Prelucrarea unor categorii speciale de date cu caracter personal: codul numeric personal sau orice alt identificator cu aplicabilitate generală

Atât în faţa instanţei de fond, cât şi în apel, RATBv a invocat considerente de ordin economic pentru a justifica imposibilitatea de a obţine consimţământul expres al fiecărei persoane pentru prelucrarea CNP-ului. Iniţial a precizat că regia furnizează acestor categorii de persoane serviciul de transport public de călători, fără a primi de la aceste persoane contravaloarea serviciului prestat, dar realizând aceleaşi categorii de cheltuieli de transport ca şi pentru transportul unui călător care îşi achită din fonduri proprii contravaloarea acestei călătorii. Ulterior, în ceea ce priveşte consimţământul expres al persoanelor fizice beneficiare ale transportului gratuit, a solicitat să se constate că lună de lună un număr mare de persoane ar trebui să dea o declaraţie – care să fie arhivată de regie – în care să îşi dea expres acest acord de prelucrare a CNP-ului. Ţinând cont şi de faptul că identitatea persoanelor variază de la lună la lună, la nivelul unui an RATBv ar avea de arhivat declaraţii însumând 2093 topuri de hârtie a câte 500 foi fiecare. Prin urmare, având în vedere valoarea unui top de hârtie, deşi nu există niciun temei legal care să impună regiei obligaţia de a suporta din fonduri proprii cheltuielile de transport ale acestor persoane, regia ar trebui să suporte anual costuri suplimentare pentru a pune în practică cerinţa ANSPDCP.

În replică, ANSPDCP a precizat că nu pot fi primite motivele privind costurile considerate ca fiind excesive pentru efectuarea dovezii privind obţinerea consimţământului. La fel, Curtea a considerat că apărarea este lipsită de eficienţă juridică întrucât „nu există excepţii prevăzute de lege sau prevederi legale care să permită prelucrarea acestor date cu caracter personal fără consimţământul expres al persoanei fizice” (sic!). În realitate consimţământul persoanei vizate nu constituie unicul temei juridic care poate legitima prelucrarea CNP-ului sau a orice alt identificator cu aplicabilitate generală, prelucrarea, chiar în lipsa consimțământului persoanei vizate, putând fi prevăzută în mod expres de o dispoziţie legală sau putând avea loc cu avizul ANSPDCP^[14], însă nu a existat un astfel de aviz care să permită această prelucrare în condiţiile art. 8 alin. (2) din lege. Mai trebuie să precizăm că, potrivit art. 5 alin. (1) lit. f) din Decizia nr. 132/2011, chiar şi în cazul existenţei avizului ANSPDCP, dezvăluirea către alţi destinatari^[15] este interzisă, cu excepţia situaţiei în care există consimţământul persoanei vizate sau o prevedere legală expresă.

b) prin cererea făcută de o persoană pentru a accesa un serviciu gratuit, practic există consimţământul acesteia pentru prelucrarea şi stocarea datelor personale ale acesteia;

Potrivit art. 3 alin. (2) din Decizia nr. 132/2011, consimţământul trebuie dat în mod expres, într-o formă care să permită dovedirea acestuia de către operator, însă nici în cadrul investigaţiei desfăşurate la sediul RATBv, nici ulterior, nu au fost prezentate dovezi ale obţinerii consimţământului persanelor vizate. De aceea, contrar opiniei primei instanţe care a reținut că prin cererea făcută de o persoană pentru a accesa un serviciu gratuit practic există consimțământul acesteia pentru prelucrarea și stocarea datelor personale ale acesteia, Curtea a apreciat că această susţinere rămâne gratuită atât timp cât nu există şi nu au fost administrate dovezi din care să rezulte expres consimţământul persoanei fizice ca datele sale cu caracter personal să fie prelucrate într-un anumit scop de regie.

Prin urmare, deși în principiu pentru prelucrarea datelor cu caracter personal consimţământul poate fi acordat fie explicit, fie implicit, persoana vizată acţionând într-un mod care nu lasă loc de îndoială asupra faptului că este de acord cu prelucrarea datelor sale^[16], în cazul datelor cu caracter personal având o funcţie de identificare de aplicabilitate generală, prelucrarea pe bază de consimţământ necesită ca persoana vizată să-și fi dat în mod expres consimţământul iar formă trebuie să permită dovedirea acestuia de către operator, ceea ce nu s-a întâmplat în speţă.

c) persoana fizică nu este prejudiciată de înscrierea CNP-ului pe legitimaţia de călătorie;

Curtea a considerat însă că RATBv a acţionat pe o durată întinsă în timp în sensul prelucrării unor date cu caracter personal, respectiv CNP-ul persoanei fizice, cu încălcarea legii, respectiv a art. 8 din lege şi art. 6 din Decizia nr. 132/2011. Rezultatul acestei acţiuni continuate a regiei l-a constituit urmarea imediată, socialmente periculoasă creată de fiecare acţiune de prelucrare a acestor date cu caracter personal în parte iar legea nu cere producerea unui rezultat material, fiind suficientă crearea stării de pericol care aduce atingere valorii sociale ocrotite de lege.

d) în lipsa menţionării CNP-ului nu pot fi identificate persoanele fizice care beneficiază de transport gratuit iar pentru a-şi recupera cheltuielile cu abonamentele gratuite, a încheiat cu Casa Judeţeană de Pensii Braşov o convenţie în cuprinsul căreia se menţionează obligativitatea înscrierii CNP pe formularul legitimaţiei, pentru a se putea obţine de la această autoritate contravaloarea serviciilor de transport public de călători pe care regia le-a prestat în beneficiul acestor persoane,

Curtea a considerat însă că această convenţie încheiată de părţi – RATBv și Casa Judeţeană de Pensii Braşov – nu este opozabilă decât părţilor contractante, iar pentru terţi – persoanele vizate – nu are valoare juridică. În plus, prin hotărârea pronunţată de CJUE în cauza C-201/14, Bara şi alţii^[17], în legătură cu interpretarea unor prevederi din Directiva 95/46/CE privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date, s-a decis ca persoanele ale căror date cu caracter personal fac obiectul transmiterii şi prelucrării între două autorităţi ale administraţiei publice a unui stat membru trebuie sa fie informate în prealabil cu privire la acest aspect^[18].

Prin urmare, precum a arătat şi ANSPDCP, instanţa de fond a reţinut în mod greşit că acea convenţie încheiată cu Casa Judeţeană de Pensii Braşov reprezintă o dispoziţie legală expresă în sensul art. 8 alin. (1) din lege, constituind astfel temei juridic privind legitimitatea prelucrării datelor cu caracter personal având funcţie de identificare, acestea putând fi prelucrate numai în trei situaţii: fie cu consimțământul expres şi neechivoc al persoanei vizate, fie atunci când prelucrarea este prevăzută în mod expres de o dispoziţie legală, fie cu avizul ANSPDCP pentru o astfel de prelucrare, ceea ce de asemenea nu s-a întâmplat în speţă.

e) în lipsa datelor cu caracter personal a persoanelor beneficiare a abonamentelor gratuite, RATBv nu şi-ar putea îndeplini obligaţiile rezultate din Contractul privind serviciile de transport public local de călători;

Această apărare formulată de RATBv a fost preluată din considerentele sentinței date de instanţa de fond. Curtea a considerat însă faptul că RATBv se află în subordinea Consiliului Local Braşov şi a încheiat cu Municipiul Braşov, în anul 2006, Contractul privind serviciile de transport public local de călători, o formă de apărare lipsită de relevanţă juridică faţă de cerinţele exprese ale Legii nr 677/2001 de vreme ce nici o convenţie nu poate înfrânge legea.

Contractul privind serviciile de transport public local de călători ar fi putut constitui temei juridic privind legitimitatea prelucrării datelor numai în cazul datelor nesensibile^[19] şi doar dacă prelucrarea ar fi fost necesară în vederea executării unui contract sau antecontract la care persoana vizată este parte ori în vederea luării unor măsuri, la cererea acesteia, înaintea încheierii unui contract sau antecontract, adică atunci când persoana vizată este sau urmează a fi parte în respectivul contract, ceea ce nu a fost cazul în speţă, contractul fiind încheiat între RATBv şi Municipiul Braşov.

f) fapta reţinută în sarcina sa nu constituie contravenţie întrucât legiuitorul nu o precizează în mod expres în sfera acţiunilor ce constituie contravenţie;

Curtea a considerat însă că susţinerea RATBv este înlăturată întrucât legiuitorul a reglementat contravenţia, de genul celei reţinute în procesul-verbal, în dispoziţiile art. 32 din Legea nr. 677/2001 care prevede că prelucrarea datelor cu caracter personal de către un operator sau de o persoană împuternicită de acesta, cu încălcarea prevederilor art. 4-10 sau cu nesocotirea drepturilor prevăzute la art. 12-15 sau la art. 17, constituie contravenţie. În speță, precum am văzut, operaţiunea de „trecere a CNP-ului pe legitimaţie” se înscrie în definiţia legală a prelucrării datelor, chiar dacă nu este precizată expres de legiuitor în sfera acţiunilor care pot constitui contravenţie, întrucât enumerarea nu este una limitativă, ci una exemplificativă. RATBv nu numai că a prelucrat date cu caracter personal având o funcţie de identificare de aplicabilitate generală, însă le-a prelucrat în lipsa consimțământului expres al persoanelor vizate sau al avizului ANSPDCP iar prelucrarea nu era prevăzută în mod expres de nici o dispoziţie legală.

g) nu există vinovăţie a RATBv în forma cerută de lege;

Potrivit art. 22 alin (1) din lege privind notificarea către autoritatea de supraveghere, „operatorul este obligat să notifice autorităţii de supraveghere, personal sau prin reprezentant, înainte de efectuarea oricărei prelucrări ori a oricărui ansamblu de prelucrări având acelaşi scop sau scopuri corelate”. RATBv a notificat ANSPDCP despre intenţia sa de prelucrare statistică şi pentru gestiunea economico-financiară şi administrativă a eliberării legitimaţiilor de călătorie pentru diferite categorii de persoane. ANSPDCP a comunicat RATBv printr-o adresă că datele cu caracter personal având o funcţie de identificare de aplicabilitate generală pot fi prelucrate numai în condiţiile prevăzute de art. 8 din lege^[20].

Cum nu s-a administrat în cauză vreo altă dovadă că RATBv s-a conformat acestei solicitări, respectiv prelucrarea în condițiile prevăzute de art. 8 din lege, toate înscrisurile administrate ca probă în cauză dovedind că RATBv a colectat, a înregistrat şi a stocat în evidenţe proprii date cu caracter personal având o funcţie de identificare de aplicabilitate generală – în speţă aceste date fiind codul numeric personal – fără a exista consimţământul expres, neechivoc, al fiecărei persoane atât pentru realizarea acestei operaţiuni, cât şi pentru dezvăluirea datelor sale către terţi, deşi cunoştea dispoziţiile legale care reglementează modalitatea de prelucrare a CNP-ului atât cu ocazia depunerii notificării la ANSPDCP cât şi cu ocazia răspunsului conţinut de adresa menţionată^[21], Curtea a considerat că forma de vinovăţie cu care a acţionat RATBv rezultă din materialitatea faptelor. Probele dovedind că din proprie iniţiativă, cunoscând conţinutul valorii ocrotite de lege, RATBv a procedat la nerespectarea legii, valoarea socială ocrotită de lege fiind cea prevăzută la art. 1 din lege, respectiv drepturilor şi libertăţilor fundamentale ale persoanelor fizice, în special a dreptului la viaţa intimă, familială şi privată, cu privire la prelucrarea datelor cu caracter personal.

În anul anterior, și Regiei Autonome de Transport București (RATB) i s-a aplicat de către ANSPDCP o amendă contravențională pentru efectuarea de copii ale actelor de identitate ale elevilor și studenților care au solicitat eliberarea abonamentelor cu tarif redus, RATB scanând și reținând copii ale actelor de identitate și ale altor documente ce conțineau CNP-ul solicitanților (ex. certificat de naștere, pașaport, carte de rezidență), cu încălcarea dispozițiilor art. 8 din lege, informație de care, deși disponibilă în spațiul public^[22], RATBv nu a ținut seamă^[23].

Prelucrarea datelor cu caracter personal având funcţie de identificare în Regulamentul (UE) 2016/679

Regulamentul general privind protecția datelor^[24]ce va se aplică de la data de 25 mai 2018 prevede la art. 87 că statele membre vor putea detalia în continuare condițiile specifice de prelucrare a unui număr de identificare național sau a oricărui alt identificator cu aplicabilitate generală. În acest caz, numărul de identificare național sau orice alt identificator cu aplicabilitate generală va putea fi folosit numai în temeiul unor garanții corespunzătoare pentru drepturile și libertățile persoanei vizate în temeiul prezentului regulament.

DOWNLOAD FULL ARTICLE