Alte cereri 22/2015

Dosar nr. XXXXXXXXXXX

ROMÂNIA

CURTEA DE APEL BUCUREȘTI

SECȚIA a VIII-a C_________ ADMINISTRATIV și FISCAL

Decizia nr. 22

Ședința publică din data de 27 aprilie 2015

Curtea constituită din:

PREȘEDINTE: C_____ P_____

JUDECĂTOR: D_____ M_____ D_______

GREFIER: M______ B___

Pe rol se află apelul formulat de apelanta – reclamantă L____ I_______ BANK SA, cu sediul în București, sector 2, ___________________-6, împotriva sentinței nr. 7759/25.11.2014 pronunțate de Tribunalul București – Secția a II-a de contencios administrativ și fiscal în dosarul nr. XXXXXXXXXXX în contradictoriu cu intimata-pârâtă A__________ NAȚIONALĂ DE SUPRAVEGHERE A PRELUCRĂRII DATELOR CU CARACTER PERSONAL, cu sediul în București, sector 1, ________________________.28-30, în cauza având ca obiect „alte cereri”.

La apelul nominal făcut în ședința publică răspund apelanta – reclamanta, prin avocat G____ A________, în baza împuternicirii avocațiale aflate la fila 16 din dosar, și intimata-pârâtă, prin consilier juridic I___ A______, în baza împuternicirii aflate la fila 40 din dosar.

Procedura de citare este legal îndeplinită.

Se face referatul cauzei de către grefierul de ședință, după care,

Nefiind cereri prealabile de formulat, excepții de invocat sau probe de administrat, Curtea constată cererea de apel în stare de judecată și acordă cuvântul asupra apelului.

Apelanta-reclamantă, prin avocat, solicită admiterea apelului astfel cum a fost formulat, modificarea sentinței apelate, admiterea plângerii contravenționale, cu consecința anulării procesului verbal de constatare și sancționare din data de 23 ianuarie 2014. Un prim aspect, pe care instanța de fond l-a reținut și pe care apărătorul îl aduce în atenție, privește faptul că apelanta-reclamantă ar fi avut obligația ca, anterior prelucrării datelor cu caracter personal, prin intermediul serviciului Wallet LibraPay, să notifice autoritatea intimată în condițiile art. 22 din Legea nr. 677/2001. Acest aspect a fost reținut eronat, având în vedere că apelanta-reclamantă notificase autoritatea intimată cu privire la prelucrarea datelor prin intermediul serviciilor financiar bancare. Face mențiunea că furnizorul poate desfășura servicii financiar bancare prin intermediul oricărui tip de aplicație, fiind irelevantă aplicația folosită, atâta timp cât din prevederile art. 8 din OUG nr. 113/2009, noțiunea de servicii bancare este definit în mod clar și cuprinde întreaga sferă de activități reglementate de legislația în vigoare. Mai mult decât atât, în legislație nu se prevede obligația furnizorului de a notifica fiecare tip de aplicație în parte pentru serviciile financiar bancare derulate. Așadar, câtă vreme singurul scop pentru care apelanta-reclamantă a prelucrat datele cu caracter personal era acela al furnizării serviciilor bancare, iar la momentul respectiv autoritatea intimată era deja notificată cu privire la aspectul derulării serviciilor financiar bancare, apărătorul apreciază că apelanta nu s-a aflat în ipoteza încălcării art. 22 din Legea nr. 677/2001. Un alt aspect reținut greșit de instanța de fond este acela că apelanta s-ar fi aflat în ipoteza încălcării art. 12 din Legea nr. 677/2001, în sensul că aceasta nu ar fi procedat la o informare completă a utilizatorului cu privire la crearea unui cont Wallet LibraPay. În considerentele sentinței atacate, instanța a reținut faptul că informarea utilizatorului s-ar fi realizat ulterior utilizării datelor cu caracter personal, fapt care echivalează cu încălcarea prevederilor art. 12 din Legea nr. 677/2001. În ceea ce privește informarea utilizatorului cu privire la crearea contului, învederează faptul că, din imaginile captate de pe această aplicație, reiese în mod clar faptul că operațiunea Plăți rapide era explicată utilizatorului, în sensul că se preciza faptul că mențiunea acestei opțiuni active permitea utilizatorului efectuarea plăților viitoare doar prin introducerea unui cod, fără introducerea altor date suplimentare. Mai mult decât atât, pe pagina unde erau menționate datele cu privire la nume, prenume, e-mai, telefon, există și o altă rubrică de informare, respectiv Termene și condiții, în care erau explicate detaliat următoarele informații: procesarea plăților cu cardul se va face prin intermediul LibraBAnk; orice prelucrare a datelor cu caracter personal va fi efectuată exclusiv de către procesatorul de plăți; din momentul respectiv utilizatorul va fi redirecționat către site-ul L____, unde erau reluate toate informațiile cu privire la procesarea datelor cu caracter personal. În ceea ce privește faptul că operațiunea Plăți rapide era pre-bifată de sistem, solicită să se aibă în vedere că în speță se vorbește despre crearea unui cont pentru efectuarea plăților la distanță, devenind incidente prevederile OUG nr. 85/2009. Prevederile art. 17 din OUG nr. 85/2009 stabilesc faptul că, în cazul în care se utilizează alte mijloace de comunicare de la distanță, cum ar fi e-mail-ul, este permisă încheierea contractelor numai în măsura în care nu există un răspuns expres al consumatorului. Așadar, dacă petentul nu ar fi dorit încheierea acestui contract, ar fi avut posibilitatea de a-și exprima refuzul în acest sens, prin dezactivarea opțiunii Plăți rapide ulterior momentului achiziționării biletului. Despre această posibilitate, fusese informat inclusiv prin e-mail-ul transmis ulterior plății biletului.

Intimata-pârâtă, prin consilier juridic, solicită respingerea apelului ca neîntemeiat, pentru motivele dezvoltate pe larg în întâmpinare. Precizează faptul că procesul verbal a fost legal și temeinic întocmit, apalantei-reclamate fiindu-i imputabile toate cele trei fapte. Cu privire la obligația ca anterior implementării, aplicația Wallet LibraPay trebuia notificată, arată că, potrivit art. 22, operatorul este obligat să notifice înaintea efectuării oricărei prelucrări de date. Operatorul s-a notificat în anul 2011 pentru servicii financiar bancare, scop care este specific derulării activității sale. În cadrul investigației, cât și anterior, prin studierea evidențelor personale și a informațiilor postate chiar de către apelanta, s-a constatat faptul că apelanta desfășoară anumite servicii specifice, respectiv LibraPay ( din iulie 2011); Wallet (implementat în iulie 2012); Wallet implementat la proprietarii site-ului Cinemagia, respectiv __________________ 2012. Această aplicație, astfel cum a menționat și apelenta pe site-ul propriu, este o interfață pusă la dispoziția magazinelor on-line pentru efectuarea de plăți în sistem electronic (anexa 3 la întâmpinarea din dosarul de fond), așadar o interfață care se adresează strict clienților magazinelor on-line. În această situație se află și site-ul Cinemagia. În speță s-a discutat despre un petent, care, dorind să-și cumpere un bilet la cinema, a intrat pe site-ul Cinemagia, a furnizat datele sale personale. Întrucât a selectat plata cu cardul, a fost redirecționat automat pe site-ul apelantei, și astfel i s-au prelucrat datele. Astfel cum a reținut în mod corect și prima instanță, Wallet este o aplicație utilizată în derularea serviciilor de plată, nefiind un serviciu de plată, astfel că nu se aplică OUG nr. 113/2009 cu privire la serviciile de plată. Wallet LibraPay este un sistem care securizează plata și informația, iar plata se efectuează tot prin intermediul cardului bancar. Pe orice site poate fi efectuată plata cu sau fără Wallet. Acesta este un sistem implementat de L____ fără informare și fără consimțământul persoanelor vizate; nu este inclus în mod obligatoriu în mediul virtual și are o aplicație restrânsă. Cu privire la notificare, arată că aceasta s-a făcut cu caracter general și era de largă adresabilitate, având ca persoane vizate doar clienții băncilor. Este de subliniat faptul că aceștia nu sunt clienții băncii, ci clienții Cinemagia, fiind vorba de baze de date diferite. Așadar, există o bază de date pentru clienții băncilor și o altă bază de date, separată, pentru clienții Cinemagia, ale căror date au fost prelucrate de la sfârșitul anului 2012 până în anul 2014, când s-a formulat o plângere urmată de o investigație. Nu există un control al numărului persoanelor ale căror date au fost prelucrate fără respectarea legislației privind protecția datelor personale. În temeiul art. 22 și 4, era obligatorie netoficarea anterior implementării acestei aplicații. Cu privire la informarea persoanei vizate, respectiv cu privire la încălcarea art. 12, arată că persoanei vizate i-au fost prelucrate datele fără ca aceasta să fie informată. Persoana a furnizat date personale către Cinemagia cu scopul efectuării unei plăți; fără informarea prealabilă a acesteia și fără a-și da consimțământul, i s-au colectat datele și i s-a trimis un e –mail de informare cu privire la crearea unei Wallet. Informarea pe care apelanta a susținut că a efectuat-o este ulterior, iar nu anterioară, astfel cum stabilește legea. Instanța de fond a reținut corect faptul că toate datele erau oferite de utilizatori, inclusiv de petentul A_____ N______, administratorului Cinemagia, fără a avea reprezentarea că aceste date vor fi folosite de L____ Bank pentru crearea de Wallet. Cu privire la activarea opțiunii Plăți rapide, arată că aceasta este selectată implicit, nefiind definită. Utilizatorul nu primește detalii pe această pagină cu privire la opțiunea Plăți rapide. Adrese de mail a fost furnizată exclusiv către S.C. Imedia Plus G___ S.A., iar nu partenerului pentru plăți. Referitor la OUG nr. 85/2004 invocată de către apelantă, arată că acesta nu este aplicabilă în speță, întrucât nu este incidentă situația încheierii unui contract la distanță. Persoanele vizate nu doreau să încheie contracte cu L____, ci au dorit să efectueze plata unor bilete către Cinemagia. Mai arată că rubrica Termene și condiții, astfel cum reiese și din actele depuse la dosarul de fond, este pe site-ul S.C. Imedia, iar nu pe site-ul L____. În plus, la momentul controlului nu aveau secțiunea Termene și condiții, aceasta apărând ulterior. Către Cinemagia au fost furnizate și datele bancare cu scopul efectuării de plăți.

Având cuvântul în replică, apalenta-reclamantă, prin avocat, cu privire la informarea prealabilă, arată că, astfel cum reiese și din extrasul din Termene și condiții aflate la dosarul, se explica în mod clar că L____ va fi cea care va procesa datele personale, iar nu Cinemagia, tocmai pentru că Cinemagia nu dispunea de resursele necesare securizării unei eventuale plăți. Așadar, rubrica Termenul și condițiile era precizată chiar pe site-ul Cinemagia încă de la momentul în care se exprima opțiunea de a cumpăra biletul prin plata cu cardul. Astfel cum era explicat în Termene și condiții, petentul, dacă nu dorea prelucrarea datelor, avea opțiunea să aleagă plata prin Vodafone sau altă variantă.

Intimata-pârâtă, prin consilier juridic, arată că informarea care se pretinde are în vedere crearea contului Wallet LibraPay. În anexa nr. 5 la întâmpinare, se observă faptul că, la Termenele și condițiile postate pe site-ul Cinemagia (nu pe site-ul apelantei), nu apare nicio trimitere cu privire la crearea unui Wallet LibraPay. În legislația europeană se pune problema acordului prealabil, iar nu ulterior.

Curtea reține dosarul în pronunțare.

CURTEA

Deliberând asupra cererii de apel, constată următoarele:

Prin plângerea înregistrată pe rolul Tribubalului București sub nr.XXXXXXXXXXX, reclamanta L____ I_______ BANK SA în contradictoriu cu pârâtaA__________ NAȚIONALĂ DE SUPRAVEGHERE A PRELUCRĂRII DATELOR CU CARACTER PERSONAL a solicitat anularea procesului-verbal de constatare și sancționare nr.1204/23.01.2014, iar în subsidiar înlocuirea amenzilor aplicate cu avertismentul.

În motivarea plîngerii, reclamanta a arătat că faptele au fost reținute în mod greșit în sarcina sa, fiind depusă notificarea privind prelucrarea datelor cu caracter personal în scopul furnizării de servicii financiar-bancare, nefiind relevant felul aplicației folosite pentru astfel de servicii. Termenii și condițiile aplicației conțineau toate datele necesare unei complete informări a utilizatorului, iar reclamanta nu era obligată la obținerea unui acord expres, ci utilizatorul avea obligația de a-și manifesta refuzul în cazul în care nu înțelegea să-și dea acordul pentru încheierea unui contract/cont la distanță prin e-mail, astfel că și prelucrarea datelor personale s-a efectuat în mod legal în condițiile în care s-a indicat utilizatorului că procesatorul plății efectuate pe site-ul Cinemagia este L____ I_______ Bank SA.

În drept, au fost invocate disp. legii nr.677/2001, OG nr.2/2001.

Pârâta A__________ Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a formulat întâmpinare prin care a solicitat respingerea plângerii ca neîntemeiate, arătînd că procesul-verbal a fost întocmit în mod legal și temeinic, faptele fiind imputabile reclamantei, care a nu depusese notificare pentru serviciul Wallet LibraPay, a prelucrat datele utilizatorilor serviciului pentru creare de conturi fără informarea prealabilă și fără ca aceștia să-și fi exprimat consimțămîntul în mod expres și neechivoc.

S-au depus la dosar, în copie, procesul-verbal contestat și actele care au stat la baza emiterii acestuia.

Prin Sentința civilă nr. 7759/25.11.2014, Tribunalul București a respins ca neîntemeiată plângerea formulate.

Pentru a pronunța această soluție, instanța de fond a reținut că prin procesul-verbal nr.1204/23.01.2014, s-a reținut în sarcina reclamantei săvîrșirea contravențiilor prev. de art.31 și 32 din Legea nr.677/2001, constînd în omisiunea de notificare și notificarea cu rea-credință în forma omisiunii de a efectua notificarea în condițiile art.22, prelucrarea nelegală a datelor cu caracter personal prin încălcarea art.12 pentru lipsa informării privind prelucrarea datelor personale și art.5 pentru lipsa consimțămîntului expres și neechivoc al utilizatorului privind prelucrarea datelor personale, fapte pentru care i s-au aplicat două amenzi, de 1000 lei și 1500 lei, și un avertisment.

În fapt, s-a reținut că reclamanta a implementat în luna iulie 2012 serviciul Wallet LibraPay, dar nu a completat notificarea nr.xxxxx privind prelucrarea datelor personale cu indicarea acestui serviciu. De asemenea, s-a mai constatat că de la data implementării serviciului de plată on-line pentru cinemagia.ro și activarea implicită a opțiunii plăți rapide, reclamanta a prelucrat datele cu caracter personal ale persoanelor vizate prin crearea unui cont pentru folosirea serviciului Wallet LibraPay fără informarea acestora și fără ca acestea să-și fi exprimat consimțămîntul în mod expres și neechivoc pentru această prelucrare.

Tribunalul a aprecuiat că procesul-verbal contestat a fost întocmit în mod legal și temeinic, reclamantei fiindu-i imputabile cele trei fapte descrise în procesul-verbal.

Cu privire la prima faptă, s-a reținut că reclamanta avea obligația să notifice pârâta în condițiile art.22 din Legea nr.677/2001, înainte de efectuarea oricărei prelucrări de date cu caracter personal prin serviciul Wallet LibraPay, obligație pe care nu îndeplinit-o.

Reclamanta a susținut că nu era necesar ca acest serviciu să fie menționat în mod distinct în notificare la scopul prelucrării, fiind inclus în serviciile financiar-bancare. Însă Wallet LibraPay nu este un serviciu financiar-bancar, ci, potrivit informațiilor furnizate chiar de către reclamantă, este o aplicație utilizată în derularea serviciilor de plată, o interfață pentru clienții magazinelor on-line ce folosesc sistemul de plăți electronice LibraPay, deci nu un serviciu de plată. Wallet LibraPay este un sistem care securizează plata, plată care este efectuată prin intermediul unui card bancar. Așadar notificarea existentă la momentul controlului, nu acoperea și acest serviciu și s-a reținut în mod corect în sarcina reclamantei contraveția prev. de art.31 rap. la art.22 din legea nr.677/2001.

În ceea ce privește cea de a doua faptă, instanța de fond a reținut că este, de asemenea, imputabilă reclamantei. Reclamanta a săvîrșit fapta prev. de art.32 din legea nr.677/2001, prelucrînd în mod nelegal date cu caracter personal prin încălcarea disp. art.12 privind informarea persoanei vizate.

Astfel, pentru efectuarea unei plăți cu cardul pentru un bilet cumpărat de pe cinemagia.ro, utilizatorul era direcționat automat pe pagina de internet a reclamantei, unde i se prelucrau datele cu caracter personal, dar nu s-a probat de către reclamantă că utilizatorul a informat în prealabil că datele sale vor fi prelucrate de altă societate.

Faptul că ulterior furnizării datelor pentru efectuarea unei plăți era informat utilizatorul despre redirecționarea pe site-ul altei societăți nu echivalează cu respectarea dispozițiilor art.12, informarea utilizatorului nefiind completă.

S-a constatat că rubrica Termeni și condiții putea fi accesată de utilizator pe site-ul cinemagia, aparținînd __________________, iar nu pe site-ul reclamantei. Toate datele personale erau oferite de utilizator, inclusiv de persoana care a sesizat pîrîta – N______ A_____, administratorului cinemagia.ro, deci __________________, fără a avea reprezentarea împrejurării că datele erau colectate de ______________________ SA, pentru crearea de conturi în aplicația Wallet LibraPay. În extrasul privind termenii și condițiile se menționează că L____ Bank este partenerul Cinemagia în procesarea plăților cu cardul, fără a exista vreo mențiune privind crearea de cont Wallet LibraPay.

Instanța de fond a reținut că utilizatorii ofereau datele personale pentru plata unui bilet pe achiziționat de pe cinemagia, iar nu pentru crearea unui cont Wallet LibraPay. Conform extrasului de la fila 89, era prebifată opțiunea activează plăți rapide, dar nu era definită această opțiune și nu exista posibilitatea de a accesa o rubrică privind aceste detalii pe pagina respectivă. Totodată, se menționa că mai multe detalii vor fi primite pe mail, o copie a unui astfel de mail, trimis petiționarului, fiind atașată la dosar. În fapt, toate datele personale erau stocate de reclamantă pentru ca la accesările ulterioare să fie completat numai codul de securitate CVV al cardului.

S-a reținut că și cea de a treia faptă prev. de art.32 din legea nr.677/2001 a fost indicată în mod corect în procesul-verbal, reclamanta prelucrînd în mod nelegal date cu caracter personal prin încălcarea disp. art.5 pentru lipsa consimțămîntului expres și neechivoc al utilizatorului privind prelucrarea datelor personale.

Persoanele care au folosit plata cu cardul pe site-ul cinemagia.ro și-au exprimat consimțămîntul pentru ca datele să fie prelucrate în scopul efectuării plății respective, iar nu pentru crearea de cont în aplicația Wallet LibraPay.

Cerința consimțămîntului expres și neechivoc nu poate fi considerată îndeplinită pentru că nu s-ar fi manifestat dezacordul utilizatorului, deci ar fi existat un acord tacit. Utilizatorului trebuia să i se pretindă în mod clar să își exprime acordul expres pentru crearea contului și stocarea datelor sale, denumirea activează opțiunea plăți rapide neindicînd în mod neechivoc operațiunea efectuată de către reclamantă.

Instanța de fond a apreciat că nu se poate reține vreo intenție a utilizatorilor de a încheia un contract la distanță privind serviciile financiare, conform OG nr.85/2004, nefiind exprimat consimțămîntul beneficiarului în acest și lipsind elementele prev. de art.4 din acest act normativ.

S-a apreciat că individualizarea sancțiunilor aplicate de pîrîtă pentru cele trei fapte, constînd în avertisment pentru prima, respectiv amendă de 1000 și 1500 lei pentru celelalte două, s-a făcut cu respectarea criteriilor prev. de art.21 alin.3 din OG nr.2/2001 și corespunde scopului punitiv și preventiv al sancțiunilor contravenționale. Nu se justifică aplicarea avertismentului și pentru celelalte două fapte, în condițiile în care amenzile aplicate sînt orientate spre minimul legal, iar folosirea de date personale pentru crearea unor conturi virtuale fără acordul persoanelor respective și fără informarea lor corectă și completă prezintă o gravitate sporită, fiind susceptibilă să aducă atingere dreptului la viața intimă, familială și privată.

Împotriva acestei sentințe a declarat apel reclamanta L____ I_______ BANK S.A., solicitând ca, în temeiul dispozițiilor art. 466 Cod Procedura Civila, să se dispună:

■Admiterea apelului astfel cum a fost formulat, schimbarea sentinței apelate pe care o consideram netemeinica si nelegala si, pe fond:

■Admiterea plângerii contravenționale promovate si anularea procesului – verbal de constatare/sancționare nr. 1204 din data de 23.01.2014, iar, pe cale de consecința sa dispuneți înlăturarea sancțiunilor dispuse prin procesul verbal contestat;

■In subsidiar, înlocuirea sancțiunilor cu amenda in sancțiunea avertismentului;

■Obligarea intimatei la plata cheltuielilor de judecata ocazionate de soluționarea prezentului litigiu.

Apelanta a prezentat situația de fapt și a arătat că în ceea ce privește modalitatea de cumpărare a biletului de cinema si a opțiunilor pentru achitarea biletului, in cele ce urmează va detalia pașii care trebuiau urmați atat pentru achiziționarea biletului cat si pentru a plați prețul acestuia.

A precizat faptul ca este inregistrata la ANSPDCP sub nr. 735, notificând autorității intimate prelucrarea datelor cu caracter personal conform mențiunilor cuprinse in notificarea indicata. A menționat ca ultima notificare a autorității intimate s-a realizat la data de 13.12.2012 sub nr. xxxxx.

Astfel, pentru cumpărarea biletului de cinema se parcurg următorii pasi:

1.Pasul 1: Se alege produsul dorit a se achiziționa (filmul), cu selectarea cinematografului, sălii, orei, numărului de locuri si poziționarea acestora in sala;

2.Pasul 2: Se alege modalitatea de plata, opțiunile fiind “Plătește prin Vodafone” si “Plătește cu cârdul’”;

De observat ca sub mențiuni le”Plateste prin Vodafone” si “Plătește cu cardul”, in josul paginii exista posibilitatea accesării secțiunii “Termeni si condiții”, unde utilizatorul obține o ________ informații, inclusiv cele referitoare la opțiunea plații cu cârdul. In cadrul acestei secțiuni denumita “Plata cu cârdul”, se face trimitere la site-ul www.librabank.ro unde se găsesc informații suplimentare aferente plaților bancare la comercianți;

3.Pasul 3: Presupunând ca se alege opțiunea “Plătește cu cardul” – asa cum a făcut petentul. trebuie completate următoarele câmpuri: Nume si prenume, Telefon, E-mail. Aceste informații sunt competate pe site-ul cinemagia, utilizatorul, la momentul completării lor, aflandu-se in continuare pe site-ul www.cinemagia.ro.;

De observat ca sub câmpurile Nume si prenume, Telefon, E-mail, se informează utilizatorul asupra faptului ca înregistrarea contului se continua pe site-ul băncii: “Vei continua pe pagina L____ I_______ Bank SA pentru a introduce datele cârdului”. Practic, din acest moment utilizatorul se conectează la pagina oficiala a L____ I_______ Bank SA si continua operațiunile pe aceasta pagina.

4.Pasul 4: Se introduc datele referitoare la cârdul bancar (număr card, data expirare, nume posesor card, cod de securitate).

Ulterior introducerii datelor bancare se accesează butonul “Plătește” dupa care pe adresa de e-mail specificata de utilizator, LibraPay trimite utilizatorului un e-mail unde acesta este informat asupra activării serviciului Plați rapide. Totodată, prin același e-mail utilizatorul este invitat sa se inregistreze pe site-ul Wallet LibraPay cu datele menționate in e-mail.

De observat ca sub ferestrele in care trebuie completate datele referitoare la cârdul bancar, se afla pre-bifata opțiunea “Activează opțiunea plați rapide”, iar in ceea ce privește noțiunea “plați rapide” se menționează in checkbox-ul aferent: “Aceasta opțiune iti permite ca pe viitor sa efectuezi plați introducând doar codul de securitate CVV al cardului folosit. Vei primi mai multe detalii pe e-mail”.

5.Pasul 5: Dupa accesarea butonului “Plătește” se efectuează plata online a biletului si se primește de către utilizator un e-mail de confirmare referitor la rezervare, achiziționare bilet si plata aferenta.

A arătat că în același mod a procedat si petentul care a parcurs toti pașii de mai sus.

Cu privire la aspectele reținute de instanța de fond, apelanta a învederat următoarele:

În ceea ce privește asa-zisa prima contravenție, instanța de fond, in mod eronat retine faptul ca avea obligația de a notifica intimata in condițiile art.22 din Legea 677/2001 inainte de efectuarea oricărei prelucrări de date cu caracter personal prin serviciul Wallet LibraPay.

In acest sens, a arătat că notificarea inregistrata la autoritatea intimata prevedea faptul ca prelucrarea datelor cu caracter personal se face in scopul furnizării de servicii financiar-bancare (cu tot ceea ce include aceasta noțiune), fara a se menționa expres aplicația Wallet LibraPay.

Or, susținerile intimatei sunt lipsite de suport legal in condițiile in care scopul pentru care subscrisa prelucrează datele cu caracter personal este punerea la dispoziția clienților/potențialilor clienți a unor servicii de plata, indiferent de aplicațiile folosite de cel care furnizează aceste servicii.

Mai mult decât atat, instanța de fond, in incercarea de a motiva ______________________ acestei prime fapte in sarcina sa, arata faptul ca „Wallet LibraPay nu este un serviciu fmanciar-bancar …este o aplicație utilizata in derularea serviciilor de plata…, deci nu un serviciu de plata. “

A susținut că pe baza acestui raționament greșit, prima instanța ajunge la concluzia eronata ca „notificarea existenta la momentul controlului nu acoperea si acest serviciu. “

Apelanta a arătat că dreptul său de a desfășura servicii de plata isi are temeiul in dispozițiile art. 18 din OUG nr. 99/2006 privind instituțiile de credit si adecvarea capitalului potrivit căruia “Instituțiile de credit pot desfășura, in limita autorizației acordate, următoarele activități: … d) servicii de plai a. asa cum sunt definite la art. 8 din OUG nr. 113/2009 privind serviciile de plata”.

In ceea ce privește noțiunea de servicii de plata, prevederile art. 8 din OUG nr. 113/12.10.2009 privind serviciile de plata arata ca “In înțelesul prezentei ordonanțe de urgență, prin servicii de plată se înțelege oricare dintre următoarele activități: … c) efectuarea următoarelor operațiuni de plată în cazul în care fondurile nu sunt acoperite printr-o linie de credit: debitări directe, inclusiv debitări directe singulare, operațiuni de plată printr-un card de plată sau un dispozitiv similar, operațiuni de transfer-credit, inclusiv operațiuni cu ordine de plată programată; …g) efectuarea operațiunilor de plată în care consimțământul plătitorului pentru realizarea unei operațiuni de plată este dat prin intermediul oricăror mijloace de telecomunicație, digitale sau informatice, și plata este efectuată către operatorul sistemului sau rețelei informatice ori de telecomunicații care acționează exclusiv ca intermediar între utilizatorul serviciilor de plată și furnizorul bunurilor și serviciilor. “

Prin urmare, apelanta a susținut că a pus la dispoziția clienților sai/potentialilor clienți un serviciu de plata care a implicat colectarea si prelucrarea unor date cu caracter personal. Or, scopul prelucrării datelor cu caracter personal a fost in mod expres notificat autorității intimate prin completarea/bifarea pct. 21 de la art. IV din notificările nr. xxxxx si 735 – servicii financiar-bancare.

Aprecierile reprezentantului intimatei in sensul ca in notificare trebuia sa se precizeze expres faptul ca serviciile de plata financiar-bancare se executa prin intermediul aplicației Wallet LibraPay nu pot fi acceptate intrucat noțiunea de servicii financiar bancare include serviciile derulate prin intermediul oricărui tip de aplicație, fiind irelevanta aplicația folosita de furnizorul acestui serviciu. Altfel spus, noțiunea de servicii financiar-bancare cuprinde intreaga sfera de activități prevăzuta de legislația in domeniu si nicăieri in legislație (inclusiv actele normative emise de autoritatea parata), nu se precizează obligația furnizorului acestui tip de servicii de a menționa expres aplicațiile folosite in scopul derulării acestor servicii.

Raportat la cele reținute de instanța de fond, s-a arătat faptul ca aceasta pierde din vedere un aspect esențial si anume acela ca legea instituie obligația operatorului de a notifica autoritatea de supraveghere, personal sau prin reprezentant, înainte de efectuarea oricărei prelucrări ori a oricărui ansamblu de prelucrări având același scop sau scopuri corelate.

Dupa cum a arătat si prin plângerea contravenționala formulata, notificarea inregistrata la autoritatea intimata (existenta la momentul controlului) prevedea in mod concret, faptul ca prelucrarea datelor cu caracter personal se face in scopul furnizării de servicii financiar-bancare.

Ceea ce vine si retine instanța de fond, prin raportare la situația de fapt expusa este faptul ca Wallet LibraPay nu este un serviciu financiar-bancar ci „o aplicație utilizata in derularea serveiilor de plata…, deci nu un serviciu de plata… ” si ca, motivat de acest argument, notificarea existenta la momentul controlului nu acoperea si acest serviciu.

Apreciază că acest raționament este greșit sens in care va a solcitat să se aibă in vedere următoarele aspecte:

Situația supusa analizei in prezenta cauza este încadrata de către legiuitor, in mod expres, chiar in noțiunea de „servicii de plata” in cadrul dispozițiilor art.8 lit.g) din OUG nr. 113/12.10.2009 privind serviciile de plata : „efectuarea operațiunilor de plată în care consimțământul plătitorului pentru realizarea unei operațiuni de plată este dat prin intermediul oricăror mijloace de telecomunicație, digitale sau informatice, și plata este efectuată către operatorul sistemului sau rețelei informatice ori de telecomunicații care acționează exclusiv ca intermediar între utilizatorul serviciilor de plată și furnizorul bunurilor și serviciilor. “

Pe de alta parte, prima instanța, fara a avea in vedere dispozițiile art.22 alin. (3) din Legea nr.677/2001 care cuprinde o enumerare a elementelor obligatorii pe care trebuie sa le conțină Notificarea cat si faptul ca intimata avea, conform prevederilor de la alin.(4) posibilitatea de a solicita completarea notificării, conchide ca Notificarea trebuia sa cuprindă si mijloacele prin intermediul cărora urma sa se concretizeze aceasta prelucrare a datelor in scopul furnizării serviciilor financiar bancare.

In plus, a arătat ca art. 22 alin. 4 si 5 din Legea nr. 677/2001 prevede următoarele: “(4) Dacă notificarea este incompletă, autoritatea de supraveghere va solicita completarea acesteia. (5) In limitele puterilor de investigare de care dispune, autoritatea de supraveghere poate solicita și alte informații, în special privind originea datelor, tehnologia de prelucrare automată utilizată și detalii referitoare la măsurile de securitate”.

Prin urmare, daca instituția intimata ar fi considerat necesara menționarea in cuprinsul notificării a aplicațiilor utilizate in derularea serviciilor de plata, i-ar fi putut solicita sa completeze notificarea in sensul celor de mai sus.

Mai mult decât atat, scopul pentru care prelucrează datele cu caracter personal este punerea la dispoziția clienților/potențialilor clienți a unor servicii de plata, indiferent de aplicațiile folosite de cel care furnizează aceste servicii.

Or, in acest context, a subliniat faptul ca instanța de fond nu a făcut altceva decât sa dea o interpretare extensiva unor norme juridice care conțin enumerări limitative, rezultatul fiind acela de a da naștere unor obligații suplimentare in sarcina sa, obligații care, in mod evident, nu au fost avute in vedere de legiuitor la momentul instituirii dispozițiilor art.22 din Legea nr.677/2001.

II.Raportat la cea de-a doua fapta, apreciază ca in mod eronat, instanța dc fond a reținut faptul ca a prelucrat in mod nelegal date cu caracter personal, prin încălcarea dispozițiilor art.12 privind informarea persoanei vizate.

In ceea ce privește informarea utilizatorului asupra creării unui cont, apelanta a susținut că, asa cum se poate observa din imaginile captate dupa aplicația in cauza, opțiunea “Activează opțiunea plați rapide” era explicate in sensul ca “Aceasta opțiune iti permite ca pe viitor sa efectuezi plați introducând doar codul de securitate CVV al cârdului folosit. Vei primi mai multe detalii pe e-mail”.

In plus, pe pagina in care sunt cuprinse mențiunile referitoare la nume, prenume, telefon, e-mail exista secțiunea “Termeni si Condiții” unde se arata: “Plata cu cardul – Plățile prin intermediul cârdurilor de debit sau credit sunt procesate de către http://www.librabank.ro/. partenerul Cinemagia în procesarea acestor plăți. Comunicația cu procesatorul se face prin intermediul unei conexiuni securizate SSL. datele transmise fiind criptate. Toate informațiile privind cardul vor fi prelucrate exclusiv de către procesatorul de plăți. Prin menținerea activă a optunii “Activează opțiunea plăti rapide”, prezentă în formularul de plată online pus la dispoziția Cinemagia de către procesatorul de plăti, utilizatorul îsi dă acceptul pentru activarea serviciului prin care h vor putea efectua ulterior plăti online doar prin introducerea codului de securitate CVC2 / CVV”.

Mai mult, petentul a fost informat ulterior introducerii datelor menționate mai sus, asupra faptului ca din acel moment va fi redirectionat pe site-ul L____ I_______ Bank SA unde se menționează inca o data la secțiunea “Termeni si Condiții” toate detaliile referitoare la procesarea datelor cu caracter personal.

Prin urmare, apreciază ca in mod greșit, prima instanța a reținut ca “rubrica Termeni si condiții putea fi accesata de utilizator doar pe site-ul cinemagia aparținând ___________________, iar nu pe site-ul reclamantei.

In ceea ce privește opțiunea “Activează opțiunea plați rapide” care este pre-bifata de sistem/activata implicit, apelanta a menționat următoarele:

OG nr. 85/2004 privind protecția consumatorilor la încheierea și executarea contractelor la distanță privind serviciile financiare prevede:

Art 16: “Necesită acordul prealabil al consumatorului, exprimat în mod expres, următoarele tehnici de comunicație la distanță: a) sistem automatizat de apel fără intervenție umană de tipul automatelor de apel; b) telecopiator sau fax”.

Art. 17: “(1) Utilizarea altor tehnici de comunicație individuală la distanță în afara celor prevăzute la art. 16 (ca de exemplu – e-mail) nu este permisă dacă există un refuz manifestat de consumator”.

A arătat că în speța de fata suntem in cazul creării unui cont de utilizator pentru efectuare de plați la distanta, așadar suntem in situația aplicării prevederilor OG nr. 85/2004.

Secțiunea “Activează opțiunea plați rapide ” desi era activata implicit, putea fi dezactivata de utilizator, ceea ce echivala cu un refuz/dezacord al acestuia pentru utilizarea e-mail-ului ca mijloc pentru incheierea unui contract la distanta.

Or, fata de prevederile legale invocate mai sus, in cazul de fata cand contractul intre apelantă si petent a fost incheiat prin intermediul e-mail-ului, nu era necesar acordul prealabil al petentului pentru incheierea contractului, respectiv pentru crearea contului.

Per a contrario, daca crearea contului s-a realizat prin intermediul e-mail-ului, ne aflam in situația descrisa de art. 17 din OG nr. 85/2004 care menționează expres faptul ca in acest caz contractul NU poate fi incheiat daca exista refuzul consumatorului.

Prin urmare, refuzul manifestat de petent putea fi materializat prin dezactivarea secțiunii “Activează opțiunea plați rapide “, ceea ce nu s-a intamplat.

Apelanta a invocate si prevederile art. 12 alin. 2 din Legea nr. 677/2001 conform cărora :” în cazul în care datele nu sunt obținute direct de la persoana vizată, operatorul este obligat ca, în momentul colectării datelor sau, dacă se intenționează dezvăluirea acestora către terți, cel mai târziu până în momentul primei dezvăluiri, să furnizeze persoanei vizate cel puțin următoarele informații, cu excepția cazului în care persoana vizată posedă deja informațiile respective… “

Or, prin raportare la situația dedusa judecații in prezenta cauza, dupa cum a reținut si instanța de fond, pe langa informarea realizata prin intermediul accesării de către petent a secțiunii “Termeni si Condiții”, ulterior, petentului i-a fost transmis un e-mail de informare ce conținea informații concrete referitoare la Contul Wallet LibraPay si care ii conferea posibilitatea de a-si exprima dezacordul prin efectuarea unor minime diligente din partea acestuia, respectiv prin dezactivarea serviciului printr-un singur click.

Deci in cazul in care petentul ar fi dorit doar sa efectueze plata unui bilet achiziționat de pe cinemagia, iar nu crearea unui cont Wallet LibraPay, ulterior achiziționării biletului avea oricând posibilitatea de a-si manifesta refuzul in acest sens.

Referitor la aspectele reținute de prima instanța cu privire la ce-a de-a treia presupusa contravenție, motivat de lipsa consimțământului expres si neechivoc al utilizatorului privind prelucrarea datelor personale, apelanta a arătat următoarele:

In ceea ce privește obținerea acordului utilizatorului (in speța petentul) pentru prelucrarea datelor cu caracter personal, arătam ca accesând site-ul www.cinemagia.ro si alegând filmul pentru care se dorește achiziționarea biletului, in partea de jos a paginii exista secțiunea “Termeni si condiții”. Accesând secțiunea Termeni si condiții, se pot observa următoarele mențiuni : “Plata cu cardul -Plățile prin intermediul cardurilor de debit sau credit sunt procesate de către http://wwwdibrabank.ro/, partenerul Cinemagia în procesarea acestor plăți. Comunicația cu procesatorul se face prin intermediul unei conexiuni securizate SSL, datele transmise fiind criptate. Toate informațiile privind cârdul vor fi prelucrate exclusiv de către procesatorul de plăți. Prin menținerea activă a opțiunii “Activează opțiunea plăți rapide”, prezentă în formularul de plate online pus la dispoziția Cinemagia de către procesatorul de plăți, utilizatorul își dă acceptul pentru activarea serviciului prin care se vor putea efectua ulterior plăți online doar prin introducerea codului de securitate CVC2 / CW”.

Mai mult, utilizatorul era fost informat ulterior introducerii datelor privind numele, prenumele, numărul de telefon si e-mail-ul asupra faptului ca din acel moment va fi redirectionat pe site-ul L____ I_______ Bank SA, unde exista secțiunea “Termeni si Condiții” si toate detaliile referitoare la procesarea datelor cu caracter personal.

Prin urmare, utilizatorul a fost informat in sensul ca plata cu cardul este realizata prin intermediul L____ I_______ Bank SA, partenerul Cinemagia, cat si asupra faptului ca din momentul in care se trecea la introducerea datelor cu caracter personal utilizatorul va fi transferat către procesatorul plații, respectiv banca. Informarea petentului cu privire la procesarea datelor cu caracter personal era realizata daca si acesta ar fi dat dovada de un minimum de diligenta si ar fi accesat secțiunea termeni si condiții unde putea obține toate aceste detalii referitoare la procesarea datelor personale.

Or, prin reclamatia sa, petentului nu face decât sa isi invoce propria culpa intrucat acesta nu a dat dovada de prudenta si nu a făcut nimic in sensul de a se informa, acest lucru fiind extrem de simplu daca intelegea sa acceseze secțiunea “Termeni si Condiții” de pe site-ul L____ I_______ Bank SA sau Wallet LibraPay.

Prin urmare, apreciază ca nu ii poate fi invocata nicio culpa, atâta timp cat utilizatorul a fost informat cine este procesatorul plații si cine va prelucra si procesa datele sale astfel incat acesta ar fi putut avea acces __________________ de facil la toate informațiile privind procesarea si prelucrarea datelor cu caracter personal precum si orice alte informații cuprinse in secțiunea “Termeni si Condiții” aflata atat pe site-ul L____ I_______ Bank SA cat si pe site-ul Wallet LibraPay.

In ceea ce privește solicitarea formulata in subsidiar, apelanta a solicitat ca, în situația in care instanța va respinge argumentele, să dispună inlocuirea sancțiunilor cu amenda in sancțiunea avertismentului raportat la faptul ca s-a conformat recomandărilor din procesul verbal contestat, si-a indeplinit obligațiile impuse de ANSPDCP, astfel incat scopul aplicării sancțiunii a fost atins.

Potrivit art. 7 din O.G. nr. 2/2001 privind regimul juridic al contravențiilor, “(1) Avertismentul consta in atenționarea verbala sau scrisa a contravenientului asupra pericolului social al faptei săvârșite, însoțita de recomandarea de a respecta dispozițiile legale. (2) Avertismentul se aplica in cazul in care fapta este de gravitate redusa. (3) Avertismentul se poate aplica si in cazul in actul normativ de stabilire si sancționare a contravenției nu prevede această sancțiune “.

Prin urmare, sancțiunea contravenționala nu reprezintă un scop in sine, ci doar un mijloc prin care se protejează relațiile sociale si se formează un spirit de responsabilitate.

Ca si natura, avertismentul reprezintă o sancțiune pur morala ce se aplica in cazul contravențiilor ce prezintă un grad de pericol social redus, instanța putând dispune inlocuirea sancțiunii amenzii contravenționale cu cea a avertismentului pentru plângerea contravenționala prin care se invoca netemeinicia aplicării sancțiunii amenzii contravenționale.

Or, in condițiile in care fapta reținuta in sarcina sa are un grad redus de pericol social, a solicitat instanței inlocuirea sancțiunii cu amenda cu sancțiunea avertismentului.

In drept, apelanta a invocat dispozițiile Noului Cod de Procedura Civila, in special cele ale art.466, precum si dispozițiile OG 2/2001, art. 18 din OUG nr. 99/2006, art. 8 din OUG nr. 113/12.10.2009, Legea nr. 677/2001 si toate textele de lege menționate in cuprinsul cererii.

Intimata A__________ Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a formulat întâmpinare, solicitând respingerea apelului ca neîntemeiat.

Cu privire la prima faptă săvârșită de apelanta – reclamantă, respectiv nerespectarea obligației privind notificarea către autoritatea de supraveghere, înainte de efectuarea oricărei prelucrări prin intermediul aplicației Wallet LibraPay, pentru respectarea prevederilor art. 22 din Legea nr. 677/2001, intimate a arătat că nu pot fi reținute susținerile apelantei-reclamante potrivit cărora ..instanța de fond (…) pierde din vedere un aspect esențial și anume că legea instituie obligația operatorului de a notifica autorității de supraveghere, personal sau prin reprezentant, înainte de efectuarea oricărei prelucrări ori a oricărui ansamblu de prelucrări având același scop sau scopuri corelate “

Astfel, a arătat că, în urma analizării informațiilor existente în evidențele Autorității Naționale de Supraveghere, anterior momentului investigației, reprezentanții instituției au constatat că S.C. L____ I_______ Bank S.A. figura în Registrul electronic de evidență a prelucrărilor de date cu caracter personal (deschis spre consultare publicului pe site-ul www.dataprotection.ro) cu notificarea nr. xxxxx (pentru scopul „servicii financiar-bancare”), fără a fi făcute mențiuni suplimentare la rubrica alte scopuri a secțiunii specifice scopului prelucrării din formularul de notificare.

Prin urmare, în cadrul investigației desfășurate pe data de 23.01.2014 la sediul S.C. L____ I_______ Bank SA, reprezentanții Autorității de Supraveghere au solicitat informații cu privire la activitatea desfășurată de societate, în special cu privire la aplicația Wallet LibraPay.

A arătat că nu pot fi reținute trimiterile apelantei-reclamante. din cererea de apel. referitoare la aplicabilitatea dispozițiilor art. 8 din OUG nr. 113/2009 privind serviciile de plată.

Așa cum și a reținut în mod corect și prima instanță, Wallet LibraPay este un sistem care securizează plata, informația, NU este un serviciu (modalitate) de plată, plata fiind efectuată tot prin intermediul cardului bancar.

Astfel, pe orice site, în prezent, plata se poate efectua cu sau fără wallet, acesta nefiind impus obligatoriu pentru efectuarea plăți în mediul virtual.

Cu privire la Wallet LibraPay. este de precizat că acesta „oferă clienților magazinelor on-line posibilitatea de a cumpăra on-line fără a mai fi necesară introducerea tuturor datelor cârdului de fiecare dată când sunt efectuate cumpărături on-line “.

Referitor la notificarea transmisă de _________________________ SA, înregistrată cu nr. xxxxx în Registrul electronic de evidență a prelucrărilor de date, a reieșit că la Secțiunea privind Scopul prelucrării a fost selectat ca unic scop „servicii financiar-bancare”, fără a fi efectuate mențiuni suplimentare cu privire la sistemul Wallet LibraPay la rubrica „alte scopuri”.

Totodată, la Secțiunea privind Categoriile de persoane vizate, au fost selectate doar clienți și angajați, nefăcându-se referire și la alte categorii de persoane vizate (ex. clienți ai unor magazine on-line)

Prin urmare, pentru respectarea dispozițiilor art. 22 alin. (1) din Legea nr. 677/2001, L____ I_______ Bank era ținută de obligația comunicării operațiunilor efectuate prin aplicația Wallet LibraPay, înainte de efectuarea oricărei prelucrări de date prin intermediul acestei noi aplicații.

Având în vedere cele de mai sus, consideră că nu poate fi primită susținerea apelantei-intimate din plângerea adresată primei instanțe, reluată în cererea de apel potrivit căreia “dacă instituția intimată ar fi considerat necesară menționarea în cuprinsul notificării a aplicațiilor utilizate în derularea serviciilor de plată, ar fi putut solicita completarea notificarii.

Cu privire la cea de-a doua faptă săvârșită de apelanta-reclamantă, intimate a arătat că A__________ Națională de Supraveghere a sancționat S.C. L____ I_______ Bank S.A. pentru lipsa dovezilor certe cu privire la informarea prealabilă a persoanelor vizate (inclusiv a domnului N______ A_____). înainte de crearea unui cont virtual în numele lor în aplicația Wallet LibraPay.

A mai arătat că informarea persoanelor vizate, așa cum reiese din studierea acestui documentului postat pe site-ul cinemagia.ro, la rubrica „Termeni și Condiții”, este făcută numai asupra:

-procesărilor de plăți prin intermediul cardurilor de debit sau credit,

-posibilității de menținere active a opțiunii “Activează opțiunea plăți rapide”. prezentă în formularul de plată online pus la dispoziția Cinemagia de către procesatorul de plăți, situație în care se prezumă că utilizatorul își dă acceptul pentru activarea serviciului prin care se vor putea efectua ulterior plăți online doar prin introducerea codului de securitate CVC2 / CVV.

Intimata a susținut că postarea __________________ pe site-ul www. cinemagia.ro, asupra unor pași de parcurs în situația plății cu cârdul NU este echivalentă cu o informare a persoanei vizate în sensul dispozițiilor art. 12 din Legea nr. 677/2001, informare necesar a fi efectuată de către S.C. L____ I_______ Bank SA.

Apreciază că apelanta-reclamantă în mod greșit a înțeles să colecteze de pe site-ul societății pentru care procesa plăți (____________________ SA) adresele de e-mail ale persoanelor vizate, în scopul creării acestora din urmă de conturi în aplicația Wallet LibraPay, fără informarea lor prealabilă, cu încălcarea dispozițiilor art. 12 alin. (2) din Legea nr. 677/2001.

Referitor la datele bancare, furnizate direct apelantei-reclamante ______________________ SA. pe pagina http://secure.librapay, intimate a susținut că acestea au fost furnizate în unic scop, respectiv procesarea unei plăți, și nu în scopul creării unui cont Wallet, fără informarea prealabilă a persoanei vizate, cu încălcarea dispozițiilor art. 12 alin . (1) din Legea nr. 677/2001.

În privința invocării aplicabilității dispozițiilor OG nr. 85/2004 privind protecția consumatorilor și încheierea contractelor la distanță privind serviciile financiare, a arătat că acestea nu sunt aplicabile în speța dedusă judecății.

Astfel, în speță, persoanele vizate cumpără on-line bilete la cinema de pe site-ul www. cinemagia.ro ce aparține S.C. Imedia Group SA, plățile fiind „procesate de către http://www.librabank.ro/, partenerul Cinemagia în procesarea acestor plăți”. Prin urmare, nu există o relație comercială între persoanele vizate și ______________________ SA, aceasta din urmă având doar calitatea de împuternicit al S.C. Imedia Group SA, prestând un serviciu pentru S.C. Imedia Group SA (procesarea plății unor bilete de cinema).

În ceea ce privește cea de-a treia faptă săvârșită de apelanta-reclamantă, intimate a arătat că _________________________ SA nu a făcut dovada obținerii consimțământului prealabil, expres si neechivoc, al persoanelor vizate pentru crearea de conturi în aplicația Wallet LibraPay.

A subliniat că toate persoanele ale căror date au fost prelucrate, începând cu introducerea acestei aplicații pe site-ul www.cinemagia.ro (sfârșitul anului 2012) și-au dat consimțământul pentru ca datele lor să le fie procesate de către http://librabank.ro. partenerul Cinemagia. în procesarea plăților cu cardul” și nicicum în scopul creării de conturi în aplicația Wallet LibraPay.

Intimata a mai arătat că informarea trebuie să preceadă obținerea consimțământului. Mai mult, obligativitatea informării persoanei vizate și obligativitatea obținerii consimțământului, sunt reglementate distinct de prevederile Legii nr. 677/2001 (art. 12, respectiv art. 5).

Referitor la capătul de cerere privind înlocuirea sancțiunii amenzii cu sancțiunea avertismentului, intimatat a arătatcă faptele săvârșite ______________________ SA au un pericol social ridicat deoarece au fost prelucrate fără informarea și fără cosimțământul persoanelor vizate date personale a persoanelor vizate, fără a fi făcută dovada îndeplinirii vreuneia din aceste condiții.

A mențonat că nu poate fi reținut ca motivare în înlocurea sancțiunii amenzii cu cea a avertismentului de către instanță, faptul că, ulterior controlului (23.01.2014), apelanta-reclamanta a procedat la efectuarea unor demersuri impuse de A__________ Națională de Supravghere prin recomandările formulate în cadrul investigației.

In consecință, apreciază că aplicarea sancțiunilor amenzii de către ANSPDCP, pentru faptele sus menționate, s-a făcut cu respectarea dispozițiilor 21 alin. 3 OG nr. 2/2001 coroborate cu dispozițiile art. 32 din Legea nr. 677/2001.

A mai arătat că fapta are un grad de pericol social ridicat datorită volumului și varietății de date personale prelucrate de petenta fără acceptul persoanelor vizate.

In drept, intimate a invocate dispozițiile art. 471 din Codul de procedură civilă, art. 26 din Constituția României, republicată, art. 8 din Convenția pentru apărarea drepturilor omului și libertăților fundamentale, Carta drepturilor fundamentale a UE, art. 7 și 8 din Carta Drepturilor Fundamentale a Uniunii Europene privind recunoașterea dreptului la respectarea vieții private și de familie și a dreptului la protecția datelor cu caracter personal, art. 3 lit. a), lit. b) și lit. e), art. 5, art. 12, art. 22, art. 31 și art. 32, din Legea nr. 677/2001, precum și pe dispozițiile art. 21 din Ordonanța Guvernului nr. 2/2001, cu modificările și completările ulterioare și pe dispozițiile Directivei nr. 95/46/CE.

Analizând apelul formulat prin raportare la prevederile art. 499-481 din Codul de procedură civilă, la sentința instanței de fond și la criticile formulate, Curtea reține că este nefondat, din considerentele ce vor fi expuse în continuare:

Investigația efectuată de intimate A__________ Națională de Supraveghere la apelanta S.C. L____ I_______ Bank SA a avut ca obiect soluționarea aspectelor sesizate de domnul A_____ N______, prin petiția înregistrată sub xxxxx din 22 noiembrie 2013, petiționarul a arătând că în urma cumpărării on-line a unor bilete la cinema de pe site-ul www. cinemagia.ro, după efectuarea plății, a primit un e-mail prin care i se aducea la cunoștință că i-a fost deschis un cont în aplicația Wallet LibraPay cu ajutorul căreia va putea face plăți fără a fi în posesia cârdului. Petentul a susținut că această aplicație reține toate datele de pe card cu excepția codului CCV, urmând ca acestea să fie folosite pentru efectuarea de tranzacții.

De asemenea, petentul a precizat că, la momentul efectuării plății, ecranul era unul tipic plăților, condiții în care nu a sesizat existența vreunui text referitor la înrolarea într-un serviciu electronic tip wallet.

Urmare a plângerii mai sus menționate, intimate A__________ Națională de Supraveghere a dispus efectuarea unei investigații la sediul apelantei ______________________ SA, ce a avut ca obiect modul de respectare a prevederilor Legii nr. 677/2001, inclusiv sub aspectele semnalate prin petiția nr. xxxxx/22.11.2013.

Prin Procesul-verbal de constatare/sancționare nr. 1204 din 23.01.2014, s-a reținut faptul că apelanta S.C. L____ I_______ Bank S.A. nu a respectat cerințele Legii nr. 677/2001. modificată și completată, prin faptul că:

-de la data implementării sistemului Wallet LibraPay, respectiv iulie 2012 și până la data efectuării investigație nu a completat notificarea prelucrării datelor cu caracter personal înscrisă sub nr. xxxxx în scopul serviciilor financiar-bancare. cu prelucrarea datelor cu caracter personal efectuată prin serviciul Wallet LibraPay, cu încălcarea art. 22 din Legea nr. 677/2001, motiv pentru care S.C. L____ I_______ Bank S.A. a fost sancționată, în temeiul art. 31 din Legea nr. 677/2001 coroborat cu art. 5 și 7 din Ordonanța de Guvern nr. 2/2001, cu modificările și completările ulterioare, pentru săvârșirea contravenției de ,,omisiune de a notifica și notificarea cu rea credință”, pentru care s-a aplicat avertisment.

-de la data implementării serviciului de plată on-line pentru www, cinemagia.ro și activarea implicită a opțiunii „plăti rapide”, respectiv sfârșitul anului 2012 și până la data investigației, a prelucrat datele cu caracter personal ale persoanelor vizate prin crearea unui cont pentru folosirea serviciului Wallet LibraPay, fără informarea persoanelor vizate, cu încălcarea art. 12 din Legea nr. 677/2001, motiv pentru care S.C. L____ I_______ Bank S.A. a fost sancționată, în temeiul art. 32 din Legea nr. 677/2001 coroborat cu art. 5 și 8 din Ordonanța de Guvern nr. 2/2001, cu modificările și completările ulterioare, pentru săvârșirea contravenției de „prelucrare nelegală a datelor cu caracter personal”, pentru care s-a aplicat amendă în cuantum de 1000 lei

-de la data implementării serviciului de plată on-line pentru site-ul www, cinemagia.ro și activarea implicită a opțiunii “plăti rapide”, respectiv sfârșitul anului 2012 și până la data investigației, a prelucrat datele cu caracter personal ale persoanelor vizate prin crearea unui cont pentru folosirea serviciului Wallet LibraPay, fără ca acestea să-și fi exprimat consimțământul în mod expres și neechivoc pentru această prelucrare, cu încălcarea art. 5 din Legea nr. 677/2001, motiv pentru care S.C. L____ I_______ Bank S.A. a fost sancționată, în temeiul art. 32 din Legea nr. 677/2001 coroborat cu art. 5 și 8 din Ordonanța de Guvern nr. 2/2001, cu modificările și completările ulterioare, pentru săvârșirea contravenției de „prelucrare nelegală a datelor cu caracter personal”, pentru care s-a aplicat amendă în cuantum de 1000 lei.

Cu privire la prima faptă reținută în sarcina apelantei, din analiza situației de fapt și a prevederilor legale incidentem Curtea constată că în mod corect a reținut că instanța de fond că apelanta avea obligația să notifice persoanele, înainte de efectuarea oricărei prelucrări de date cu caracter personal prin serviciul Wallet LibraPay, obligație pe care nu a îndeplinit-o.

Astfel, potrivit informațiilor din evidențele Autorității Naționale de Supraveghere, anterior momentului investigației, apelanta S.C. L____ I_______ Bank S.A. figura în Registrul electronic de evidență a prelucrărilor de date cu caracter personal cu notificarea nr. xxxxx pentru scopul „servicii financiar-bancare”, fără a fi făcute mențiuni suplimentare la rubrica alte scopuri a secțiunii specifice scopului prelucrării din formularul de notificare.

În cee ace privește aplicația Wallet LibraPay, aceasta a fost lansată în iulie 2012 iar conform mențiunilor postate pe pagina https://wallet.librapay.ro/despre-noi. de apelanta – reclamantă, “aplicația reprezintă o interfață pusă la dispoziție clienților magazinelor on-line ce folosesc sistemul de plăți electronice LibraPay.

Curtea reține că Wallet LibraPay este o aplicație utilizată în derularea serviciilor de plată, și nu un serviciu de plată, întrucât, așa cum și a reținut în mod corect și instanța de fond, Wallet LibraPay este un sistem care securizează plata, aceasta fiind efectuată prin intermediul cardului bancar.

Aplicația oferă clienților magazinelor on-line posibilitatea de a cumpăra on-line fără a mai fi necesară introducerea tuturor datelor cardului de fiecare dată când sunt efectuate cumpărături on-line, adresându-se l numai clienților magazinelor on-line și nu clienților băncii.

Pe cale de consecință sund eronate, susținerile apelantei-reclamante referitoare la pretinsa incidență a dispozițiilor art. 8 din OUG nr. 113/2009, acestea fiind aplicabile numai în cazul serviciilor de plată.

În ceea ce privește notificarea transmisă intimate de apelanta _________________________ SA, înregistrată cu nr. xxxxx în Registrul electronic de evidență a prelucrărilor de date, la Secțiunea privind Scopul prelucrării a fost selectat ca unic scop „servicii financiar-bancare”, fără a fi efectuate mențiuni suplimentare cu privire la sistemul Wallet LibraPay la rubrica „alte scopuri”.

De asemenea, la Secțiunea privind Categoriile de persoane vizate, au fost selectate doar clienți și angajați, nefăcându-se referire și la alte categorii de personae, cum sunt clienții unor magazine on-line.

Întrucât Wallet LibraPay are în vedere alte categorii de persoane vizate decât cele care beneficiază de produsele bancare oferite clienților, iar datele prelucrate se regăsesc într-un sistem de evidentă diferit de cel al beneficiarilor produselor bancare, Curtea constată că, în mod correct a reținut intimate că, pentru respectarea dispozițiilor art. 22 alin. (1) din Legea nr. 677/2001, apelanta L____ I_______ Bank avea obligația comunicării operațiunilor efectuate prin aplicația Wallet LibraPay, înainte de efectuarea oricărei prelucrări de date prin intermediul acesteia, obligație pe care nu și-a îndeplinit-o.

Dealtfel se constată că, ulterior controlului, apelanta-reclamantă și-a completat notificarea, indicând și prelucrarea datelor pentru Wallet L____ Pay “, ceea ce echivalează cu o recunoaștere a faptei, astfel cum a reținut și prima instanță în considerentele hotărârii pronunțate.

În concluzie, în accord cu instanța de fond, Curtea reține că în mod legal a fot aplicată apelantei L____ I_______ Bank sancțiunea “avertisment”, în temeiul art. 31 din Legea nr. 677/2001 coroborat cu art. 5 și 7 din Ordonanța de Guvern nr. 2/2001, cu modificările și completările ulterioare, pentru săvârșirea contravenției de ,,omisiune de a notifica și notificarea cu rea credință”.

Referitor la cea de-a doua faptă reținută în sarcina apelantei-reclamante, respectiv prelucrarea de date cu caracter personal ale persoanelor vizate prin crearea unui cont în aplicația Wallet LibraPay, fără informarea acestora, cu încălcarea art. 12 din Legea nr. 677/2001, Curtea constată că intimata A__________ Națională de Supraveghere a sancționat-o pe apelanta S.C. L____ I_______ Bank S.A. pentru lipsa dovezilor certe cu privire la informarea prealabilă a persoanelor vizate înainte de crearea unui cont virtual în numele lor în aplicația Wallet LibraPay.

Susținerea apelantei, în sensul că, ulterior furnizării datelor pentru efectuarea unei plăți, utilizatorul era informat despre redirecționarea pe site-ul altei societăți, nu poate fi primită, curtea apreciind că această informate ulterioară și incomplete nu asigură respectarea dispozițiilor art. 12 din Legea nr. 677/2001

În acest sens, se reține că potrivit alin. (2) dintextul legal menționat, în situația în care datele personale nu se obțin direct de la persoanele vizate, operatorul este obligat ca, în momentul colectării datelor sau, dacă se intenționează dezvăluirea acestora către terți, cel mai târziu până în momentul primei dezvăluiri, să furnizeze persoanei vizate o ________ informații precum cele legate de identitatea operatorului, scopul în care se face prelucrarea datelor, informații suplimentare, categorii de date, existența drepturilor prevăzute de Legea nr. 677/2001 și condițiile de exercitare ale acestora.

În cazul de față, se constată că, în situația în care o persoană dorește să facă plata cu cardul pentru un bilet cumpărat de pe site-ul www cinemagia.ro, este redirecționată automat pe. pagina de internet http://secure.librapay, aparținând apelantei-reclamante ______________________ SA, unde persoanei vizate i se prelucrează o ________ date cu caracter personal, (nr. card, dată expirare, nume posesor de card, cod de securitate CCV).

Or, din analizarea conținutului rubricii “Termeni și Condiții”, accesibilă pe site-ul www. cinemagia.ro. în cadrul „fluxului de plată cinemagia”, la care face referire apelanta, nu rezultă realizarea unei informări prealabile a persoanelor vizate în sensul dispozițiilor art. 12 din Legea nr. 677/2001 de către S.C. L____ I_______ Bank SA, cu mențiunea că, așa cum în mod correct a reținut instanța de fond, rubrica respectivă putea fi accesată pe site-ul cinemagia, aparținând __________________, iar nu pe site-ul reclamantei”.

Așadar, Curtea constată că sunt neîntemeiate susținerile apelantei – reclamante potrivit cărora pe site-ul L____ I_______ Bank SA se menționează la secțiunea „Termeni și Condiții” toate detaliile referitoare la procesarea datelor cu caracter personal.

Pe de altă parte, din examinarea documentului postat pe site-ul cinemagia.ro, la rubrica „Termeni și Condiții”, se observă că informarea persoanelor vizate se referă la procesările de plăți prin intermediul cârdurilor de debit sau credit și la posibilitatea de menținere activă a opțiunii “Activează opțiunea plăți rapide”. prezentă în formularul de plată online pus la dispoziția Cinemagia de către procesatorul de plăți, situație în care se prezumă că utilizatorul își dă acceptul pentru activarea serviciului prin care se vor putea efectua ulterior plăți online doar prin introducerea codului de securitate.

Prin urmare, în mod corect a reținut instanța de fond că toate datele personale erau oferite de utilizatori, inclusive de petentul care a formulat sesizarea, administratorului cinemagia.ro., _____________________ a avea reprezentarea faptului că acestea erau colectate de apelanta ______________________ SA, pentru crearea de conturi în aplicația Wallet LibraPay, criticile formulate în apel fiind neîntemeiate.

Pe de altă parte, așa cum rezultă din extrasul privind termenii și condițiile, nu exista vreo mențiune privind crearea de cont Wallet L____ Pay, cee ace conduce la concluzia că utilizatorii ofereau datele personale pentru plata unui bilet achiziționat de pe cinemagia, iar nu pentru crearea unui cont Wallet L____ Pay.

De asemenea, în mod corect a reținut prima instanță faptul că opțiunea „Activează opțiunea plăți rapide” nu era definită această opțiune și nu exista posibilitatea de a accesa o rubrică privind detalii pe pagina respectivă .

Cu privire la adresa de e-mail menționată de apelantă, pe care se transmite corespondenta ________________ către persoana vizată, Curtea constată că, de fapt, că această dată cu caracter personal a fost furnizată de persoana vizată către ____________________ SA pe site-ul www cinemagia.ro, în vederea efectuării unei plăți online, și nu către S.C. L____ I_______ Bank SA.

În concluzie,în mod nelegal a procedat apelanta-reclamantă care a înțeles să colecteze de pe site-ul societății pentru care procesa plăți, respective ____________________ SA, adresele de e-mail ale persoanelor vizate, în scopul creării de conturi în aplicația Wallet LibraPay, fără informarea lor prealabilă a acestor persoane, deci, cu încălcarea dispozițiilor art. 12 alin. (2) din Legea nr. 677/2001.

Referitor la datele bancare, furnizate direct apelantei-reclamante ______________________ SA. pe pagina http://secure.librapay, este evident că acestea au fost furnizate numai scopul procesării unei plăți, și nu în scopul creării unui cont Wallet, fiind evident că au fost încălcate dispozițiile art. 12 alin. (1) din Legea nr. 677/2001, întrucât persoanele vizate nu au fost informate în prealabil cu privire la intenția ______________________ SA de a crea conturi în aplicația Wallet LibraPay, de a prelucra datele în alt scop decât cele în care au fost furnizate inițial (pentru plata on-line unui bilet de cinema, cumpărat de la un alt operator), drepturile prevăzute de Legea nr. 677/2001 și condițiile de exercitare a acestora.

În accord cu cele reținute de instanța de fond și de intimate-pârâtă, Curtea apreciază că, în situația în care dorea să prelucreze date cu caracter personal aparținând utilizatorilor site-ului cinemagia.ro, în scopul deschiderii unui cont în aplicația Wallet LibraPay, separat de scopul inițial pentru care au fost furnizate acestea, pentru a respecta prevederile art. 12 din Legea nr. 677/2001, apelanta-reclamantă ______________________ SA, era obligată la informarea corectă și complete a persoanelor vizate cu privire la fiecare scop în parte, la momentul colectării datelor, anterior obținerii consimțământului pentru prelucrările effectuate, obligație pe care nu și-a îndeplinit-o.

În ceea ce privește pretinsa incidență a dispozițiilor OG nr. 85/2004 privind protecția consumatorilor și încheierea contractelor la distanță privind serviciile financiare, în mod judicious a reținut instanța de fond că nu se poate reține vreo intenție a utilizatorului de a încheia un contract la distanță privind serviciile financiare, conform OG nr. 85/2004, nefiind exprimat consimțământul beneficiarului și lipsind elementele prevăzute de art.4 din acest act normative.

Astfel, persoanele vizate cumpără on-line bilete la cinema de pe site-ul www. cinemagia.ro ce aparține S.C. Imedia Group SA, plățile fiind procesate de către http://www.librabank.ro/, partenerul Cinemagia în procesarea acestor plăți, neexistând o relație comercială între aceste persoane și apelanta ______________________ SA care are doar calitatea de împuternicit al S.C. Imedia Group SA, prestând pentru S.C. Imedia Group SA serviciul de procesare a plății unor bilete de cinema.

În consecință, Curtea reține că în mod temeinic și legal S.C. L____ I_______ Bank S.A. a fost sancționată, în temeiul art. 32 din Legea nr. 677/2001 coroborat cu art. 5 și 8 din Ordonanța de Guvern nr. 2/2001, cu modificările și completările ulterioare, pentru săvârșirea contravenției de „prelucrare nelegală a datelor cu caracter personal”, întrucât a prelucrat datele cu caracter personal ale persoanelor vizate prin crearea unui cont pentru folosirea serviciului Wallet LibraPay, fără informarea persoanelor vizate, cu încălcarea art. 12 din Legea nr. 677/2001.

Referitor la cea de-a treia faptă reținută în sarcina apelantei-reclamante respectiv prelucrarea, respectiv colectarea, prin intermediul site-ului cinemagia.ro, de date cu caracter personal a persoanelor fizice, cu încălcarea dispozițiilor art. 5 din Legea nr. 677/2001, fără a obține consimțământul prealabil al persoanelor vizate sau a justifica în vreun fel prelucrarea efectuată în baza condițiilor de excepție prevăzute la alin. (2), Curtea constată că, potrivit textului legal menționat, apelanta-reclamantă _________________________ SA avea obligația de obținere a consimțământului prealabil, expres si neechivoc, al persoanelor vizate pentru crearea de conturi în aplicația Wallet LibraPay

Or, în speță, toate persoanele ale căror date au fost prelucrate, începând cu introducerea acestei aplicații pe site-ul www.cinemagia.ro (sfârșitul anului 2012) și-au dat consimțământul pentru ca datele lor să le fie procesate de către http://librabank.ro. partenerul Cinemagia. în procesarea plăților cu cardul și nu în scopul creării de conturi în aplicația Wallet LibraPay.

În concluzie, în mod corect instanța de fond a reținut că cerința consimțământului expres și neechivoc nu poate fi considerată îndeplinită, întrucât utilizatorului trebuia să i se pretindă în mod clar să îți exprime acordul expres pentru crearea contului și stocarea datelor sale, denumirea “activează opțiunea plăți rapide” neindicând în mod neechivoc operațiunea efectuată.

Contrar susținerilor apelantei, curtea apreciază că lipsa consimțământului persoanelor vizate pentru crearea unui cont în aplicația Wallet LibraPay nu ar putea fi acoperită de o informare a acestora cu privire faptul că, din momentul selectării opțiunii plății cu cardul pe site-ul www. cinemagia.ro., persoana vizată va fi redirecționată pe site-ul http://librabank.ro, pentru procesarea plăților cu cârdul sau că plata cu cardul este realizată prin intermediul ______________________ SA.

De asemenea, se impune a fi subliniat faptul că informarea trebuie să preceadă obținerea consimțământului, obligativitatea informării persoanei vizate și obligativitatea obținerii consimțământului, fiind reglementate distinct de prevederile art. 5, respective art. 12 din Legea nr. 677/2001.

Curtea mai reține și faptul că apelanta-reclamantă _________________________ SA nu a făcut nici dovada încadrării în cazurile de excepție de la obligativitatea obținerii consimțământului, care să justifice prelucrarea datelor personale ale persoanelor vizate, prin crearea unor conturi în aplicația Wallet LibraPay.

Referitor la solicitarea apelantei privind înlocuirea sancțiunii amenzii cu sancțiunea avertismentului, pentru două dintre cele trei fapte reținute în sarcina sa, Curtea constată că este, de asemenea, neîntemeiată.

Contrar susținerilor apelnatei, Curtea reține că faptele săvârșite ______________________ SA au un pericol social ridicat, fiind vorba despre prelucarea de date personale, într-un volum mare și de o mare varietate, fără informarea prealabilă și fără cosimțământul unui număr mare de persoane vizate, cu încălcarea prevederilor Legii nr. 677/2001.

Pe de altă parte, Curtea reține că nu pot fi reținute argumenetele apelantei referitoare evenimente și fapte ulterioare contravenției săvârșite, respectiv faptul că, ulterior controlului (23.01.2014), aceasta a procedat la efectuarea unor demersuri impuse de A__________ Națională de Supravghere prin recomandările formulate în cadrul investigației, întrucât conduit ulterioară constatării faptelor nu determină diminuarea perocolului social al acestora, așa încât să justifice înlocuirea amenzii cu avertisment, mai ales în condițiile în care apelanta nu poate invoca necunoșterea prevederilor legale care instituie în sarcina sa obligațiile cu privire la care s-a constatat încălcarea.

Se mai constată și faptul că cele două amenzi au fost applicate într-un cuantum orientat spre minim, ținându-se cont că apelanta-reclamantă nu a săvârșit alte fapte contravenționale privind prelucrarea datelor personale. Astfel, pentru prelucrarea nelegală a datelor cu caracter personal (art.32 din Legea nr. 677/2001), amenda este între 1.000 și 25.000 lei, iar apelanta a fost sancționată cu amenda de 1.000 lei, pentru încălcarea art. 12 din Legea nr. 677/2001 și de 1500 lei pentru încălcarea art. 5 din Legea nr. 677/2001.

În concluzie, în mod corect a reținut instanța de fond că individualizarea sancțiunilor aplicate pentru cele trei fapte, s-a făcut cu respectarea criteriilor prevăzute de art.21 alin. (3) din OG nr.2/2001 și corespunde scopului punitiv și preventiv al sancțiunilor contravenționale.

Din aceste considerente, sentința apelată fiind legală și temeinică, în baza dispozițiilor art. 480 alin. (1) din Codul de procedură civilă, Curtea va respinge apelul ca nefondat.

PENTRU ACESTE MOTIVE

ÎN NUMELE LEGII

DECIDE

Respinge ca nefondat apelul declarat de apelanta – reclamantă L____ I_______ BANK SA, cu sediul în București, sector 2, ___________________-6, împotriva sentinței nr. 7759/25.11.2014 pronunțate de Tribunalul București – Secția a II-a de contencios administrativ și fiscal în dosarul nr. XXXXXXXXXXX în contradictoriu cu intimata-pârâtă A__________ NAȚIONALĂ DE SUPRAVEGHERE A PRELUCRĂRII DATELOR CU CARACTER PERSONAL, cu sediul în București, sector 1, ________________________.28-30.

Definitivă.

Pronunțată în ședință publică azi, 27.04.2015.

PREȘEDINTE JUDECĂTOR

C_____ P_____ D_____ M_____ D_______

GREFIER

M______ B___

Red/thred. PC/

Judecător fond: C_______ I____, Tribunalul București – Secția a II-a contencios administrativ și fiscal.

Acest document este preluat și procesat de o aplicație realizată gratuit de Wolters Kluwer Romania pentru Fundatia RoLII.

Conținutul său poate fi preluat și utilizat cu citarea sursei: www.rolii.ro

Leave a Comment Cancel reply