Daca o companie, institutie sau platforma iti prelucreaza datele personale, ai drepturi. Poti cere acces la date, rectificarea datelor gresite, stergerea datelor in anumite situatii, restrictionarea prelucrarii sau alte masuri prevazute de GDPR.
Acest ghid explica pasii practici pentru o cerere GDPR in Romania si cand poate fi sesizata ANSPDCP. Este informatie generala.
Pe scurt
Pentru o cerere GDPR:
- identifica operatorul;
- spune clar ce drept exerciti;
- descrie datele sau contul vizat;
- ataseaza dovada identitatii doar daca este necesar si proportional;
- cere raspuns scris;
- pastreaza dovada trimiterii;
- daca nu primesti raspuns sau raspunsul este nesatisfacator, ia in calcul plangere la ANSPDCP.
ANSPDCP arata ca persoana fizica se adreseaza intai operatorului care i-a prelucrat datele, iar plangerile pot fi depuse de persoanele vizate care considera ca prelucrarea incalca dispozitiile legale aplicabile.
Dreptul de acces
Prin dreptul de acces poti cere sa afli:
- daca ti se prelucreaza datele;
- ce categorii de date sunt folosite;
- scopurile prelucrarii;
- destinatarii;
- perioada de stocare;
- sursa datelor, daca nu au fost colectate direct de la tine;
- existenta unor decizii automate, daca este cazul.
Formuleaza cererea concret. De exemplu: "Solicit acces la toate datele personale asociate contului meu [email] si la istoricul prelucrarilor relevante."
Rectificare
Daca datele sunt gresite sau incomplete, cere rectificarea lor. Include:
- datele gresite;
- forma corecta;
- documente justificative, daca este cazul;
- cererea de confirmare dupa modificare.
Exemple: nume scris gresit, adresa veche, CNP introdus incorect, date medicale sau financiare atribuite gresit.
Stergere
Dreptul la stergere nu inseamna ca orice date dispar oricand, la simpla cerere. Pot exista obligatii legale de pastrare, apararea unor drepturi sau alte temeiuri.
Totusi, poti cere stergerea daca:
- datele nu mai sunt necesare;
- ti-ai retras consimtamantul si nu exista alt temei;
- te opui prelucrarii si nu exista motive legitime prevalente;
- datele au fost prelucrate ilegal;
- legea cere stergerea.
Cere si confirmarea categoriilor de date sterse si a celor pastrate, cu motiv.
Restrictionare si opozitie
Restrictionarea poate fi utila cand:
- contesti exactitatea datelor;
- prelucrarea este contestata;
- operatorul nu mai are nevoie de date, dar tu ai nevoie pentru apararea unui drept;
- ai facut opozitie si se verifica motivele.
Dreptul de opozitie poate fi relevant pentru marketing direct sau prelucrari bazate pe interes legitim.
Cum scrii cererea
Subiect: Cerere exercitare drepturi GDPR
Buna ziua,
Subsemnatul/Subsemnata [nume], identificat(a) prin [date minime relevante],
solicit exercitarea urmatorului drept: [acces / rectificare / stergere / restrictionare / opozitie].
Cererea priveste datele asociate cu: [cont, email, numar client, contract, situatie].
Va rog sa imi transmiteti raspunsul in scris la [email/adresa].
Data:
Nume:
Nu trimite copii de buletin fara motiv. Daca operatorul cere verificarea identitatii, intreaba ce date sunt strict necesare si cum vor fi protejate.
Cand reclami la ANSPDCP
Ia in calcul plangere daca:
- operatorul nu raspunde;
- raspunsul este incomplet;
- refuza fara explicatie;
- continua prelucrarea desi ai cerut stergere/opozitie;
- datele sunt folosite ilegal;
- ai suferit un incident sau o divulgare neautorizata.
Pastreaza cererea initiala, dovada transmiterii, raspunsul primit si orice capturi sau documente.
Plangerea GDPR ca persoana fizica: pasi
Orice persoana vizata care considera ca prelucrarea datelor sale incalca GDPR poate depune plangere la autoritatea de supraveghere, in special in statul in care locuieste, lucreaza sau unde a avut loc incalcarea (art. 77 GDPR). In Romania, aceasta este ANSPDCP, iar procedura este stabilita prin Decizia nr. 133/2018.
- Trimite intai cererea catre operator. Operatorul are o luna sa raspunda, termen care poate fi prelungit cu doua luni daca te anunta (art. 12 alin. (3) GDPR). Daca nu raspunde, vezi ce faci cand o companie nu raspunde la cererea GDPR.
- Scrie plangerea in romana sau engleza. Sunt obligatorii numele, prenumele, adresa postala, e-mailul daca depui electronic, datele operatorului, descrierea detaliata a problemei, demersurile facute la operator si dovezile pe care le ai.
- Depune-o la registratura ANSPDCP, prin posta, e-mail sau formularul electronic de pe site, semnata olograf sau electronic. Poti actiona si prin avocat ori prin sot sau ruda pana la gradul al doilea.
- ANSPDCP iti spune in cel mult 45 de zile daca plangerea este admisibila si te informeaza despre investigatie in 3 luni de la admisibilitate.
ANSPDCP poate obliga operatorul sa iti respecte drepturile si poate aplica amenzi, dar nu acorda despagubiri. Pentru despagubiri (art. 82 GDPR) sau o actiune directa contra operatorului (art. 79) mergi in instanta, cererea fiind scutita de taxa de timbru. Impotriva deciziei ANSPDCP ai cale de atac in instanta (art. 78).
Greseli frecvente
Cerere prea vaga
"Stergeti tot" poate fi neclar. Spune ce date, ce cont si ce drept invoci.
Trimiterea excesiva de date
Nu trimite mai multe date personale decat este necesar pentru identificare.
Reclamatia fara dovada cererii initiale
ANSPDCP va avea nevoie sa inteleaga ce ai cerut si cum a raspuns operatorul.
Confundarea operatorului cu persoana imputernicita
Uneori platforma, magazinul, banca sau institutia este operatorul, iar furnizorul tehnic doar proceseaza datele pentru ea.
Checklist
- identifica operatorul;
- alege dreptul GDPR;
- scrie cererea clar;
- pastreaza dovada trimiterii;
- asteapta raspunsul in termenul aplicabil;
- verifica daca raspunsul este complet;
- pregateste plangerea daca este nevoie.
Documentele medicale au și o procedură specifică
Pentru foaia de observație, rezultatele investigațiilor și alte documente ale pacientului, consultă cererea de copie a dosarului medical. Ghidul separă procedura medicală românească de termenul general GDPR și explică accesul prin reprezentant.
FAQ
Pot cere toate datele despre mine?
Da, prin dreptul de acces poti cere datele personale prelucrate despre tine, dar operatorul poate proteja drepturile altor persoane si se poate limita la date personale relevante.
Pot cere stergerea contului?
Da, dar unele date pot fi pastrate daca exista obligatii legale sau motive legitime, de exemplu documente fiscale sau apararea unui drept.
Trebuie sa trimit buletinul?
Nu automat. Operatorul poate verifica identitatea, dar cererea trebuie sa fie proportionala. Poti acoperi date nerelevante daca se solicita o copie.
Unde depun plangere?
La ANSPDCP (B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, Bucuresti), la registratura, prin posta, prin e-mail sau prin formularul electronic de pe dataprotection.ro. Ataseaza cererea trimisa operatorului, dovada transmiterii si raspunsul primit, daca exista. Plangerea fara nume, prenume si adresa postala este considerata anonima si se claseaza.
Pot obtine despagubiri prin plangerea la ANSPDCP?
Nu. ANSPDCP poate constata incalcarea, poate dispune masuri si poate aplica amenzi, dar despagubirile pentru prejudiciul material sau moral se cer in instanta, de la operator sau de la persoana imputernicita (art. 82 GDPR). Poti folosi ambele cai: plangerea la ANSPDCP nu te impiedica sa te adresezi instantei.
Surse si puncte de verificat
- ANSPDCP, transmiterea plangerilor: https://www.dataprotection.ro/?lang=ro&page=Transmiterea_plangerilor_catre_ANSPDCP
- ANSPDCP, plangeri RGPD: https://www.dataprotection.ro/?lang=en&page=Plangeri_RGPD
- Legea nr. 190/2018 privind masuri de aplicare GDPR: https://legislatie.just.ro/Public/DetaliiDocument/220052
- ANSPDCP, procedura de solutionare a plangerilor (Decizia nr. 133/2018): https://www.dataprotection.ro/?page=procedura_plangerilor&lang=ro
- Regulamentul (UE) 2016/679, art. 12, 77-79 si 82: https://eur-lex.europa.eu/legal-content/RO/TXT/?uri=CELEX:32016R0679