Trebuie să aleg un temei legal pentru fiecare utilizare a datelor?

Da. Alegerea se face pentru fiecare scop concret, nu o singură dată pentru întreaga firmă și nici pentru fiecare aplicație în mod automat. Trimiterea facturilor, recrutarea și promovarea prin e-mail pot avea scopuri și temeiuri diferite. Notați scopul, persoanele vizate, datele, temeiul și motivul alegerii înainte ca prelucrarea să înceapă.

Consimțământul este întotdeauna cea mai sigură opțiune?

Nu. Consimțământul este potrivit numai când persoana are o alegere reală, informată și ușor de retras. Dacă serviciul trebuie furnizat oricum ori există un dezechilibru puternic, alt temei poate descrie mai corect operațiunea. Alegerea nu se face după impresia de prudență, ci după scop, necesitate și condițiile legale aplicabile.

Pot schimba temeiul legal după ce am început prelucrarea?

Nu ar trebui să schimbați eticheta doar fiindcă primul temei a devenit incomod. Persoana a primit informații și drepturi în funcție de alegerea inițială. O operațiune cu adevărat nouă cere o analiză nouă; aceeași operațiune nu poate fi rebotezată după retragerea consimțământului pentru a continua în mod artificial. Documentați orice schimbare reală și comunicați-o corect.

Datele sensibile cer un alt temei legal?

Ele cer două niveluri de justificare. Mai întâi aveți nevoie de unul dintre cele șase temeiuri pentru prelucrare. Separat, trebuie să existe condiția suplimentară aplicabilă categoriei speciale de date și, unde este cazul, regulile distincte pentru condamnări și infracțiuni. Un temei obișnuit nu transformă singur prelucrarea acestor informații într-una permisă.

Unde trebuie consemnat temeiul legal?

Păstrați alegerea într-un registru utilizabil, legat de scopul real și de sistemele care îl execută. Înregistrarea arată cine răspunde, ce date sunt folosite, de la cine provin, cui ajung, cât sunt păstrate, ce temei se aplică și unde se află analiza de sprijin. Aceeași alegere trebuie să apară coerent în informarea persoanelor.

Ce este temeiul legal și cum îl alege o firmă?

O firmă întâlnește expresia în formulare, politici și chestionare, de obicei înainte să știe ce decizie cere. Întrebarea „ce este temeiul legal?” are un răspuns practic: este justificarea juridică precisă pentru un scop precis de folosire a datelor personale. Fără această legătură, o listă de aplicații sau un acord generic nu dovedește legalitatea.

Răspuns rapid

Ce este temeiul legal? Este motivul prevăzut de GDPR care permite unei organizații să prelucreze date personale pentru un scop determinat. Există șase opțiuni, iar consimțământul este numai una dintre ele. Firma alege înainte de prelucrare, verifică necesitatea, informează persoana și păstrează o justificare care poate fi explicată ulterior.

Ultima actualizare: 28 august 2026

Șase căi, nu șase etichete

Articolul 6 din GDPR oferă șase temeiuri legale, dar ele nu sunt variante de vocabular pentru aceeași decizie. Fiecare are condiții, limite și consecințe diferite pentru persoana ale cărei date sunt folosite ¹.

Temei	Când descrie operațiunea	Exemplu concret
Consimțământ	Persoana poate alege liber, specific și informat, apoi poate retrage alegerea ușor	Un abonament opțional la mesaje promoționale, separat de cumpărare
Contract	Prelucrarea este necesară pentru executarea unui contract cu persoana sau pentru pașii ceruți înaintea lui	Adresa folosită pentru livrarea comenzii
Obligație legală	Dreptul Uniunii sau al statului membru cere organizației să păstreze ori să comunice datele	Evidențe salariale cerute angajatorului
Interese vitale	Viața ori integritatea unei persoane necesită folosirea datelor	Transmiterea unor informații esențiale într-o urgență medicală
Sarcină publică	Dreptul Uniunii sau al statului membru stabilește funcția oficială ori sarcina de interes public	Activitatea unei autorități în limitele mandatului său
Interese legitime	Un interes real trece testele de scop, necesitate și echilibru	Prevenirea rezonabilă a fraudei, după o analiză documentată

Firma nu pornește de la temeiul preferat și nu încearcă să-i potrivească ulterior activitatea. Întrebarea corectă este ce rezultat urmărește, dacă folosirea datelor este necesară pentru acel rezultat și ce impact are asupra persoanei. Comitetul european pentru protecția datelor cere ca acordul să fie o alegere reală, iar analiza interesului legitim trebuie să păstreze scopul, necesitatea și echilibrarea ca pași distincți ²^,3.

Niciun rând din tabel nu este o autorizație nelimitată: contractul acoperă ceea ce este necesar pentru executarea acordului cu persoana, obligația legală și sarcina publică trebuie legate de dreptul Uniunii sau al statului membru, iar interesele legitime rămân dependente de un test în care scopul real, alternativele și impactul sunt consemnate împreună.

Diferența față de dreptul britanic actual trebuie păstrată vizibilă: cadrul din Regatul Unit are o a șaptea rută pentru anumite scopuri recunoscute, însă GDPR aplicabil în Uniunea Europeană nu are un echivalent. În UE, orice utilizare a intereselor legitime continuă să necesite scop, necesitate și echilibrare.

Scopul vine înaintea răspunsului

Un temei legal se aplică unui scop, nu unui fișier. Descrieți scopul mai întâi fără vocabular juridic și despărțiți etichetele largi în operațiuni care pot fi testate. Livrarea unei comenzi, trimiterea ofertelor, verificarea unei fraude și recuperarea unei datorii urmăresc rezultate diferite, chiar dacă folosesc același tabel de clienți. Ele nu primesc automat aceeași justificare doar fiindcă folosesc aceleași nume și adrese.

Scrieți mai întâi propoziția operațională: „folosim adresa pentru a livra comanda”, nu „folosim date pentru activitatea firmei”. Apoi întrebați dacă același rezultat poate fi obținut la fel de eficient cu mai puține date ori printr-un mijloc mai puțin intruziv. Dacă da, temeiul invocat nu elimină problema. Faptul că firma a cumpărat deja o platformă sau că o funcție este activată implicit nu face prelucrarea necesară. Necesitatea este o relație între scop și mijloc, nu o descriere a confortului administrativ.

Decizia trebuie aleasă și documentată înainte ca prelucrarea să înceapă. Informațiile oferite potrivit articolelor 13 sau 14 vor numi scopul și temeiul și, când se invocă articolul 6 alineatul (1) litera (f), interesul urmărit. Unele drepturi depind de această alegere. O justificare retrospectivă riscă să nu corespundă nici mesajului văzut de persoană, nici funcționării reale a sistemului.

O singură platformă poate necesita decizii distincte: contract pentru datele strict necesare livrării, interese legitime pentru o verificare proporțională a fraudei și o analiză separată pentru marketingul opțional. Pentru canalul de marketing se verifică în plus regula ePrivacy aplicabilă; temeiul din GDPR nu o înlocuiește.

Pentru o funcție nouă, proprietarul procesului poate porni cu o fișă de o pagină care arată evenimentul declanșator, datele strict necesare, rezultatul așteptat, persoanele afectate și opțiunile mai puțin intruzive; această descriere obligă echipa să aleagă pe fapte și le oferă tehnicului, juridicului și operaționalului aceeași operațiune de evaluat.

Consimțământul și interesul legitim nu sunt sinonime

Consimțământul este o alegere, nu o permisiune universală. El trebuie să fie liber, specific, informat și exprimat afirmativ printr-o acțiune clară, care poate fi demonstrată; tăcerea ori o opțiune bifată în avans nu transformă lipsa reacției într-un acord. Retragerea pentru viitor trebuie să fie la fel de ușoară ca acordarea ². Dacă operatorul intenționează să continue operațiunea indiferent de răspuns, nu poate prezenta alegerea ca fiind opțională.

Când persoana retrage consimțământul, prelucrarea viitoare bazată pe el se oprește. Retragerea nu face ilegală prelucrarea care fusese legală înainte de acel moment. Organizația nu poate evita consecința schimbând pur și simplu eticheta în „interes legitim”; ar trebui să existe o operațiune și o analiză realmente distincte, comunicate corect.

Interesul legitim cere un test în trei părți: un interes concret și legal, necesitatea strictă a prelucrării, inclusiv analiza alternativelor mai puțin intruzive, apoi echilibrarea cu interesele, drepturile, așteptările și impactul asupra persoanei ³^,4. Angajatorul care vrea să prevină accesul neautorizat poate avea un interes real, dar trebuie să compare mijlocul ales cu alternativele, amploarea datelor, surpriza pentru angajat și protecțiile disponibile. Rezultatul se scrie, nu se păstrează ca impresie.

Orientările EDPB 1/2024 au fost adoptate pentru consultare publică în octombrie 2024, iar consultarea este închisă; sursa citată păstrează statutul acelui text de consultare ³. Ele nu creează în UE o scurtătură pentru interese recunoscute. Dreptul britanic actual are o rută pentru anumite scopuri enumerate care poate înlătura echilibrarea, deși necesitatea rămâne; GDPR aplicabil în UE nu are echivalent, astfel că testul în trei părți rămâne obligatoriu.

Articolul 6 alineatul (1) litera (f) nu se aplică prelucrării făcute de autorități publice în îndeplinirea sarcinilor lor. Nici marketingul direct nu devine automat permis după un rezultat favorabil: persoana păstrează dreptul de opoziție din articolul 21, iar regula ePrivacy a canalului trebuie verificată separat.

Temeiul legal din GDPR nu înlocuiește regulile canalului. Pentru anumite comunicări electronice și tehnologii care stochează sau accesează informații pe dispozitiv, Directiva ePrivacy și legislația prin care statul membru o transpune pot cere consimțământ ori pot defini o excepție precisă; abia apoi se analizează temeiul pentru prelucrarea datelor personale ⁵.

Un mesaj comercial nu devine permis doar pentru că expeditorul a scris un test de interes legitim. Notați separat norma ePrivacy aplicabilă, condiția și dovada pentru canal, apoi scopul, temeiul și păstrarea potrivit GDPR. Cele două concluzii trebuie legate în sistem, astfel încât retragerea ori obiecția să oprească exact operațiunea afectată.

Datele sensibile cer încă o condiție

Unul dintre cele șase temeiuri este necesar pentru orice prelucrare, dar poate să nu fie suficient. Categoriile speciale, precum datele privind sănătatea sau convingerile religioase, cer și o condiție suplimentară din articolul 9. Datele cu caracter personal referitoare la condamnări penale și infracțiuni au regimul distinct al articolului 10 ¹.

De exemplu, o firmă poate avea o obligație legată de administrarea absențelor, dar asta nu înseamnă că poate colecta orice detaliu medical. Ea identifică separat temeiul general, condiția pentru categoria specială, informațiile strict necesare și accesul permis. Două întrebări juridice nu trebuie comprimate într-o singură etichetă.

Alegerea schimbă drepturile din jurul prelucrării

Temeiul schimbă acțiunea pe care o solicitare o declanșează. Retragerea consimțământului oprește folosirea viitoare bazată pe acel acord. O obiecție față de o prelucrare bazată pe interese legitime cere examinarea situației persoanei și a motivelor organizației. Alte drepturi și excepții funcționează diferit în funcție de justificarea aleasă ².

Procedura trebuie să arate diferența fără ca persoana să o explice juridic. Un link de dezabonare ajunge la proprietarul listei, o obiecție ajunge la cineva care poate citi testul de echilibru, iar sistemul arată exact ce proces trebuie oprit. Dacă registrul spune „consimțământ”, dar aplicația nu poate dezactiva operațiunea, firma nu și-a transformat alegerea într-un control. Dacă spune „interes legitim”, însă analiza nu poate fi găsită, echipa nu poate reface decizia atunci când este contestată.

Transformați temeiul într-o evidență utilizabilă

O înregistrare bună îi permite altei persoane să înțeleagă și să opereze decizia. Nu este suficientă o coloană în care scrie „interes legitim”; registrul trebuie să lege justificarea de scop, flux, destinatari și documentele de sprijin.

Câmp al evidenței	Ce se notează	Test practic
Activitate, scop și proprietar	Operațiunea delimitată, rezultatul și persoana care poate decide ori opri	Poate fi explicată fără expresii precum „activități comerciale”?
Persoane și date	Cine este vizat și ce câmpuri, conținut ori deducții sunt folosite	Sunt excluse informațiile care nu contribuie la scop?
Sursă și informare	De unde vin datele, când sunt colectate și ce versiune vede persoana	Formularul și mesajul public descriu aceeași operațiune?
Temei și condiții	Una dintre cele șase căi, motivul și analiza ori condiția suplimentară	Condițiile apar în fapte și documentul de sprijin poate fi găsit?
Sisteme și destinatari	Aplicațiile, echipele, furnizorii, terții, accesul și rolurile lor	Fluxul și permisiunile reale corespund evidenței și informării?
Păstrare și ieșire	Evenimentul de început, criteriul, acțiunea finală și excepția	Ștergerea, anonimizarea ori restricția poate fi executată în toate copiile?
Drepturi și revizuire	Stările disponibile, proprietarul, dovezile și declanșatorii schimbării	Refuzul, retragerea ori obiecția ajunge la procesul și analiza corectă?

Comparați apoi registrul cu realitatea: formularul, scriptul, exportul, furnizorul și mesajul de informare. Dacă o nouă funcție colectează un câmp în plus ori trimite date altui destinatar, analiza veche nu acoperă automat schimbarea. Actualizați scopul și temeiul înainte de lansare.

În România, persoanele și operatorii pot folosi datele oficiale de contact publicate de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP). Autoritatea este ruta competentă de contact, nu o sursă pentru o regulă națională adăugată acestui articol comun despre GDPR.

Temeiul legal este, așadar, o decizie verificabilă despre o operațiune concretă. Cele șase opțiuni oferă căi diferite, nu scurtături interschimbabile. O firmă care poate arăta scopul, necesitatea, condițiile, drepturile și evidența asociată poate explica de ce prelucrarea este permisă și ce trebuie să se întâmple când situația se schimbă.