Scurtă analiză a procedurii de efectuare a investigațiilor de către Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal

La aproape șase luni de la aplicarea la nivel european a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE („Regulamentul”), Autoritate Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal („ANSPDCP”) a aprobat Procedura de efectuare a investigațiilor („Procedura”).

Deși a fost un document îndelung așteptat într-un domeniu în care jurisprudența nu oferă de fiecare dată răspunsuri controverselor legate de noțiunile și principiile aplicabile prelucrării datelor cu caracter personal, unele aspecte au rămas în continuare neclarificate.

Astfel, Procedura stabilește că investigațiile se pot efectua de către ANSPDCP din oficiu sau la plângerea persoanei vizate. Dacă în cazul plângerilor nu sunt prea multe de spus, dreptul persoanelor vizate de a formula plângeri la autoritățile de supraveghere competente fiind recunoscut de Regulament, investigațiile declanșate din oficiu par a fi un subiect ce merită a fi discutat mai pe larg.

In cazul investigațiilor din oficiu, Procedura stabilește că acestea se pot efectua la propunerea compartimentelor de specialitate din cadrul ANSPDCP, la propunerea președintelui sau a vicepreședintelui autorității, ca urmare a transmiterii notificărilor de încălcare a securității datelor cu caracter personal sau pentru a asigura cooperarea internațională în materia protecției datelor cu caracter personal. Pe lângă aceste situații standard pentru astfel de proceduri, investigațiile din oficiu se pot efectua și pentru verificarea unor date și informații cu privire la prelucrarea datelor cu caracter personal obținute de ANSPDCP din alte surse decât cele ce fac obiectul unor plângeri ale persoanelor vizate sau primite de la o altă autoritate de supraveghere sau o altă autoritate publică.

Procedura merge însă mai departe, arătând că investigațiile din oficiu pot fi declanșate pentru verificarea unor informații din alte surse. Chiar dacă, în aparență, aceste alte surse sunt indicate, de fapt lucrurile sunt mai degrabă neclare. Mai exact, sunt enumerate ca posibile surse: corespondența primită de ANSPDCP, mass-media, accesarea rețelei de internet, documentele de constatare întocmite în urma efectuării altor investigații și alte documente de la nivelul autorității. Nivelul de generalitate al enumerării este evident.

În primul rând, Procedura nu indică expres despre ce fel de corespondență este vorba, prin urmare considerăm că inclusiv e-mail-urile pot reprezenta o astfel de sursă.  Mai mult, este posibil ca investigațiile din oficiu să se bazeze inclusiv pe informații cuprinse în plângerile care nu au îndeplinit condițiile de admisibilitate cerute de lege. Prin urmare, chiar dacă o plângere nu va îndeplini condițiile prevăzute în Decizia nr. 133/2018 privind aprobarea procedurii de primire și soluționare a plângerilor, există posibilitatea ca autoritatea să se autosesizeze în aceste situații și să înceapă o investigație din oficiu, plângerea urmând a fi considerată, simpla corespondență.

Pe de altă parte, includerea mass-media, respectiv a internetului în categoria acestor alte surse ne conduce la concluzia că, în concret, sursa sau caracterul informațiilor în baza cărora ANSPDCP poate efectua o investigație din oficiu nu par să fie limitate, existând posibilitatea ca articole jurnalistice să conducă autosesizarea ANSPDCP. Mai mult, formularea generală „alte documente de la nivelul ANSPDCP” nu poate decât să consolideze nevoia de clarificare din partea autorității competente.

O atenție deosebită ar trebui acordată faptului că ANSPDCP poate să se autosesizeze inclusiv cu privire la anumite aspecte ce privesc datele cu caracter personal constatate cu ocazia unei investigații ce avea un alt obiect. Prin urmare, o nouă investigație poate fi declanșată pentru a se edifica cu privire la constatări realizate cu ocazia altui control. Această posibilitate reiese în mod clar din menționarea documentelor de constatare întocmite în urma efectuării altor investigații ca surse ale informațiilor și documentelor pe baza cărora o investigație poate fi declanșată.

---

Descoperă oportunitățile de recrutare de pe LegiTeam! GRATUIT.

---

Pornind de la o comparație cu domeniul concurenței (Procedura fiind similară procedurii de investigație din domeniul concurenței), arătăm că o astfel de abordare din partea ANSPDCP ar trebui să fie una prudentă.

Tocmai o astfel de situație a fost analizată de Curtea de Justiție a Uniunii Europene („CJUE”) într-un caz concert ce a implica chiar Comisia Europeana. Astfel, CJUE care a precizat¹ că, potrivit Regulamentului nr. 1/2003 privind punerea în aplicare a normelor de concurență, Comisia Europeană, în calitate de organism de investigare, trebuie să motiveze decizia prin care a dispus o investigație, cu menționarea obiectului și a scopului, nevoia de motivare constituind o cerință fundamentală, întrucât urmărește nu numai să pună în evidență caracterul justificat al investigației preconizate în interiorul întreprinderilor controlate, ci și să le acorde acestora posibilitatea de a înțelege întinderea obligației de colaborare care le revine și garantând în același timp dreptul lor la apărare. Instanța europeană a mai arătat că regulamentul indicat anterior stabilește că informațiile colectate în cursul investigațiilor nu trebuie utilizate în alte scopuri decât cele indicate în mandatul de inspecție sau în decizia de inspecție și că pot fi căutate numai documentele care au legătură cu obiectul inspecției.

Este evident că, în lumina celor de mai sus, ANSPDCP ar trebui să adopte o conduită similară cu cea stabilită de CJUE în sarcina Comisiei Europene și să realizeze investigațiile în materia protecției datelor cu caracter personal cu respectarea celor indicate anterior. Se pune așadar problema asigurării pentru entitățile controlate a dreptului de a se apăra cu ocazia investigațiilor și asta pentru a răspunde principiilor statuate la nivel european.


Răspunsul se desprinde din chiar textul Procedurii, aceasta statuând, la articolul 8, că, în cadrul investigațiilor pot fi verificate orice aspecte privind respectarea regulilor de prelucrare a datelor cu caracter personal. Cu alte cuvinte, ANSPDCP poate verifica orice aspecte considerate relevate din perspectiva protecției datelor cu caracter personal, neexistând un obiect limitat al investigației efectuate. Mai mult, astfel cum menționam mai sus, există posibilitatea ca, în contextul unei investigații declanșate pe baza anumitor informații obținute de ANSPDCP (având prin urmare, un obiect trasat pe baza respectivelor informații), aceasta să fie extinsă cu privire la aspecte noi, observate de către personalul de control pe durata desfășurării investigației inițiale.

Ne întrebăm, în astfel de situații, cum poate fi asigurat dreptul la apărare al operatorului/persoanei împuternicite? Din punctul nostru de vedere, pe lângă potențiala limitare a dreptului la apărare al entității controlate, o astfel de formulare generală poate avea drept consecință dreptul autorității de a continua investigația până la o eventuală identificare a unei neconformități de natură a justifica o sancțiune.

Mergând mai departe cu analiza noastră, arătăm că neclaritățile cu privire la obiectul investigației subzistă și în contextul articolelor care reglementează pașii pe care autoritatea îi va urma în cadrul unei investigații pe teren. Procedura stabilește că, în cazul acestui tip de investigație, personalul de control ANSPDCP trebuie, printre altele, să prezinte obiectivele investigației și să verifice toate aspectele care au legătură cu obiectul investigației prin solicitarea oricăror informații legate de obiectivele controlului. De asemenea, procesul verbal de constatare/sancționare va conține doar obiectul controlului, nu și obiectivele urmărite.

Limbajul utilizat este ușor confuz și lasă loc de interpretare, cele arătate anterior fiind citate din Procedură. Se poate prezuma că obiectivele investigației vizează, la nivel general, ceea ce echipa de control își propune să verifice, pe când obiectul investigației vizează acele acțiuni concrete ce urmează a fi întreprinse în scopul îndeplinirii obiectivelor controlului, având ca scop stabilirea în concret a potențialei încălcări a operatorului.

La acest moment, în lumina modalității de redactare a Procedurii, ne putem imagina o investigație declanșată de ANSPDCP având ca obiectiv inclusiv „verificarea conformității prelucrării efectuate de operator cu prevederile Regulamentului”, caz în care, prin prisma generalității obiectivului, atât durata controlului, cât și sfera sa nu pot fi anticipate de către operator/persoană împuternicită (fapt cu consecințe grave asupra activității obișnuite a entității controlate).

În acest context este neclar dacă entitatea controlată va putea să conteste procesul verbal de constatare/sancționare sau chiar modalitatea de efectuare a investigației din perspectiva obiectului controlului.

---

---

Mai multă rigurozitate în cadrul Procedurii din perspectiva obligației de a delimita și identifica obiectul controlului, i-ar fi asigurat o mai mare claritate și, probabil, o eficiență sporită.

Un alt aspect ce merită menționat este legat de regimul sancționator. Procedura stabilește că, pe lângă aplicarea sancțiunilor contravenționale, ANSPDCP poate dispune și alte măsuri corective (respectând astfel prevederile Regulamentului). Din punctul nostru de vedere, de cele mai multe ori aplicarea unei măsuri corective de către ANSPDCP poate duce la consecințe mai grave din perspectiva modalității de desfășurare a activității de zi cu zi a unei entități decât aplicarea amenzii.

Desigur, Regulamentul a introdus un prag maxim al amenzii ce poate fi aplicată în eventualitatea unei încălcări, respectiv o amendă de până de 2% sau 10 mil. EUR, respectiv 4% sau 20 mil. EUR aplicate la cifra de afaceri mondială totală înregistrată în exercițiul financiar precedent.

Cu toate acestea, cu titlu de exemplu, potrivit articolului 25 din Procedură, Președintele ANSPDCP poate impune, prin decizie, operatorului/persoanei împuternicite, limitarea temporară sau definitivă a prelucrării, interdicția asupra prelucrării, precum și ștergerea datelor cu caracter personal.

Nu vom analiza situația în care se poate dispune interdicția prelucrării întrucât aceasta poate echivala în mod direct cu încetarea desfășurării activității unei entități (în cazul societăților al căror obiect de activitate implică în mod intrinsec prelucrarea datelor cu caracter personal, cum ar fi cazul societăților din domeniul financiar bancar și nu numai), ci ne vom concentra atenția asupra situației în care se dispune ștergerea datelor cu caracter personal. La o primă vedere, consecințele nu sunt atât de grave. Cu toate acestea, inclusiv ștergerea datelor cu caracter personal poate conduce de asemenea la încetarea activității de zi cu zi a unei entități sau cel puțin la dificultăți majore în desfășurarea acesteia. Spre exemplu, în cazul în care se solicită ștergerea bazei de date cu clienții care primesc comunicări în scop de marketing, activitatea departamentului de marketing nu va mai putea fi desfășurată în condiții optime iar, în lipsa promovării produselor, activitatea de zi cu zi a societății în cauză va fi afectată. Pe de altă parte, din punct de vedere operațional, ștergerea unei baze de date folosită într-un anume scop de prelucrare (spre exemplu pentru transmiterea comunicărilor de marketing personalizate) poate prezenta dificultăți majore în ipoteza în care aceeași bază de date este folosită, spre exemplu, în contextul efectuării procedurilor de cunoaștere a clientelei.

Mai mult, din perspectiva modalității în care poate fi contestată decizia de sancționare procesul-verbal de constatare/sancționare, trebuie spus că, potrivit Procedurii, contestația suspendă doar plata amenzii nu și măsurile corective aplicate. Articolul 28, alin. (2) din Procedură punctează acest aspect în mod clar, precizând că introducerea contestației suspendă numai plata amenzii, până la pronunțarea unei hotărâri judecătorești definitive. Cu alte cuvinte, se poate interpreta că măsurile corective sunt de aplicabilitate imediată, culpa fiind din start prezumată, fără a fi nevoie de o hotărâre judecătorească definitivă care să determine ca atare.

Rămâne totuși întrebarea, ce se întâmplă în cazul în care măsurile corective sunt duse la îndeplinire (de exemplu, ștergerea unei întregi baze de date), iar ulterior procesul verbal de sancționare este anulat, definitiv, în instanță.

Un alt aspect interesant este, în opinia noastră, cel legat de locul sau modul desfășurării investigațiilor. Deși Procedura prevede posibilitatea efectuării investigațiilor pe teren, la sediul ANSPDCP sau în scris, ultimele două posibilități sunt succint reglementate, diferențele dintre ele fiind relativ greu de identificat. Mai specific, în aparență, diferența dintre cele două modalități de desfășurare a investigațiilor este reprezentată de eventuala convocare a reprezentantului entității controlate la sediul ANSPDCP (în cazul investigațiilor efectuate la sediul ANSPDPC). Spunem eventuala prezență pentru că autoritatea poate încheia procesul verbal de constatare/sancționare în mod direct (în cazuri excepționale, e adevărat), chiar la sediul său  în lipsa reprezentantului entității controlate, dacă apreciază că are suficiente dovezi pentru finalizarea investigației. O atare abordare creează dubii serioase asupra respectării dreptului la apărare al persoanei investigate.

Mai trebuie precizat că, atât în cazul investigațiilor efectuate la sediul ANSPDCP, dar și a celor desfășurate în scris, entitatea controlată poate transmite obiecțiuni la procesul verbal de constatare/sancționare în termen de 15 zile de la data înmânării/comunicării acestuia. Această posibilitate nu este prevăzută și pentru situațiile în care investigația se desfășoară pe teren. Pe de altă parte, procesul verbal de constatare/sancționare poate fi contestat la instanța competentă în termen de 15 zile, în caz contrar devenind titlu executoriu fără alte formalități.

Din formularea succintă nu reiese însă dacă termenul de formulare al obiecțiunilor se suprapune cu cel în care procesul verbal de constatare/sancționare poate fi contestat. Avem în vedere că, spre deosebire de prevederile articolului 28 din Procedură, în care se menționează în mod clar că termenul de contestație curge de la data înmânării, respectiv comunicării procesului verbal de constatare/ sancționare, articolele 32 alin. (5) și 33 alin. (5) nu fac referire decât la un termen de 15 zile, fără alte detalii suplimentare. Deși,  la o primă citire s-ar părea că termenul de contestație va curge de la momentul epuizării celui pentru formularea obiecțiunilor, în lipsa unui moment indicat în mod clar în cuprinsul Procedurii, ne așteptăm ca entitățile să adopte o abordare prudentă, respectiv contestarea procesului verbal concomitent cu formularea obiecțiunilor.
 
Înainte de final mai punctăm un aspect ce nu ar trebui neglijat.  Astfel, în cazul investigațiilor în scris, în cazul în care ANSPDCP nu identifică fapte de natură să impună sancționarea contravențională a entității controlate, finalizarea investigației se realizează doar printr-o notă internă de finalizare, fără ca aceasta să fie comunicată entității în cauză. O astfel de prevedere ar putea ridica probleme majore pentru activitatea de zi cu zi desfășurată într-un mediu concurențial. Necomunicarea deciziei de finalizare a investigației este de natura a prelungi starea de incertitudine cu privire la respectarea legislației specifice, fapt ce poate ridica probleme specifice, spre exemplu în cazul unei tranzacții, unui transfer de business sau al unei fuziuni, entitatea fiind considerată mai expusă riscurilor, deși, în realitate lucrurile nu stau așa.

Fără a avea pretenția unei analize complete a Procedurii, cele indicate rezumându-se la a evidenția cele mai importante aspecte ce ar putea ridica probleme practice, apreciem că în continuare este nevoie de intervenția ANSPDCP pentru a interpreta sau explica cele detaliate anterior, doar în acest mod Procedura de efectuare a investigațiilor putând să fie aplicată cu eficiență.

---

1.  A se vedea Cauza C-583/13P Deutsche Bahn și alții vs. Comisia Europeană;