Telecoms company and data authority lose appeals; deletion order for CNP identifiers annulled as exceeding inspection findings.

Şedinţa publică din data de 18 mai 2021

Asupra recursurilor de faţă;

Din examinarea lucrărilor din dosar, constată următoarele:

I. Circumstanţele cauzei

1. Obiectul cererii de chemare în judecată

Prin cererea înregistrată pe rolul Curţii de Apel Bucureşti, secţia a VIII-a contencios administrativ şi fiscal la data de 12.06.2018, sub nr. x/2018, reclamanta A. S.A. a solicitat, în contradictoriu cu pârâta Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal, anularea în tot a Deciziei nr. 104/18.05.2019 a Preşedintelui Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal şi, în subsidiar, anularea parţială a deciziei, în ceea ce priveşte dispunerea nelegala a măsurilor ştergerii/distrugerii datelor cu caracter personal privind codul numeric personal şi a altor date cu caracter personal având o funcţie de identificare de aplicabilitate generala deja colectate fără consimţământul persoanelor vizate, temei legal sau avizul ANSPDCP.

De asemenea, a solicitat suspendarea executării deciziei contestate, până soluţionarea definitivă a prezentei cauze.

2. Hotărârea instanţei de fond

Curtea de Apel Bucureşti, secţia a VUI-a contencios administrativ şi fiscal, prin sentinţa civilă nr. 4987 din 3 decembrie 2018, a admis în parte cererea formulată de reclamanta A. S.A., în contradictoriu cu pârâta Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal.

A anulat în parte decizia nr. 104/18.05.2018, în ceea ce priveşte obligaţia de ştergere/distrugere a datelor cu caracter personal privind codul numeric personal şi a altor date cu caracter personal având o funcţie de identificare de aplicabilitate generală stocate şi colectate altfel decât prin reţinerea copiilor de pe actele de identitate.

A suspendat executarea deciziei nr. 104/18.05.2018 în ceea ce priveşte obligaţia de ştergere/distrugere a datelor cu caracter personal privind codul numeric personal şi a altor date cu caracter personal având o funcţie de identificare de aplicabilitate generală stocate şi colectate altfel decât prin reţinerea copiilor de pe actele de identitate, până la soluţionarea în mod definitiv a cauzei.

A menţinut în rest decizia nr. 104/18.05.2018.

3. Calea de atac a recursului exercitată în cauză şi motivele înfăţişate

Reclamanta A. S.A. a promovat recursuri atât în ceea ce priveşte soluţia pronunţată asupra cererii de suspendare, cât şi împotriva soluţiei dată acţiunii în anulare, prevalându-se de motivele de casare prevăzute de art. 488 alin. (1) pct. 6 şi 8 din C. proc. civ.

A promovat recurs şi pârâta Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal, invocând cazul de casare prevăzut de art. 488 alin. (1) pct. 8 din C. proc. civ.

4. Apărările formulate în cauză

Recurenta-reclamantă A. S.A. a formulat întâmpinare prin care a solicitat respingerea recursului promovat de partea adversă, ca ne fondat.

A formulat întâmpinarea şi recurenta-pârâtă Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal prin care a invocat excepţia tardivităţii recursului declarat împotriva soluţiei pronunţate asupra cererii de suspendare şi, în subsidiar, a solicitat respingerea ambelor recursului ale părţii adverse, ca nefondate.

II. Considerentele Înaltei Curţi asupra recursurilor

1. Motivele de fapt şi de drept relevante

În ceea ce priveşte recursul împotriva soluţiei date referitor la cererea de suspendare având în vedere că la termenul de astăzi s-a soluţionat pe fond recursul, o analiză din perspectiva art. 14 din Legea nr. 554/2004 nu poate fi realizată, astfel că un astfel de recurs apare nefondat.

Cât priveşte recursul reclamantei A., deşi se indică două motive din cele prevăzute de art. 488 C. proc. civ. în fapt se insistă asupra lipsei temeiului legal ca urmare a abrogării Deciziei nr. 132/2011 si a Legii nr. 677/2001

Odată cu intrarea în vigoare a Regulamentului UE nr. 2016/679 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date ("Regulamentul nr. 2016/679") respectiv data de 25 mai 2018, cadrul legislativ naţional s-a schimbat prin dispunerea abrogării Deciziei nr. 132/2011 şi prin abrogarea Legii nr. 677/2001 prin Legea nr. 129/2018 pentru modificarea şi completarea Legii nr. 102/2005 privind înfiinţarea, organizarea şi funcţionarea Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal, precum şi pentru abrogarea Legii nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date.

Conform noului cadru legal, Regulamentul nr. 2016/679 nu încadrează datele privind identificarea persoanelor sub un regim special faţă de celelalte date cu caracter personal, Regulamentul precizând doar, în cadrul art. 82, că statele membre pot detalia în continuare condiţiile specifice de prelucrare a unui număr de identificare naţional sau a oricărui alt identificator cu aplicabilitate generală.

Iar, in conformitate cu art. 2 lit. (h) din Directiva 95/46/CE a Parlamentului European si a Consiliului din 24 octombrie 1995 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date:

"Articolul 2 - Definiţii

In sensul prezentei directive: [...]

h) "consimţământul persoanei vizate" înseamnă orice manifestare de voinţă, liberă, specifică şi informată prin care persoana vizată acceptă să fie prelucrate datele cu caracter personal care o privesc".

Prin urmare, intrucat:

(i) la trei zile după emiterea si înregistrarea, in Registrul General al ANSPDCP, a Deciziei contestate de către A. si chiar la data comunicării Deciziei către subscrisa, respectiv în data de 25.05.2018, a fost publicată în Monitorul Oficial Decizia nr. 99/2018 care a abrogat Decizia nr. 132/2011 incepand cu data de 25.05.2018;

(ii) Legea nr. 677/2001 a fost abrogata incepand cu data de 25 mai 2018 prin Legea nr. 129/2018 pentru modificarea şi completarea Legii nr. 102/2005 privind înfiinţarea, organizarea şi funcţionarea Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal, precum şi pentru abrogarea Legii nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date, la momentul soluţionării dosarului de către instanţa de fond, ca si la momentul prezent, nu existau/nu exista dispoziţii legale care să reglementeze situaţia de fapt în mod similar.

Se pretinde că instanţa de fond ar fi trebuit sa aibă in vedere faptul ca atât la momentul introducerii contestaţiei, cat si la momentul pronunţării hotărârii (n.n. situaţie valabila si in prezent) actul administrativ cu caracter individual contestat de către A. era lipsit de temei de drept şi nu ar fi putut produce efecte ulterior datei de 25.05.2015.

În aceste circumstanţe, cu respectarea principiului de aplicare în timp a legilor prevăzut de art. 15 alin. (2) din Constituţie, Decizia ANSPDCP prin care se impun anumite măsuri în baza unei dispoziţii legale abrogate (Decizia nr. 132/2011, Legea nr. 677/2001) chiar incepand cu data la care Decizia ar fi trebuit sa-si producă efectele (data comunicării acesteia, respectiv 25.05.2018) nu mai poate produce efecte ulterior datei abrogării, ca urmare a principiului imediatei aplicări a legii care presupune aplicarea legii noi în detrimentul legii vechi, de vreme ce legea nouă este aplicabilă nu numai situaţiilor viitoare (facla fittura), ci şi situaţiilor în curs de constituire, modificare sau stingere, dar şi efectelor viitoare ale situaţiilor anterior născute (facla pendentia).

In atare condiţii se consideră nelegală impunerea unor masuri in contextul in care punerea în aplicare a acestora ulterior datei de 25.05.2018 excede dispoziţiilor legale, ca urmare a abrogării de Ia acea dată a Deciziei nr. 132/2015 si a Legii nr. 677/2001.

Prin urmare, instanţa de fond ar fi trebuit sa aibă in vedere faptul ca nu exista niciun temei legal care sa stea la baza masurilor dispuse de către ANSPDCP spre a fi puse in executare in termenul de 30 de zile calculat de la data comunicării Deciziei, respectiv chiar de la data de 25.05.2018, data abrogării Deciziei nr. 132/2015 si a Legii nr. 677/2001, in temeiul cărora au fost dispuse masurile respective.

Apărările în sensul că Decizia emisă în data de 18.05.2018 a fost comunicată reclamantului în data de 25.05.2018 când a fost aprobată Decizia nr. 132/2011 care a stat la baza emiterii actului administrativ nu pot fi primite întrucât la data întocmirii şi emiterii actului Decizia era în fiinţă şi producea efecte.

De esenţă apare

- procesul-verbal nr. x/22.03.2018 necontestat prin care s-a recomandat reclamantei: realizarea procedurilor interne de distrugere şi de arhivare a documentelor într-un termen rezonabil şi informarea clară a persoanelor vizate cu privire la scopul colectării datelor şi a documentelor care conţin date cu caracter personal cu funcţie de identificare(CNP), raportat la contractele ridicate - permanent.

Or, constatarea pentru care de altfel reclamanta a fost şi amendată f.20 -f.24 dos fond) constă în prelucrarea nelegală a datelor cu caracter personal", prevăzută de art. 32 din Legea nr. 677/2001, cu încălcarea art. 4 alin. (1) lit. c) şi art. 8 din Legea nr. 677/2001, coroborat cu art. 3 şi 6 din Decizia Preşedintelui ANSPDCP nr. 132/2011, întrucât A. S.A. pentru magazinul A. din Bd. x, Bucureşti, cu datele de identificare de pe prima pagină a procesului-verbal, prin colectarea si stocarea copiilor de pe actele de identitate, solicitate în mod obligatoriu prin contractele de servicii de telefonie 'încheiate cu persoanele care solicită acest serviciu, prelucrează în mod excesiv, date cu caracter personal ce intră sub incidenţa art. 8 din Legea nr. 677/2001, în cazurile în care nu există prevederi legale exprese, consimţământul expres al persoanelor vizate sau avizul ANSPDCP.

Pentru aceste motive s-a dispus (recomandat) realizarea procedurilor interne de distrugere şi de arhivare a documentelor, obligaţie ce incumbă atâta timp cât procesul-verbal nu a fost contestat/anulat.

Aşa fiind, celelalte apărări bazate în principal pe dispoziţii normative ulterioare actului administrativ contestat nu pot fi primite.

Prin recursul pârâtei Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal s-a arătat că instanţa de fond a făcut aplicarea greşită a normelor de drept material reţinând faptul că măsura dispusă prin Decizia nr. 104/18.05.2018 excede neregulilor constatate şi sancţionate prin procesul-verbal nr. x/22.03.2018, deoarece prin decizia contestată pârâta a dispus mai mult decât recomandarea formulată în urma controlului efectuat la data de 22.03.2018.

Referitor la motivele prevăzute de art. 488 alin, (Vi pct. 8 din C. proc. civ. Se pretinde că nu pot fi reţinute cele statuate de instanţa de fond, care a anulat în parte Decizia nr. 104/18.05.2018 deoarece aceasta ar excede neregulilor constatate şi sancţionate prin procesul-verbal nr. x/22.03.2018, întrucât prin decizia contestată pârâta a dispus mai mult decât recomandarea formulată în urma controlului efectuat la data de 22.03.2018.

Astfel, instanţa de fond nu a ţinut cont de faptul Legea nr. 677/2001 este aceea care conferă, cu precădere, protecţie codului numeric personal sau altor date cu caracter personal având o funcţie de identificare de aplicabilitate generală.

De asemenea, instanţa de fond nu a observat dispoziţiile legale diferite pe baza cărora au fost întocmite cele două acte administrative, procesul-verbal şi decizia, respectiv dispoziţiile art. 35 din Legea nr. 677/2001 şi cele ale art. 26 alin. (1) coroborat cu art. 21 alin. (3) lit. d) din aceeaşi lege, aspect ce justifică conţinuturi diferite ale celor două acte.

Totodată, instanţa de fond nu a observat dispoziţiile art. 25 alin. (10) din Legea nr. 677/2001 care stipulează că "prevederile alin. (4)-(9) se aplică în mod corespunzător şi în situaţia în care autoritatea de supraveghere află pe orice cale despre săvârşirea unei încălcări a drepturilor recunoscute de prezenta lege".

Din economia textului de lege sus-menţionat rezultă că în situaţia în care preşedintele Autorităţii de Supraveghere află de încălcări ale drepturilor persoanelor fizice, pe orice cale, incluzând şi efectuarea unei investigaţii din oficiu, aşa cum a fost şi cazul în speţă, poate dispune măsuri obligatorii prin intermediul unei decizii.

În acelaşi timp, instanţa nu a ţinut cont de obligaţiile instituite de art. 20 din Legea nr. 677/2001 potrivit cărora operatorul are obligaţia de a aplica măsuri tehnice şi organizatorice adecvate pentru protejarea datelor cu caracter personal împotriva oricărei alte forme de prelucrare ilegală.

Instanţa de fond nu a observat faptul că nu există text de lege care să impună preşedintelui Autorităţii conţinutul unei decizii cu caracter obligatoriu pentru operatorul controlat şi care să o limiteze doar la cele constatate de echipa de control în timpul investigaţiei, la sancţiunea aplicată sau la recomandările formulate de această echipă.

De asemenea, instanţa nu a ţinut cont de faptul că în cadrul investigaţiei au fost verificate doar un număr limitat de contracte încheiate cu clienţii - persoane fizice, pentru scopul "servicii de comunicaţii electronice" furnizate de intimată, iar verificarea s-a efectuat doar la un singur punct de lucru.

Totodată, instanţa nu a ţinut cont de argumentele dovedite ale Autorităţii de Supraveghere privind faptul că în răspunsul Autorităţii nr. 23657/05.06.2018 (anexa nr. 3 la întâmpinare), dat la solicitarea intimatei şi ulterior investigaţiei şi emiterii Deciziei 104, intimatei i s-a precizat că "deciziile preşedintelui ANSPDCP nr. 104/18.05.2018 şi nr. 108/21.05.2018 nu se referă la datele cu caracter personal colectate cu respectarea dispoziţiilor legale, ci doar la datele cu caracter personal deja colectate, fără consimţământul expres al persoanelor vizate, fără temei legal sau avizul ANSPDCP."

Prin urmare, dispozitivul deciziei este circumstanţiat, în sensul că dispune măsuri numai în privinţa prelucrărilor neconforme nu şi în privinţa datelor prelucrate în conformitate cu legea şi, în plus, acordă libertate intimatei de a verifica, în prealabil, în evidenţele sale, care sunt aceste prelucrări neconforme şi de a decide ea însăşi care anume date se impun a fi şterse şi care nu, astfel că nu este în imposibilitate de a o executa.

Cu alte cuvinte, aşa cum s-a argumentat şi la fondul cauzei, dar instanţa nu a ţinut cont de aceasta, decizia stabileşte ca intimata, în calitate de operator de date cu caracter personal, să îşi efectueze, practic, o evaluare internă a activităţii de prelucrare a datelor pentru a identifica ce date şi categorii de date prelucrează, în ce scopuri şi ce temeiuri legale, iar în măsura în care constată faptul că nu respectă condiţiile de legitimitate a prelucrării datelor, cum sunt, în speţă, consimţământul valabil obţinut, o prevedere legală expresă sau avizul Autorităţii de Supraveghere să procedeze la ştergerea/distrugerea acestor date protejate de art. 8 din Legea nr. 677/2001.

Or, aşa cum s-a arătat, în investigaţia de la data de 22.03.2018, s-a verificat doar o mică parte şi nu întreaga activitate a intimatei de prelucrare a datelor protejate de art. 8 din Legea nr. 677/2001 pentru furnizarea serviciilor de comunicaţii electronice.

Nici aceste susţineri nu pot fi primite fiind nereal faptul că în procesul-verbal nr. x/22.03.2012 s-ar fi făcut referire şi la obligaţia de ştergere/distrugere a datelor cu caracter personal privind CNP şi a altor date cu caracter personal având funcţii de identificare de aplicabilitate generale stocate şi colectate, altfel decât prin reţinerea copiilor de pe actele de identitate.

Mai mult, din chiar susţinerile recurentei-pârâte mai sus citate rezultă că aceasta indică faptul că "dispozitivul deciziei este circumstanţiat numai în privinţa prelucrărilor neconforme", dar acest lucru nu se poate realiza în legătură cu un act administrativ.

Este evident că emitentul actului a impus o obligaţie ce nu rezultă dintr-o neregulă indentificată în sarcina reclamantei.

De altfel, cum corect a reţinut şi instanţa de fond, Decizia nr. 132/2011 realiza o diferenţiere în ceea ce priveşte modalitatea de colectare a datelor cu caracter personal şi prevedea, cu privire la efectuarea şi reţinerea copiilor de pe cartea de identitate, o condiţie suplimentară constând în acordul expres al persoanelor pentru efectuarea şi reţinerea unei copii a cărţii de identitate şi nu doar un acord pentru prelucrarea datelor. În contextul acestei reglementări, recomandarea dispusă prin actele care au stat la baza emiterii deciziei contestate (proces-verbal şi raport) a vizat exclusiv reţinerea copiilor de pe cărţile de identitate, întrucât investigaţia a relevat faptul că reclamanta solicita un acord general al clienţilor cu privire la prelucrarea datelor cu caracter personal, însă nu solicita şi un acord expres pentru colectarea şi stocarea copiilor cărţilor de identitate.

În consecinţă, este nelegală măsura prin care a dispus obligaţia de ştergere/distrugere a datelor cu caracter personal privind codul numeric personal şi a altor date cu caracter personal având o funcţie de identificare de aplicabilitate generală, stocate şi colectate altfel decât prin reţinerea copiilor de pe actele de identitate, din moment ce în cursul investigaţiei din data de 22.04.2018 nu au fost identificate alte nereguli în colectarea şi stocarea datelor cu caracter personal, ci doar prelucrarea lor excesivă prin reţinerea copiilor de pe cărţile de identitate, fără a exista un acord expres în acest sens al persoanelor vizate.

În aceste condiţii, în raport de criticile ambelor părţi, hotărârea instanţei de fond apare ca temeinică şi legală.

2. Temeiul de drept al soluţiei adoptate în recurs

Cum în raport de motivele invocate, recursul reclamantei nu se încadrează în prevederile art. 488 alin. (1) pct. 6 sau 8 C. proc. civ. iar cel al pârâtei în dispoziţiile art. 488 alin. (1) pct. 8 C. proc. civ., Înalta Curte în temeiul dispoziţiilor art. 496 C. proc. civ. urmează a respinge ambele recursuri ca nefondate.

PENTRU ACESTE MOTIVE

ÎN NUMELE LEGII

D E C I D E

Respinge recursul formulat de reclamanta A. S.A. împotriva sentinţei civile nr. 4987 din 3 decembrie 2018 a Curţii de Apel Bucureşti, secţia a VlII-a contencios administrativ şi fiscal, în ceea ce priveşte soluţia pronunţată asupra cererii de suspendare, ca nefondat.

Respinge recursul formulat de reclamanta A. S.A. împotriva sentinţei civile nr. 4987 din 3 decembrie 2018 a Curţii de Apel Bucureşti, secţia a VlII-a contencios administrativ şi fiscal, în ceea ce priveşte soluţia dată acţiunii în anulare, ca nefondat.

Respinge recursul formulat de pârâta Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal împotriva sentinţei civile nr. 4987 din 3 decembrie 2018 a Curţii de Apel Bucureşti, secţia a VlII-a contencios administrativ şi fiscal, ca nefondat.

Definitivă.

Pronunţată, în şedinţă publică, astăzi 18 mai 2021