Cereri de acces GDPR: cum răspunzi când se cer înregistrări audio sau video

Într-un comunicat din 7 octombrie 2026, ANSPDCP a anunțat o sancțiune pentru gestionarea necorespunzătoare a unei cereri privind o conversație telefonică și înregistrări video. Autoritatea a cerut un răspuns complet, revizuirea procedurilor și instruirea personalului. Cazul privește aplicarea articolului 15 din GDPR; nu introduce o obligație nouă.

Sursă: ANSPDCP, comunicat din 7 octombrie 2026 — caz de aplicare a art. 15 alin. (1) și (3).

Dreptul de acces include confirmarea prelucrării, accesul la datele personale și informațiile prevăzute de articolul 15: scopurile, categoriile de date, destinatarii, păstrarea și drepturile relevante. Dacă datele nu au fost colectate de la persoană, contează și informațiile disponibile despre sursă. Verifică separat transferurile și deciziile automatizate, atunci când există.

O copie a datelor și o informare despre prelucrare răspund unor părți diferite ale cererii. Un mesaj care spune doar „respectăm GDPR” nu le acoperă. Pentru un răspuns electronic, regula este furnizarea copiei într-un format electronic utilizat în mod curent, dacă persoana nu solicită altceva.

Sursă: Regulamentul (UE) 2016/679, art. 15 alin. (1)–(4), forma consolidată din 4 mai 2016; verificat la 15 octombrie 2026.

Echipa trebuie să recunoască o cerere de acces chiar dacă persoana nu folosește această denumire. Nu condiționa soluționarea de completarea propriului formular. Ca organizare internă, atribuie un cod cererii, notează când a fost primită și desemnează persoana care coordonează căutarea și răspunsul. Stabilește și cine o înlocuiește când lipsește.

Sursă: GDPR, art. 12 alin. (2); EDPB, Orientările 01/2022, versiunea 2.1, secțiunile 3.1.1–3.1.2 — conținutul și forma cererii.

Răspunsul se transmite fără întârzieri nejustificate și, în orice caz, în cel mult o lună de la primirea cererii. O lună nu înseamnă automat 30 de zile. Articolul 12 permite o prelungire cu cel mult două luni, dacă este necesară în raport cu complexitatea și numărul cererilor. Persoana trebuie informată despre prelungire și motive în prima lună.

Notează în fișă termenul calculat, persoana care l-a verificat și justificarea. Nu transforma prelungirea într-o regulă pentru orice cerere audio-video. Dacă decizi să nu dai curs cererii, articolul 12 alin. (4) cere explicarea motivelor și informarea despre posibilitățile de plângere și de atac judiciar, fără întârziere și în cel mult o lună.

Sursă: GDPR, art. 12 alin. (3)–(4) — termene și prelungire.

Sursă: EDPB, Orientările 01/2022, secțiunea 5.3, pct. 157–164 — calculul termenului și prelungirea.

Înainte de a trimite date, verifică dacă solicitantul este persoana vizată sau un reprezentant autorizat. Dacă există îndoieli întemeiate, poți cere informațiile suplimentare necesare confirmării identității. Această regulă nu justifică solicitarea automată a unei copii integrale a actului de identitate de la fiecare persoană.

Sursă: GDPR, art. 12 alin. (6): informații suplimentare necesare în cazul unor îndoieli întemeiate.

Identifică sistemele relevante: telefonie, camere, arhiva furnizorului sau alt loc în care se păstrează datele. Pentru căutare, pot fi utile data, intervalul aproximativ, locul ori numărul de telefon folosit. Cere clarificări utile, fără să limitezi artificial cererea.

Verifică imediat dacă datele există și când ar urma să fie șterse. Dacă sunt disponibile la primirea cererii, organizează păstrarea materialului relevant pentru soluționare. Documentează de ce îl păstrezi și cine are acces; cererea nu justifică arhivarea nelimitată a tuturor înregistrărilor.

Dacă imaginile fuseseră deja șterse înainte de primirea cererii, explică situația după verificare. Dacă nu le-ai găsit încă, nu scrie că nu există. Păstrează separat rezultatul căutării, limitele ei și verificările rămase.

Sursă: EDPB, Orientările 01/2022, secțiunea 2.3.3 — momentul de referință și păstrarea datelor pentru răspuns.

Sursă: EDPB, Orientările 3/2019, versiunea corectată 2.1, pct. 92 și exemplele din secțiunea 6.1 — disponibilitatea imaginilor.

O înregistrare poate surprinde alți clienți sau colegi. Analizează efectul furnizării copiei asupra drepturilor lor și măsurile necesare: mascarea imaginilor ori alte prelucrări adecvate. Prezența altor persoane nu este, singură, un motiv suficient pentru a respinge întreaga cerere. Orice limitare trebuie analizată concret.

Sursă: GDPR, art. 15 alin. (4); EDPB, Orientările 3/2019, pct. 93–94 — drepturile altor persoane.

Înainte de trimitere, o persoană desemnată verifică dacă răspunsul acoperă cererea, dacă fișierele sunt cele corecte și dacă protecțiile aplicate funcționează. Alege un canal potrivit sensibilității datelor. Un link public, care poate fi deschis de oricine îl primește, poate expune informațiile pe care încercai să le protejezi.

Păstrează dovada trimiterii și o referință către versiunea răspunsului, într-un spațiu cu acces controlat. Stabilește apoi ce se păstrează în dosarul cererii, pentru cât timp și ce copii de lucru se șterg. Aceste măsuri de organizare trebuie adaptate riscurilor și regulilor de păstrare ale companiei.

Sursă: GDPR, art. 5 alin. (1) lit. (c), (e), (f), art. 12 alin. (1) și art. 32 — minimizare, păstrare, comunicare și securitate.

Dacă se confirmă că sistemul doar afișa imagini în timp real și nu le stoca, răspunsul va explica acest fapt. Dacă înregistrarea există, dar accesul tehnic este la un furnizor, este nevoie de un traseu de obținere a ei. Cele două situații nu au același rezultat.

Completează o copie pentru fiecare cerere. Folosește un cod de caz și referințe către documentele păstrate în siguranță. Nu încărca în fișă copii de acte, conversații sau imagini. Marcarea unei verificări drept finalizată trebuie susținută de rezultat și de o referință la dovadă.

Sursă: EDPB, Orientările 01/2022, secțiunile 2.1 și 2.3 — scopul și exercitarea dreptului.

Sursă: GDPR, art. 12 alin. (5), art. 15 alin. (4).