Prelucrarea si protectia datelor cu caracter personal in derularea raporturilor de munca

Date fiind viteza cu care se raspandeste informatia prin intermediul mijloacelor tehnologice, si modul in care au evoluat modalitatile de prelucrare a datelor cu caracter personal, simpla includere a dreptului la protectia datelor cu caracter personal in continutul dreptului la viata privata a devenit insuficienta.

Astfel, s-a impus necesitatea elaborarii unor reglementari speciale cu privire la prelucrarea si protectia datelor cu caracter personal, precum si aplicarea particulara a acestora in toate domeniile dreptului.

1. Reglementari nationale

Legiuitorul national reglementeaza protectia datelor cu caracter personal printr-o serie de acte normative: articolul 77 din Codul Civil prevede ca ``Orice prelucrare a datelor cu caracter personal, prin mijloace automate sau neautomate, se poate face numai in cazurile si conditiile prevazute de legea speciala.``. In aceasta materie exista un numar de legi speciale, printre care Legea nr. 677 din 21 noiembrie 2001 pentru protectia persoanelor cu privire la prelucrarea datelor cu caracter personal si libera circulatie a acestor date, si Legea nr. 190/2018 privind masuri de punere in aplicare a Regulamentului (UE) 2016/679 al Parlamentului European si al Consiliului din 27 aprilie 2016 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date si de abrogare a Directivei 95/46/CE (Regulamentul general privind protectia datelor).

Din punct de vedere al protejarii datelor cu caracter personal in dreptul muncii, si Legea nr. 190/2018 dedica un articol special, intitulat ``Prelucrarea datelor cu caracter personal in contextul relatiilor de munca``. Astfel, se reglementeaza: ``In cazul in care sunt utilizate sisteme de monitorizare prin mijloace de comunicatii electronice si/sau prin mijloace de supraveghere video la locul de munca, prelucrarea datelor cu caracter personal ale angajatilor, in scopul realizarii intereselor legitime urmarite de angajator, este permisa numai daca: a) interesele legitime urmarite de angajator sunt temeinic justificate si prevaleaza asupra intereselor sau drepturilor si libertatilor persoanelor vizate; b) angajatorul a realizat informarea prealabila obligatorie, completa si in mod explicit a angajatilor; c) angajatorul a consultat sindicatul sau, dupa caz, reprezentantii angajatilor inainte de introducerea sistemelor de monitorizare; d) alte forme si modalitati mai putin intruzive pentru atingerea scopului urmarit de angajator nu si-au dovedit anterior eficienta; si e) durata de stocare a datelor cu caracter personal este proportionala cu scopul prelucrarii, dar nu mai mare de 30 de zile, cu exceptia situatiilor expres reglementate de lege sau a cazurilor temeinic justificate.`` Un impact asupra raporturilor de munca il au si reglementarile articolului 6 ale aceluiasi act normativ, care statueaza cu privire la ``prelucrarea datelor cu caracter personal si de categorii speciale de date cu caracter personal, in contextul indeplinirii unei sarcini care serveste unui interes public.``

Acestea pot fi relevante in dreptul muncii in contextul in care adeseori legea prevede obligatii speciale cu privire la personalul din sectorul bugetar. In acest sens, se statueaza ca ``in cazul in care prelucrarea datelor personale si speciale este necesara pentru indeplinirea unei sarcini care serveste unui interes public conform art. 6 alin. (1) lit. e) si art. 9 lit. g) din Regulamentul general privind protectia datelor se efectueaza cu instituirea de catre operator sau de catre partea terta a urmatoarelor garantii: a) punerea in aplicare a masurilor tehnice si organizatorice adecvate pentru respectarea principiilor enumerate la art. 5 din Regulamentul general privind protectia datelor, in special a reducerii la minimum a datelor, respectiv a principiului integritatii si confidentialitatii; b) numirea unui responsabil pentru protectia datelor, daca aceasta este necesara in conformitate cu art. 10 din prezenta lege; c) stabilirea de termene de stocare in functie de natura datelor si scopul prelucrarii, precum si de termene specifice in care datele cu caracter personal trebuie sterse sau revizuite in vederea stergerii.``

Codul Muncii prevede si el, in mod expres, dreptul salariatilor la protectia datelor cu caracter personal. Astfel, in articolul 6, alineatul (2), intitulat ``Protectia sociala a salariatilor. Protectia datelor cu caracter personal`` se reglementeaza faptul ca ``tuturor salariatilor care presteaza o munca le sunt recunoscute dreptul la protectia datelor cu caracter personal, precum si dreptul la protectie impotriva concedierilor nelegale.``.

In acest context, in literatura de specialitate, protectia datelor cu caracter personal este considerata o ``expresie a dreptului la viata privata``^[1], un ``principiu fundamental care guverneaza toate relatiile de munca in care este implicata o persoana fizica, atat in mediul privat, cat si in mediul public``^[2].

2. Legislatie supranationala. Regulamentul general privind protectia datelor cu caracter personal

Dreptul la protectia datelor cu caracter personal se bucura de protectie atat in instrumentele juridice dezvoltate de Uniunea Europeana, cat si la nivelul Conventiei Europene a Drepturilor Omului.

``In dreptul Uniunii Europene, dreptul la protectia datelor cu caracter personal este consacrat ca un drept cu caracter fundamental prin articolul 8 al Cartei drepturilor fundamentale a Uniunii Europene. (a��) In cadrul acestui instrument juridic, dreptul la viata privata este prevazut distinct de cel privind dreptul cetatenilor statelor membre U.E. la viata privata. In plus, legislatia primara a Uniunii Europene contine, de asemenea, o competenta generala a UE de a legifera cu privire la aspectele legate de protectia datelor cu caracter personal.`` ^[3]

Cel mai discutat si, poate, cel mai relevant act normativ in materie, in momentul de fata este, insa, Regulamentul nr. 679 din 27 aprilie 2016 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date si de abrogare a Directivei 95/46/CE (cunoscut si ca Regulamentul general privind protectia datelor sau ``GDPR``). Acesta a fost transpus, dupa cum am aratat, si in legislatia nationala, si reprezinta un instrument juridic de o deosebita importanta si utilitate practica in societatea contemporana.

Acesta a fost implementat la nivelul statelor membre ale Uniunii Europene incepand cu data de 25 mai 2018. ``Scopul central al Regulamentului este de a intari unul dintre principiile fundamentale ale prelucrarii datelor cu caracter personal, cel al respectarii si garantarii dreptului la viata privata, la intimitate, al persoanelor fizice, inclusiv al salariatilor, prin identificarea si eliminarea riscurilor considerabile care le pot afecta sau incalca aceste drepturi .``^[4]

In acceptiunea Regulamentului general privind protectia datelor, ``date cu caracter personal inseamna orice informatii privind o persoana fizica identificata sau identificabila ("persoana vizata") ; o persoana fizica identificabila este o persoana care poate fi identificata, direct sau indirect, in special prin referire la un element de identificare, cum ar fi un nume, un numar de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identitatii sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale``. Astfel, notiunea este destul de larga in sensul prevazut de regulament, facand referire la orice date care pot conduce in mod direct sau indirect la identificarea persoanei.

In ceea ce priveste raporturile de munca, Regulamentul reglementeaza ca ``Prin lege sau prin acorduri colective, statele membre pot prevedea norme mai detaliate pentru a asigura protectia drepturilor si a libertatilor cu privire la prelucrarea datelor cu caracter personal ale angajatilor in contextul ocuparii unui loc de munca, in special in scopul recrutarii, al indeplinirii clauzelor contractului de munca, inclusiv descarcarea de obligatiile stabilite prin lege sau prin acorduri colective, al gestionarii, planificarii si organizarii muncii, al egalitatii si diversitatii la locul de munca, al asigurarii sanatatii si securitatii la locul de munca, al protejarii proprietatii angajatorului sau a clientului, precum si in scopul exercitarii si beneficierii, in mod individual sau colectiv, de drepturile si beneficiile legate de ocuparea unui loc de munca, precum si pentru incetarea raporturilor de munca .

Aceste norme includ masuri corespunzatoare si specifice pentru garantarea demnitatii umane, a intereselor legitime si a drepturilor fundamentale ale persoanelor vizate, in special in ceea ce priveste transparenta prelucrarii, transferul de date cu caracter personal in cadrul unui grup de intreprinderi sau al unui grup de intreprinderi implicate intr-o activitate economica comuna si sistemele de monitorizare la locul de munca.``

``Prealabil analizarii dispozitiilor Regulamentului, prin raportare la derularea relatiilor de munca si comerciale, este de precizat ca in toate cazurile angajatorul, persoana fizica sau persoana juridica, de drept public sau de drept privat, are calitatea de operator in sensul precizat de Regulament.``^[5] Potrivit articolului 4 din Regulament, prin operator se intelege ``desemneaza orice persoana fizica sau juridica, autoritatea publica, agentia sau un alt organism care, singur sau impreuna cu altele, stabileste scopurile si mijloacele de prelucrare a datelor cu caracter personal; atunci cand scopurile si mijloacele prelucrarii sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevazute in dreptul Uniunii sau in dreptul intern.``

Punerea la dispozitia angajatorului a unor date cu caracter personal ale salariatilor este de natura raporturilor de munca . In conformitate cu prevederile art. 29 alin. (1) din Codul muncii, ``contractul individual de munca se incheie dupa verificarea prealabila a aptitudinilor profesionale si personale ale persoanei care solicita angajarea``, iar conform alin. (3) al aceluiasi articol, ``informatiile cerute, sub orice forma, de catre angajator persoanei care solicita angajarea cu ocazia verificarii prealabile a aptitudinilor nu pot avea un alt scop decat acela de a aprecia capacitatea de a ocupa postul respectiv, precum si aptitudinile profesionale``. In continuare, Codul da dreptul angajatorului sa solicite fostilor angajatori ai persoanei in cauza informatii cu privire la activitatile indeplinite si durata angajarii, cu conditia incunostintarii prealabile a persoanei care solicita angajarea.

Alaturand acestor dispozitii si datele cu caracter personal in a caror posesie angajatorul intra la incheierea contractului individual de munca, este de necontestat, dupa cum am aratat, calitatea angajatorului de operator de date cu caracter personal.

Salariatii nu sunt, insa, singurele persoane ale caror date cu caracter personal sunt prelucrate de catre angajatori. Asa cum s-a relevat in doctrina, ``din analiza structurii Regulamentului, dar si a relatiilor operationale si functionale necesare derularii activitatii angajatorilor rezulta o serie de categorii de persoane fizice ale caror date cu caracter personal sunt prelucrate, in mod obisnuit, de catre o societate: organele de conducere ale societatii, organele de administrare, salariatii, furnizorii de utilitati, bunuri si servicii, sub-contractorii, clientii, autoritatile si institutiile publice cu competente in ceea ce priveste societatea .``^[6].

Astfel, toate drepturile si obligatiile operatorului ce se releva din Regulamentul General pentru Protectia Datelor, precum si din legea de punere in aplicare a acestuia la nivel national, incumba si angajatorului in aceasta calitate a sa.

2.1 Principiile protectiei datelor cu caracter personal

Pentru o buna intelegere a drepturilor si obligatiilor pe care prelucrarea datelor cu caracter personal de catre angajatori le implica, se impune necesitatea unei succinte analize a principiilor protectiei datelor cu caracter personal dezvoltate de Regulament.

2.1.1. Principiul legalitatii prelucrarii datelor cu caracter personal

Acest principiu implica necesitatea ca orice prelucrare, inca de la intrarea in posesia datelor trebuie sa se desfasoare in baza unui temei legal.

Articolul 6 din Regulamentul General pentru Protectia Datelor reglementeaza o serie de conditii de stabilire a caracterului legal al prelucrarii. Astfel, prelucrarea este legala in masura in care este indeplinita cel putin una dintre conditiile ce urmeaza:

a) persoana vizata si-a dat consimtamantul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice;

b) prelucrarea este necesara pentru executarea unui contract la care persoana vizata este parte sau pentru a face demersuri la cererea persoanei vizate inainte de incheierea unui contract;

c) prelucrarea este necesara in vederea indeplinirii unei obligatii legale care ii revine operatorului;

d) prelucrarea este necesara pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice;

e) prelucrarea este necesara pentru indeplinirea unei sarcini care serveste unui interes public sau care rezulta din exercitarea autoritatii publice cu care este investit operatorul;

f) prelucrarea este necesara in scopul intereselor legitime urmarite de operator sau de o parte terta, cu exceptia cazului in care prevaleaza interesele sau drepturile si libertatile fundamentale ale persoanei vizate, care necesita protejarea datelor cu caracter personal, in special atunci cand persoana vizata este un copil. Aceasta dispozitie nu se aplica, insa, in cazul prelucrarii efectuate de autoritati publice in indeplinirea atributiilor lor.

Acest temei legal trebuie sa fie prevazut fie in dreptul Uniunii, fie in dreptul intern aplicabil operatorului.

2.1.2. Principiul echitatii

Intre principiul legalitatii prelucrarii datelor cu caracter personal si principiul echitatii exista o stransa legatura . Astfel, a fost subliniata necesitatea aplicarii unor masuri ce asigura nu doar legalitatea prelucrarii, ci si masuri ce asigura o prelucrare echitabila in raport cu dreptul salariatilor la respectarea vietii lor private dar si cu interesele economice, organizationale si functionale ale operatorilor - angajatori.^[7]

2.1.3 Principiul transparentei

In considerarea acestui principiu, salariatilor li se ofera posibilitatea de a cunoaste efectiv ``ce date sau categorii de date sunt prelucrate, operatorii care sunt in posesia datelor personale, scopurile pentru care sunt prelucrate datele si temeiurile in baza carora se realizeaza acest lucru, perioada de stocare, obligatiile si responsabilitatile operatorului, garantiile oferite de acesta cu privire la confidentialitatea, acuratetea si securitatea datelor, precum si drepturile specifice de care beneficiaza.``^[8]

Astfel se reitereaza importanta informarii salariatului cu privire la datele prelucrate si scopul prelucrarii acestora. De asemenea, este avut in vedere si asa-numitul ``drept de a fi uitat``, respectiv dreptul salariatului de a-si retrage consimtamantul si a solicita stergerea datelor sale cu caracter personal, opunandu-se prelucrarii.

2.1.4 Principiul responsabilitatii

Alineatul (2) al art. 5 din Regulamentul General prevede ca ``operatorul este responsabil de respectarea (conditiilor de prelucrare) si poate demonstra aceasta respectare``. Astfel se subliniaza responsabilitatea operatorului-angajator pentru respectarea tuturor principiilor in procesul de prelucrare a datelor cu caracter personal. De asemenea, se arata in mod expres si faptul ca el este cel responsabil sa demonstreze aceasta respectare, proba incalcarii drepturilor sale nerevenind salariatului.

Tinand seama de natura, domeniul de aplicare, contextul si scopurile prelucrarii, precum si de riscurile cu grade diferite de probabilitate si gravitate pentru drepturile si libertatile persoanelor fizice, operatorul pune in aplicare masuri tehnice si organizatorice adecvate pentru a garanta si a fi in masura sa demonstreze ca prelucrarea se efectueaza in conformitate cu Regulamentul. Respectivele masuri se revizuiesc si se actualizeaza daca este necesar.

2.1.5 Principiul proportionalitatii si necesitatii

Relevat din dispozitiile Regulamentului General pentru Protectia Datelor, principiul proportionalitatii si necesitatii presupune ca orice prelucrare sa se faca strict in masura in care este necesara indeplinirii scopului legitim pentru care este efectuata si proportionala cu acesta. In dreptul muncii acest principiu se concretizeaza sub aspectul faptului ca salariatului nu ii pot fi solicitate date ce nu prezinta o legatura directa cu munca sau abilitatile sale profesionale.

2.1.6 Principiul reducerii la minim a datelor

In conformitate cu dispozitiile articolului 5 lit. c) din Regulament, datele cu caracter personal prelucrate de operator trebuie sa fie adecvate, relevante si limitate la ceea ce este necesar in raport cu scopurile in care sunt prelucrate.

2.1.7 Principiul protectiei implicite a datelor

Acest principiu subliniaza necesitatea protectiei datelor cu caracter personal chiar si atunci cand aceasta obligatie nu este prevazuta in mod expres. Astfel, ori de cate ori operatorul intra in posesia unor date cu caracter personal, acesta trebuie sa aiba in vedere de la bun inceput protejarea lor si respectarea drepturilor persoanei interesate.

``Protectia implicita a datelor implica diferite componente tehnologice si organizationale prin care trebuie implementate principiile de confidentialitate si protectie a datelor in sisteme, aplicatii si servicii, produse care trebuie sa aiba ca proprietate protejarea datelor de la momentul conceperii acestora, prin eliminarea interventiei persoanelor ori a unui numar limitat de persoane care pot avea o interventie minima si accesibilitate limitata la ceea ce este necesar.``^[9]

2.1.8 Principiul asigurarii protectiei datelor incepand cu momentul conceperii

In stransa legatura cu principiul protectiei implicite a datelor, acest principiu presupune ca respectarea confidentialitatii si protejarea datelor cu caracter personal cad in sarcina operatorului inca din momentul stabilirii mijloacelor de prelucrare, cat si in cel al prelucrarii in sine.

2.1.9 Principiul accesului public la documente oficiale

Orice persoana interesata are dreptul sa ajunga la informatiile sau datele cuprinse in documentele oficiale, acestea fiind in principiu, publice. Dreptul publicului de a avea acces la aceste documente poate fi limitat pentru protejarea dreptului la viata si a altor interese legitime. ``Daca datele personale cuprinse intr-un document oficial vizeaza prin ele insele un interes public, operatorul trebuie sa analizeze solicitarea primita si sa asigure un echilibru real intre accesul public la documente oficiale si dreptul la protectia datelor cu caracter personal, la viata privata si intimitatea persoanei identificata sau identificabila prin respectivul document.``^[10]

2.2 Drepturile persoanei vizate (salariati si nu numai)

Regulamentul General privind Protectia Datelor cu caracter personal recunoaste persoanelor ale caror date sunt prelucrate o serie de drepturi privind aceasta prelucrare . Aceste prevederi sunt aplicabile, in mod corespunzator, si in contextul relatiilor de munca .

2.2.1 Dreptul la exprimarea consimtamantului

Asa cum am aratat anterior, prelucrarea datelor cu caracter personal ale salariatului nu se poate face decat in baza unui temei legal sau pe baza consimtamantului persoanei in cauza. Consimtamantul trebuie sa indeplineasca o serie de conditii generale de valabilitate, respectiv sa fie exprimat, liber si informat. Cea mai relevanta dintre aceste conditii, in contextul raporturilor de munca, este libertatea consimtamantului, ce poate fi afectata de raporturile de subordonare dintre angajator si salariat . Astfel, pentru a indeplini conditia libertatii consimtamantului, refuzul de a-l acorda sau retragerea acestuia nu trebuie sa conduca la prejudicierea salariatului.

2.2.2 Dreptul la retragerea consimtamantului

Salariatul are dreptul de a-si retrage in orice moment consimtamantul cu privire la prelucrarea datelor sale cu caracter personal. Acest fapt trebuie adus la cunostinta salariatului la momentul solicitarii consimtamantului.

2.2.3 Dreptul la rectificarea si completarea datelor cu caracter personal

Conform Regulamentului, persoana vizata are dreptul de a obtine de la operator, fara intarzieri nejustificate, rectificarea datelor cu caracter personal inexacte care o privesc. Tinandu-se seama de scopurile in care au fost prelucrate datele, persoana vizata are dreptul de a obtine completarea datelor cu caracter personal care sunt incomplete, inclusiv prin furnizarea unei declaratii suplimentare.

2.2.4 Dreptul de confirmare si comunicare a datelor supuse prelucrarii

``Comunicarea de catre angajator este prevazuta ca drept legal al salariatilor sau al fostilor salariati, statuat expres in H.G. nr. 905/2017 privind registrul general de evidenta a salariatilor, respectiv in H.G. nr. 432/2004 care reglementeaza dosarul profesional al functionarilor publici.``^[11]

Astfel, salariatii au dreptul de a li se aduce la cunostinta atat ce date cu caracter personal sunt supuse prelucrarii, cat si ce persoane au acces la aceste date .

2.2.5 Dreptul de a se opune prelucrarii datelor cu caracter personal

In orice moment, persoana vizata are dreptul de a se opune, din motive legate de situatia particulara in care se afla, prelucrarii datelor cu caracter personal care o privesc, inclusiv crearii de profiluri pe baza respectivelor dispozitii. Operatorul nu mai prelucreaza datele cu caracter personal, cu exceptia cazului in care operatorul demonstreaza ca are motive legitime si imperioase care justifica prelucrarea si care prevaleaza asupra intereselor, drepturilor si libertatilor persoanei vizate sau ca scopul este constatarea, exercitarea sau apararea unui drept in instanta.

Atunci cand prelucrarea datelor cu caracter personal are drept scop marketingul direct, persoana vizata are dreptul de a se opune in orice moment prelucrarii in acest scop a datelor cu caracter personal care o privesc, inclusiv crearii de profiluri, in masura in care este legata de marketingul direct respectiv.

Dreptul de a se opune prelucrarii datelor cu caracter personal trebuie adus in mod explicit in atentia persoanei vizate si prezentat in mod clar si separat de orice alte informatii.

2.2.6 Dreptul la restrictionarea prelucrarii datelor de catre operator

In conformitate cu prevederile art. 18 din Regulamentul General, Persoana vizata are dreptul de a obtine din partea operatorului restrictionarea prelucrarii in cazul in care se aplica unul din urmatoarele cazuri: persoana vizata contesta exactitatea datelor, pentru o perioada care ii permite operatorului sa verifice exactitatea datelor; prelucrarea este ilegala, iar persoana vizata se opune stergerii datelor cu caracter personal, solicitand in schimb restrictionarea utilizarii lor; operatorul nu mai are nevoie de datele cu caracter personal in scopul prelucrarii, dar persoana vizata i le solicita pentru constatarea, exercitarea sau apararea unui drept in instanta; sau persoana vizata s-a opus prelucrarii, pentru intervalul de timp in care se verifica daca drepturile legitime ale operatorului prevaleaza asupra celor ale persoanei vizate.

In cazul in care prelucrarea a fost restrictionata astfel de date cu caracter personal pot, cu exceptia stocarii, sa fie prelucrate numai cu consimtamantul persoanei vizate sau pentru constatarea, exercitarea sau apararea unui drept in instanta sau pentru protectia drepturilor unei alte persoane fizice sau juridice sau din motive de interes public important al Uniunii sau al unui stat membru.

O persoana vizata care a obtinut restrictionarea prelucrarii in temeiul alineatului este informata de catre operator inainte de ridicarea restrictiei de prelucrare .

2.2.7 Dreptul la stergerea datelor

Este reglementat de art. 17 din Regulament si este cunoscut si sub numele de ``dreptul de a fi uitat``. Astfel, persoana vizata are dreptul de a obtine din partea operatorului stergerea datelor cu caracter personal care o privesc, fara intarzieri nejustificate, iar operatorul are obligatia de a sterge datele cu caracter personal fara intarzieri nejustificate in cazul in care se aplica unul dintre urmatoarele motive: datele cu caracter personal nu mai sunt necesare pentru indeplinirea scopurilor pentru care au fost colectate sau prelucrate; persoana vizata isi retrage consimtamantul pe baza caruia are loc prelucrarea si nu exista niciun alt temei juridic pentru prelucrare; persoana vizata se opune prelucrarii si nu exista motive legitime care sa prevaleze in ceea ce priveste prelucrarea; datele cu caracter personal au fost prelucrate ilegal; datele cu caracter personal trebuie sterse pentru respectarea unei obligatii legale care revine operatorului in temeiul dreptului Uniunii sau al dreptului intern sub incidenta caruia se afla operatorul; datele cu caracter personal au fost colectate in legatura cu oferirea de servicii ale societatii informationale.

In cazul in care operatorul a facut publice datele cu caracter personal si este obligat sa le stearga, operatorul, tinand seama de tehnologia disponibila si de costul implementarii, ia masuri rezonabile, inclusiv masuri tehnice, pentru a informa operatorii care prelucreaza datele cu caracter personal ca persoana vizata a solicitat stergerea de catre acesti operatori a oricaror linkuri catre datele respective sau a oricaror copii sau reproduceri ale acestor date cu caracter personal.

2.2.8. Dreptul de a nu face obiectul unei decizii automate in baza datelor prelucrate

Persoana vizata are dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automata, inclusiv crearea de profiluri, care produce efecte juridice care privesc persoana vizata sau o afecteaza in mod similar intr-o masura semnificativa.

2.2.9 Dreptul de a depune plangere

Fara a aduce atingere oricaror alte cai de atac administrative sau judiciare, orice persoana vizata are dreptul de a depune o plangere la o autoritate de supraveghere, in special in statul membru in care isi are resedinta obisnuita, in care se afla locul sau de munca sau in care a avut loc presupusa incalcare, in cazul in care considera ca prelucrarea datelor cu caracter personal care o vizeaza incalca Regulamentul General privind Protectia Datelor.

2.2.10 Dreptul persoanei vizate la acoperirea prejudiciilor

Orice persoana care a suferit un prejudiciu material sau moral ca urmare a unei incalcari a Regulamentului are dreptul sa obtina despagubiri de la operator sau de la persoana imputernicita de operator pentru prejudiciul suferit.

Orice operator implicat in operatiunile de prelucrare este raspunzator pentru prejudiciul cauzat de operatiunile sale de prelucrare care incalca prezentul regulament. Persoana imputernicita de operator este raspunzatoare pentru prejudiciul cauzat de prelucrare numai in cazul in care nu a respectat obligatiile din Regulament care revin in mod specific persoanelor imputernicite de operator sau a actionat in afara sau in contradictie cu instructiunile legale ale operatorului.

2.2.11 Dreptul de a fi informat

In cazul in care datele cu caracter personal referitoare la o persoana vizata sunt colectate de la aceasta, operatorul, in momentul obtinerii acestor date cu caracter personal, furnizeaza persoanei vizate toate informatiile urmatoare: identitatea si datele de contact ale operatorului si, dupa caz, ale reprezentantului acestuia; datele de contact ale responsabilului cu protectia datelor, dupa caz; scopurile in care sunt prelucrate datele cu caracter personal, precum si temeiul juridic al prelucrarii; interesele legitime urmarite de operator sau de o parte terta in temeiul carora se face prelucrarea; destinatarii sau categoriile de destinatari ai datelor cu caracter personal; daca este cazul, intentia operatorului de a transfera date cu caracter personal catre o tara terta sau o organizatie internationala

In plus, pentru a asigura o prelucrare echitabila si transparenta operatorul este obligat sa furnizeze si urmatoarele informatii: perioada pentru care vor fi stocate datele cu caracter personal sau, daca acest lucru nu este posibil, criteriile utilizate pentru a stabili aceasta perioada; existenta dreptului de a solicita operatorului, in ceea ce priveste datele cu caracter personal referitoare la persoana vizata, accesul la acestea, rectificarea sau stergerea acestora sau restrictionarea prelucrarii sau a dreptului de a se opune prelucrarii, precum si a dreptului la portabilitatea datelor; existenta dreptului de a retrage consimtamantul in orice moment, fara a afecta legalitatea prelucrarii efectuate pe baza consimtamantului inainte de retragerea acestuia; dreptul de a depune o plangere in fata unei autoritati de supraveghere; daca furnizarea de date cu caracter personal reprezinta o obligatie legala sau contractuala sau o obligatie necesara pentru incheierea unui contract, precum si daca persoana vizata este obligata sa furnizeze aceste date cu caracter personal si care sunt eventualele consecinte ale nerespectarii acestei obligatii; existenta unui proces decizional automatizat incluzand crearea de profiluri.

In cazul in care operatorul intentioneaza sa prelucreze ulterior datele cu caracter personal intr-un alt scop decat cel pentru care acestea au fost colectate, operatorul furnizeaza persoanei vizate, inainte de aceasta prelucrare ulterioara, informatii privind scopul secundar respectiv si orice informatii suplimentare relevante.

2.3 Obligatiile operatorului

Corelativ tuturor acestor drepturi ale persoanei vizate, operatorul are o serie de obligatii pentru a asigura respectarea drepturilor prezentate anterior. Astfel, acesta are, in principal, obligatia de a respecta principiile prelucrarii datelor cu caracter personal, precum si de a asigura respectarea drepturilor persoanelor vizate asa cum sunt ele recunoscute de Regulament.

In doctrina, precum si in practica judiciara, s-a pus accentul pe obligatia de informare a salariatului. Astfel, s-a aratat ca ``informarea explicita a salariatilor cu privire la caracterul si amploarea masurilor puse in practica de angajator reprezinta una din conditiile esentiale pentru constatarea legalitatii prelucrarii datelor cu caracter personal. (a��) Desi informarea reprezinta o conditie sine qua non a legalitatii prelucrarii, aceasta poate fi efectuata si intr-o maniera generala.``^[12]

Nerespectarea acestor obligatii atrage dupa sine atat sanctiuni legale, principalele sanctiuni prevazute de legea nationala pentru astfel de nerespectari fiind avertismentul si amenda contraventionala, dar si posibilitatea persoanei vizate de a solicita despagubiri pentru prejudiciul suferit.

3. Raportul intre protectia datelor cu caracter personal, transparenta decizionala si accesul la informatiile de interes public

3.1 Aspecte generale

O particularitate in materia protectiei datelor cu caracter personal in dreptul muncii este reprezentata de prelucrarea (si obligatia de publicare) a unor date cu caracter personal la nivelul intreprinderilor de stat .

Asa cum am aratat, executarea unei obligatii legale de catre operator reprezinta un temei legal pentru prelucrarea datelor cu caracter personal in acceptiunea Regulamentului General. In conformitate cu prevederile Legii nr. 52/2003 privind transparenta decizionala in administratia publica si ale Legii 544/2001 privind liberul acces la informatiile de interes public, autoritatile si institutiile publice au obligatia legala de a aduce o serie de informatii la adresa publicului. Uneori, aceste informatii contin date cu caracter personal ale functionarilor publici.

Informatiile de interes public reprezinta ``orice informatii care se refera la sau rezulta din activitatile unei institutii sau autoritati publice ori ale unei regii autonome care utilizeaza bani publici.^[13]

Legea 544/2001 privind liberul acces la informatiile de interes public face referire in mod expres la protejarea datelor cu caracter personal, astfel incat, la articolul 12, prevede ca se excepteaza de la accesul liber al cetatenilor informatiile cu privire la datele personale, potrivit legii.

Cu toate acestea, articolul 14 al aceluiasi act normativ prevede ca ``informatiile cu privire la datele personale ale cetateanului pot deveni informatii de interes public numai in masura in care afecteaza capacitatea de exercitare a unei functii publice.``. Prin urmare, exista situatii in care astfel de date pot fi facute publice.

Transparenta decizionala are drept scop sporirea gradului de responsabilitate a administratiei publice fata de cetatean, ca beneficiar al deciziei administrative si stimularea participarii active a cetatenilor in procesul de luare a deciziilor administrative si in procesul de elaborare a actelor normative.

``Autoritatile administratiei publice centrale si locale, precum si celelalte institutii publice care utilizeaza resurse financiare publice au obligatia de a face publice proiectele de reglementari inainte ca acestea sa fie adoptate. Dupa acest moment, destinatarii reglementarilor, persoane fizice sau juridice, au posibilitatea de a formula sugestii si recomandari cu privire la reglementarile care le-au fost prezentate in stadiu de proiect. Sugestiile astfel formulate vor fi analizate de catre autoritatile initiatoare care vor decide asupra necesitatii includerii in textul final al reglementarilor. Cu privire la participarea publicului la procesul de luare a deciziilor, legea prevede posibilitatea celor interesati de a participa si de a-si exprima punctele de vedere in cadrul sedintelor organismelor mentionate mai sus.``^[14]

Pentru respectarea exigentelor transparentei decizionale, sedintele autoritatilor si institutiilor publice aratate anterior sunt publice, in conditiile legii; dezbaterile sunt consemnate si facute publice iar minutele acestor sedinte sunt inregistrate, arhivate si facute publice in conditiile legii.

Si publicarea acestor informatii poate, in unele situatii, conduce la prelucrarea si/sau publicarea unor date cu caracter personal.

Astfel, se impune ca necesara stabilirea unui echilibru intre dreptul publicului la informare, acces la date de interes public si transparenta decizionala, si dreptul persoanei fizice la protectia datelor cu caracter personal.

In stabilirea acestui echilibru trebuie avute in vedere o serie de aspecte: respectarea principiului proportionalitatii si necesitatii, a principiului reducerii la minim a datelor, precum si acordarea unei atentii deosebite prelucrarii datelor cu caracter personal considerate sensibile.

Retinem astfel ca ``intrebuintarea si invocarea interesului public ca temei pentru prelucrarea datelor cu caracter personal ale salariatilor si clientilor angajatorului nu pot fi absolute`` Astfel, angajatorul, chiar si in executarea acestei obligatii este tinut sa asigure un echilibru intre dreptul acestora la viata privata si dreptul publicului la informare.

Pentru asigurarea acestui echilibru, Inalta Curte de Casatie si Justitie a stabilit prin decizia 37/2015 ca ``in cazul cererilor de liber acces la informatii de interes public intemeiate pe dispozitiile Legii nr. 544/2001, atunci cand informatiile de interes public si informatiile cu privire la datele cu caracter personal sunt prezente in cuprinsul aceluiasi document, indiferent de suportul ori de forma sau de modul de exprimare a informatiilor, accesul la informatiile de interes public se realizeaza prin anonimizarea informatiilor cu privire la datele cu caracter personal``. Astfel, a fost oferita o solutie ce reuseste sa puna in balanta si sa satisfaca atat interesul public cat si pe cel privat.

In ceea ce priveste respectarea principiilor proportionalitatii si necesitatii, precum si a principiului reducerii la minim a datelor, retinem ca publicarea datelor cu caracter personal se va face strict in limitele in care aceasta este necesara. Prin urmare, si in situatia in care chiar datele cu caracter personal ale unui cetatean fac obiectul informarii, iar anonimizarea completa a acestora nu este posibila, vor fi publicate doar acele date care servesc in mod direct interesul public. Nu vor fi publicate, astfel, date sensibile cum sunt cele referitoare la viata sau orientarea sexuala, sanatatea sau confesiunea religioasa a unei persoane atata timp cat acestea nu au nici un impact asupra capacitatii persoanei in cauza de a exercita o functie publica.

De asemenea, sub imperiul principiului reducerii la minim a datelor intra acordarea unei atentii deosebite in ceea ce priveste numarul de identificare national. Conform Legii 190/2018, numarul de identificare national este ``numarul prin care se identifica o persoana fizica in anumite sisteme de evidenta si care are aplicabilitate generala, cum ar fi: codul numeric personal, seria si numarul actului de identitate, numarul pasaportului, al permisului de conducere, numarul de asigurare sociala de sanatate.``

Prelucrarea unui numar de identificare national, inclusiv prin colectarea sau dezvaluirea documentelor ce il contin, in scopul respectiv al realizarii intereselor legitime urmarite de operator sau de o parte terta, se efectueaza cu instituirea de catre operator a urmatoarelor garantii: punerea in aplicare de masuri tehnice si organizatorice adecvate pentru respectarea, in special, a principiului reducerii la minimum a datelor, precum si pentru asigurarea securitatii si confidentialitatii prelucrarilor de date cu caracter personal, numirea unui responsabil pentru protectia datelor, stabilirea de termene de stocare in functie de natura datelor si scopul prelucrarii, precum si de termene specifice in care datele cu caracter personal trebuie sterse sau revizuite in vederea stergerii, instruirea periodica cu privire la obligatiile ce le revin a persoanelor care, sub directa autoritate a operatorului sau a persoanei imputernicite de operator, prelucreaza date cu caracter personal.

In ceea ce priveste publicarea unui numar de identificare national in temeiul respectarii obligatiilor legale impuse fie de Legea 37/2015, fie de legea 554/2001, aceasta apare, in mod evident, ca excesiva.

3.2 Studiu de caz

In practica judiciara s-au relevat situatii in care, sub pretextul respectarii unei obligatii legale si/sau a intereselor legitime urmarite de operator, acesta din urma a facut publice date cu caracter personal cu incalcarea principiilor evidentiate anterior.

O astfel de situatie a constat in publicarea, pe site-ul unei institutii publice, a datelor cu caracter personal ale unui membru al Consiliului de Administratie al acesteia, constand in adresa de domiciliu, codul numeric personal, data si locul eliberarii cartii de identitate. Datele au fost facute publice in contextul publicarii unei Hotarari a Adunarii Generale Ordinare a Asociatilor a institutiei respective. Ca temei legal pentru aceasta publicare a fost invocata necesitatea respectarii dispozitiilor art. 51 alin. (1) din Ordonanta de urgenta a guvernului nr. 109/2011 ce instituie obligativitatea publicarii acestor hotarari, in scopul accesarii lor de catre actionarii societatii.

Cu toate acestea, dupa cum a retinut si instanta de judecata, operatorul a actionat fara a respecta principiile proportionalitatii si necesitatii si reducerii la minim a datelor, precum si cu nerespectarea garantiilor impuse de lege.

Astfel, instanta de judecata a retinut ca ``scopul pentru care se impune publicarea acestor hotarari este transparenta decizionala la nivelul intreprinderilor de stat, dar ca, pentru asigurarea acestui deziderat, nu este necesara publicarea tuturor datelor personale ale celor numiti in functii de conducere, fiind suficienta publicarea numelui acestora si a calificarii lor personale. Instanta arata ca operatorul are obligatia punerii in balanta a intereselor publice privind transparenta deciziilor ce implica numirea persoanelor in functii de conducere in cadrul societatilor nationale si dreptul persoanelor care exercita aceste functii la viata privata si la protejarea datelor cu caracter personal si constata ca, asa cum s-a aratat anterior, pentru asigurarea acestor deziderate, nu este necesara publicarea in integralitate a adresei de domiciliu a acestor persoane si nici a tuturor datelor lor care se regasesc in cartea de identitate.``^[16]

Prin urmare, publicarea si mentinerea ca publice a acestor date a fost retinuta ca fiind excesiva si ca reprezentand o incalcare a dreptului la viata privata si dreptului la protectia datelor cu caracter personal ale reclamantului, instanta recunoscand dreptul acestuia la stergerea datelor cu caracter personal in cauza, precum si la despagubiri pentru prejudiciul suferit.

Concluzii

In contextul evolutiei tehnologice si al vitezei raspandirii informatiei, legislatiile lumii au trebuit sa se adapteze pentru a asigura o protectie adecvata a datelor cu caracter personal in era contemporana. Desi modificari importante au fost facute si la nivel national, unul dintre cei mai importanti pasi facuti in directia asigurarii unei protectii efective a datelor cu caracter personal a fost elaborarea si implementarea Regulamentului nr. 679/2016 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date si de abrogare a Directivei 95/46/CE, cunoscut si sub numele de Regulamentul General privind Protectia Datelor.

Aceste noi reglementari au avut un impact major in toate domeniile dreptului, dreptul muncii nefacand exceptie . Avand in vedere calitatea angajatorului de operator de date cu caracter personal in sensul recunoscut de Regulament, prevederile acestui act normativ, precum si a actelor normative de implementare a sa in dreptul intern au un impact direct asupra raporturilor de dreptul muncii, instituind o serie de obligatii in sarcina angajatorului, precum si o serie de drepturi ale salariatilor in materia protectiei datelor cu caracter personal.

Astfel, angajatorii sunt obligati, in procesul de prelucrare a datelor cu caracter personal, la respectarea urmatoarelor principii: principiul legalitatii prelucrarii datelor cu caracter personal; principiul echitatii; principiul transparentei; principiul responsabilitatii; principiul proportionalitatii si necesitatii, principiul reducerii la minim a datelor, principiul protectiei implicite a datelor, principiul asigurarii protectiei datelor incepand cu momentul conceperii, principiul accesului public la documente oficiale.

De asemenea, persoanele vizate (salariati si nu numai), se bucura, in temeiul Regulamentului, de o serie de drepturi specifice: dreptul la exprimarea consimtamantului; dreptul la retragerea consimtamantului; dreptul la rectificarea si completarea datelor cu caracter personal; dreptul de confirmare si comunicare a datelor supuse prelucrarii; dreptul de a se opune prelucrarii datelor cu caracter personal; dreptul la restrictionarea prelucrarii datelor de catre operator; dreptul la stergerea datelor; dreptul de a nu face obiectul unei decizii automate in baza datelor prelucrate; dreptul de a depune plangere; dreptul persoanei vizate la acoperirea prejudiciilor si dreptul de a fi informat.

In dreptul muncii, o situatie particulara este aceea a protectiei datelor cu caracter personal ale personalului din cadrul autoritatilor publice si institutiilor publice. Data fiind existenta interesului public cu privire la transparenta decizionala si accesul la informatiile de interes public, in aceste situatii operatorul trebuie sa realizeze un echilibru just intre acest interes public si interesul privat al persoanelor vizate cu privire la protectia datelor cu caracter personal si a vietii lor private. Astfel, vor fi publicate strict informatiile necesare satisfacerii interesului public, fara a se aduce la cunostinta publicului informatii de natura a aduce atingere dreptului la viata privata al persoanei vizate.

Autor,Irina Maria Diculescu, internMCP Cabinet avocati- specializati in litigii de munca, comerciale si protectia datelor.

Bibliografie

I. Tratate, Monografii

1. M.C. Predut, M.C. Predut, Codul muncii comentat. Protectia datelor personale, telemunca, munca virtuala si alte forme de munca, Editia a II-a, completata si revizuita, Editura Universul Juridic, Bucuresti, 2019.

II. Articole in reviste de specialitate

1. R. Glodeanu, Regulamentul General Privind Protectia Datelor. Aplicatii practice in materia litigiilor de munca in ``Dreptul`` nr. 3/2019.

III. Legislatie

1. Legea 53/2003 - Codul Muncii

2. Regulamentul nr. 679/2016 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date si de abrogare a Directivei 95/46/CE

3. Legea nr. 544/2001 privind liberul acces la informatiile de interes public

4. Legea nr. 52/2003 privind transparenta decizionala in administratia publica

IV. Jurisprudenta

1. Inalta Curte de Casatie si Justitie, Decizia nr. 37/2015 privind examinarea sesizarii formulate de Curtea de Apel Constanta - Sectia a II-a civila, de contencios administrativ si fiscal

2. Judecatoria Sectorului 5 Bucuresti, Sectia a II-a Civila, Sentinta Civila nr. 747/2019.

V. Alte surse:

1. Transparency International Romania, Ce trebuie sa stim despre accesul la informatiile de interes public, Bucuresti, 2001.

2. Transparency International Romania, Transparenta decizionala in administratia publica, Bucuresti, 2006.