Prelucrarea unor categorii speciale de date cu caracter personal: codul numeric personal sau orice alt identificator cu aplicabilitate generală

Reglementare

Ca regulă, orice prelucrare a datelor cu caracter personal trebuie să fie conformă cu principiile referitoare la calitatea datelor, enunțate la art. 6 din Directiva 95/46/CE^[1], și să respecte unul dintre criteriile privind legitimitatea prelucrării datelor, enumerate la art. 7 din aceeași directivă^[2]. De asemenea, potrivit art. 8 alin. (7) privind prelucrarea unor categorii speciale de date, statele membre sunt cele care stabilesc condițiile în care poate fi prelucrat un număr de identificare sau orice alt identificator cu aplicabilitate generală care poate face obiectul prelucrării.

Legea de transpunere^[3] a Directivei 95/46/CE prevede la art. 8 că prelucrarea codului numeric personal sau a altor date cu caracter personal având o funcţie de identificare de aplicabilitate generală poate fi efectuată numai dacă persoana vizată şi-a dat în mod expres consimţământul sau prelucrarea este prevăzută în mod expres de o dispoziţie legală. Astfel, în timp ce, în regulă generală, poate constitui temei al prelucrării altor date cu caracter personal consimţământul, relaţia contractuală, obligaţiile legale ale operatorului, interesele vitale ale persoanei vizate, interesul public şi exercitarea autorităţii oficiale, precum şi interesele legitime urmărite de operator sau de un terţ, numai consimţământul sau prevederea legală expresă pot legitima prelucrarea datelor cu caracter personal având funcţie de identificare.

Ca şi excepţie, potrivit art. 8 alin. (2) din lege, aceste date pot fi prelucrate şi în alte cazuri, cu avizul Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) şi numai cu condiţia instituirii unor garanţii adecvate pentru respectarea drepturilor persoanelor vizate.

Întrucât din practică a rezultat colectarea şi prelucrarea fără o justificare temeinică a codului numeric personal şi a altor date cu caracter personal având o funcţie de identificare de aplicabilitate generală, ANSPDCP a emis o decizie^[4] în vederea clarificării modalităţii de prelucrare a acestor date, precum şi a copiilor documentelor ce le conţin.

Astfel, prin date cu caracter personal având o funcţie de identificare de aplicabilitate generală trebuie să înţelegem acele numere prin care se identifică o persoană fizică în anumite sisteme de evidenţă şi care au aplicabilitate generală, cum ar fi: codul numeric personal, seria şi numărul actului de identitate, numărul paşaportului, al permisului de conducere, numărul de asigurare socială sau de sănătate [art. 1 alin. (2) din decizie]. De asemenea, consimţământul pentru prelucrarea datelor cu caracter personal având funcţie de identificare trebuie dat în mod expres, într-o formă care să permită dovedirea acestuia de către operator [art. 3 alin. (2) din decizie].

Potrivit art. 6 din decizie, „colectarea şi prelucrarea datelor prevăzute la art. 1, inclusiv dezvăluirea acestora, prin efectuarea şi reţinerea de copii de pe cartea de identitate sau de pe documente care le conţin (s.n.), sunt interzise”, cu excepţia situaţiei în care fie persoana vizată şi-a dat în mod expres consimţământul, fie prelucrarea este prevăzută în mod expres de o dispoziţie legală, fie în alte cazuri, cu avizul Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal şi numai cu condiţia instituirii unor garanţii adecvate pentru respectarea drepturilor persoanelor vizate. În cea din urmă situaţie, operatorul trebuie să respecte principiul caracterului adecvat, pertinent şi neexcesiv, precum şi măsurile de confidenţialitate şi de securitate a prelucrărilor prin instituirea unor garanţii adecvate^[5].

Pentru a ilustra temeiurile legitimităţii prelucrării datelor cu caracter personal având funcţie de identificare – consimțământul şi dispoziţia legală expresă – am ales a prezenta conţinutul unei sentinţe a Tribunalului Braşov (fond) şi al deciziei corelative a Curţii de Apel Braşov (apel).

Situaţia de fapt

În speţă^[6], Regia Autonomă de Transport Braşov (RATBv), în calitate de prestator al serviciului de transport public local de călători, a eliberat legitimaţii de călătorie cu titlu gratuit, aceste legitimaţii fiind acordate unor categorii speciale de călători^[7], desemnate prin reglementări legale emise de autoritățile centrale și de cele locale. RATBv se află sub autoritatea Consiliului Local Brașov^[8] și a încheiat cu Municipiul Brașov în anul 2006 Contractul privind serviciile de transport public local de călători. Pentru a recupera aceste cheltuieli de transport, RATBv a încheiat cu Casa Judeţeană de Pensii Braşov o convenţie în cuprinsul căreia se menționa obligativitatea înscrierii CNP-ului pe formularul legitimaţiei (pe care ulterior completării o înmâna beneficiarului) pentru a putea obţine de la această autoritate contravaloarea serviciului prestat.

Prin urmare RATBv, în calitate de operator de date cu caracter personal, a colectat, inclusiv prin reţinerea de copii de pe actele de identitate, şi ulterior a înregistrat şi a stocat în sistemele proprii de evidenţă datele personale ale solicitanţilor de abonamente, persoane fizice, printre care se număra şi codul numeric personal, datele colectate^[9] regăsindu-se în evidenţele regiei, stocate pe suport electronic şi de hârtie.

RATBv a depus la ANSPDCP în data de 14 noiembrie 2013 o notificare – având ca scop comercializarea abonamentelor de călătorie şi a legitimaţiilor cu tarif redus/gratuit; justificarea diferenţei de tarif redus-gratuit – în urma căreia i s-a atras atenţia de către ANSPDCP, printr-o adresă din 26 noiembrie 2013, că datele cu caracter special nu pot fi prelucrate decât în condiţiile art. 8 din lege.

Sancţionarea contravenţională

Ulterior, în urma realizării unei investigaţii – cum în cadrul acesteia nu au fost prezentate dovezi ale obţinerii consimţământului persoanelor care au accesat acest serviciu gratuit – ANSPDCP a constatat în data de 12 februarie 2014 săvârşirea faptei de prelucrare nelegală a datelor cu caracter personal, în sensul că RATBv a nesocotit dispoziţiile art. 8 din Legea nr. 677/2001 şi art. 6 din Decizia nr. 132/2011, faptă ce constituie contravenţie prevăzută de art. 32 din Legea nr. 677/2001^[10]. Mai exact, ANSPDCP a constatat că RATBv trece CNP-ul pe legitimaţiile de călătorie fără a avea un temei legal în acest sens, fără consimțământul expres şi neechivoc al persoanei vizate şi fără a avea a avea eventual avizul ANSPDCP pentru o astfel de prelucrare.

Plângerea contravenţională

 Instanţa de fond

Prin plângerea înregistrată pe rolul Tribunalului Brașov, RATBv a solicitat, în contradictoriu cu ANSPDCP, anularea procesului-verbal de contravenție încheiat emis de intimată.

Printre altele, RATBv a susținut că nu realizează operațiuni de prelucrare a datelor, invocând definiția din DEX a prelucrării^[11], aserţiune faţă de care ANSPDCP a arătat că prin prelucrare a datelor cu caracter personal, potrivit art. 3 lit. b) din lege, se înţelege „orice operaţiune sau set de operaţiuni care se efectuează asupra datelor cu caracter personal, prin mijloace automate sau neautomate, cum ar fi colectarea, înregistrarea, organizarea, stocarea, adaptarea ori modificarea, extragerea, consultarea, utilizarea, dezvăluirea către terţi prin transmitere, diseminare sau în orice alt mod, alăturarea ori combinarea, blocarea, ştergerea sau distrugerea”, definiţia din DEX a prelucrării neputând prevala asupra celei date de legea specială în materie. Astfel, operaţiunea de „trecere a CNP-ului pe legitimaţie” se înscrie în definiţia legală a prelucrării datelor – chiar dacă nu este precizată expres de legiuitor în sfera acţiunilor care pot constitui contravenţie, întrucât enumerarea nu este una limitativă, ci una exemplificativă – circumscriindu-se prin urmare sferei operaţiunilor enumerate de lege.

Pe baza probei cu înscrisuri administrată în cauză, Tribunalul Brașov a admis plângerea formulată de RATBv^[12]. Pentru a hotărî astfel, instanţa de fond a reţinut, în esenţă, următoarele:

a) RATBv colectează (inclusiv prin reţinerea de copii de pe actele de identitate) şi ulterior înregistrează şi stochează în sistemele proprii de evidenţă datele personale ale solicitanţilor de abonamente persoane fizice; are calitatea de operator de date cu caracter personal, depunând la ANSPDCP o notificare în acest sens,

b) însă nu poate fi contravenientă, potrivit dispozițiilor art. 8 din Legea nr. 677/2001, de vreme ce pentru a-și recupera cheltuielile cu abonamentele gratuite a încheiat cu Casa Județeană de Pensii Brașov o convenție în cuprinsul căreia se menționează obligativitatea înscrierii CNP-ului pe formularul legitimației, pentru a se putea obține de la această autoritate contravaloarea serviciilor de transport public de călători pe care regia le-a prestat în beneficiul acestor persoane; mai mult, RATBV se află în subordinea Consiliului Local Brașov, încheindu-se în anul 2006 Contractul privind serviciile de transport public local de călători; astfel, în lipsa datelor cu caracter personal a persoanelor beneficiare a abonamentelor gratuite, RATBv nu și-ar putea îndeplini obligațiile rezultate din contractul menţionat;

c) prin cererea făcută de o persoană pentru a accesa un serviciu gratuit, practic există consimțământul acesteia pentru prelucrarea și stocarea datelor personale ale acesteia.

 Instanţa de control judiciar^[13]

Împotriva sentinţei civile pronunţată de Tribunalul Braşov, ANSPDCP a declarat apel, criticând-o pentru nelegalitate şi netemeinicie, a solicitat admiterea apelului, modificarea în tot a hotărârii instanţe de fond şi respingerea acţiunii.

Potrivit ANSPDCP instanţa de fond a reţinut în mod greşit că acea convenţie încheiată cu Casa Judeţeană de Pensii Braşov reprezintă o dispoziţie legală expresă în sensul art. 8 alin. (1) din lege, constituind astfel temei al prelucrării datelor cu caracter personal având funcţie de identificare (codul numeric personal sau orice alt identificator cu aplicabilitate generală). De asemenea, cum RATBv a prestabilit datele şi categoriile de date solicitate persoanelor fizice şi a obligat pe acestea la furnizarea datelor sub condiţia neemiterii de abonamente şi legitimaţii de călătorie, nu s-ar putea reţine existenţa unui consimţământ valabil acordat iar în cadrul investigaţiei desfăşurată la sediul RATBv nici nu au fost prezentate dovezi ale obţinerii consimţământului.

RATBv a formulat întâmpinare și a solicitat respingerea apelului, arătând că ANSPDCP interpretează mult prea restrictiv prevederile art. 8 din lege iar sancțiunea aplicată este inadecvată, lipsită de pertinență și excesivă.

În continuare vom prezenta apărările formulate de RATBv, precum şi argumentele în considerarea cărora Curtea de Apel Braşov a admis apelul de declarat de ANSPDCP, schimbând în tot hotărârea tribunalului, şi, rejudecând, a respins ca nefondată plângerea formulată de RATBv:

a) faţă de numărul foarte mare al persoanelor fizice care beneficiază de transport gratuit ar fi imposibilă obţinerea unui consimţământ expres al fiecărei persoane pentru prelucrarea CNP-ului, RATBv arătând şi costurile materiale ale unei asemenea operaţiuni;

DOWNLOAD FULL ARTICLE