Pilonii prelucrării datelor cu caracter personal

Cei mai mulţi dintre noi suntem invadaţi zilnic pe varii căi de o puzderie de oferte mai mult sau mai puţin adecvate nevoilor noastre imediate. În parte, acest noian de propuneri ne parvine ca urmare a prelucrării datelor noastre cu caracter personal (nume şi prenume, adresă email, număr de telefon, adresă poştală etc.).

Potrivit art. 5 alin. (1) din Legea nr. 677/2001^[1], una din condiţiile de legitimitate privind prelucrarea datelor cu caracter personal este aceea a consimţământului persoanei vizate^[2] pentru respectiva prelucrare. De asemenea, una din caracteristicile datelor cu caracter personal destinate a face obiectul prelucrării priveşte scopul în vederea căruia au fost colectate datele, acesta fiind cunoscut de către persoana vizată la momentul exprimării consimțământului, o ulterioară prelucrare, incompatibilă cu scopul colectării iniţiale, necesitând o nouă manifestare a consimţământului persoanei vizate [art. 6 alin. (1) din lege]. Nu în ultimul rând persoana vizată are dreptul de a fi informată cu privire la prelucrarea datelor sale cu caracter personal (art. 12 din lege).

Pentru a ilustra aceşti trei piloni ai prelucrării datelor cu caracter personal, am ales a prezenta pe larg conţinutul unei decizii relativ recente a Curţii de Apel Bucureşti^[3].

Situația de fapt

În speţă^[4], un furnizor de servicii de telefonie a încheiat cu o societate de asigurări un contract care avea ca obiect încheierea unor poliţe de asigurare a locuinţei împotriva incendiilor şi a dezastrelor naturale pentru o parte^[5] dintre clienţii săi, obiectiv care a fost avut în vedere ca un beneficiu acordat acestora. Poliţele au fost semnate şi parafate atât de către furnizorul de servicii de telefonie, în calitate de contractat, cât şi de societatea de asigurări, în calitate de asigurator.

Pentru o mai bună conturare a situaţiei de fapt, vom reproduce în parte conținutul uneia dintre aceste poliţe privind asigurarea locuinţei împotriva incendiului şi a dezastrelor naturale. Poliţa, emisă la data de 18.04.2010, începe cu un mesaj din partea furnizorului de servicii de telefonie: „Ştim cât de importantă este locuinţa pentru dumneavoastră. De aceea, v-am pregătit, împreună cu (…) (asiguratorul – n.n.), o asigurare gratuită de locuinţă, valabilă până la data de 17.07.2010. Un cadou util, cu atât mai mult cu cât va intra în curând în vigoare legea privind asigurarea obligatorie a locuinţei împotriva dezastrelor naturale^[6]. Prezenta poliţă acoperă riscurile prevăzute de lege şi, suplimentar şi gratuit, patru riscuri care pot ameninţa locuinţa dumneavoastră: incendiu, trăsnet, explozie şi cădere de corpuri pe clădiri. Mai mult, puteţi opta pentru prelungirea asigurării pe o perioadă de 1 an, plătind numai 50% din preţul asigurării! Sperăm că veţi aprecia această şansă unică (s.n.) şi vă veţi prelungi poliţa de asigurare, atunci când veţi fi contactat de către reprezentanții (…) (asiguratorului – n.n.)”^[7].

Pe poliţă figurează numele, prenumele şi adresa asiguratului, client al furnizorului de servicii de telefonie, este menţionat că obiectul asigurării îl reprezintă locuinţa asiguratului care se află la aceeaşi adresă cu a asiguratului, iar cuantumul sumei asigurate este de 20.000 euro. În continuare este indicată prima de asigurare în cuantum de 20 de euro, cu precizarea că 10 euro sunt suportaţi de către societatea de asigurări iar 10 euro vor fi achitaţi de către asigurat. Perioada asigurată indicată de poliţa de asigurare acoperea două paliere: de la 18.04.2010 – până la 17.07.2010 prin plata de către asigurător a ratei I în sumă de 10 euro şi de la 18.04.2010 – până la 17.07.2011 prin plata de către asigurat a ratei a II-a în cuantum de 10 euro, apelând un număr de telefon până la data de 31.12.2010 sau exprimându-şi acordul la primirea apelului din partea unui reprezentant al societăţii de asigurări.

Partea cea mai interesantă din poliţă sub aspectul protecţiei datelor cu caracter personal este următoarea: „În cazul în care nu sunteţi de acord să beneficiaţi de poliţa de asigurare de locuinţă gratuită oferită de (…) [asigurator – n.n.], până la data de 17.07.2010, vă rugăm să vă prezentaţi la oricare dintre sediile magazinelor (…) (furnizorului de servicii de telefonie – n.n.) în termen de maxim 10 zile de la data facturării, înscrisă pe prima pagină a facturii, şi să ne informaţi cu privire la dezacordul dumneavoastră de a beneficia de aceasta, urmând ca (…) (asiguratorul – n.n.) să anuleze respectiva poliță de asigurare. În situația în care nu vă veți exprima dezacordul conform celor de mai sus, vom considera că v-ați exprimat acordul cu privire la prelucrarea datelor dumneavoastră personale (nume, prenume, număr/numere de telefon și adresa la care este instalat serviciul de voce furnizat de…) de către (…) (asigurator – n.n.) în scopul administrării poliței de asigurare de locuință, precum și cu privire la acceptul dumneavoastră de a fi contactat de către (…) (asigurator – n.n.)” pentru a fi informat cu privire la condițiile în care polița de asigurare a locuinței poate fi prelungită, prin orice mijloace de comunicare, inclusiv prin mesaje telefonice înregistrate”.

În încheiere se preciza că poliţa a fost încheiată în baza condiţiilor de asigurare anexate, în două exemplare, din care originalul a fost înmânat asiguratului, iar „asiguratul declară că îi sunt cunoscute cele înscrise în Poliţă şi este de acord cu încheierea ei în aceste condiţii”.

În prima jumătate a anului 2010, polițele au fost comunicate beneficiarilor odată cu factura curentă emisă pentru serviciile de telefonie furnizate. După ce au luat cunoştinţă de existenţa poliţelor încheiate în numele lor, unii clienţi au adresat plângeri Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).

Sancţionarea contravenţională

Ca urmare ANSPDCP a sancționat furnizorul de servicii de telefonie pentru săvârşirea contravenţiilor prevăzute de art. 32^[8] raportat la art. 5 alin. (1) din lege, întrucât a prelucrat datele cu caracter personal ale clienţilor săi în scopul încheierii unor poliţe de asigurare, fără ca aceştia să-şi fi exprimat consimţământul expres şi neechivoc pentru această prelucrare, iar pentru această faptă i-a fost aplicat furnizorului de servicii de telefonie o amenda în cuantum de 3.000 lei.

În ceea ce priveşte consimţământul pentru prelucrare, potrivit art. 5 alin. (1) din lege, „orice prelucrare de date cu caracter personal, cu excepţia prelucrărilor care vizează date din categoriile menţionate la art. 7 alin. (1), art. 8 şi 10, poate fi efectuată numai dacă persoana vizată şi-a dat consimţământul în mod expres şi neechivoc pentru acea prelucrare (s.n.)”.

Totodată, s-a reţinut şi săvârşirea contravenţiei prevăzută de art. 32 raportat la art. 4 alin. (1) lit. b) din lege, întrucât datele cu caracter personal ale clienţilor au fost prelucrate într-un scop incompatibil cu scopul iniţial pentru care acestea au fost colectate. Datele personale ale clienţilor au fost colectate iniţial în scopul furnizării de servicii, însă ulterior au fost prelucrate în scopul încheierii de poliţe de asigurare, faptă pentru care furnizorul de servicii de telefonie a fost amendat cu 2.000 lei.

În ceea ce priveşte scopul prelucrării, potrivit art. 4 alin. (1) lit. b) din lege: „datele cu caracter personal destinate a face obiectul prelucrării trebuie să fie colectate în scopuri determinate, explicite şi legitime (s.n.); prelucrarea ulterioară a datelor cu caracter personal în scopuri statistice, de cercetare istorică sau ştiinţifică nu va fi considerată incompatibilă cu scopul colectării dacă se efectuează cu respectarea dispoziţiilor prezentei legi […]”.

Plângerea contravenţională

Instanța de fond

Prin plângerea înregistrată pe rolul Tribunalului Bucureşti, furnizorul de servicii de telefonie a solicitat, în contradictoriu cu ANSPDCP, anularea procesului-verbal de constatare şi sancţionare a contravenţiei încheiat de pârâtă şi exonerarea de plata amenzii în valoare de 5.000 lei. Pe baza probei cu înscrisuri administrată în cauză, Tribunalul Bucureşti a dispus respingerea plângerii ca neîntemeiată^[9]. Pentru a hotărî astfel, instanţa de fond a reţinut, în esenţă, următoarele:

a) Precum a reieşit din procesul-verbal şi din înscrisurile depuse de către ANSPDCP la dosar în susţinerea acestuia, reclamantul a încheiat cu o societate de asigurări – pentru perioada 14.04.2010 – 13.07.2010/13.07.201^[10]– poliţe de asigurare a locuinţei împotriva incendiului şi a dezastrelor naturale, pentru o parte dintre clienţii săi, poliţe pe care le-a comunicat acestora împreună cu factura curentă emisă pentru serviciile de telefonie furnizate;

b) Atât din conţinutul clauzelor contractului pentru furnizarea de servicii de telefonie, cât şi din cuprinsul poliţelor de asigurare depuse în dosar, a rezultat că aceşti clienţi nu au avut cunoştinţă, anterior încheierii acestor poliţe de asigurare, de aceasta posibilitate şi nici de faptul că datele cu caracter personal – colectate de către reclamant odată cu încheierea contractului de furnizare de servicii de telefonie – vor fi prelucrate de reclamant şi comunicate unui terţ (societatea de asigurări) în scopul încheierii unor poliţe de asigurare, astfel că, în mod evident, clienţii reclamantului nu şi-au exprimat consimţământul în acest sens^[11];

c) Deşi reclamantul a susţinut că un astfel de consimţământ nu era necesar întrucât, în cazul acestor poliţe, furnizorul de servicii de telefonie nu a făcut altceva decât să comunice datele cu caracter personal ale clienţilor săi – accesibile oricum publicului – şi pentru care aceşti clienţi şi-au dat consimţământul potrivit art. 7 din Contractul de furnizare de servicii de telefonie, raportat la art. 11.1 din Condiţiile Generale pentru Furnizarea Serviciilor^[12], în speţă, nu s-a făcut nici o dovada în acest sens, reclamantul depunând la dosar doar formularul tipizat al contractului pe care-l încheia cu clienţii săi^[13], astfel că nu a putut fi reţinută ca dovedită o astfel de susţinere şi, prin urmare, nu s-a putut reţine nici incidenţa în cauză a dispoziţiilor art. 5 alin. (2) lit. f)^[14]din lege;

d) De asemenea, nici art. 5 alin. (2) lit. a)^[15] din acelaşi act normativ nu-şi a găsit aplicabilitatea în cauză, în condiţiile în care, deşi dispoziţia legală vorbeşte de existenta unui contract în care persoana vizată, în speţă clientul furnizorului de servicii de telefonie, este parte, nu s-a făcut dovada că încheierea poliţelor de asigurare a fost prevăzută în contractul încheiat de reclamant cu clienţii săi, aceştia nefiind informaţi nici măcar la modul general că ar putea beneficia, eventual, de anumite „cadouri” de tipul poliţelor de asigurare.

Împrejurarea că furnizorul de servicii de telefonie a încheiat un contract cu societatea de asigurări în scopul emiterii unor astfel de poliţe, nu prezintă relevanţă sub aspectul săvârşirii contravenţiilor reţinute în sarcina reclamantului cu privire la prelucrarea nelegală a datelor cu caracter personal ale clienţilor săi, întrucât aceştia nu erau părţi în acest din urmă contract şi nici nu au fost informaţi despre existenţa lui înainte de a li se fi dezvăluit datele cu caracter personal către societatea de asigurări, care este un terţ în raport cu clienţii furnizorului de servicii de telefonie. Astfel, situaţia de fapt existentă în cauză nu s-a încadrat în niciuna dintre ipotezele legale – art. 5 alin. (2) lit. a) şi f) din lege – invocate de furnizorului de servicii de telefonie pentru care nu ar fi fost necesar ca acesta să obţină consimţământul expres şi neechivoc al clienţilor săi pentru încheierea poliţelor de asigurare, care au presupus prelucrarea datelor personale ale acestora, date colectate de reclamant în scopul furnizării serviciilor specifice care formează obiectul său de activitate;

DOWNLOAD FULL ARTICLE