Opinie Dragoş Radu, EY Law: GDPR poate genera un nou val de procese colective împotriva companiilor care au portofolii mari de clienţi persoane fizice

Dincolo de o conştientizare a importanţei respectării şi asigurării drepturilor persoanelor vizate, interesul mărit faţă de prevederile GDPR a fost creat de sancţiunile usturătoare pe care noua lege le prevede. Concret, în funcţie de obligaţiile încălcate şi de gravitatea situaţiei, companiile riscă amenzi administrative de până la 20 de milioane euro sau de până la 4% din cifra de afaceri mondială totală, anuală, corespunzătoare exerciţiului financiar anterior, luându-se în calcul cea mai mare valoare dintre acestea.

În plus, odată cu campaniile de informare a cetăţenilor şi cu conturarea unei noi arii de practică în materia litigiilor creşte proporţional şi riscul reputaţional. După cele împotriva băncilor, nu excludem un nou val de procese colective, de această dată industriile ţintite putând fi multiple precum: societăţile de asigurare, companiile farmaceutice, spitale şi clinici medicale, agenţii de marketing, media, agenţii de turism. Sunt vizate practic toate companiile care au portofolii mari de clienţi persoane fizice, inclusiv supermarketuri şi benzinării (prin cardurile de fidelitate / clienţi).

GDPR aduce o serie de elemente de noutate, dintre care cele mai însemnate ar fi:

• obligativitatea numirii, în anumite condiţii, a unui responsabil cu protecţia datelor la nivel de companie sau grup care, poate deloc surprinzător, va acţiona în fapt mai mult ca un reprezentant ”în teritoriu” al autorităţii, având rolul de a se asigura că toate procesele şi procedurile operatorului sunt conforme cu legea şi de a notifica autoritatea competentă în termen de 72 de ore atunci când are loc o încălcare a securităţii datelor cu caracter personal;
• redefinirea unor drepturi şi definirea unor drepturi noi pentru persoanele vizate (de exemplu, dreptul de a fi uitat, dreptul la portabilitatea datelor);
• condiţii mult mai stricte pentru o procesare legală în baza consimţământului persoanei vizate;
• o mai mare răspundere în sarcina persoanelor împuternicite să proceseze date cu caracter personal în numele operatorului;  
• desfăşurarea de evaluări de impact în cazul în care operatorul: i) prelucrează automat date cu caracter personal şi care produce efecte juridice privind persoana fizică sau care o afectează în mod similar într-o măsură semnificativă (vorbim aici în special de profilarea clienţilor), ii) prelucrează pe scară largă anumite categorii speciale de date (cel mai des întâlnit exemplu fiind datele privind sănătatea, datele genetice şi biometrice) sau date cu caracter personal privind condamnări penale şi infracţiuni sau iii) monitorizează sistematic pe scară largă o zonă accesibilă publicului.

Nu putem ignora impactul masiv pe care dezvoltarea tehnologiei - sub toate aspectele sale - îl are asupra relaţiilor sociale la nivel global, iar metadatele sunt o realitate de ani buni. În acest context, GDPR impune în primul rând schimbarea mentalităţii privind modul în care înţelegem să utilizăm datele cu caracter personal şi să respectăm şi să protejăm dreptul la viaţa privată. Aşa cum a fost nevoie de o educare a pieţei în domeniul concurenţei, este nevoie ca atât operatorii de date, cât şi persoanele vizate să îşi însuşească, într-un mod adaptat fiecăruia, reglementările GDPR şi să devină mai responsabili şi mai conştienţi de obligaţiile şi drepturile lor.

În acest moment, nu putem anticipa foarte clar cât de pro-activă va fi autoritatea de supraveghere în a doua jumătate a anului dar, cel puţin sub aspectul sancţiunilor şi măsurilor coercitive, care pot duce chiar la suspendarea sau încetarea activităţii unei companii, GDPR merită o atenţie deosebită.

Autor: Dragoş Radu, Partener EY Law