În concret, o firmă spaniolă făcea farse, la cererea persoanelor interesate. Acestea foloseau o aplicație, unde dădeau detalii despre persoana căreia doreau să i se facă farsa. Ulterior, firma apela persoana vizată, de pe un număr ascuns, și făcea gluma.

Din această cauză, Autoritatea spaniolă pentru protecția datelor a amendat compania cu 40.000 euro, în condițiile în care prelucra date ale persoanei vizate (de la colectarea lor, până la apelarea acelei persoane și la înregistrarea convorbirii telefonice) în mod ilegal. Problema principală a fost că ținta farselor nu era informată că îi erau colectate datele. În plus, persoana respectivă nu fusese informată că poate să își dea consimțământul, în mod liber, la prelucrare (în esență, la a i se face o farsă).

Amenda dată de Autoritatea spaniolă ridică semne de întrebare serioase cu privire la posibilitatea cuiva de a mai face farse la telefon, în mod legal - din perspectiva legislației protecției datelor, pentru că, în privința farselor (în general, nu doar la telefon), ar putea apărea și alte probleme, inclusiv de ordin penal sau delictual, în materie civilă (ce ar putea duce la obligarea celui care face o farsă să îi plătească persoanei vizate daune morale).

Într-adevăr, unul din elementele de bază ale GDPR este că persoana ale cărei date sunt prelucrate este informată cu privire la faptul că datele acesteia urmează să fie folosite în orice mod (inclusiv colectate). Dar de ce implică o farsă prelucrarea de date? Pentru că e colectat numele și numărul de telefon al cuiva, e apelată persoana respectivă și, eventual, convorbirea e și înregistrată. Practic, aproape orice acțiune ce implică orice intervenție asupra datelor personale ale cuiva presupune o prelucrare de date și devine, astfel, aplicabil GDPR.

În acest context, e de natura farselor că persoana sunată nu trebuie să știe că i se face o farsă - nu ar putea cineva să o informeze că îi vor fi prelucrate datele, în vederea unei farse, pentru că gluma nu ar mai avea sens. Astfel, aproape nimeni nu ar mai putea să facă o farsă, fiindcă ar încălca GDPR.

Ce se întâmplă, însă, dacă cineva face o farsă unei persoane apropiate? Unui prieten, de exemplu. E posibil ca persoana care face farsa să argumenteze că aici nu se mai aplică GDPR, fiindcă e vorba de o activitate pur personală, ce ține de prietenia între două persoane. Dar probabil că totul va depinde, chiar și aici, de circumstanțele concrete ale situației - probabil chiar de natura prieteniei. 

Însă ce e clar e că, dacă o persoană face farse la telefon unei persoane străine, atunci nu ar mai putea să susțină că e ceva pur personal - și devine aplicabil GDPR. Doar că respectarea regulilor GDPR se contrazic cu ideea de farse, ceea ce ar face ilegal acest lucru. Deși Regulamentul prevede, în considerente (care nu sunt, oricum, direct obligatorii, dar ar trebui să orienteze interpretarea normelor), că o activitate nu este personală când e comercială sau profesională, cineva s-ar putea întreba dacă tot ce nu intră aici devine personal. Nu chiar. De exemplu, se consideră că instalarea unei camere de filmat la ușa casei, care nu acoperă doar perimetrul de lângă ușă, ci se extinde și cu privire la un spațiu public (trotuar, de exemplu) ori acoperă și curtea vecinului, nu se mai încadrează într-o activitate pur personală.

De aceea, linia de demarcație poate fi foarte fină, uneori. Așa că cel mai sigur pentru cineva care vrea să facă farse unor necunoscuți e să ia în considerare riscurile de mai sus.

În ceea ce privește amenda propriu-zisă, e clar că aceasta nu va fi foarte ridicată, dacă va fi aplicată. De regulă, după cum se vede din practica autorităților de protecție a datelor, amenzile pentru persoane fizice nu se compară cu cele aplicate firmelor (rar e cazul de amenzi ce depășesc o mie de euro, deși există și asemenea situații).