în contract se consideră nescrisă.
Sunt cazuri în care poate fi pus în întârziere și creditorul. De exemplu, în cazul în care acesta, în mod nejustificat, refuză primirea plății. În această situație legea spune că debitorul nu este ținut să restituie fructele culese după punerea în întârziere.
Aspecte practice
Cunoașterea reglementării punerii în întârziere prezintă importanță nu doar în ceea ce privește executarea obligațiilor contractuale, ci și în alte aspecte juridice cum ar fi:
- data de la care curg dobânzile datorate de administrator, beneficiar, fiduciar sau executorul testamentar, în acest din urmă caz nefiind necesară punerea în întârziere;
- riscul în contractul translativ de proprietate.
De exemplu, este bine de știut că:
-
beneficiarul sau fiduciarul, pentru masa patrimonială fiduciară, datorează dobânzi pentru sumele cuvenite administratorului doar de la punerea în întârziere;
-
executorul testamentar datorează dobânzi pentru sumele de bani aferente succesiunii din ziua întrebuințării lor în interes personal, fără a fi necesară punerea în întârziere;
-
creditorul pus în întârziere preia riscul pieirii fortuite a bunului. El nu se poate libera chiar dacă ar dovedi că bunul ar fi pierit și dacă obligația de predare ar fi fost executată la timp;
-
împlinirea termenului suspensiv nu îl scutește pe creditor de punerea în întârziere a debitorului, afară de stipulație contrară (deci, pentru a nu fi aplicabilă această regulă, este nevoie să se precizeze expres în contract faptul că la data împlinirii termenului suspensiv debitorul este de drept în întârziere);
-
punerea în întârziere a unuia dintre debitori, de drept sau la cererea creditorului, nu produce efecte împotriva celorlalți debitori;
- dacă cererea de chemare în judecată formulată de creditor este depusă fără ca anterior debitorul să fi fost pus în întârziere, debitorului are dreptul de a executa obligația într-un termen rezonabil, calculat de la data când cererea i-a fost comunicată. Dacă obligația este executată în acest termen, cheltuielile de judecată rămân în sarcina creditorului.
Activitatea de creare de programe pentru calculator. Lista ocupațiilor scutite de la plata impozitului pe veniturile din salarii
Începând cu data de 1 februarie 2018 intră în vigoare Ordinul nr. 1168/2017 / 492/2018 / 3024/2018 / 3337/2017 privind încadrarea în activitatea de creare de programe pentru calculator.
Conform acestui act normativ vor beneficia de scutire de la plata impozitului pe veniturile din salarii și asimilate salariilor angajații operatorilor economici care își desfășoară activitatea pe teritoriul României în conformitate cu legislația în vigoare, al căror obiect de activitate include crearea de programe pentru calculator (cod CAEN 5821, 5829, 6201, 6202, 6209).
Condiții pentru a beneficia de scutire
Pentru ca scutirea să se poată aplica trebuie să fie îndeplinite cumulativ următoarele condiții:
a) posturile pe care sunt angajați corespund listei cuprinzând ocupațiile menționate în anexa ordinului;
b) postul face parte dintr-un compartiment specializat de informatică, evidențiat în organigrama angajatorului, cum ar fi: direcție, departament, oficiu, serviciu, birou, compartiment sau altele similare;
c) angajații dețin o diplomă acordată după finalizarea unei forme de învățământ superior de lungă durată sau de scurtă durată sau dețin o diplomă acordată după finalizarea ciclului I de studii universitare de licență, eliberată de o instituție de învățământ superior acreditată sau dețin o diplomă de bacalaureat și urmează cursurile unei instituții de învățământ superior acreditate și prestează efectiv una dintre activitățile prevăzute în anexa ordinului;
d) angajatorul a realizat în anul fiscal precedent și a înregistrat distinct în balanțele analitice venituri din activitatea de creare de programe pentru calculator destinată comercializării;
e) veniturile anuale prevăzute la lit. d) au o valoare de cel puțin echivalentul în lei a 10.000 euro (calculat la cursul de schimb valutar mediu lunar comunicat de Banca Națională a României, aferent fiecărei luni în care s-a înregistrat venitul) pentru fiecare angajat care beneficiază de scutirea de impozit pe venit.
Lista cu ocupațiile specifice activităților de creare de programe pentru calculator.
Ocupațiile specifice activităților de creare de programe pentru calculator prevăzute în anexa ordinului sunt următoarele:
- Administrator baze de date
- Analist
- Inginer de sistem în informatică
- Inginer de sistem software
- Manager de proiect informatic
- Programator
- Proiectant de sisteme informatice
- Programator de sistem informatic
- Programator ajutor
- Analist ajutor
Față de scutirea de impozit a programatorilor din trecut, noutatea acestui ordin constă în includerea printre beneficiari și a celor care au absolvit liceul, au obținut diploma de bacalaureat, urmează cursurile unei facultăți din domeniul programării pe calculator și lucrează pe unul din posturile menționate mai sus.
DPO – Nivelul de expertiză și calitățile profesionale
Conform RGPD în anumite cazuri operatorii de date personale trebuie să-și numească un „responsabil cu protecția datelor personale” (Data Protection Officer – DPO). Mai multe despre acest subiect puteți găsi aici.
Din păcate, Regulamentul reglementează sumar DPO-ul, făcând astfel dificilă stabilirea condițiilor pe care trebuie să le întrunească persoana care dorește să fie DPO.
DPO – reglementarea din RGPD
La art. 37 alin. (5) din RGPD se arată că „Responsabilul cu protecția datelor este desemnat pe baza calităților profesionale și, în special, a cunoștințelor de specialitate în dreptul și practicile din domeniul protecției datelor, precum și pe baza capacității de a îndeplini sarcinile prevăzute la articolul 39.”
Aceasta înseamnă că responsabilul cu protecția datelor personale trebuie să cunoască cel puțin legislația privind datele personale și procedurile aferente acestui domeniu (guvernanța informațiilor și securitate cibernetică). Mai mult, ținând cont de atribuțiile sale (informare și consiliere a operatorului), responsabilul cu protecția datelor personale trebuie să aibă acces la nivelul de top management.
Prin urmare, un DPO trebuie să aibă competențele și experiența combinată a unor roluri tipice separate, cum ar fi un manager, avocat și specialist IT.
Recomandarea Grupului de lucru „Articolul 29”
Conform Ghidului Grupului de lucru „Articolul 29” aptitudinile și expertiza relevante includ:
-
experiență în legislația și practicile de protecție a datelor la nivel național și european;
-
o înțelegere complexă a RGPD;
-
înțelegerea operațiunilor de prelucrare efectuate;
-
înțelegerea tehnologiilor de informații și de securitate a datelor;
-
cunoașterea sectorului de afaceri și a organizației;
-
abilitatea de a promova protecția datelor în cadrul organizației.
Totodată, Grupul de lucru „Articolul 29” recomandă ca autoritățile de supraveghere să promoveze o formă adecvată și regulată pentru DPO. În consecință vom aștepta punctul de vedere al A.N.S.P.D.C.P.
Menționăm, de asemenea, că la acest moment autoritatea națională din România nu oferă traininguri pentru DPO și deși această ocupație a fost introdusă de curând în Clasificarea Ocupațiilor din România, nu au fost emise norme care să prevadă calificările minime necesare pentru ca o persoană să poată ocupa această funcție.
În același timp, atragem atenția că nicio entitate care susține că oferă traininguri de calificare a unui DPO nu emite certificări sau diplome recunoscute de autoritatea națională în domeniu.
RGPD – Cine trebuie să desemneze un responsabil cu protecția datelor? (III – Monitorizare periodică și sistematică)
Continuăm seria explicațiilor privind noțiunile problematice ale art. 37 din RGPD cu aceea de ‘monitorizare periodică și sistematică’.
Monitorizarea periodică și sistematică
Nici în acest caz RGPD nu ne oferă o definiție expresă, cu atât mai mult cu cât în fapt avem trei noțiuni: „monitorizare”, „periodic” și „sistematic”. Putem, însă, să extragem anumite explicații ale acestora din analiza extinsă a instrucțiunilor formulate pentru RGPD și a considerentelor acestuia.
Monitorizare
În considerentul nr. 24 putem găsi conceptul de „monitorizare a comportamentului persoanelor vizate”: „Pentru a se determina dacă o activitate de prelucrare poate fi considerată ca „monitorizare a comportamentului” persoanelor vizate, ar trebui să se stabilească dacă persoanele fizice sunt urmărite pe internet, inclusiv posibila utilizare ulterioară a unor tehnici de prelucrare a datelor cu caracter personal care constau în crearea unui profil al unei persoane fizice, în special în scopul de a lua decizii cu privire la aceasta sau de a analiza sau de a face previziuni referitoare la preferințele personale, comportamentele și atitudinile acesteia.”
Este foarte important să știm că în opinia Grupului de lucru „Articolul 29” noțiunea de monitorizare nu este restricționată în mediul online, iar urmărirea online ar trebui să fie considerată doar ca un exemplu de monitorizare a comportamentului persoanelor vizate.
Periodic
Tot Grupului de lucru „Articolul 29” i-a revenit sarcina de a ne ajuta și în acest caz, stabilind că „periodic” poate fi interpretat astfel:
- în curs de desfășurare sau care apare la anumite intervale într-o anumită perioadă;
- recurente sau repetate la perioade fixe;
- constante sau care au loc periodic.
Sistematic
În aceeași manieră, Grupul de lucru „Articolul 29” interpretează termenul „sistematic” ca însemnând una sau mai multe din următoarele:
- apărut conform sistemului prearanjat, organizat sau metodic;
- luând loc ca parte a unui plan general de colectare a datelor;
- efectuat ca parte a unei strategii.
Studiu de caz
Prin urmare, monitorizarea sistematică și periodică înseamnă urmărirea persoanelor vizate și/sau crearea de profiluri ale acestora în mod recurent/periodic/constant și în contextul unei strategii/plan/sistem.
Astfel, în exemplul nostru din articolul anterior, dacă magazinul online folosește datele clienților săi pentru a transmite newslettere ori pentru a transmite sugestii de achiziții adiacente celor deja efectuate pe site, putem concluziona că acesta efectuează o monitorizare sistematică și periodică a datelor personale.
Puteți citi articolele anterioare pe subiectul responsabilului cu protecția datelor personale aici și aici.
RGPD – Cine trebuie să desemneze un responsabil cu protecția datelor? (II – Activitățile principale)
Dintre noțiunile menționate în articolul anterior, cea pe care o vom analiza în acest articol este noțiunea de ”activități principale”.
Activitățile principale
RGPD nu definește activitățile principale în mod expres, însă le găsim menționate în considerentul nr. 97: „În sectorul privat, activitățile principale ale unui operator se referă la activitățile sale de bază, și nu la prelucrarea datelor cu caracter personal drept activități auxiliare.”
A.N.S.P.D.C.P. ne informează că „Pentru a stabili activitatea principală desfășurată de un operator sau împuternicit, aceasta trebuie analizată prin raportare la prelucrările de date cu caracter personal efectuate.”
Conform Instrucțiunilor Grupului de lucru „Articolul 29” activitățile principale pot fi considerate ca operațiuni cheie necesare pentru îndeplinirea obiectivelor operatorului sau persoanei împuternicite de operator. Din cuprinsul acestora nu pot fi excluse acele activități în care prelucrarea datelor reprezintă o parte indisolubilă a activității operatorului sau persoanei împuternicite de operator.
Astfel, în exemplul oferit de Grupul de lucru „Articolul 29”, prelucrarea datelor privind starea de sănătate (dosarele medicale ale pacienților) ar trebui să fie considerată a fi una dintre activitățile principale în orice spital.
Pentru a ne ajuta să distingem între tipurile de activități și să identificăm mai ușor activitățile principale în sensul RGPD, le putem compara cu activitățile auxiliare, ce sunt definite de către Grupul de lucru „Articolul 29” astfel: funcții de sprijin necesare pentru activitatea de bază sau principală a organizației cum ar fi plata angajaților lor sau deținerea de activități standard de suport IT.
Studiu de caz
Analizând definițiile și informațiile menționate anterior, putem lua ca exemplu un magazin online. Deși activitatea principală prevăzută în actul constitutiv al societății este comerțul cu amănuntul prin intermediul caselor de comenzi sau prin internet, din perspectiva RGPD activitatea principală include și prelucrarea datelor clienților săi care și-au creat un cont pe site-ul magazinului și au achiziționat produsele vândute de acesta. Explicația constă în faptul că operatorul (magazinul online) nu ar putea vinde produsele sale fără a colecta datele personale ale clienților.
RGPD – Consimțământul persoanei vizate
Din mai 2018, persoanele vizate cărora li se colectează si prelucrează date cu caracter personal își vor acorda consimțământul în condiții diferite decât în prezent.
Astfel, Regulamentul European definește consimțământul persoanei vizate ca fiind ”orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate”.
Ce caracteristici trebuie să aibă consimțământul
În primul rând, observăm chiar din textul definiției faptul că pe viitor consimțământul trebuie acordat printr-o acțiune (declarație sau acțiune fără echivoc). Aceasta înseamnă că simpla mențiune existentă în prezent pe multe dintre site-uri care spune că ”prin continuarea navigării pe acest site sunteți de acord cu prelucrarea datelor dvs.” nu mai este suficientă.
Asfel, consimțământul va trebui acordat printr-o acțiune neechivocă care să constituie o manifestare liber exprimată, specifică, informată și clară a acordului persoanei vizate. Astfel de acțiuni pot fi declarații scrise, inclusiv în format electronic, ce includ bifarea unei căsuțe atunci când persoana vizitează un site.
Pentru ca manifestarea să fie specifică, informată și clară, operatorul care urmează a prelucra datele trebuie să ofere informații clare, simple și transparente în ceea ce privește scopul prelucrării datelor, temeiul prelucrării, perioada de timp pentru care datele sunt prelucrate, dar și dreptul său de a-și retrage consimțământul oricând.
De asemenea, persoana vizată trebuie să fie informată privind identitatea operatorului și a responsabilului cu protecția datelor, destinatarul datelor și eventualele interese și intenții de transferuri ale acestora către state terțe.
Atenție! Dacă datele urmează a fi prelucrate pentru mai multe scopuri, consimțământul trebuie acordat pentru fiecare dintre acestea!
Când nu este considerat consimțământul ca fiind colectat în mod legal
Regulamentul stabilește că absența unui răspuns la solicitarea consimțământului, căsuțele bifate în prealabil pe site sau absența unei acțiuni nu consituie un consimțământ, în sensul legal.
Totodată, consimțământul este considerat a nu fi acordat în mod liber atunci când operatorul nu permite să se acorde consimțământul separat pentru diferitele operațiuni de prelucrare a datelor cu caracter personal sau dacă executarea unui contract, inclusiv furnizarea unui serviciu este condiționată de consimțământ, în ciuda faptului că consimțământul în cauză nu este necesar pentru executarea contractului.
Dacă persoana vizată nu dispune cu adevărat de libertatea de alegere sau nu este în măsură să refuze sau să își retragă consimțământul fără a fi prejudiciată, consimțământul nu este acordat în mod liber.
Dreptul persoanei vizate de a-și retrage consimțământul
Persoanele vizate au dreptul în orice moment de a-și retrage consimțământul și trebuie informate cu privire la acest drept chiar din momentul în care consimțământul le este cerut. În acest sens, vorbim de dreptul de a fi uitat. Acest drept este relevant în special în cazul în care persoana vizată și-a dat consimțământul când era copil și nu cunoștea pe deplin riscurile pe care le implică prelucrarea.
Astfel, din momentul retragerii consimțământului, operatorul este obligat să șteargă datele personale cu privire la acea persoană, fără ca acest lucru să afecteze legalitatea prelucrării anterioare retragerii consimțământului. Obligația de ștergere cunoaște și excepții care numără printre altele păstrarea în interes public, pentru exercitarea dreptului la libertatea de exprimare și informare ori pentru respectarea unei obligații legale.
Obligația de eliminare a datelor se aplică atât pentru operator, cât și pentru toate persoanele cărora le-au fost transferate, inclusiv dacă datele au fost făcute publice.
Cazul special al consimțământului acordat de copii
Potrivit RGPD, prelucrarea datelor cu caracter personal ale unui copil este legală dacă copilul are cel puțin vârsta de 16 ani. Dacă copilul are sub vârsta de 16 ani, respectiva prelucrare este legală numai dacă și în măsura în care consimțământul respectiv este acordat sau autorizat de titularul răspunderii părintești asupra copilului.
Prin urmare, obținerea consimțământului persoanelor vizate pentru prelucrarea datelor personale ale acestora trebuie făcută cu mare atenție în vederea respectării cerințelor legale, care sunt mult mai drastice din mai 2018.
Este important de precizat că operatorii trebuie să poată face dovada faptului că au primit consimțământul și că acesta îndeplinește condițiile legale.
Așteptăm eventualele întrebări pe adresa noastră de contact.
Black Friday – ABC legislativ
Black Friday se apropie și, pe lângă ceea ce dorim să cumpărăm, este bine să știm cum se desfășoară legal această campanie și la ce să fim atenți. Prin urmare, am considerat că prezintă interes pentru dumneavoastră să vă reamintim ce spune legea despre vânzările promoționale.
Black Friday – vânzare promoțională sau lichidare de stoc?
Destul de multe persoane consideră că reducerile de Black Friday sunt de fapt lichidări de stoc. Pentru a lămuri ce fel de reducere este cea de Black Friday, vom reproduce în cele ce urmează definițiile date de legiuitor.
Ordonanța nr. 99/2000 privind comercializarea produselor și serviciilor de piață definește vânzările promoționale ca fiind vânzările cu amănuntul/vânzările cash and carry/prestările de servicii de piață care pot avea loc în orice perioadă a anului, fără să facă obiectul notificării, cu condiția ca:
- să nu fie efectuate în pierdere;
- să se refere la produse disponibile sau reaprovizionabile, precum și la servicii vândute ori, după caz, prestate în mod curent;
- produsele și serviciile promovate trebuie să existe la vânzare pe durata întregii perioade anunțate a vânzărilor promoționale sau comerciantul va informa consumatorii că oferta este valabilă numai în limita stocului disponibil.
Prin vânzare de lichidare se înțelege orice vânzare precedată sau însoțită de publicitate și anunțată sub denumirea de “lichidare” și care, printr-o reducere de prețuri, are ca efect vânzarea accelerată a totalității sau numai a unei părți din stocul de produse dintr-o structură de vânzare cu amănuntul.
Prin urmare, cele două noțiuni sunt diferite, iar reducerile de Black Friday nu sunt și nu pot fi în mod legal lichidări de stoc.
Reguli de fixare și publicitate a prețurilor de Black Friday
Promoțiile de Black Friday trebuie să respecte următoarele reguli pentru a se încadra în limitele legii:
-
reducerea de preț trebuie să se raporteze la prețul de referință practicat în același spațiu de vânzare pentru produse sau servicii identice;
-
orice anunț de reducere de prețuri, indiferent de forma, modul de publicitate și motivația reducerii, trebuie să se adreseze ansamblului consumatorilor și să indice în cifre o reducere în raport cu prețurile de referință;
-
este interzis ca o reducere de preț pentru un produs și/sau serviciu să fie prezentată consumatorilor ca o ofertă gratuită a unei părți din produs și/sau serviciu.
Prețul de referință reprezintă cel mai scăzut preț practicat în același spațiu de vânzare în perioada ultimelor 30 de zile, înainte de data aplicării prețului redus.
Dacă aveți calitatea de comerciant ar trebui să acordați atenție maximă următoarelor precizări.
Nu sunt considerate vânzări promoţionale:
- acțiunile de promovare efectuate de producători;
- acțiunile de lansare de produse/servicii noi pe piață.
Publicitatea prin catalog și ofertele de reducere de prețuri lansate de comercianții care practică vânzarea prin corespondență pot fi valabile numai până la epuizarea stocurilor, cu condiția ca această mențiune să figureze vizibil și lizibil în catalog.
Toate documentele justificative legale care atestă veridicitatea prețului de referință trebuie să fie păstrate pentru a putea fi prezentate ori de câte ori este nevoie organelor de control abilitate. Nerespectarea acestei prevederi se sancționează cu amendă de la 2.000 lei la 10.000 lei.
Orice anunţ de reducere de preţuri ce nu corespunde reducerii practicate efectiv în raport cu preţul de referinţă este considerat o formă de publicitate înşelătoare şi este sancţionat conform reglementărilor legale în vigoare.
Anunțul promoțional
Conținutul anunțului privind reducerea de prețuri este reglementat special de Normele metodologice ale O.G. nr. 99/2000 și trebuie să precizeze:
-
reducerea efectivă în raport cu preţul de referinţă, care reprezintă cel mai scăzut preţ practicat în aceeaşi suprafaţă de vânzare, pentru produse sau servicii identice, în perioada ultimelor 30 de zile calendaristice înainte de data aplicării preţului redus;
-
produsele sau serviciile ori categoriile de produse sau servicii la care se referă anunţul publicitar;
-
perioada pentru care produsele sau serviciile respective sunt oferite la preţ redus; în cazul lichidărilor şi soldărilor această condiţie poate fi înlocuită de menţiunea: “până la epuizarea stocului”. Această menţiune poate fi folosită şi în cazul vânzărilor promoţionale.
Cerințele de mai sus se aplică oricărui anunţ de reducere de preţuri, indiferent de:
-
formă – afişe pe vitrine, prospecte, anunţuri în presă, radio, televiziune sau orice altă formă;
-
modul de publicitate – scrisă, orală sau orice alt mod;
-
motivația reducerii – soldări, lichidări sau orice altă motivație.
În cazul în care constatați nerespectarea regulilor de desfășurare a campaniei promoționale vă recomandăm ca mai înainte de a efectua orice acțiune să încercați să rezolvați problema cu reprezentanții magazinului în cauză urmând ca ulterior să sesizați Comisariatul Regional pentru Protecția Consumatorilor competent. Lista comisariatelor o puteți consulta aici.
RGPD – Domeniul teritorial de aplicare
RGPD se aplică doar operatorilor aflați pe teritoriul UE?
Conform art. 3 din RGPD, regulamentul se aplică prelucrării datelor cu caracter personal:
-
în cadrul activităților unui sediu al unui operator sau al unei persoane împuternicite de operator pe teritoriul Uniunii, indiferent dacă prelucrarea are loc sau nu pe teritoriul Uniunii;
-
ale unor persoane vizate care se află în Uniune de către un operator sau o persoană împuternicită de operator care nu este stabilit(ă) în Uniune, atunci când activitățile de prelucrare sunt legate de:
-
oferirea de bunuri sau servicii unor astfel de persoane vizate în Uniune, indiferent dacă se solicită sau nu efectuarea unei plăți de către persoana vizată; sau
-
monitorizarea comportamentului lor dacă acesta se manifestă în cadrul Uniunii;
-
-
de către un operator care nu este stabilit în Uniune, ci într-un loc în care dreptul intern se aplică în temeiul dreptului internațional public.
Concret, RGPD se aplică direct în toate statele membre, chiar și în cazul în care sediul operatorului de date nu se află pe teritoriul UE cu condiția ca bunurile sau serviciile operatorului să fie adresate cetățenilor UE. Prin urmare, nu contează locul unde sunt prelucrate datele cu caracter personal atâta timp cât sunt întrunite cerințele de mai sus.
Interpretări date de Curtea de Justiție a Uniunii Europene (CJUE)
În ceea ce privește sediul, CJUE în cauza C-230/14 (Weltimmo vs. NAIH), a reținut că noțiunea de sediu „înlătură orice abordare formalistă conform căreia o întreprindere ar fi stabilită exclusiv în locul în care este înmatriculată și se extinde la orice activitate reală și efectivă, chiar minimă, exercitată într-o formă de instalare stabilă.”
Organizațiile care dețin birouri de vânzări pe teritoriul UE, prin intermediul cărora efectuează activități de promovare sau de publicitate/marketing care vizează rezidenții din UE, vor trebui să respecte prevederile RGPD având în vedere faptul că, așa cum a declarat CJUE în cauza C-131/12 (Google Spain SL, Google Inc. vs.(AEPD), Mario Costeja González), „o prelucrare a datelor cu caracter personal este efectuată în cadrul activităților unui sediu al operatorului pe teritoriul unui stat membru, în sensul acestei dispoziții, în cazul în care operatorul unui motor de căutare înființează într-un stat membru o sucursală sau o filială destinată promovării și vânzării spațiului publicitar de pe pagina acestui motor, a cărei activitate este orientată către locuitorii acelui stat membru.”
Referitor la situația oferirii de bunuri sau servicii persoanelor vizate situate pe teritoriul UE, simpla accesare a unui site din interiorul UE nu este suficientă pentru a declanșa aplicabilitatea Regulamentului. În acest sens, a se vedea cauzele conexate C-585/08 și C-144/09.