Drepturile tale GDPR îți permit să soliciți oricărei companii, din România sau din UE, o copie a datelor pe care le deține despre tine, ștergerea acestora, rectificarea, portabilitatea sau opoziția față de prelucrare – iar în 30 de zile firma este obligată legal să răspundă. Aceste drepturi nu sunt teoretice: ele sunt garantate direct de Regulamentul (UE) 2016/679 (cunoscut ca GDPR) și se aplică oricărei organizații, indiferent dacă are sediul în România sau doar îți prelucrează datele de aici. Mai jos găsești exact ce poți cere, cum formulezi cererea și ce faci dacă o companie te ignoră.
Ce drepturi îți dă GDPR-ul în relația cu o companie?
GDPR îți oferă șapte drepturi esențiale, toate aplicabile gratuit, fără a fi nevoie să justifici cererea în fața unui avocat. Compania care ți-a prelucrat datele – numită în lege „operator” – are obligația să răspundă în cel mult o lună. Iată principalele drepturi pe care le poți exercita singur, printr-un e-mail sau o cerere scrisă:
- Dreptul de acces – primești o copie a tuturor datelor pe care compania le are despre tine.
- Dreptul la rectificare – ceri corectarea datelor inexacte sau completarea celor incomplete.
- Dreptul la ștergere („dreptul de a fi uitat”) – soliciți ștergerea contului și a datelor asociate.
- Dreptul la restricționarea prelucrării – firma nu mai poate folosi datele în anumite scopuri, dar le păstrează încă.
- Dreptul la portabilitatea datelor – îți transferi datele de la un furnizor la altul.
- Dreptul la opoziție – te opui, de exemplu, marketingului direct sau profilării.
- Dreptul de a nu face obiectul unei decizii automate – ceri ca o decizie importantă (credit, angajare) să fie revizuită de un om.
Dreptul de acces – cum primești o copie a datelor tale
Dreptul de acces este cel mai des exercitat și cel mai simplu. Trimite un e-mail la adresa de contact a companiei (de obicei privacy@, dpo@ sau cea afișată în politică de confidențialitate) și cere „o copie a tuturor datelor cu caracter personal pe care le prelucrează despre mine, conform art. 15 din GDPR”. Conform raportului anual al Autorității Naționale de Supraveghere (ANSPDCP), aproximativ 60% dintre plângerile soluționate în România în 2023 au vizat tocmai acest drept – dovadă că românii îl folosesc tot mai des.
Operatorul trebuie să-ți ofere un extras lizibil, într-un format electronic utilizat curent (PDF, CSV). Răspunsul este gratuit o dată la 12 luni; compania poate cere o taxă rezonabilă doar dacă cererile sunt evidente abuzive.
Dreptul la ștergere („dreptul de a fi uitat”) – când poți solicita ștergerea contului
Poți cere ștergerea datelor în șase situații clare prevăzute de articolul 17 din GDPR: datele nu mai sunt necesare pentru scopul inițial, ți-ai retras consimțămințul, ai formulat opoziție, datele au fost prelucrate ilegal, ori ești minor și ți-ai dat acordul online. Practic, asta înseamnă că poți solicita închiderea contului de Facebook, TikTok, Booking, unei bănci sau unui magazin online și ștergerea datelor asociate. Studiul realizat de Eurobarometru în 2024 arată că doar 24% dintre cetățenii europeni au solicitat vreodată ștergerea datelor – restul fie nu știu de acest drept, fie nu-l folosesc.
Rectificare, portabilitate și opoziție – celelalte drepturi practice
Dreptul la rectificare se exercită rapid: trimiți datele corecte și ceri înlocuirea. Portabilitatea datelor (art. 20) este utilă mai ales când schimbi un furnizor – de exemplu, treci de la un furnizor de telefonie la altul și vrei să-ți păstrezi facturile și istoricul de convorbiri. Dreptul la opoziție este instrumentul cel mai puternic pentru a scăpa de marketing: o singură solicitare și compania este obligată să înceteze trimiterea de newslettere, oferte și SMS-uri promoționale. Dacă firma folosește consimțăminți obținute anterior, poți retrage acel consimțăminț oricând, la fel de simplu.
Cum formulezi corect o cerere – un exemplu concret
Andrei, 34 de ani, bucureștean, descoperă că o platformă de e-commerce i-a stocat adresa veche, un număr de telefon incorect și o comandă nefinalizată din 2022. Trimite un singur e-mail la [email protected] cu textul:
„Subsemnatul Andrei Popa, CNP [opțional], solicit în temeiul art. 15 și 17 din GDPR (1) o copie a tuturor datelor mele prelucrate și (2) ștergerea contului asociat adresei [email protected], întrucât nu mai utilizez serviciul. Confirm că datele nu mai sunt necesare scopului inițial. Aștept răspuns în termenul legal de 30 de zile.”
La 18 zile de la trimitere, primește un PDF cu datele și confirmarea ștergerii. Acesta este fluxul normal: o cerere clară, redactată în termeni de lege, generează un răspuns rapid. Dacă firma întârzie, refuză abuziv sau cere taxe nejustificate, următorul pas este sesizarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).
Tabel comparativ: termene și răspunsuri ale companiei
| Drept solicitat | Termen legal de răspuns | Ce primești |
|---|---|---|
| Acces (art. 15) | 30 de zile | Exhaustiv al datelor + scopul prelucrării |
| Rectificare (art. 16) | 30 de zile | Confirmarea corectării datelor |
| Ștergere (art. 17) | 30 de zile | Confirmarea ștergerii + dovada |
| Portabilitate (art. 20) | 30 de zile | Fișier în format structurat (CSV/JSON) |
| Opoziție marketing (art. 21) | Fără întârziere | Confirmarea opririi mesajelor |
Ce faci dacă firma nu răspunde sau refuză cererea
Conform raportului DLA Piper GDPR Data Protection Survey 2024, amenzile cumulate din Europa pentru încălcarea GDPR au depășit 4,5 miliarde de euro din 2018 și până în prezent. Dacă nu primești răspuns în 30 de zile sau primești un refuz nejustificat, ai două variante: depui o plângere la ANSPDCP (gratuită, online, prin formularul de pe website-ul autorității) sau te adresezi direct instanței de judecată. ANSPDCP a sancționat în 2023 zeci de companii din România cu amenzi cuprinse între 5.000 și 50.000 de euro pentru nerespectarea termenelor, conform Raportului anual de activitate publicat pe site-ul instituției.
- Verifică dacă răspunsul a venit după 30 de zile – trimite o somație scrisă.
- Adună dovezi: e-mail trimis, confirmare de primire, răspuns primit (chiar dacă e refuz).
- Depune plângere la ANSPDCP (dataprotection.ro) cu documentele atașate.
- În paralel, poți consulta un avocat specializat în protecția datelor pentru despăgubiri.
Întrebări frecvente
1. Pot cere o firmelor străine (din SUA, China etc.) datele mele?
Da, atâta timp cât firma oferă servicii în UE sau îți prelucrează datele de pe teritoriul UE. Companii ca Google, Meta sau TikTok au obligații identice; le poți scrie în română sau engleză, iar ele trebuie să răspundă în aceeași limbă folosită în cerere.
2. Trebuie să-mi motivez cererea?
Nu. GDPR nu îți cere să justifici exercitarea drepturilor. Este suficient să te identifici și să specifici dreptul invocat (de exemplu, art. 15 pentru acces). Compania nu are voie să te întrebe de ce vrei datele.
3. Pot solicita ștergerea datelor de pe internet (Google)?
Da, prin dreptul de a fi uitat. Completezi formularul dedicat de la Google („Remove personal information”) și, dacă cererea este validă, linkurile sunt dezindexate. Pentru site-uri individuale (forumuri, articole), trimiți cerere direct administratorului site-ului și, în subsidiar, către ANSPDCP.
4. Cât costă exercitarea unui drept GDPR?
În principiu, este gratuit. Operatorul poate percepe o taxă rezonabilă doar dacă cererea este „evident abuzivă” sau excesiv de frecventă (mai mult de o dată pe an). Astfel de situații sunt însă rare.
5. Ce se întâmplă dacă mi-au fost furate datele?
În cazul unei breșe de securitate care îți afectează datele, compania este obligată să te notifice în cel mult 72 de ore de la descoperire. Dacă nu o face, ai dreptul la o plângere și la despăgubiri conform art. 82 din GDPR.
Cum aplici asta începând de astăzi
Deschide astăzi aplicația de e-mail și trimite o cerere de acces (art. 15) către orice companie care îți trimite mesaje pe care nu le mai dorești – un magazin online, o bancă, o rețea de socializare. Folosește textul standard pe care l-ai văzut în exemplul cu Andrei, adaugă datele de identificare și păstrează o copie a cererii. Dacă vrei să cureți complet urmele digitale, trimite apoi cereri de ștergere (art. 17) pentru conturile pe care nu le mai folosești. În două-trei săptămâni vei avea un tablou clar al datelor tale și un inbox mai curat – exact scopul pentru care GDPR a fost creat.
