Conferințe, workshopuri, traininguri, lansări, evenimente interne sau publice.
Pentru multe organizații, evenimentele sunt o parte firească a activității. Pentru GDPR, însă, ele sunt un concentrat de date personale: liste de participanți, badge-uri, formulare, fotografii, filmări, postări online.
Una dintre cele mai frecvente întrebări este aparent simplă:
avem sau nu nevoie de consimțământ?
Și, legată direct de ea: ce rol are Articolul 13 GDPR?
Articolul 13 GDPR: punctul de plecare, nu consimțământul
Articolul 13 din GDPR nu vorbește despre consimțământ.
Vorbește despre obligația de informare.
Pe scurt, atunci când colectezi date personale direct de la persoană (cum se întâmplă la evenimente), ești obligat să îi spui, într-un mod clar și accesibil:
- cine ești (operatorul),
- ce date colectezi,
- de ce le colectezi,
- pe ce bază legală,
- cât timp le păstrezi,
- ce drepturi are persoana,
- cui pot fi transmise datele.
Această informare este obligatorie aproape întotdeauna, indiferent dacă ai sau nu consimțământ.
Confuzia apare pentru că multe organizații amestecă informarea (Art. 13) cu consimțământul (Art. 6 și 7).
Ce date personale apar, concret, la un eveniment
Chiar și un eveniment „simplu” implică prelucrări:
- nume și prenume (liste de participanți, badge-uri),
- e-mail, telefon (înscriere, confirmări),
- funcție, companie,
- imagini foto/video,
- uneori date sensibile (ex. preferințe alimentare medicale, dizabilități).
Faptul că aceste date sunt oferite „voluntar” nu înseamnă automat că există consimțământ GDPR valid.
Când NU ai nevoie de consimțământ
Aceasta este partea care surprinde cel mai des.
1. Organizarea propriu-zisă a evenimentului
Pentru:
- înscriere,
- comunicare logistică,
- acces,
- liste de participanți,
- emitere diplome/certificate,
baza legală este, de regulă, executarea unui contract sau interesul legitim.
Nu consimțământul.
Participantul se înscrie la eveniment → există o relație clară → datele sunt necesare pentru a livra evenimentul.
Aici este suficient:
- informarea conform Art. 13,
- respectarea principiilor GDPR (minimizare, securitate, limitarea scopului).
2. Poze de context, cadre largi, atmosferă
Fotografii sau filmări:
- din sală,
- cu public numeros,
- fără focalizare pe o persoană anume,
pot fi justificate prin interes legitim, dacă:
- evenimentul este public sau semi-public,
- scopul este rezonabil (documentare, promovare),
- persoanele sunt informate dinainte (Art. 13).
Nu este nevoie de consimțământ individual pe foaie, dacă lucrurile sunt făcute corect.
Când AI nevoie de consimțământ
1. Fotografii sau filmări focalizate pe persoane
Dacă:
- fotografiezi un participant individual,
- faci interviuri,
- surprinzi clar reacții, fețe, intervenții,
atunci consimțământul este, de regulă, necesar, mai ales dacă materialele sunt folosite în scop de promovare.
Aici „ne-am văzut la eveniment” nu este suficient.
2. Utilizare de marketing ulterior
Trimiterea de:
- newslettere,
- invitații comerciale,
- oferte,
după eveniment nu este acoperită automat de participare.
Pentru comunicări de marketing, consimțământul este, în majoritatea cazurilor, necesar (cu unele excepții foarte strict interpretate).
3. Publicarea pe termen lung sau reutilizarea materialelor
Dacă imaginile/video:
- sunt păstrate ani de zile,
- sunt refolosite în campanii,
- apar pe site, social media, materiale comerciale,
consimțământul clar și demonstrabil devine esențial.
„Punem o foaie la intrare” – soluție sau capcană?
Celebrele foi de consimțământ semnate la intrare sunt, de multe ori, problematice:
- nu sunt citite,
- nu explică scopurile reale,
- amestecă informarea cu consimțământul,
- nu oferă o alternativă reală (participare fără poze).
Un consimțământ GDPR trebuie să fie:
- liber exprimat,
- specific,
- informat,
- ușor de retras.
La un eveniment, unde accesul depinde de semnare, „liber exprimat” devine discutabil.
De aceea, în multe situații, informarea corectă + interes legitim este mai solidă juridic decât un consimțământ formal greșit.
Cum arată o abordare corectă, în practică
Fără a intra în checklist-uri, evenimentele conforme au, de regulă:
- informare clară înainte de eveniment (site, e-mail, afiș),
- delimitare între organizare și promovare,
- reguli clare pentru foto/video,
- consimțământ doar acolo unde este cu adevărat necesar,
- coerență între ce se spune și ce se face.
Exact lipsa acestei coerențe generează cele mai multe riscuri.
De ce evenimentele sunt mai sensibile decât par
Evenimentele combină:
- date personale,
- imagine,
- expunere publică,
- uneori raporturi de putere (angajați, studenți, participanți „invitați”).
O plângere sau o sesizare poate apărea ușor, mai ales când oamenii descoperă ulterior poze cu ei online, fără să fi înțeles de la început ce se întâmplă cu datele lor.
GDPR la evenimente nu înseamnă rigiditate, ci onestitate
GDPR nu interzice fotografiile, filmările sau promovarea.
Cere doar ca participanții să știe și să poată alege, acolo unde legea o cere.
La A&T COMPLIANCE CONSULTING SRL, lucrăm frecvent cu organizații care organizează evenimente și descoperă că problema nu este lipsa bunelor intenții, ci lipsa clarității juridice.
Iar claritatea, în GDPR, face diferența dintre un eveniment reușit și un risc inutil.
GDPR nu este despre hârtii la intrare.
Este despre transparență, proporționalitate și respect.