O sancțiune recent aplicată în domeniul protecției datelor personale a fost anulată în instanță. Problema a fost modul ambiguu în care s-au indicat data și locul săvârșirii faptelor de încălcare GDPR, însă cazul pune mai multe întrebări legate de posibilitatea operatorilor de a se apăra eficient atunci când investigațiile se desfășoară exclusiv în scris.
Operatorul, o societate din domeniul panificației, a fost amendat de Autoritatea de protecție a datelor (ANSPDCP) în luna februarie 2021 cu echivalentul a 5.000 de euro. Sancțiunea a fost aplicată pentru faptul că operatorul ar fi instalat camere video în spații cu destinație de vestiare și în sala de servire a mesei, ceea ce a dus, în opinia autorității, la o prelucrare excesivă de date personale.
Comunicatul prin care se anunța aplicarea sancțiunii poate fi accesat aici.
Extras din procesul-verbal (text inclus în Decizia Tribunalului București): „începând cu anul 2017 a prelucrat în mod excesiv, prin raportare la scopul în care sunt colectate/prelucrate, respectiv protejarea bunurilor şi a produselor societăţii, descurajarea furtului, datele cu caracter personal/imaginea angajaţilor săi prin intermediul camerelor video instalate în spaţii cu destinaţia de vestiare şi în zona destinată servirii mesei, datele astfel prelucrate nefiind adecvate, relevante şi limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate („reducerea la minim a datelor”), scopul declarat de operator putându-se realiza prin mijloace mai puţin intrusive pentru viaţa privată a angajaţilor, iar consimţământul persoanelor vizate nu poate fi considerat liber exprimat având în vedere relaţia angajator-angajat şi nu a putut fi identificat alt temei legal de prelucrare, operatorul neputând demonstra respectarea principiilor de prelucrare conform art. 5 alin. (2) din RGPD.”
Articole din GDPR încălcate, conform procesului-verbal: art. 5 alin 1 lit. b si c prin raportare la ar. 5 alin 2 si art. 6.
Investigația autorității a avut loc exclusiv în scris și a fost inițiată în urma unei sesizări primite în iulie 2019. Ca urmare a adresei ANSPDCP din octombrie 2019, operatorul investigat a oferit explicații exhaustive și a negat faptul că sistemul de monitorizare video ar fi fost instalat în vestiare. Referitor la sala de mese, a explicat că era vorba de un spațiu amplu, că scopul era siguranța alimentară și protejarea sănătății angajaților și că unghiul era, în opinia sa, suficient de larg pentru a nu reprezenta o măsură intruzivă. De asemenea, operatorul a trimis un pachet de documente (inclusiv planșe fotografice), pe e-mail și prin curier, prin care explica pe larg amplasarea și funcționarea sistemului CCTV, menționând și faptul că sistemul fusese instalat în anul 2017.
După primirea răspunsului și a documentelor de la operator, ANSPDCP nu a realizat o verificare la fața locului și nu a mai revenit cu un răspuns sau vreo solicitare de clarificare timp de un an și jumătate. Procesul verbal de sancționare a fost încheiat în februarie 2021 în lipsa operatorului investigat, fără ca această situație să fie confirmată de un martor și fără vreo explicație despre motivul pentru care documentul a fost întocmit în aceste circumstanțe.
În apărarea sa în instanță, operatorul a adăugat că ar fi fost imposibil ca autoritatea să fi putut constata că faptele contravenționale au fost săvârșite începând cu anul 2017, din moment ce sesizarea a fost primită în iulie 2019. Mai mult, locul contravenției a fost descris în mod ambiguu (fiind precizat în procesul-verbal că sistemul video este instalat la sediul societății, cât și în magazinele din țară). Instanța a fost de acord cu reclamantul că în procesul-verbal nu erau indicate data și locul săvârșirii faptelor contravenționale, ci doar data și locul constatării acestora (sediul ANSPDCP), ceea ce a dus la un caz de nulitate absolută.
Ce alte aspecte a stabilit instanța:
- Prin faptul că procesul-verbal a fost întocmit la sediul ANSPDCP, operatorul nu a fost lipsit de posibilitatea de a formula obiecțiuni. Odată cu comunicarea actului, operatorului i s-a adus la cunoștință dreptul de a formula obiecțiuni în scris. [Notă: conform art. 32(4) din Procedura din 2018 de efectuare a investigațiilor, „Entitatea controlată poate transmite obiecţiuni la procesul-verbal de constatare/sancţionare, care fac parte integrantă din acesta, în termen de 15 zile de la data înmânării/comunicării procesului-verbal de constatare/sancţionare.”]
- Indicarea unui an („începând cu 2017”) nu echivalează cu o mențiune privind data comiterii faptei contraveționale, așa cum cere art. 17 din OG 2/2001. [Notă: reclamantul susține că precizarea legată de începutul anului 2017 a fost preluată din înscrisurile trimise ca răspuns la adresa autorității, prin care explica faptul că sistemul video fusese instalat începând cu anul 2017]
- Data și locul săvârșirii faptelor contravenționale sunt elemente importante care nu pot fi deduse din cuprinsul procesului-verbal, ci trebuie să fie precizate în concret.
Deși, în acest caz, instanța s-a concentrat asupra unei probleme clare de nulitate absolută, cazul ridică o serie de întrebări esențiale despre modul în care se realizează investigațiile. În special, când este vorba de o investigație desfășurată exclusiv în scris, cum se poate respecta dreptul la apărare al operatorului, dacă acesta contestă elemente de fapt? Cine va fi crezut – petentul sau operatorul? Nu ar trebui ca, într-o asemenea situație, investigația să presupună mai multe etape de solicitări și clarificări sau să se realizeze pe teren?
Detalii: Decizie nr. 4076/2021 din 15-iun-2021, Tribunalul Bucuresti
Notă: Hotărârea nu este definitivă și poate fi atacată cu recurs. Textul integral al hotărârii a fost consultat prin intermediul platformei Sintact.