Deși din 2018 încoace am devenit cu toții mai mult sau mai puțin obișnuiți cu regulile privind protecția datelor cu caracter personal, atent împachetate în Regulamentul 2016/679 privind protecția datelor (GDPR), unele aspecte au rămas încâlcite ca beteala din brad.

Ce am înțeles în mod cert e că în calitate de angajatori prelucrăm implicit și, în unele cazuri, fără să avem de ales, datele cu caracter personal ale angajaților noștri.

Știm deja că pentru a prelucra (colecta, folosi, stoca, șterge și cam orice altă acțiune la care ne putem gândi) date cu caracter personal e nevoie să ne bazăm de unul dintre cele 6 temeiuri legale consacrate de GDPR:

• Consimțământul persoanei vizate;
• Contractul încheiat cu persoana vizată sau demersurile pre-contractuale la solicitarea acesteia;
• Obligație legală a operatorului de date;
• Interesul vital al unei persoane fizice;
• Interesul public; sau
• Interesul legitim al operatorului de date.

E foarte clar că trebuie să avem temei legal pentru prelucrare. Și în abstract, aceste temeiuri legale sunt egale între ele, în sensul în care nu există neapărat o ierarhie, așa că putem alege în funcție de circumstanțe pe acela care este cel mai potrivit cu prelucrarea de date în concret.

Totuși am auzit că prelucrarea de date ale angajaților, în temeiul consimțământului lor, se simte ca și când am ști că e o mare coajă de nucă undeva în cozonacul de Crăciun. Strică pofta.

Și atunci ce e de făcut?

Fiecare dintre aceste temeiuri legale, pe care putem baza prelucrările de date, are caracteristicile sale specifice, iar consimțământul în particular trebuie să îndeplinească o serie de cerințe clare pentru a fi considerat valabil exprimat. Acesta trebuie să fie: liber, specific, informat și lipsit de ambiguitate.

Pentru sărbători liniștite, aceste cerințe trebuie respectate cumulativ:

• Consimțământul specific trebuie să fie individualizat unui anumit scop de prelucrare. NU se poate consimți în bloc și pentru monitorizarea video și pentru participarea la training-uri.
• Consimțământul trebuie să fie informat, acordat în cunoștință de cauză, angajatul știind ce presupune respectiva prelucrare de date.
• În același timp trebuie să rezulte clar manifestarea de voință a angajatului. Pentru un consimțământ lipsit de ambiguitate nu e recomandată o abordare de tipul ”clipește de două ori dacă ești de acord”.

Dezechilibrul de putere

Consimțământul liber exprimat presupune o alegere reală și libertate din partea angajatului. Acesta nu beneficiază de o alegere reală, dacă se simte forțat să consimtă sau dacă va suporta consecințe negative în cazul în care nu consimte.

În acest sens, părerea Comitetului European pentru Protecția Datelor (CEPD) este că în cazul unui dezechilibru de putere între persoana vizată care consimte și operatorul de date care prelucrează datele, acordul persoanei vizate nu este unul manifestat liber. Mai departe, CEPD consideră foarte probabil ca un astfel de dezechilibru de putere să se manifeste în contextul relațiilor de muncă:

”Având în vedere dependența care rezultă din relația dintre angajator și angajat, este puțin probabil ca persoana vizată să poată refuza să-și acorde consimțământul față de angajatorul său pentru prelucrarea datelor fără a se confrunta cu temerea sau cu riscul real de consecințe negative ca urmare a unui refuz.”^[*]

^[*] Orientările 05/2020 privind consimțământul în temeiul Regulamentului 2016/679

Am putea spune acum: ”Dar noi suntem o mare familie!” Poate că suntem, dar ca în orice familie, când stăm cu toții în jurul bradului și pater familias vorbește, chiar și răsfățatul mezin al familiei se oprește din desfăcut cadouri și ascultă. 

Reținem așadar că, în multe situații, prelucrarea datelor cu caracter personal ale angajaților nu se poate întemeia pe consimțământul acestora, pentru că acestui consimțământ îi lipsește atributul de a fi liber exprimat, în contextul dezechilibrului de putere dintre angajator și angajat.

Acesta poate fi cazul în situația în care dorim instalarea unui sistem de monitorizare video, sau atunci când propunem implementarea unui sistem de supraveghere și evaluare a activității angajaților. În astfel de situații, potrivit CEPD ”Este puțin probabil ca un angajat să poată răspunde în mod liber la o cerere de consimțământ din partea angajatorului său fără a simți presiunea de a consimți.”

Cazuri în care cerința consimțământului liber este îndeplinită

Există și un ”dar”, neîmpachetat încă. Explicațiile de mai sus nu împiedică însă angajatorii să se bazeze, în unele cazuri, pe consimțământ ca temei legal pentru prelucrarea datelor. Pot exista situații în care angajatorul este în măsură să demonstreze că angajatul acordă consimțământul, într-adevăr, în mod liber. Totuși, având în vedere dezechilibrul de putere dintre un angajator și membrii personalului său, situațiile în care angajații își pot da consimțământul în mod liber sunt circumstanțe excepționale, și anume atunci când este cert că nu va exista nicio consecință negativă pentru angajați, indiferent dacă aceștia consimt sau nu.

O astfel de situație este, de exemplu, acordul unei angajat de a fi inclus într-un articol pe site-ul societății sau acordul de a participa la anumite evenimente ale societății, pe care angajatorul dorește să le documenteze cu fotografii, postate pe rețele de socializare (petreceri de Crăciun, evenimente interne etc.). Este puțin probabil ca un refuz de a consimți la prelucrarea datelor în astfel de cazuri să fie însoțit de repercusiuni pentru angajatul respectiv, ceea ce confirmă libertatea de acestuia de a alege.

Retragerea consimțământului

Pe lângă toate cele de mai sus, în momentul în care considerăm temeiul legal aplicabil unei prelucrări de date, trebuie să ținem cont, în plus, de dreptul absolut al angajatului de a-și retrage în orice moment consimțământul acordat pentru respectiva prelucrare. Da, până în momentul retragerii consimțământului prelucrarea se menține valabilă, însă odată cu exercitarea acestui drept, prelucrarea rămâne fără temei legal și fără acoperire, în plin viscol și îngheț.

În acest sens, trebuie să configurăm, cel puțin printr-un exercițiu de imaginație, consecințele unei astfel de opțiuni a angajatului, înainte de a alege ca temei legal de prelucrare manifestarea acestuia de voință. Altfel, magia se poate spulbera brusc, și ne putem alege cu degerături în cont, ca urmare a unui scurt colind interpretat răspicat de ANSPDCP!

Sărbători conforme tuturor!

Articol scris de Alexandra Cruceru

CIPP/E, Senior Associate