DOSAR NR. XXXXXXXXXXXX R O M Â N I A
CURTEA DE APEL B_____
SECȚIA C_________ ADMINISTRATIV ȘI FISCAL
Decizia nr. 35/___________________>
Ședința publică din data de 6 octombrie 2015
Completul compus din:
PREȘEDINTE M_____ R___
Judecător M_____ C______
Grefier D____ T__
Pentru astăzi fiind amânată pronunțarea asupra cererii de apel formulată de apelanta reclamantă A__________ Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal împotriva sentinței civile nr. 2837/CA din data de 15 decembrie 2014, pronunțată de Tribunalul B_____ – Secția a II – a Civilă, de C_________ Administrativ și Fiscal în dosarul nr. XXXXXXXXXXXX, având ca obiect „anulare act administrativ ”.
Dezbaterile în cauza de față au avut loc în ședința publică din 23 septembrie 2015 când părțile au pus concluzii în sensul celor consemnate prin încheierea de ședință din acea dată, care face parte integrantă din prezenta hotărâre, iar instanța, în vederea deliberării, a amânat pronunțarea la data de 30 septembrie 2015 și având nevoie de mai mult timp, pentru deliberare, pentru data de 6 octombrie 2015.
C U R T E A,
Asupra apelului de față:
Prin sentința civilă nr 2837/CA din data de 15 decembrie 2014, pronunțată de Tribunalul B_____ – Secția a II – a Civilă, de C_________ Administrativ și Fiscal s-a dispus admiterea acțiunii formulate de petenta R____ Autonomă de Transport B_____ în contradictoriu cu intimata A__________ Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal și a fost anulat procesul-verbal de contravenție nr. 2727/12.02.2014 emis de intimată.
Împotriva hotărârii a declarat apel intimata A__________ Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal criticând-o pentru nelegalitate și netemeinicie. A solicitat admiterea apelului, modificarea în tot a hotărârii instanței de fond și respingerea acțiunii.
În dezvoltarea motivelor sale a arătat că fapta descrisă în procesul – verbal de constatare/sancționare nr 2727/2014 a constat în nesocotirea dispozițiilor art 8 din Legea nr 677/2001 și art 6 din Decizia Președintelui Autorității de Supraveghere nr 132/2011 privind condițiile prelucrării codului numeric personal și a altor date cu caracter personal având o funcție de identificare de aplicabilitate generală, respectiv s-a colectat și prelucrat codul numeric personal și a fost reținută copia actului de identitate fără respectarea condițiilor legale, fie consimțământul expres și neechivoc al persoanei vizate, fie o prevedere legală expresă, fie avizul Autorității de Supraveghere.
S-a reținut corect de către prima instanță că R____ Autonomă de Transport B_____, în cadrul activității specifice, colectează (inclusiv prin reținerea de copii de pe actele de identitate) și ulterior înregistrează și stochează în sistemele proprii de evidență datele personale ale solicitanților de abonamente, persoane fizice. De asemenea, s-a reținut corect că R__ are calitatea de operator de date cu caracter personal și a depus o notificare în acest sens la A__________ de Supraveghere.
Însă nu s-a ținut seamă de faptul că, urmare notificării nr xxxxx, având ca scop comercializarea abonamentelor de călătorie și a legitimațiilor cu tarif redus/gratuit pentru orice suport, justificarea diferenței de tarif redus/gratuit, i s-a atras atenția intimatei, prin adresa nr xxxxx/26.11.2013 asupra faptului că datele cu caracter special bifate la secțiunea x pot fi prelucrate numai în condițiile prevăzute de art 8 din Legea nr 677/2001.
R__ B_____ cunoștea din 2013, anterior realizării investigației, dispozițiile legale care reglementează modalitatea de prelucrare a CNP-ului și a copiei cărții de identitate, însă le-a ignorat și nu le-a respectat.
A făcut referire la dispozițiile art 21 lit j din Legea nr 677/2001, art 10 lit d și f, art 3 alin 5 din Legea nr 102/2005. Astfel, intimata reclamantă nu a solicitat anterior efectuării investigației niciun punct de vedere, opinie sau aviz Autorității de Supraveghere privind legitimitatea prelucrării datelor cu caracter personal – a CNP și copiei cărții de identitate. Este vădită lipsa de preocupare a regiei pentru respectarea legii și orientarea interesului numai spre recuperarea cheltuielilor cu abonamentele gratuite, chiar cu prețul nerespectării drepturilor persoanelor vizate.
Instanța de fond a reținut că intimata reclamantă a încheiat cu Casa de Pensii a jud B_____ convenția nr 2852/2013 din cuprinsul căreia rezultă că este obligatorie înscrierea CNP pe formularul legitimației pentru a putea obține de la CJP contravaloarea serviciilor de transport public de călători pe care regia le-a prestat în beneficiul acestor persoane. Instanța a mai reținut că prin cererea făcută de o persoană pentru a accesa un serviciu gratuit există practic consimțământul acesteia pentru prelucrarea și stocarea datelor personale ale acesteia.
Față de ceea ce a reținut instanța de fond a arătat că aceste date personale au caracter special, iar legiuitorul a stabilit anumite condiții de prelucrare. Persona vizată trebuie să își dea expres consimțământul, făcând referire și la art 1 lit h din Directiva 95/46/CE și la art 3 din Decizia nr 132/2011.
În cadrul investigației desfășurate la sediul intimatei nu au fost prezentate dovezi ale obțineri consimțământului persoanelor care au accesat un serviciu gratuit în această modalitate.
Exercitarea autonomiei de voință a persoanei vizate în privința prelucrării datelor sale înseamnă că în orice moment aceasta își poate retrage consimțământul pentru prelucrarea tuturor sau a unora din datele sale personale, fără consecințe negative asupra sa.
Intimata reclamantă a prestabilit datele și categoriile de date solicitate persoanelor fizice și a obligat pe acestea la furnizarea datelor sub condiția neemiterii de abonamente și legitimații de călătorie. Ca urmare nu se poate reține existența unui consimțământ valabil acordat.
Instanța de fond a reținut în mod greșit că convenția încheiată cu CJP bv reprezintă o dispoziție legală expresă în sensul art 8 alin 1 lit b din lege. O prevedere legală expresă reprezintă o dispoziție clară și precisă cu privire la colectarea și prelucrarea CNP de către reclamantă, a cărei aplicare să fie previzibilă pentru persoanele fizice respective pentru a le permite acestora să cunoască cu exactitate întinderea obligațiilor pe care le instituie în sarcina acestora și a drepturile pe care le au. Ca urmare, această convenție nu reprezintă decât un act bilateral, nepublicat în Monitorul Oficial al României și nu este opozabil terților.
A făcut referire și la cauza C-201/14 Bara și alții, soluționată de CJUE la 1.10.2015.
A criticat considerentul instanței de fond potrivit căruia în lipsa datelor cu caracter personal intimata nu ți-ar putea îndeplini obligațiile contractuale.
Instanța nu s-a pronunțat cu privire la îndeplinirea sau nu de către intimată a acestei condiții – avizul Autorității de Supraveghere – prev de art 8 alin 2 din lege. De altfel, conform legii și deciziei nr 132/2011, acest aviz se acordă numai cu condiția constituirii unor garanții adecvate pentru respectarea drepturilor persoanelor vizate și cu respectarea principiului caracterului adecvat, pertinent și neexcesiv ale prelucrărilor implicate. Principiile, stabilite în art 4 al legii, trebuie respectate indiferent dacă prelucrarea datelor are loc în baza consimțământului persoanelor vizate sau în temeiul excepțiilor de la consimțământ prevăzute de lege. Astfel, datele colectate trebuie să fie strict cele necesare îndeplinirii scopului, ceea ce solicită o analiză prealabilă a necesității imperioase a colectării datelor pentru evitarea unor ingerințe în viața privată a unei persoane și găsirea unor soluții mai puțin intruzive.
CNP reprezintă un număr semnificativ care individualizează în mod unic o persoană fizică constituind un instrument de verificare a stării civile a acesteia și de identificare în anumite sisteme informatice de către persoanele autorizate.
Art 6 din Decizia nr 132/2011 interzice colectarea și deținerea datelor cu caracter personal cu funcție de aplicabilitate generală prin efectuarea și reținerea de copii de pe cartea de identitate sau de pe alte documente care le conțin, cu excepția situațiilor prev în art 2 din decizie.
Din documentele ridicate cu ocazia investigației, respectiv din cel intitulat „Documente necesare în vederea aplicării corecte a procedurilor” și modelele taloanelor de abonamente, rezultă că regia colectează mai multe date cu caracter personal, printre care și CNP și alte date cu funcție de aplicabilitate generală (________ nr CI/BI), inclusiv copii ale actelor de identitate care conțin aceste date.
Nu pot fi primite motivele privind costurilor considerate ca fiind excesive pentru efectuarea dovezii privind obținerea consimțământului.
A solicitat înlăturarea susținerii intimatei reclamante potrivit căreia fapta săvârșită nu constituie contravenție.
Față de invocarea art 7 lit c din Directiva 95/46/CE, acesta a fost preluat în art 5 alin 2 lit c din lege, fiind însă aplicabil datelor care nu au caracter special, așa cum este CNP.
Reclamanta nu respectă principiile protecției datelor personale, statuate de Legea nr 677/2001.
Intimata R____ Autonomă de Transport B_____ a formulat întâmpinare și a solicitat respingerea apelului.
În dezvoltarea motivelor a arătat că apelanta interpretează mult prea restrictiv prevederile art 8 din Legea nr 677/2001.
R____, în calitate de prestator al serviciului de transport public local de călători, eliberează mai multe tipuri de legitimații de călătorie, cu titlu oneros sau gratuit. Cele acordate gratuit privesc o categorie specială de călători, desemnate prin reglementări legale specifice emise de autoritățile centrale și de cele locale. De la aceste persoane nu se primește contravaloarea serviciului prestat, deși se realizează aceleași categorii de cheltuieli de transport ca pentru transportului unui călător care își achită contravaloarea călătoriei.
În ce privește consimțământul expres al persoanelor fizice beneficiare ale transportului gratuit a solicitat să se constate că lună de lună o medie de xxxxx persoane ar trebui să dea o declarație care să fie arhivată de regie în care să își dea expres acest acord de prelucrare a CNP. Ținând cont și de faptul că identitatea persoanelor variază de la lună la lună, la nivelul unui an ar avea de arhivat xxxxxxx declarații, ceea ce ar însemnat 2093 topuri de hârtie a câte 500 foi fiecare. Dacă valoarea unui top este 11 lei, regia ar trebui să suporte costuri suplimentare de xxxxx lei/an pentru a pune în practică cerința apelantei. Nu există niciun temei legal care să impună regiei obligația de a suporta din fonduri proprii cheltuielile de transport ale acestor persoane.
A susținut că sancțiunea aplicată este inadecvată, lipsită de pertinență și excesivă. În procesul verbal de contravenție este menționată o faptă care nu este contravenție, iar fapta care ar fi putut fi contravenție nu este săvârșită de regie. Față de cuprinsul noțiunii de „prelucrare nelegală a datelor” a solicitat să se constate că fapta de a trece CNP pe legitimațiile de călătorie nu constituie contravenție pentru că nu este precizată în mod expres de legiuitor în sfera acțiunilor care pot constitui prelucrarea, conform art 3 lit b din lege. A apreciat că nu sunt întrunite elementele constitutive ale contravenției reținute în sarcina sa. Nu există vinovăție a regiei, în forma cerută de lege, nu s-a produs vreun rezultat care să prezinte un anumit grad de pericol social de care să beneficieze, într-o anumită formă, regia. Persoana fizică, totodată, nu este prejudiciată în niciun fel de înscrierea CNP-ului ei pe legitimația de călătorie. A arătat că dacă această stare de pericol există atunci toate instituțiile statului sunt în aceeași situație cu a sa.
A apreciat excesivă măsura dispusă împotriva sa față de prevederile art 7 lit c care arată că pot fi prelucrate date în șase situații, între care doar una se referă la consimțământul expres al persoanei, prev de lit a.
A arătat că fiind utilizate fonduri publice, procedura de decontare a cheltuielilor de transport public pentru persoanele care beneficiază de gratuitate urmărește înlăturarea echivocului. A mai arătat că în lipsa CNP, persoane având același nume nu pot fi identificate ca fiind beneficiar cert al acestui serviciu gratuit.
Examinând apelul declarat, motivele invocate, actele și lucrările dosarului, se constată următoarele:
Instanța de fond a reținut că petenta R____ Autonomă de Transport B_____ în contradictoriu cu intimata A__________ Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a solicitat să se dispună anularea procesului-verbal de contravenție nr. 2727/12.02.2014 emis de intimată.
Din coroborarea probelor instanța a reținut că, potrivit procesului-verbal de contravenție nr. 2727/12.02.2014, emis de intimată, s-a constat săvârșirea faptei de „prelucrare nelegală a datelor cu caracter personal, în sensul că R____ Autonomă de Transport B_____ a nesocotit dispozițiile art. 8 din Legea nr. 677/2001 și art. 6 din Decizia nr. 132/2011, faptă ce constituie contravenție prevăzută de art. 32 din Legea nr. 677/2001. R__ B_____ trece CNP-ul pe legitimațiile de călătorie fără a avea un temei legal în acest sens, fără consimțământul expres și neechivoc al persoanei vizate și fără a avea eventual avizul ANSPDCP pentru o astfel de prelucrare”.
Pentru fapta constată, s-a aplicat sancțiunea amenzii în cuantum de 3000 lei, conform art. 32 din Legea nr. 677/2001 coroborat cu dispozițiile art. 5 și art. 8 din OUG nr. 2/2001.
Instanța reține că potrivit dispozițiilor art. 3 lit. a) din Legea nr. 677/2001, reprezintă date cu caracter personal orice informație referitoare la o persoană fizică identificată sau
identificabilă, cum ar fi: numele și prenumele, adresa, locul și data nașterii, codul numeric
personal, ________ numărul BI/CI, cetățenia, profesia,adresa de e-mail, telefonul/faxul,
imaginea, locul de muncă, semnătura, sexul, situația familială, datele privind starea de
sănătate, convingerile politice, apartenența sindicală, etc.
Totodată, constituie prelucrare a datelor cu caracter personal orice operațiune care
efectuează asupra datelor personale, prin mijloace automate/neautomate constând în
colectarea, înregistrarea, organizarea, stocarea, adaptarea ori modificarea, extragerea,
consultarea, utilizarea, dezvăluirea către terți prin transmitere, diseminare sau în orice
alt mod, alăturarea ori combinarea, blocarea, ștergerea sau distrugerea acestor date (art. 3 lit. b din Legea nr. 677/2001, modificată și completată).
Sistemul de evidență a datelor cu caracter personal reprezintă, în accepțiunea aceleiași
legi (art. 3 lit. d), orice structură organizată de date cu caracter personal, accesibilă potrivit
unor criterii determinate, indiferent dacă această structură este organizată în mod
centralizat sau descentralizat sau este repartizată după criterii funcționale ori
geografice.
De asemenea, stocarea datelor este definită de lege ca fiind păstrarea pe orice fel
de suport a datelor cu caracter personal culese (art. 3 lit. c) din Legea nr. 677/2001.
Conform prevederilor art. 3 lit. e) din aceeași lege, prin operator se înțelege orice
persoană fizică sau juridică, de drept privat ori de drept public, inclusiv autoritățile publice,
instituțiile și structurile teritoriale ale acestora, care stabilește scopul și mijloacele de
prelucrare a datelor cu caracter personal. Dacă scopul și mijloacele de prelucrare sunt
determinate printr-un act normativ sau în baza unui act normativ, operator este persoana
fizică sau juridică, de drept public ori de drept privat care este desemnată ca operator prin
acel act normativ sau în baza acelui act normativ.
Astfel regia reclamantă colectează (inclusiv prin reținerea de copii de pe actele
de identitate (anexa nr. 6) și ulterior înregistrează și stochează în sistemele proprii de
evidență (anexa nr. 7), datele personale ale solicitanților de abonamente, persoane fizice.
Totodată, regia reclamantă furnizează un serviciu public de interes local, respectiv de
transport public local de călători, eliberează mai multe tipuri de legitimații de călătorie
(anexa nr. 3), iar în conformitate cu Hotărârea Guvernului nr. 597/1992 privind trecerea
sub autoritatea consiliilor locale sau, după caz, județene, a regiilor autonome și societăților
comerciale cu capital integral de stat, care prestează servicii publice de interes local sau
județean, se află sub autoritatea (iar nu în subordinea, cum în mod greșit susține
contestatoarea) Consiliului Local B_____, fiind organizată potrivit Legii nr. 15/1990 privind
reorganizarea unităților economice de stat ca regii autonome și societăți comerciale,
modificată și completată. Conform acestei legi, regiile autonome sunt persoane juridice și
funcționează pe bază de gestiune economică și autonomie financiară.
În acest context, se poate observa organizarea de sine-stătătoare, precum și gradul
de autonomie și răspundere al R__ B_____ în desfășurarea activității specifice de
eliberare a abonamentelor în contextul căreia se prelucrează date cu caracter personal.
Astfel, petenta R__ B_____ are calitatea de operator de date cu caracter
personal, depunând la pârâtă o notificare în acest sens.
Petenta nu poate fi, însă, contravenientă potrivit dispozițiilor art. 8 din Legea nr. 677/2001, de vreme ce, pentru a-și recupera cheltuielile cu abonamentele gratuite, a încheiat cu Casa Județeană de Pensii B_____ convenția nr. 2852/23.12.2013, iar în cuprinsul acesteia la art. 3 alin. 4 se menționează obligativitatea înscrierii CNP pe formularul legitimației, pentru a se putea obține de la această autoritate contravaloarea serviciilor de transport public de călători pe care regia le-a prestat în beneficiul acestor persoane.
Mai mult, R__ B_____ se află în subordinea Consiliului Local B_____, încheindu-se cu Municipiul B_____, în anul 2006, Contractul privind serviciile de transport public local de călători nr. xxxxx/xxxxx/04.10.2006.
Astfel, în lipsa datelor cu caracter personal a persoanelor beneficiare a abonamentelor gratuite, petenta nu și-ar putea îndeplini obligațiile sus-indicate. Totodată, instanța reține că prin cererea făcută de o persoană pentru a accesa un serviciu gratuit, practic există consimțământul acesteia pentru prelucrarea și stocarea datelor personale ale acesteia.
Față de aceste considerente, instanța, în baza art. 18 alin. 1 din Legea nr. 554/2004 a contenciosului administrativ și a textelor legale mai sus menționate, a admis, ca fondată, acțiunea petentei R____ Autonomă de Transport B_____ și a dispus anularea procesului-verbal de contravenție nr. 2727/12.02.2014 emis de intimată.
Instanța de apel reține deci în esență că R____ Autonomă de Transport B_____ colectează, înregistrează și stochează în sistemele proprii de evidență datele personale ale solicitanților de abonamente, persoane fizice, iar în acest scop reține copii de pe actele de identitate. Este real faptul că R__ B_____ are calitatea de operator de date cu caracter personal și a depus la A__________ de Supraveghere notificarea înregistrată la intimată sub nr xxxxx.
Instanța de apel constată că R__ B_____ a depus la intimată și notificările pentru prelucrarea datelor cu caracter personal înregistrate la intimată sub nr xxxxx, xxxxx, xxxxx din 14.11.2013 prin care solicită modificarea/completarea unei notificări înregistrate în Registrul de Evidență a Prelucrărilor de Date cu Caracter Personal sub nr xxxxx.
Potrivit art. 22 alin 1 din Legea nr 677/2001, privind Notificarea către autoritatea de supraveghere, „operatorul este obligat să notifice autorității de supraveghere, personal sau prin reprezentant, înainte de efectuarea oricărei prelucrări ori a oricărui ansamblu de prelucrări având același scop sau scopuri corelate”.
În speță, operatorul, respectiv R__ B_____, a formulat aceste notificări înainte de începerea activității pe care o intenționa să o realizeze, iar din cuprinsul acestora, cu respectarea art 22 alin 3 din lege, rezultă scopul prelucrării, categoriile de persoane vizate, motivul pentru care justifică aplicarea art 11, 12 alin 3 sau 4 ori 13 alin 5 sau 6 din Legea nr 677/2001, modul în care persoanele vizate sunt informate asupra drepturilor lor, categoriile de date prelucrate, categoriile de date cu caracter special, categoriile de destinatari, garanțiile care însoțesc dezvăluirea datelor către terți, încheierea operațiunilor de prelucrare și destinația ulterioară a datelor.
În mod concret, R__ B_____ a notificat intimata despre intenția sa de prelucrare statistică și pentru gestiunea economico-financiară și administrativă a eliberării legitimațiilor de călătorie pentru diferite categorii de persoane, inclusiv pentru beneficiarii serviciilor de protecție și asistență socială, ai serviciilor publice locale, pensionari, donatori onorifici de sânge, revoluționari, veterani/văduve de război, persoane deportate și persecutate politic. A arătat expres va informa în scris, prin afișare la sediu și verbal persoanele vizate asupra drepturilor pe care le au cu privire la eliberarea acestor legitimații, din punctul de vedere al Legii nr 677/2001. Categoriile de date prelucrate în acest scop sunt: numele și prenumele, data și locul nașterii, codul numeric personal, ________ numărul actului de identitate. În ce privește garanțiile care însoțesc dezvăluirea datelor către terți, R__ B_____ a indicat consimțământul persoanei vizate, acte normative și alte garanții constând în clauza de confidențialitate din contractul individual de muncă pentru salariații care prelucrează date cu caracter personal. Perioada de timp pentru realizarea operațiunilor de prelucrare și destinația ulterioară a datelor era de 4 ani de la data eliberării legitimațiilor de călătorie.
Prin adresa nr xxxxx/26.11.2013 intimata a comunicat pârâtei că, cu privire la modalitatea de completare a notificării, datele cu caracter special bifate la secțiunea x pot fi prelucrate numai în condițiile prevăzute de art 8 din Legea nr 677/2001. A solicitat ca R__ B_____ să reanalizeze mențiunile efectuate la secțiunile XV și XVI din formularul de notificare după ce consultă Ghidul de completare a notificărilor pus la dispoziție de intimată.
Nu s-a administrat în cauză vreo altă dovadă că R__ B_____ s-a conformat acestei solicitări, deși cunoștea dispozițiile legale care reglementează modalitatea de prelucrare a CNP -ului atât cu ocazia depunerii notificării la intimată cât și cu ocazia răspunsului conținut de adresa nr xxxxx/2013. Nu există aviz al Autorității de Supraveghere care să permită această prelucrare, în condițiile art 8 alin 2 din lege.
Toate înscrisurile administrate ca probă în cauză dovedesc, iar R__ B_____ recunoaște, că societatea a eliberat sistematic, din 2013 și până la data emiterii actului administrativ contestat, legitimații de călătorie către un număr foarte mare de persoane fizice (aceata apreciind o medie de xxxxx persoane pe lună) colectând, înregistrând și stocând în evidențe proprii date cu caracter personal – în speță aceste date fiind codul numeric personal – fără a exista consimțământul expres, neechivoc, al fiecărei persoane atât pentru realizarea acestei operațiuni cât și pentru dezvăluirea datelor sale către terți,
Fapta reținută în procesul – verbal de contravenție constă în „prelucrarea nelegală a datelor cu caracter personal”, în sensul că R____ Autonomă de Transport B_____ a nesocotit dispozițiile art. 8 din Legea nr. 677/2001 și art. 6 din Decizia nr. 132/2011, faptă ce constituie contravenție prevăzută de art. 32 din Legea nr. 677/2001. Această faptă constă în aceea că R__ B_____ trece CNP – ul pe legitimațiile de călătorie fără a avea un temei legal în acest sens, fără consimțământul expres și neechivoc al persoanei vizate și fără a avea eventual avizul ANSPDCP pentru o astfel de prelucrare.
Dispozițiile din Legea nr 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date, incidente în speță, prevăd următoarele:
Art 8 privește Prelucrarea datelor cu caracter personal având funcție de identificare. Din cuprinsul său rezultă că: „(1) Prelucrarea codului numeric personal sau a altor date cu caracter personal având o funcție de identificare de aplicabilitate generală poate fi efectuată numai dacă: a) persoana vizată și-a dat în mod expres consimțământul; sau b) prelucrarea este prevăzută în mod expres de o dispoziție legală.
(2) A__________ de supraveghere poate stabili și alte cazuri în care se poate efectua prelucrarea datelor prevăzute la alin. (1), numai cu condiția instituirii unor garanții adecvate pentru respectarea drepturilor persoanelor vizate”.
Instanța constată că, față de dispozițiile art 11din lege, prelucrarea acestui tip de date cu caracter personal nu face obiectul niciunei excepții, astfel încât numai în condițiile art 8 pot fi prelucrate.
Art. 12 privește Informarea persoanei vizate. Din cuprinsul său rezultă că: „(1) În cazul în care datele cu caracter personal sunt obținute direct de la persoana vizată, operatorul este obligat să furnizeze persoanei vizate cel puțin următoarele informații, cu excepția cazului în care această persoană posedă deja informațiile respective: a) identitatea operatorului și a reprezentantului acestuia, dacă este cazul; b) scopul în care se face prelucrarea datelor; c) informații suplimentare, precum: destinatarii sau categoriile de destinatari ai datelor; dacă furnizarea tuturor datelor cerute este obligatorie și consecințele refuzului de a le furniza; existența drepturilor prevăzute de prezenta lege pentru persoana vizată, în special a dreptului de acces, de intervenție asupra datelor și de opoziție, precum și condițiile în care pot fi exercitate; d) orice alte informații a căror furnizare este impusă prin dispoziție a autorității de supraveghere, ținând seama de specificul prelucrării”.
Instanța constată că singura excepție prevăzută de art 16 din lege, privind drepturile persoanei vizate în contextul prelucrării datelor cu caracter personal, inclusiv cel prev de art 12, este permisă în condițiile art 5 alin 5 din lege, respectiv numai în cadrul activităților de prevenire, cercetare și reprimare a infracțiunilor și de menținere a ordinii publice, precum și al altor activități desfășurate în domeniul dreptului penal, însă în limitele și cu restricțiile stabilite de lege.
În speță sunt incidente și dispozițiile cuprinse în Decizia nr. 132 din 20 decembrie 2011 privind condițiile prelucrării codului numeric personal și a altor date cu caracter personal având o funcție de identificare de aplicabilitate generală, emisă de A__________ Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, din cuprinsul căreia rezultă următoarele:
Art. 1: “(1) Codul numeric personal reprezintă un număr semnificativ care individualizează în mod unic o persoană fizică, constituind un instrument de verificare a stării civile a acesteia și de identificare în anumite sisteme informatice de către persoanele autorizate.
(2) Datele cu caracter personal cu funcție de identificare de aplicabilitate generală sunt acele numere prin care se identifică o persoană fizică în anumite sisteme de evidență și care au aplicabilitate generală, cum ar fi: codul numeric personal, ________ numărul actului de identitate, numărul pașaportului, al permisului de conducere, numărul de asigurare socială sau de sănătate.
(3) Datele prevăzute la alin. (1) și (2) fac parte din categoria datelor cu caracter special supuse regulilor specifice de prelucrare”.
Art. 2: „Prelucrarea datelor prevăzute la art. 1, inclusiv dezvăluirea acestora către terți, se face numai în condițiile stabilite la art. 8 din Legea nr. 677/2001”.
Art. 3: „(1) În domeniul prelucrării datelor cu caracter personal, consimțământul persoanei vizate reprezintă orice manifestare de voință expresă, liberă, specifică și informată, prin care persoana vizată acceptă să fie prelucrate datele cu caracter personal care o privesc.
(2) Consimțământul trebuie dat în mod expres, într-o formă care să permită dovedirea acestuia de către operator.
(3) Anterior obținerii consimțământului, operatorul are obligația de a informa persoana vizată, în concordanță cu prevederile art. 12 alin. (1) din Legea nr. 677/2001, cu modificările și completările ulterioare.
(4) Cazurile în care informarea se dovedește imposibilă sau ar implica un efort disproporționat față de interesul legitim care ar putea fi lezat, prevăzute de art. 12 alin. (3) și (4) din Legea nr. 677/2001, cu modificările și completările ulterioare, trebuie temeinic justificate și documentate de către operator”.
Art. 5: „(1) În situația prevăzută la art. 2 lit. c), operatorul trebuie să respecte principiul caracterului adecvat, pertinent și neexcesiv, precum și măsurile de confidențialitate și de securitate a prelucrărilor. În acest sens va avea în vedere, în principal, instituirea următoarelor garanții adecvate:
a) scopul prelucrării să fie determinat, explicit și legitim;
b) stabilirea și aplicarea unor măsuri prin care să se asigure exercitarea drepturilor persoanelor vizate;
c) durata de stocare a datelor să fie pe perioada strict necesară îndeplinirii scopului, după care datele vor fi șterse sau distruse, după caz;
d) stabilirea modalităților de acces la sistemele de evidență în vederea colectării datelor, în funcție de care va stabili și va respecta măsuri tehnice și organizatorice adecvate pentru protejarea datelor;
e) utilizarea datelor numai în limitele scopului stabilit;
f) dezvăluirea către alți destinatari este interzisă, cu excepția situației în care există consimțământul persoanei vizate sau o prevedere legală expresă;
g) desemnarea, în scris, a persoanei/persoanelor care va/vor prelucra datele și care trebuie să își asume răspunderea păstrării confidențialității acestora; lista conținând evidența acestor persoane va fi actualizată ori de câte ori se impune;
h) numirea, în scris, a unei persoane specializate în securitatea informației care să vegheze la prelucrarea datelor, inclusiv la buna funcționare a sistemelor informatice utilizate în această activitate;
i) stabilirea unui plan de securitate a informațiilor care să cuprindă, în principal, securitatea tehnică pe plan informatic și securitatea spațiilor în care se prelucrează datele, ținând cont de cerințele minime de securitate;
j) stabilirea, în scris, a drepturilor și obligațiilor operatorului care transmite datele și ale operatorului care le primește.
(2) Drepturile persoanelor vizate vor fi asigurate în condițiile art. 12 – 18 din Legea nr. 677/2001, cu modificările și completările ulterioare”.
Art. 6: „Colectarea și prelucrarea datelor prevăzute la art. 1, inclusiv dezvăluirea acestora, prin efectuarea și reținerea de copii de pe cartea de identitate sau de pe documente care le conțin, sunt interzise, cu excepția situațiilor prevăzute la art. 2”.
Raportând aceste dispoziții legale la starea de fapt rezultată din probele administrate se constată că în mod legal acestea au fost reținute de intimata A__________ Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal.
Petenta R____ Autonomă de Transport B_____ a formulat în apel apărări care în esență sunt următoarele: față de numărul foarte mare al persoanelor fizice care beneficiază de transport gratuit – o medie de xxxxx persoane pe lună – ar fi imposibilă obținerea unui consimțământ expres al fiecărei persoane pentru prelucrarea CNP-ului, arătând și costurile materiale ale unei asemenea operațiuni; prin cererea făcută de o persoană pentru a accesa un serviciu gratuit, practic există consimțământul acesteia pentru prelucrarea și stocarea datelor personale ale acesteia; persoana fizică nu este prejudiciată de înscrierea CNP-ului pe legitimația de călătorie; în lipsa menționării CNP-ului nu pot fi identificate persoanele fizice care beneficiază de transport gratuit iar pentru a-și recupera cheltuielile cu abonamentele gratuite, a încheiat cu Casa Județeană de Pensii B_____ convenția nr. 2852/23.12.2013, iar în cuprinsul acesteia la art. 3 alin. 4 se menționează obligativitatea înscrierii CNP pe formularul legitimației, pentru a se putea obține de la această autoritate contravaloarea serviciilor de transport public de călători pe care regia le-a prestat în beneficiul acestor persoane; în lipsa datelor cu caracter personal a persoanelor beneficiare a abonamentelor gratuite, petenta nu și-ar putea îndeplini obligațiile rezultate din Contractul privind serviciile de transport public local de călători nr. xxxxx/xxxxx/04.10.2006; fapta reținută în sarcina sa nu constituie contravenție întrucât legiuitorul nu o precizează în mod expres în sfera acțiunilor ce constituie contravenție; nu există vinovăție a regiei în forma cerută de lege.
Analizând elementele constitutive ale contravenției reținută în sarcina societății și prevăzută de art 32 din Legea nr 677/2001, se constată următoarele:
Art 32 se referă la „Prelucrarea nelegală a datelor cu caracter personal”, iar din cuprinsul acestuia rezultă că „prelucrarea datelor cu caracter personal de către un operator sau de o persoană împuternicită de acesta, cu încălcarea prevederilor art. 4 – 10 sau cu nesocotirea drepturilor prevăzute la art. 12 – 15 sau la art. 17, constituie contravenție, dacă nu este săvârșită în astfel de condiții încât să constituie infracțiune, și se sancționează cu amendă de la 1.000 lei la 25.000 lei”.
În procesul verbal s-a reținut că R__ B_____ a încălcat dispozițiile art 8 din Legea nr. 677/2001.
În ce privește obiectul contravenției se constată că valoarea socială ocrotită de Legea nr 677/2001 este cea prevăzută de art 1, respectiv drepturile și libertățile fundamentale ale persoanelor fizice, în special a dreptului la viața intimă, familială și privată, cu privire la prelucrarea datelor cu caracter personal.
Subiectul contravenției prev de art 32 din legea nr 677/2001 este operatorul, noțiune definită în art 3 alin 1 lit e din lege, respectiv, față de situația din prezenta cauză, persoana juridică de drept privat ori de drept public, inclusiv autoritățile publice, instituțiile și structurile teritoriale ale acestora, care stabilește scopul și mijloacele de prelucrare a datelor cu caracter personal.
În ce privește latura obiectivă, din probele administrate rezultă, în identificarea elementului material, că R____ Autonomă de Transport B_____ a acționat pe o durată întinsă în timp în sensul prelucrării unor date cu caracter personal, respectiv CNP-ul persoanei fizice, cu încălcarea legii, respectiv a art din Legea nr. 677/2001 și art. 6 din Decizia nr. 132/2011. Rezultatul acestei acțiuni continuate a regiei l-a constituit urmarea imediată, socialmente periculoasă creată de fiecare acțiune de prelucrare a acestor date cu caracter personal în parte. Legea nu cere producerea unui rezultat material astfel cum a arătat în apărare R__ B_____, fiind suficientă crearea stării de pericol care aduce atingere valorii sociale ocrotite de lege.
R____ s-a apărat și a arătat că ar fi imposibilă obținerea unui consimțământ expres al fiecărei persoane pentru prelucrarea CNP-ului, arătând și costurile materiale ale unei asemenea operațiuni. Apărarea este lipsită de eficiență juridică întrucât nu există excepții prevăzute de lege sau prevederi legale care să permită prelucrarea acestora date cu caracter personal fără consimțământul expres al persoanei fizice.
Susținerea potrivit căreia prin cererea făcută de o persoană fizică pentru a accesa gratuit serviciul de transport oferit de regie, practic există consimțământul acesteia pentru prelucrarea și stocarea datelor personale ale acesteia, rămâne gratuită atât timp cât nu există și nu au fost administrate dovezi din care să rezulte expres consimțământul persoanei fizice ca datele sale cu caracter personal să fie prelucrate într-un anumit scop de regie.
R____ a mai susținut că în lipsa menționării CNP-ului nu pot fi identificate persoanele fizice care beneficiază de transport gratuit în lipsa datelor cu caracter personal a persoanelor beneficiare a abonamentelor gratuite, si, de asemenea, pentru a-și recupera cheltuielile cu abonamentele gratuite, a încheiat cu Casa Județeană de Pensii B_____ convenția nr. 2852/23.12.2013, iar în cuprinsul acesteia la art. 3 alin. 4 se menționează obligativitatea înscrierii CNP pe formularul legitimației, pentru a se putea obține de la această autoritate contravaloarea serviciilor de transport public de călători pe care regia le-a prestat în beneficiul acestor persoane. Convenția încheiată de părți, în desconsiderarea dispozițiilor legale care și neechivoce ale Legii nr 677/2001, nu este opozabilă decât părților contractante, iar pentru terți nu are valoare juridică. În plus prin decizia pronunțată de CJUE în cauza 4 în legătură cu interpretarea unor prevederi din Directiva 95/46/CE privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date, s-a decis ca persoanele ale căror date cu caracter personal fac obiectul transmiterii și prelucrării între două autorități ale administrației publice a unui stat membru trebuie sa fie informate in prealabil cu privire la acest aspect.
Totodată faptul că R__ B_____ se află în subordinea Consiliului Local B_____, și a încheiat cu Municipiul B_____, în anul 2006, Contractul privind serviciile de transport public local de călători nr. xxxxx/xxxxx/04.10.2006, constituie o formă de apărare în prezenta cauză care nu are relevanță juridică față de cerințele exprese ale Legii nr 677/2001. Nicio convenție nu poate înfrânge legea.
Forma de vinovăție cu care a acționat R__ B_____, în lămurirea laturii subiective a contravenției, rezultă din materialitatea faptelor. Probele dovedesc că din proprie inițiativă R__ B_____, cunoscând conținutul valorii ocrotite de lege, a procedat la nerespectarea legii.
R__ B_____ s-a apărat și a arătat că fapta reținută în sarcina sa nu constituie infracțiune întrucât legiuitorul nu o precizează în mod expres în sfera acțiunilor ce constituie contravenție. Susținerea este înlăturată întrucât legiuitorul a reglementat contravenția, de genul celei reținute în procesul – verbal, în dispozițiile art 32 din Legea nr 677/2001.
Ca urmare, instanța de control judiciar constată că sunt întrunite cumulativ elementele constitutive ale contravenției prev de art 32 din Legea nr 677/2001, iar apelul se dovedește a fi fondat și va fi admis potrivit art 480 alin 2 din Legea nr 134/2010 privind Codul de procedură civilă. Va schimba în tot hotărârea tribunalului și, rejudecând, va respinge ca nefondată plângerea formulată de petenta R____ Autonomă de Transport B_____ în contradictoriu cu intimata A__________ Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal privind procesul – verbal de contravenție nr 2727/12.02.2014 emis de intimată.
PENTRU ACESTE MOTIVE
ÎN NUMELE LEGII
DECIDE
Admite apelul declarat de intimata A__________ Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal împotriva sentinței civile nr 2837/CA/2014 pronunțată de Tribunalul B_____ pe care o schimbă în tot și, rejudecând:
Respinge plângerea formulată de petenta R____ Autonomă de Transport B_____ în contradictoriu cu intimata A__________ Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal privind procesul – verbal de contravenție nr 2727/12.02.2014 emis de intimată.
Definitivă.
Pronunțată în ședință publică, azi, 6.10.2015.
Președinte,Judecător,
M_____ R___ M_____ C______
Grefier
D____ T__
Red MR 7.12.2015
Dact DT 8.12.2015/5 ex
Jud fond I B______
Acest document este preluat și procesat de o aplicație realizată gratuit de Wolters Kluwer Romania pentru Fundatia RoLII.
Conținutul său poate fi preluat și utilizat cu citarea sursei: www.rolii.ro
