Prelucrarea unor categorii speciale de date cu caracter personal: codul numeric personal sau orice alt identificator cu aplicabilitate generală

Abstract

   Abstract
According to article 8 of Directive 95/46/EC, member states determine the conditions under which certain
special categories of data – national identification number or any other identifier of general application – may be
processed. The Romanian legislator decided that, in principle, the processing of the personal identification number
or of other personal data with a general identification function may be carried out only if the data subject has given
an express and unequivocal consent or the processing is expressly stated by a legal provision. For a better
understanding of this particular data processing, we have chosen to present a recent judicial decision which
reversed the lower court’s ruling and decided, among others, that a convention concluded between a public
transportation company placed under the authority of the City Council and a County Pension House does not
constitute a „legal provision” in the sense of the Romanian Law no. 677/2001 on the Protection of Individuals with
Regard to the Processing of Personal Data and the Free Movement of Such Data.
Keywords: personal data, national identification number, identifier of general application, data protection,
data processing.   

Reglementare

Ca regulă, orice prelucrare a datelor cu caracter personal trebuie să fie conformă cu principiile referitoare la calitatea datelor, enunțate la art. 6 din Directiva 95/46/CE[1], și să respecte unul dintre criteriile privind legitimitatea prelucrării datelor, enumerate la art. 7 din aceeași directivă[2]. De asemenea, potrivit art. 8 alin. (7) privind prelucrarea unor categorii speciale de date, statele membre sunt cele care stabilesc condițiile în care poate fi prelucrat un număr de identificare sau orice alt identificator cu aplicabilitate generală care poate face obiectul prelucrării.

Legea de transpunere[3] a Directivei 95/46/CE prevede la art. 8 că prelucrarea codului numeric personal sau a altor date cu caracter personal având o funcție de identificare de aplicabilitate generală poate fi efectuată numai dacă persoana vizată și-a dat în mod expres consimțământul sau prelucrarea este prevăzută în mod expres de o dispoziție legală. Astfel, în timp ce, în regulă generală, poate constitui temei al prelucrării altor date cu caracter personal consimțământul, relația contractuală, obligațiile legale ale operatorului, interesele vitale ale persoanei vizate, interesul public și exercitarea autorității oficiale, precum și interesele legitime urmărite de operator sau de un terț, numai consimțământul sau prevederea legală expresă pot legitima prelucrarea datelor cu caracter personal având funcție de identificare.

Ca și excepție, potrivit art. 8 alin. (2) din lege, aceste date pot fi prelucrate și în alte cazuri, cu avizul Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) și numai cu condiția instituirii unor garanții adecvate pentru respectarea drepturilor persoanelor vizate.

Întrucât din practică a rezultat colectarea și prelucrarea fără o justificare temeinică a codului numeric personal și a altor date cu caracter personal având o funcție de identificare de aplicabilitate generală, ANSPDCP a emis o decizie[4] în vederea clarificării modalității de prelucrare a acestor date, precum și a copiilor documentelor ce le conțin.

Astfel, prin date cu caracter personal având o funcție de identificare de aplicabilitate generală trebuie să înțelegem acele numere prin care se identifică o persoană fizică în anumite sisteme de evidență și care au aplicabilitate generală, cum ar fi: codul numeric personal, seria și numărul actului de identitate, numărul pașaportului, al permisului de conducere, numărul de asigurare socială sau de sănătate [art. 1 alin. (2) din decizie]. De asemenea, consimțământul pentru prelucrarea datelor cu caracter personal având funcție de identificare trebuie dat în mod expres, într-o formă care să permită dovedirea acestuia de către operator [art. 3 alin. (2) din decizie].

Potrivit art. 6 din decizie, „colectarea și prelucrarea datelor prevăzute la art. 1, inclusiv dezvăluirea acestora, prin efectuarea și reținerea de copii de pe cartea de identitate sau de pe documente care le conțin (s.n.), sunt interzise”, cu excepția situației în care fie persoana vizată și-a dat în mod expres consimțământul, fie prelucrarea este prevăzută în mod expres de o dispoziție legală, fie în alte cazuri, cu avizul Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal și numai cu condiția instituirii unor garanții adecvate pentru respectarea drepturilor persoanelor vizate. În cea din urmă situație, operatorul trebuie să respecte principiul caracterului adecvat, pertinent și neexcesiv, precum și măsurile de confidențialitate și de securitate a prelucrărilor prin instituirea unor garanții adecvate[5].

Pentru a ilustra temeiurile legitimității prelucrării datelor cu caracter personal având funcție de identificare – consimțământul și dispoziția legală expresă – am ales a prezenta conținutul unei sentințe a Tribunalului Brașov (fond) și al deciziei corelative a Curții de Apel Brașov (apel).

Situația de fapt

În speță[6], Regia Autonomă de Transport Brașov (RATBv), în calitate de prestator al serviciului de transport public local de călători, a eliberat legitimații de călătorie cu titlu gratuit, aceste legitimații fiind acordate unor categorii speciale de călători[7], desemnate prin reglementări legale emise de autoritățile centrale și de cele locale. RATBv se află sub autoritatea Consiliului Local Brașov[8] și a încheiat cu Municipiul Brașov în anul 2006 Contractul privind serviciile de transport public local de călători. Pentru a recupera aceste cheltuieli de transport, RATBv a încheiat cu Casa Județeană de Pensii Brașov o convenție în cuprinsul căreia se menționa obligativitatea înscrierii CNP-ului pe formularul legitimației (pe care ulterior completării o înmâna beneficiarului) pentru a putea obține de la această autoritate contravaloarea serviciului prestat.

Prin urmare RATBv, în calitate de operator de date cu caracter personal, a colectat, inclusiv prin reținerea de copii de pe actele de identitate, și ulterior a înregistrat și a stocat în sistemele proprii de evidență datele personale ale solicitanților de abonamente, persoane fizice, printre care se număra și codul numeric personal, datele colectate[9] regăsindu-se în evidențele regiei, stocate pe suport electronic și de hârtie.

RATBv a depus la ANSPDCP în data de 14 noiembrie 2013 o notificare – având ca scop comercializarea abonamentelor de călătorie și a legitimațiilor cu tarif redus/gratuit; justificarea diferenței de tarif redus-gratuit – în urma căreia i s-a atras atenția de către ANSPDCP, printr-o adresă din 26 noiembrie 2013, că datele cu caracter special nu pot fi prelucrate decât în condițiile art. 8 din lege.

Sancționarea contravențională

Ulterior, în urma realizării unei investigații – cum în cadrul acesteia nu au fost prezentate dovezi ale obținerii consimțământului persoanelor care au accesat acest serviciu gratuit – ANSPDCP a constatat în data de 12 februarie 2014 săvârșirea faptei de prelucrare nelegală a datelor cu caracter personal, în sensul că RATBv a nesocotit dispozițiile art. 8 din Legea nr. 677/2001 și art. 6 din Decizia nr. 132/2011, faptă ce constituie contravenție prevăzută de art. 32 din Legea nr. 677/2001[10]. Mai exact, ANSPDCP a constatat că RATBv trece CNP-ul pe legitimațiile de călătorie fără a avea un temei legal în acest sens, fără consimțământul expres și neechivoc al persoanei vizate și fără a avea a avea eventual avizul ANSPDCP pentru o astfel de prelucrare.

Plângerea contravențională

 Instanța de fond

Prin plângerea înregistrată pe rolul Tribunalului Brașov, RATBv a solicitat, în contradictoriu cu ANSPDCP, anularea procesului-verbal de contravenție încheiat emis de intimată.

Printre altele, RATBv a susținut că nu realizează operațiuni de prelucrare a datelor, invocând definiția din DEX a prelucrării[11], aserțiune față de care ANSPDCP a arătat că prin prelucrare a datelor cu caracter personal, potrivit art. 3 lit. b) din lege, se înțelege „orice operațiune sau set de operațiuni care se efectuează asupra datelor cu caracter personal, prin mijloace automate sau neautomate, cum ar fi colectarea, înregistrarea, organizarea, stocarea, adaptarea ori modificarea, extragerea, consultarea, utilizarea, dezvăluirea către terți prin transmitere, diseminare sau în orice alt mod, alăturarea ori combinarea, blocarea, ștergerea sau distrugerea”, definiția din DEX a prelucrării neputând prevala asupra celei date de legea specială în materie. Astfel, operațiunea de „trecere a CNP-ului pe legitimație” se înscrie în definiția legală a prelucrării datelor – chiar dacă nu este precizată expres de legiuitor în sfera acțiunilor care pot constitui contravenție, întrucât enumerarea nu este una limitativă, ci una exemplificativă – circumscriindu-se prin urmare sferei operațiunilor enumerate de lege.

Pe baza probei cu înscrisuri administrată în cauză, Tribunalul Brașov a admis plângerea formulată de RATBv[12]. Pentru a hotărî astfel, instanța de fond a reținut, în esență, următoarele:

a) RATBv colectează (inclusiv prin reținerea de copii de pe actele de identitate) și ulterior înregistrează și stochează în sistemele proprii de evidență datele personale ale solicitanților de abonamente persoane fizice; are calitatea de operator de date cu caracter personal, depunând la ANSPDCP o notificare în acest sens,

b) însă nu poate fi contravenientă, potrivit dispozițiilor art. 8 din Legea nr. 677/2001, de vreme ce pentru a-și recupera cheltuielile cu abonamentele gratuite a încheiat cu Casa Județeană de Pensii Brașov o convenție în cuprinsul căreia se menționează obligativitatea înscrierii CNP-ului pe formularul legitimației, pentru a se putea obține de la această autoritate contravaloarea serviciilor de transport public de călători pe care regia le-a prestat în beneficiul acestor persoane; mai mult, RATBV se află în subordinea Consiliului Local Brașov, încheindu-se în anul 2006 Contractul privind serviciile de transport public local de călători; astfel, în lipsa datelor cu caracter personal a persoanelor beneficiare a abonamentelor gratuite, RATBv nu și-ar putea îndeplini obligațiile rezultate din contractul menționat;

c) prin cererea făcută de o persoană pentru a accesa un serviciu gratuit, practic există consimțământul acesteia pentru prelucrarea și stocarea datelor personale ale acesteia.

 Instanța de control judiciar[13]

Împotriva sentinței civile pronunțată de Tribunalul Brașov, ANSPDCP a declarat apel, criticând-o pentru nelegalitate și netemeinicie, a solicitat admiterea apelului, modificarea în tot a hotărârii instanțe de fond și respingerea acțiunii.

Potrivit ANSPDCP instanța de fond a reținut în mod greșit că acea convenție încheiată cu Casa Județeană de Pensii Brașov reprezintă o dispoziție legală expresă în sensul art. 8 alin. (1) din lege, constituind astfel temei al prelucrării datelor cu caracter personal având funcție de identificare (codul numeric personal sau orice alt identificator cu aplicabilitate generală). De asemenea, cum RATBv a prestabilit datele și categoriile de date solicitate persoanelor fizice și a obligat pe acestea la furnizarea datelor sub condiția neemiterii de abonamente și legitimații de călătorie, nu s-ar putea reține existența unui consimțământ valabil acordat iar în cadrul investigației desfășurată la sediul RATBv nici nu au fost prezentate dovezi ale obținerii consimțământului.

RATBv a formulat întâmpinare și a solicitat respingerea apelului, arătând că ANSPDCP interpretează mult prea restrictiv prevederile art. 8 din lege iar sancțiunea aplicată este inadecvată, lipsită de pertinență și excesivă.

În continuare vom prezenta apărările formulate de RATBv, precum și argumentele în considerarea cărora Curtea de Apel Brașov a admis apelul de declarat de ANSPDCP, schimbând în tot hotărârea tribunalului, și, rejudecând, a respins ca nefondată plângerea formulată de RATBv:

a) față de numărul foarte mare al persoanelor fizice care beneficiază de transport gratuit ar fi imposibilă obținerea unui consimțământ expres al fiecărei persoane pentru prelucrarea CNP-ului, RATBv arătând și costurile materiale ale unei asemenea operațiuni;


[1] Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date, publicată în Jurnalul Oficial al Uniunii Europene L 281/31, Ediție specială, cap. 13/vol. 17.

[2] A se vedea CJUE, hotărârea din 1 octombrie 2015, cauza C‑201/14 – Bara și alții, ECLI:EU:C:2015:638, publicată în Repertoriul electronic (Repertoriul general), și jurisprudența citată la punctul 30.

[3] Legea nr. 677 din 21 noiembrie 2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date, publicată în M. Of. nr. 790 din data de 12 decembrie 2001, act normativ denumit în continuare, brevitatis causa, „legea”.

[4] Decizia nr. 132 din 20 decembrie 2011 privind condițiile prelucrării codului numeric personal și a altor date cu caracter personal având o funcție de identificare de aplicabilitate generală, publicată în M. Of. numărul 929 din data de 28 decembrie 2011, disponibilă la http://www.dataprotection.ro/servlet/ViewDocument?id=761. Potrivit art. 3 alin. (5) din Legea nr. 102 din 3 mai 2005, în exercitarea atribuțiilor sale președintele Autorității naționale de supraveghere emite decizii și instrucțiuni obligatorii pentru toate instituțiile și unitățile la a căror activitate se referă.

[5] Pentru detalii a se vedea art. 5 din Decizia nr. 132 din 20 decembrie 2011. De asemenea, potrivit art. 9, decizia nu aduce atingere dispozițiilor legale în vigoare care reglementează expres colectarea și prelucrarea codului numeric personal sau a altor date cu caracter personal având o funcție de identificare de aplicabilitate generală.

[6]  Situația de fapt a fost reconstituită pe baza informațiilor conținute în sentința civilă nr. 2837 din 15 decembrie 2014 a Tribunalului Brașov (fond) și în decizia nr. 35 din 6 octombrie 2016 a Curții de Apel Brașov (apel).

[7] Pensionari, donatori onorifici de sânge, revoluționari, veterani/văduve de război, persoane deportate și persecutate politic, ș.a.m.d.

[8] A se vedea Anexa 1 din H.G. nr. 597 din 28 septembrie 1992 privind trecerea sub autoritatea consiliilor locale sau, după caz, județene, a regiilor autonome și societăților comerciale cu capital integral de stat, care prestează servicii publice de interes local sau județean, publicată în M. Of. nr. 289 din 18 noiembrie 1992.

[9] Categoriile de date prelucrate în acest scop au inclus numele și prenumele, data și locul nașterii, codul numeric personal, seria și numărul actului de identitate.

[10] Art. 32 – Prelucrarea nelegală a datelor cu caracter personal: „Prelucrarea datelor cu caracter personal de către un operator sau de o persoană împuternicită de acesta, cu încălcarea prevederilor art. 4-10 sau cu nesocotirea drepturilor prevăzute la art. 12-15 sau la art. 17 (s.n.), constituie contravenție, dacă nu este săvârșită în astfel de condiții încât să constituie infracțiune, și se sancționează cu amendă de la 1000 lei la 25000 lei”.

[11] Precizăm că, potrivit DEX 1998, prin prelucrare se înțelege „acțiunea de a prelucra și rezultatul ei” iar primul sens al cuvântului „a prelucra” face referire la „a modifica forma, dimensiunile, constituția sau aspectul unui material”, în accepțiunea sa obișnuită prelucrarea evocând în mintea cititorului numai operațiuni precum „modificarea” datelor cu caracter personal.

[12] A se vedea Tribunalul Brașov, secția a II-a contencios administrativ și fiscal, sentința civilă nr. 2837 din 15 decembrie 2014 (nepublicată). Sentința ne-a fost comunicată de Tribunalul Brașov care a anonimizat numele judecătorului și al grefierului, în ciuda Hotărârii nr. 308 din 5 martie 2009 a Plenului CSM, p. 3, disponibilă la www.csm1909.ro/csm/linkuri/14_04_2009__22802_ro.pdf, potrivit căreia asocierea hotărârii cu judecătorul care a pronunțat-o indică modul în care aceștia își exercit atribuțiile de serviciu, nefiind vorba de date cu privire la viața intimă, familială și privată a acestora.

[13] Curtea de Apel Brașov, secția de contencios administrativ și fiscal, decizia nr. 35 din 6 octombrie 2016 [dosarul nr. 5356/62/2014], disponibilă pe http://www.rolii.ro.

 

DOWNLOAD FULL ARTICLE

Prelucrarea unor categorii speciale de date cu caracter personal: codul numeric personal sau orice alt identificator cu aplicabilitate generală was last modified: octombrie 9th, 2017 by Silviu-Dorin Șchiopu

Numai utilizatorii autentificați pot scrie comentarii