Uma pessoa recebeu uma oferta de empréstimo habitacional com uma taxa de juros reduzida, desde que contratasse um seguro de saldo devedor oferecido por um corretor (controlador). Para adquirir o seguro, a pessoa foi obrigada a dar consentimento para o processamento de seus dados de saúde. Esse consentimento abrangia diversas finalidades além do seguro em questão, como processamento de sinistros, prevenção de fraudes, desenvolvimento de preços e decisões automatizadas, o que levou a pessoa a solicitar ao controlador uma reformulação do termo de consentimento para que fosse mais específico. O controlador recusou o pedido.
Para manter a taxa de juros reduzida, o indivíduo acabou concedendo o consentimento, mas, posteriormente, enviou um e-mail retirando o consentimento para o processamento de dados de saúde e decisões automatizadas, solicitando a restrição do processamento até que a base legal fosse esclarecida e pedindo correções nos documentos assinados. O controlador respondeu e forneceu uma cópia dos dados ao titular, mas o indivíduo, insatisfeito, apresentou uma queixa junto à Autoridade de Proteção de Dados Belga (APD/GBA).
A APD decidiu a favor do titular, considerando que o controlador não obteve um consentimento válido para o processamento dos dados de saúde, pois o consentimento foi obtido sob pressão, devido às consequências negativas de perder a taxa de juros reduzida, violando o Artigo 4(11) e o Artigo 9(2) do GDPR.
Contudo, a APD concluiu que o controlador não infringiu os Artigos 22 e 24 do GDPR no contexto das decisões automatizadas com base nos dados de saúde, pois o processamento foi baseado em consentimento explícito e incluía intervenções humanas obrigatórias nas decisões automatizadas, conforme exigido pelo Artigo 22(4) do GDPR.
Além disso, a APD não encontrou violação dos Artigos 12, 13, 16 e 32 do GDPR, embora o titular houvesse alegado irregularidades nessas áreas.
Embora tenha confirmado a violação de consentimento inadequado, a APD decidiu não aplicar uma multa ao controlador, optando por medidas educativas e de advertência.
Com informações GDPRHub
Este post foi traduzido e resumido a partir de sua versão original com o uso do ChatGPT versão 4o, com revisão humana.
