Pilonii prelucrării datelor cu caracter personal

e) Scopul în care au fost prelucrate datele cu caracter personal nu s-a circumscris situaţiilor de excepţie prevăzute de art. 12 alin. (3) şi (4) din lege^[16], pentru a nu fi necesară informarea clienţilor furnizorului de servicii de telefonie cu privire la încheierea poliţelor de asigurare, fie la momentul colectării datelor, fie, dacă se intenţiona dezvăluirea acestora către terţi, cum a fost cazul în speţă, cel mai târziu până în momentul primei dezvăluiri, obligaţie care evident nu a fost respectata de reclamant, din moment ce acesta a încheiat mai întâi poliţele de asigurare, comunicând către societate de asigurări, numele, prenumele, adresa de domiciliu a clienţilor săi şi apoi a comunicat acestora poliţa şi condiţiile în care o pot utiliza pe viitor.

Instanța de recurs

Împotriva sentinţei civile pronunţată de Tribunalul Bucureşti, furnizorul de servicii de telefonie a declarat recurs, susţinând că este lipsită de temei legal şi ar fi fost dată cu aplicarea greşită a legii. Recurentul-reclamant a solicitat admiterea recursului astfel cum a fost formulat, modificarea sentinţei civile nr. 858 din 2 martie 2011, în sensul admiterii plângerii formulate de către societatea în cauză şi, pe cale de consecinţă, anularea procesului-verbal de constatare şi sancţionare a contravenţiei, precum şi exonerarea de la plata amenzii în cuantum de 5000 lei.

Pe de altă parte, intimata-pârâtă a solicitat respingerea recursului ca nefondat şi menţinerea ca legală şi temeinică a sentinţei civile pronunţată de instanţa de fond, precizând că, anterior încheierii poliţelor de asigurare, clienţii reclamantei nu şi-au dat consimţământul pentru prelucrarea datelor cu caracter personal, nici prin contractele încheiate cu furnizorul de servicii de telefonie şi nici prin alte documente ulterioare, datele fiind colectate pentru furnizarea de servicii telefonice.

În continuare vom prezenta motivele invocate de reclamantă în susţinerea lipsei de temei legal a sentinţei Tribunalului Bucureşti şi a greşitei aplicări a legii de către instanţa de fond, precum şi argumentele în considerarea cărora Curtea de Apel Bucureşti a constatat că recursul este nefondat:

a) Potrivit recurentului, instanţa de fond ar fi reţinut în mod eronat faptul că furnizorul de servicii de telefonie a încheiat pentru perioada 14.04.2010 – 13.07.2010/13.07.2011 poliţe de asigurare a locuinţei împotriva incendiului şi a dezastrelor naturale, pentru o parte dintre clienţii săi, cu o societate de asigurări. Din înscrisurile depuse la dosarul cauzei şi pe care instanţa în mod greşit nu le-ar fi avut în vedere la pronunţarea sentinţei, ar fi rezultat în mod indubitabil faptul că furnizorul de servicii de telefonie a oferit un cadou constând într-o poliţă de asigurare a locuinţei doar pentru perioada 14.04.2010 – 13.07.2010, perioadă pentru care a şi plătit contravaloarea primei rate de asigurare, în calitatea sa de contractant, clienţii reclamantului fiind cei care puteau opta, dacă doreau, pentru prelungirea poliţiei de asigurare pentru perioada 13.07.2010 – 13.07.2011, situaţie în care urmau să achite prima de asigurare aferentă acestei perioade, beneficiind în plus de o reducere de 50% din preţul asigurării pe an.

Curtea a considerat însă că instanţa de fond în mod corect a reţinut faptul că poliţele de asigurare au fost încheiate de furnizorul de servicii de telefonie cu societatea de asigurări pentru perioada 14.04.2010 – 13.07.2010/13.07.2011, întrucât în cuprinsul poliţelor de asigurare era înscrisă perioada asigurată: 14.04.2010 – 13.07.2010 şi 13.07.2010 – 13.07.2011, cu precizări referitoare la modalitatea de plată a primei de asigurare. Faptul că furnizorul de servicii de telefonie a înţeles să suporte contravaloarea primei rate a primei de asigurare, urmând ca societatea de asigurări să anuleze respectivele poliţe de asigurare, în ipoteza în care clienţii îşi vor exprima dezacordul de a beneficia de acestea, neavând relevanţă sub aspectul existenţei contravenţiilor reţinute prin procesul-verbal contestat, faptele săvârşite de furnizorul de servicii de telefonie vizând prelucrarea nelegală a datelor cu caracter personal în scopul încheierii unor poliţe de asigurare, în lipsa consimţământului expres şi neechivoc pentru această prelucrare şi într-un scop incompatibil cu scopul iniţial în care au fost colectate.

b) Potrivit recurentului, în mod greşit instanţa de fond ar fi constatat faptul că dispoziţiile art. 5 alin. (2) lit. a) din lege nu-şi găsesc aplicabilitatea în cauză. Instanţa de fond ar fi interpretat în mod eronat sintagma „în vederea executării unui contract” din textul art. 5 alin. (2) lit. a) din lege fără să ţină cont de apărările formulate de furnizorul de servicii de telefonie, apărări prin care a arătat că a acţionat numai în executarea contractelor încheiate cu clienţii săi, oferindu-le un beneficiu ce constă în contractarea unor poliţie de asigurare a locuinţei împotriva incendiilor şi dezastrelor naturale şi suportarea de către societatea reclamantă a primei de asigurare pentru o perioadă de 3 luni de zile.

Curtea a considerat însă că dispoziţiile art. 5 alin. (2) lit. a) din lege potrivit cărora, consimţământul persoanei vizate nu este cerut când prelucrarea este necesară în vederea executării unui contract sau antecontract la care persoana vizată este parte ori în vederea luării unor măsuri, la cererea acesteia, înaintea încheierii unui contract sau antecontract, nu sunt incidente în cauză, împrejurare reţinută corect de instanţa de fond, întrucât nu se poate susţine că furnizorul de servicii de telefonie a acţionat numai în executarea contractelor încheiate cu clienţii săi, de vreme ce în contractele încheiate nu a fost prevăzută încheierea poliţelor de asigurare şi nici posibilitatea acordării anumitor „cadouri” constând în poliţe de asigurare^[17].

c) Potrivit recurentului, instanţa de fond în mod greşit ar fi reţinut faptul că furnizorul de servicii de telefonie ar fi prelucrat şi comunicat către societatea de asigurări datele cu caracter personal ale clienţilor săi în vederea încheierii poliţelor de asigurare a locuinţei împotriva incendiilor şi a dezastrelor naturale, de vreme ce, astfel cum s-a arătat instanţei de fond, societatea de asigurări ar fi emis poliţele de asigurare a locuinţei pentru clienţii furnizorului de servicii de telefonie, însă societatea reclamantă ar fi fost cea care a completat aceste poliţie cu datele clienţilor săi şi le-a transmis către aceştia împreună cu factura pentru serviciile furnizate.

În situaţia în care clienţii recurentului doreau să beneficieze de această poliţă de asigurare şi pentru perioada 13.07.2010 – 13.07.2011, beneficiind totodată şi de reducerea de 50% din cuantumul primei de asigurare, datele cu caracter personal ale acestora urmau a fi comunicate către societatea de asigurări, însă numai după expirarea termenului de 10 zile de la data facturării şi doar în scopul administrării poliţiei de asigurare de locuinţă, respectiv pentru a fi contactaţi de un reprezentant al societăţii de asigurări în vederea informării cu privire la condiţiile în care poliţia de asigurare a locuinţei poate fi prelungită.

Curtea a considerat însă că recurentul nu a solicitat şi nu a obţinut consimţământul expres şi neechivoc al clienţilor pentru prelucrarea datelor cu caracter personal în scopul încheierii de poliţe de asigurare. Recurentul a solicitat doar informarea expresă cu privire la dezacordul de a beneficia de aceste poliţe de asigurare, situaţie în care poliţele de asigurare urmau să fie anulate de către societatea de asigurări. Prin urmare, nu se poate susţine de către recurentă că nu ar fi prelucrat şi comunicat către societatea de asigurări datele personale ale clienţilor săi în vederea încheierii poliţelor de asigurare atâta timp cât poliţele de asigurare au fost semnate şi parafate de furnizorul de servicii de telefonie, în calitate de contractant, şi societatea de asigurări, în calitate de asigurator.

d) Potrivit recurentului, instanţa de fond, în mod greşit nu ar fi reţinut aplicabilitatea dispoziţiilor art. 5 alin. (2) lit. f) din lege potrivit cărora „consimţământul persoanei vizate nu este cerut /…/ f) când prelucrarea priveşte date obţinute din documente accesibile publicului, conform legii”. Astfel, chiar în procesul-verbal contestat este menţionat faptul că datele cu caracter personal prelucrate de către recurent în executarea contractelor încheiate cu clienţii săi au fost numele, prenumele, numărul de telefon şi adresa, acestea fiind accesibile publicului prin intermediul „Pagini Albe”, document ce conţine acei clienţi ai furnizorului de servicii de telefonie care şi-au dat acordul şi au optat pentru aşa-numitul „număr informabil” (număr care poate fi vizualizat de către orice persoane interesate).

Curtea a considerat însă că prevederile art. 5 alin. (2) lit. f) din lege conform cărora, consimţământul persoanei vizate nu este cerut când prelucrarea priveşte date obţinute din documente accesibile publicului, potrivit legii, nu sunt incidente în cauză, întrucât furnizorul de servicii de telefonie a fost autorizat de ANSPDCP să utilizeze datele clienţilor săi numai pentru acordarea serviciilor de telefonie^[18]. Prin urmare, dezvăluirea datelor către terţi în vederea prelucrării în alte scopuri decât cele colectate putea fi realizată numai pe baza consimţământului expres şi neechivoc al persoanei vizate.

e) Potrivit recurentului, instanţa de fond a apreciat faptul că „scopul în care au fost prelucrate datele cu caracter personal nu se circumscrie situaţiilor de excepţie prevăzute de art. 12 alin. (3) şi (4) din Legea nr. 677/2001”. Din analiza dispoziţiilor art. 12 alin. (2) ar rezulta în mod indubitabil faptul că obligaţia reglementată de art. 12 şi pe care instanţa de fond în mod greşit a reţinut-o a nu fi fost îndeplinită de societatea reclamantă există doar în situaţia în care datele nu sunt obţinute direct de la persoana vizată. Or, în cauză datele cu caracter personal ale clienţilor furnizorului de servicii de telefonie au fost obţinute direct de la aceştia, în executarea contractelor de furnizare a serviciilor de comunicaţii electronice, astfel că situaţia dedusă judecăţii nu s-ar circumscrie art. 12 alin. (2), iar instanţa de fond în mod greşit ar fi reţinut în sarcina reclamantului încălcarea obligaţiei prevăzute de art. 12 din Legea nr. 667/2001. În concluzie, faţă de aceste considerente, în mod neîntemeiat, instanţa de fond ar fi reţinut în sarcina furnizorului de servicii de telefonie o prelucrare nelegală a datelor cu caracter personal ale clienţilor săi, raportat la faptul că aceştia nu şi-au exprimat consimţământul în vederea prelucrării în scopul încheierii de poliţe de asigurare, întrucât acţiunile furnizorului de servicii de telefonie se circumscriu situaţiilor pentru care nu e necesar consimţământul persoanei vizate [art. 5 alin. (2) lit. a) şi f) din lege].

Curtea a considerat însă că aplicarea sancţiunii contravenţionale prin procesul-verbal contestat a fost determinată de încălcarea de către furnizorul de servicii de telefonie a dispoziţiilor art. 4 şi 5 din lege şi nu pentru nerespectarea art. 12 din acest act normativ, respectiv pentru lipsa informării clienţilor în vederea dezvăluirii datelor personale. În aceste condiţii, critica recurentei privitoare la respectarea de către aceasta a obligaţiei prevăzute de art. 12 din lege neavând relevanţă sub aspectul legalităţii şi temeiniciei sancţiunii aplicate^[19].

Am preferat prezentarea pe larg a conţinutului deciziei Curţii de Apel Bucureşti tocmai pentru ca cititorii să aibă o imagine completă atât a susţinerilor părţilor, cât şi a aspectelor reţinute de instanţa de fond şi cea de recurs.

Calitatea datelor, criteriile privind legitimitatea prelucrării şi obligaţia de informare

În principiu, orice prelucrare a datelor cu caracter personal trebuie, pe de o parte, să fie conformă cu principiile referitoare la calitatea datelor, enunțate la art. 6 din Directiva 95/46/CE^[20], și, pe de altă parte, să respecte unul dintre criteriile privind legitimitatea prelucrării datelor, enumerate la art. 7 din aceeași directivă. În plus, operatorul sau reprezentantul său are o obligație de informare, ale cărei condiții, prevăzute la art. 10 și 11 din directivă, variază în funcție de aspectul dacă aceste date sunt sau nu sunt colectate de la persoana vizată, sub rezerva derogărilor admise în temeiul articolului 13 din această directivă^[21].

^[16]Art. 12 alin. (2): „În cazul în care datele nu sunt obţinute direct de la persoana vizată (s.n.), operatorul este obligat ca, în momentul colectării datelor sau, dacă se intenţionează dezvăluirea acestora către terţi, cel mai târziu până în momentul primei dezvăluiri, să furnizeze persoanei vizate cel puţin următoarele informaţii, cu excepţia cazului în care persoana vizată posedă deja informaţiile respective: a) identitatea operatorului şi a reprezentantului acestuia, dacă este cazul; b) scopul în care se face prelucrarea datelor […]”. Potrivit art. 12 alin. (3) şi (4) din lege: „(3) Prevederile alin. (2) nu se aplică (s.n.) atunci când prelucrarea datelor se efectuează exclusiv în scopuri jurnalistice, literare sau artistice, dacă aplicarea acestora ar da indicii asupra surselor de informare. (4) Prevederile alin. (2) nu se aplică (s.n.) în cazul în care prelucrarea datelor se face în scopuri statistice, de cercetare istorică sau ştiinţifică, ori în orice alte situaţii în care furnizarea unor asemenea informaţii se dovedeşte imposibilă sau ar implica un efort disproporţionat faţă de interesul legitim care ar putea fi lezat, precum şi în situaţiile în care înregistrarea sau dezvăluirea datelor este expres prevăzută de lege.”