Access to vehicle registration data for safety recalls under GDPR Article 6(1)(d) and (f)

Şedinţa publică din data de 27 septembrie 2022

Asupra recursului de faţă;

Din examinarea lucrărilor din dosar, constată următoarele:

I. Cadrul procesual

1. Obiectul litigiului

Prin cererea înregistrată pe rolul Curţii de Apel Bucureşti la data de 25.08.2019, reclamanta A. S.R.L. a chemat în judecată pe pârâta Direcţia Regim Permise de Conducere şi Înmatriculare a Vehiculelor, solicitând instanţei să dispună obligarea pârâtei să îi comunice în cel mult 30 de zile de la rămânerea definitivă a hotărârii, datele personale ale proprietarilor actuali ai autovehiculelor x incluse în campania de rechemare în service "B." prevăzute în Anexa nr. 4 la acţiune, în vederea identificării şi contactării acestora pentru efectuarea campaniilor de rechemare în service iniţiate de către producătorul x.

2. Hotărârea Curţii de apel

Prin sentinţa nr. 513 din 29 iunie 2020, Curtea de Apel Bucureşti, secţia a IX-a contencios administrativ şi fiscal:

(i) a admis în parte acţiunea formulată de reclamanta A. S.R.L., în contradictoriu cu pârâta Direcţia Regim Permise de Conducere şi Înmatriculare a Vehiculelor;

(ii) a obligat pârâta la comunicarea către reclamantă a datelor de identificare - nume, prenume/denumire şi domiciliu/sediu - ale proprietarilor actuali ai autovehiculelor incluse în campania de rechemare în service B.", care nu au putut fi notificaţi prin scrisoare recomandată cu confirmare de primire, astfel cum rezultă aceste informaţii din baza de date actualizată a pârâtei, ele urmând a fi identificate în funcţie de tipul maşinii şi numerele de identificare menţionate în documentul intitulat "Lista destinatarilor pentru care plicurile s- au întors ca urmare a mutării acestora de la domiciliu. Plicuri aferente campaniei tehnice B. - trimise în iunie 2016", poziţiile 1 -282 .

(iii) a respins în rest cererea, ca nefondată.

3. Cererea de recurs

Împotriva sentinţei nr. 513 din 29 iunie 2020 a Curţii de Apel Bucureşti, secţia a IX-a contencios administrativ şi fiscal a declarat recurs pârâta Direcţia Regim Permise de Conducere şi Înmatriculare, criticând sentinţa ca nelegală, pentru motive pe care le-a încadrat în prevederile art. 488 alin. (1) pct. 6 şi 8 C. proc. civ.

În raport de dispoziţiile art. 488 alin. (1) pct. 6 C. proc. civ., recurenta-pârâtă a invocat existenţa unei contradicţii între considerente şi dispozitivul hotărârii judecătoreşti atacate, aacesteia vizează soluţia de respingere a acţiunii.

Astfel, potrivit considerentelor sentinţei atacate, prima instanţa constată că reclamanta a făcut dovada că solicitarea sa înaintată pârâtei de prelucrare/comunicare a datelor cu caracter personal a proprietarilor celor 33.970 vehicule, ce face obiectul prezentei cauze, se încadrează atât în ipoteza de la art. 6 lit. d) cât şi în ipoteza de la art. 6 lit. .f din Regulamentul nr. 679 din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor) însă interesul legitim în prelucrarea/furnizarea datelor cu caracter personal a fost justificat numai pentru proprietarii de vehicule pentru care scrisorile de informare transmise conform evidenţelor din propria bază de date nu au fost restituite prezumându-se, în cazul acestora, că destinatarii le-au recepţionat şi nu au dorit să dea curs cererilor reclamantei de rechemare în service asumându-şi astfel consecinţele.

Cu toate acestea, prima instanţă reţine că refuzul pârâtei de comunicare către reclamantă a datelor cu caracter personal ale acelor proprietari de vehicule din solicitare, care nu au putut fi înştiinţaţi prin scrisoare recomandată asupra defecţiunilor tehnice ale autovehiculelor pe care le deţin, este un refuz justificat (acei destinatari ai notificării reclamantei a căror scrisori de informare au fost restituite) însă, în dezacord cu această reţinere, prin dispozitivul hotărârii judecătoreşti pronunţate obligă pârâta la comunicarea către reclamantă a datelor de identificare -nume/prenume/denumire şi domiciliu/sediu - ale proprietarilor actuali ai autovehiculelor incluse în campania de rechemare în service x, B." care nu au putut fi notificaţi prin scrisoare recomandată cu confirmare de primire (...)pentru care plicurile s-au întors ca urmare a mutării acestora de la domiciliu (...)."

În raport de dispoziţiile art. 488 alin. (1) pct. 8 C. proc. civ., recurenta invocă interpretarea şi aplicarea eronată a dispoziţiilor art. 6 din Regulamentul UE nr. 679/2016 la situaţia de fapt şi de drept ce reiese din probatoriul administrat în cauză.

Susţine că potrivit competenţelor reglementate de dispoziţiile art. 115 alin. (1) lit. d) din O.G nr. 83/2001 privind înfiinţarea, organizarea şi funcţionarea serviciilor publice comunitare de paşapoarte şi serviciilor publice comunitare regim permise de conducere şi înmatriculare a vehiculelor, autoritatea publică recurentă constituie, utilizează şi actualizează Registrul Naţional de Evidenţă al permiselor de conducere şi vehiculelor înmatriculate (RNEPCVIR), care nu are caracteristicile conferite unui registru de publicitate, actualizarea acestuia din perspectiva competenţelor legale ce le deţine vizând exclusiv operaţiuni de ordin tehnic asupra bazei de date, însă baza de date din perspectiva situaţiei juridice a unui vehicul care îndeplineşte condiţiile legale pentru a fi pus în circulaţie pe drumurile publice şi a titularului dreptului de proprietate asupra vehicului se actualizată numai la solicitarea proprietarului vehiculului, de către serviciile publice comunitare regim permise de conducere

În ce priveşte actualizarea RNEPCVIR, recurenta-pârâtă face trimitere la dispoziţiile art. 11 din O.U.G. nr. 195/2002 privind circulaţia pe drumurile publice, cu modificările şi completările ulterioare, precizând că baza de date constituită şi administrată de autoritatea pârâtă conţine vehiculele şi proprietarii acestora ce au solicitat, în condiţiile legii, punerea/menţinerea vehiculelor aflate în proprietatea acestora, în circulaţie, pe drumurile publice. Însă, există situaţii, într-un procent semnificativ, în care transferul proprietăţii vehiculelor de la o persoană la alta să nu fie urmată de înregistrarea bunului la organul fiscal, motiv pentru care proprietarul vehiculului nu poate înmatricula/transcrie, pe numele său vehiculul la autoritatea competentă cu consecinţa emiterii certificatului de înmatriculare pe numele său, situaţie în care noul proprietar al vehiculului circulă cu vehiculul înmatriculat în circulaţie (potrivit evidenţelor din RNEPCVIR) pe numele unui proprietar anterior.

Din acesta perspectivă, a prezumţiei lipsei conformării actuale a datelor existente în baza de date referitoare la un vehicul înmatriculat în circulaţie cu situaţia juridică actuală a respectivului vehicul din punct de vedere al proprietarului acestuia, situaţie în care s-ar furniza către reclamantă, comerciant de vehicule, date cu caracter personal ale unor persoane ce în prezent nu mai au calitatea de proprietar al respectivului vehicul (reţinând şi vechimea comercializării vehiculelor -anterior anulului 2015), a invocat instanţei de fond normele legale ce reglementează operaţiunea de înmatriculare în circulaţie a unui vehicul/transcriere a transferului dreptului de proprietate asupra unui vehicul înmatriculat în circulaţie, însă aceste argumente, ce vizează o situaţie de fapt întemeiată pe norme legale incidente operaţiunilor de înmatriculare/transcriere/radiere vehicule şi care stau la baza evidenţelor RNEPCVIR, nu au fost analizate de către prima instanţă.

De asemenea, consideră că în mod eronat prima instanţă a reţinut incidenţa în cauză a dispoziţiilor art. 6 alin. (1) lit. d) din Regulamentul nr. 679/2016 privind legalitatea prelucrării datelor personale scopul fiind cel al protejării intereselor vitale ale persoanelor ce au achiziţionat de la reclamantă (anterior anulului 2015) vehicule înscrise în campanie, întrucât în ceea ce priveşte această condiţie de legalitate, considerentul 46 din preambulul Regulamentului nr. 679/2016 prevede un domeniu de aplicare a acestuia foarte limitat, respectiv în domeniul asistenţei medicale de urgenţă, în scopuri medicale când persoana este incapabilă să-şi exprime consimţământul.

Protecţia interesului vital poate să apară în contextul datelor privind sănătatea unei persoane, date ce fac parte din categoriile speciale de date şi a căror prelucrare conduce la incidenţa art. 9 din GDPR.

Pe de altă parte, intimata-reclamantă, în calitate de agent comercial, reprezentantă în România a firmei producătoare a vehiculelor marca x cuprinse în campania de rechemare, se află în posesia datelor cu caracter personal ale proprietarilor acestora, menţionate în contractele de vânzare - cumpărare a respectivelor vehicule, astfel încât poate realiza informarea acestora cu privire la vehiculele neconforme tehnic pe care le-a întrăinat acestora.

De asemenea, apreciază eronată soluţia de obligare la furnizarea datelor cu caracter personal ale proprietarilor de vehicule evidenţiaţi în RNEPCVIR pentru care notificările (plicurile) acesteia prin scrisoare recomandată s-au întors ca urmare a schimbării adresei de domiciliu/mutării acestora de la domiciliu, întrucât autoritatea publică recurentă nu deţine baza de date conţinând domiciliul persoanelor fizice, acesta fiind în competenţa, în condiţiile legii, unei alte structuri din subsordinea Ministerului Afacerilor Interne, respectiv a Direcţiei pentru Evidenţa Persoanelor şi Administrarea Bazelor de Date (DEPEABD), iar în ce priveşte sediul persoanelor juridice, informaţiile actualizate pot fi obţinute de la Registrul Comerţului.

3. Apărările formulate în cauză

Intimata-reclamantă A. S.R.L a formulat întâmpinare solicitând respingerea recursului ca nefondat şi menţinerea sentinţei ca temeinică şi legală, reiterând coordonatele esenţiale ale cauzei.

II. Soluţia şi considerentele instanţei de recurs

Examinând legalitatea sentinţei atacate prin prisma criticilor formulate, a apărărilor din întâmpinare şi dispoziţiilor legale incidente, Înalta Curte constată că recursul este nefondat pentru considerentele ce vor fi expuse în continuare.

În esenţă, litigiul de faţă a fost generat de refuzul autorităţii publice pârâte DRPCIV de soluţionare a cererii intimatei-reclamante înregistrate sub nr. x/14.06.2019, prin care a solicitat comunicarea datele cu caracter personal ale proprietarilor actuali ai autovehiculelor x incluse în Campania de rechemare în service "B.", în vederea identificării şi contactării acestora pentru efectuarea campaniilor de rechemare în service iniţiate de către producătorul x, pentru remedierea de urgenţă a neregularităţilor de ordin tehnic identificate.

Cererea intimatei-reclamante înregistrată la DRPCIV sub nr. x/14.06.2019 a fost întemeiată, în principal, pe dispoziţiile art. 6 lit. f) din Regulamentul 2016/679 al Parlamentului European şi Consiliului din 27.04.2016, privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date, şi, în subsidiar pe dispoziţiile art. 6 lit. d) din acelaşi Regulament.

Prin adresa de răspuns nr. x/02.07.2019, autoritatea pârâtă DRPCIV şi-a motivat refuzul de soluţionare pe inaplicabilitatea art. 6 alin. (1) lit. f) din Regulamentul 2016/67.

Instanţa de fond, apreciind că autoritatea publică pârâtă, în mod eronat, prin răspunsul comunicat intimatei-reclamante, a concluzionat că nu sunt aplicabile prevederile art. 6 lit. f) din Regulamentul UE 2016/679, fără a verifica şi incidenţa celei de-a doua situaţii invocate de intimata-reclamantă, privitoare la protejarea vieţii şi integrităţii corporale a şoferului, pasagerilor şi a celorlalţi participanţi la trafic, care se subsuma condiţiilor prevăzute de art. 6 lit. d) din Regulament, iar intimata-reclamantă a făcut dovada că îndeplineşte în parte condiţiile legale pentru a se încuviinţa prelucrarea datelor cu caracter personal, a admis în parte acţiunea.

Astfel, a constatat că refuzul exprimat de pârât este nejustificat, în sensul art. 2 alin. (1) lit. i) din Legea nr. 554/2004, numai în ceea ce priveşte comunicarea datelor cu caracter personal ale acelor proprietari care nu au putut fi înştiinţaţi prin scrisoare recomandată cu confirmare de primire asupra defecţiunilor tehnice ale autovehiculelor pe care le deţin în proprietate (destinatarii neputând fi identificaţi la domiciliile declarate la încheierea contractelor de vânzare-cumpărare), pentru care reclamanta a făcut dovada că solicitarea sa de comunicare a datelor cu caracter personal se încadrează atât în ipoteza de la art. 6 lit. d), cât şi în ipoteza de la art. 6 lit. f) din Regulamentul UE 2016/679, prelucrarea fiind solicitată cu justificarea interesului legitim al terţului, în scopul protejării intereselor vitale ale persoanelor vizate de prelucrare şi al altor persoane, aceasta fiind aşadar adecvată, relevantă şi limitată la ceea ce este necesar în raport de scopul pentru care s-a solicitat această prelucrare; în ceea ce priveşte solicitarea de prelucrare a datelor referitoare la proprietarii pentru care scrisorile de informare nu au fost restituite (prezumându-se că acestea au ajuns în posesia acestora), instanţa de fond a apreciat că reclamanta nu a făcut dovada interesului legitim prevăzut de art. 6 lit. f) din Regulament şi nici dovada îndeplinirii condiţiilor art. 6 lit. d), întrucât prin recepţionarea scrisorilor de către destinatari se face dovada că reclamanta se află ea însăşi în posesia datelor cu caracter personal solicitate, iar proprietarii nu au dorit să dea curs cererilor de rechemare în service, asumându-şi astfel consecinţele. A apreciat că o prelucrare a acestor date ale proprietarilor care, deşi au fost legal informaţi pe toate căile - scrisoare recomandată, mass media, publicitate pe site-ul reclamantei - au ales să nu se prezinte în service, depăşeşte ceea ce este necesar în raport de scopurile pentru care s-a solicitat prelucrarea, fiind astfel încălcate principiile reglementate de art. 5 din Regulamentul UE 2016/679 în special principiul prevăzut la lit. c) a acestui articol.

Concluzia curţii de apel este corectă, fiind însuşită şi de instanţa de control judiciar întrucât reflectă aplicarea judicioasă a cadrului normativ la situaţia de fapt dedusă judecăţii.

Efectuând propria evaluare a actelor şi lucrărilor dosarului pentru a răspunde criticilor formulate în recurs, Înalta Curte reţine că, o primă critică adusă sentinţei recurate, încadrată în dispoziţiile art. 488 alin. (1) pct. 6 C. proc. civ. vizează existenţa unei contradicţii între considerente şi dispozitivul hotărârii atacate, în sensul invocat prin cererea de recurs.

Critica este nefondată, întrucât considerentele reţinute expun analiza şi raţionamentul instanţei care a stat la baza soluţiei de admitere în parte a acţiunii, respectiv obligarea pârâtei de a pune la dispoziţia reclamantei numai datele cu caracter personal ale posesorilor de autovehicule pentru care scrisorile de înştiinţare au fost restituite ca urmare a modificării domiciliilor acestora, fiind în măsură să expliciteze, în fapt şi în drept, soluţia pronunţată în dispozitiv.

În realitate, aşa cum a susţinut şi intimata-reclamantă, este vorba doar despre o eroare materială de tehnoredactare cu privire la sintagma " refuz justificat", care ar putea fi îndreptată pe calea prevăzută în art. 442 C. proc. civ.

Criticile subsumate motivului de casare prevăzut de art. 488 alin. (1) pct. 8 C. proc. civ. vizând aplicarea greşită a dispoziţiilor dispoziţiile art. 6 alin. (1) lit. d) şi f)din Regulamentul UE 2016/679 al Parlamentului European şi Consiliului din 27.04.2016 sunt, de asemenea, nefondate.

Înalta Curte reţine că, potrivit art. 2 alin. (1) lit. i) din Legea nr. 554/2004, refuzul nejustificat de a soluţiona o cerere este "exprimarea explicită, cu exces de putere a voinţei de a nu rezolva cererea unei persoane", excesul de putere fiind definit de art. 2 alin. (1) lit. n):

"exercitarea dreptului de apreciere al autorităţilor publice prin încălcarea limitelor competenţei prevăzute de lege sau prin încălcarea drepturilor şi libertăţilor cetăţenilor".

Din interpretarea prevederilor legale citate rezultă că atunci când are de analizat caracterul justificat sau nejustificat al refuzului de rezolvare a unei cereri, instanţa de contencios administrativ nu se limitează la un control de legalitate formală ci trebuie să evalueze conduita autorităţii din perspectiva scopului legii, printr-o interpretare raţională a acesteia pentru că principiul proporţionalităţii măsuriloradministrative individuale în raport cu interesul public ocrotit impune ca actele administrative să nu depăşească limitele a ceea ce este adecvat şi necesar pentru a atinge scopul urmărit, astfel că inconvenientele cauzate particularului să nu fie excesiv de împovărătoare, disproporţionate în raport cu scopurile vizate (Curtea Europeană a Drepturilor Omului, Cauza Buzescu c. României, hotărârea din 24.05.2005, § 96).

În speţă, prima instanţă, evaluând conduita autorităţii pârâte prin prisma obligaţiilor legale care îi incumbă în domeniul protecţiei datelor cu caracter personal, a concluzionat corect că refuzul autorităţii pârâte, întemeiat pe inaplicabilitatea art. 6 lit. f) din Regulamentul 2016/679, are caracter nejustificat, în condiţiile în care aceasta nu a efectuat o verificare şi a incidenţei celei de-a doua situaţii invocate de intimata - reclamantă prin cererea formulată, privitoare la protejarea vieţii şi integrităţii corporale a şoferului, pasagerilor şi a celorlalţi participanţi la trafic, care se subsuma condiţiilor prevăzute de art. 6 lit. d) din Regulament.

Potrivit dispoziţiile art. 6 alin. (1) lit. d) şi f) din Regulamentul UE 2016/679 al Parlamentului European şi Consiliului din 27.04.2016, privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date:

"Prelucrarea este legală numai dacă şi în măsura în care se aplică cel puţin una dintre următoarele condiţii:

d) prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane;

f) prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terţă, cu excepţia cazului în care prevalează interesele sau drepturile şi libertăţile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.

Litera f din primul paragraf nu se aplică în cazul prelucrării efectuate de autorităţi publice în îndeplinirea atribuţiilor lor."

De asemenea, dispoziţiile art. 5 din Regulament consacră o serie de principii privind prelucrarea datelor, respectiv"datele cu caracter personal trebuie să fie adecvate, relevante şi limitate la ceea ce este necesar în raport de scopurile în care sunt prelucrate ("reducerea la minim a datelor")".

Din coroborarea celor două dispoziţii din Regulament rezultă cu evidenţă că recurenta-pârâtă a apreciat în mod eronat că dispoziţiile art. 6 lit. f) din Regulament nu îi sunt aplicabil deoarece "lit. f) din primul paragraf nu se aplică în cazul prelucrării efectuate de autorităţi publice, în îndeplinirea atribuţiilor lor", textul la care s-a făcut referire nefiind incident speţei.

Aşa cum corect a reţinut şi instanţa de fond, în cauză nu se discută prelucrarea de date cu caracter personal de către autoritatea publică în îndeplinirea unor atribuţii ale acesteia, ci este vorba despre o solicitare de prelucrare provenind din partea unui terţ, care invocă faptul că această prelucrare este în scopul intereselor legitime ale acestuia.

În aceste condiţii, recurenta-pârâtă avea obligaţia să verifice dacă sunt îndeplinite condiţiile prevăzute de text, respectiv dacă intimata-reclamantă justifică un interes legitim iar în legătură cu prelucrarea solicitată, nu prevalează interesele sau drepturile şi libertăţile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal.

De asemenea, autoritatea solicitată avea obligaţia de a verifica dacă prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane.

Or, interesul legitim al intimatei-reclamante prevăzut de art. 6 lit. f) din Regulament constă în remedierea de urgenţă a nereguralităţilor de ordin tehnic identificate la autovehicule marca A. incluse în campania de rechemare în service, în scopul protejării vieţii şi a integrităţii corporale atât a şoferului şi pasagerilor autoturismelor în cauză, dar şi a celorlalţi participanţi la trafic.

Astfel, în mod corect a constatat instanţa de fond că solicitarea intimatei de comunicare a datelor cu caracter personal se încadrează atât în ipoteza de la art. 6 lit. d) cât şi în ipoteza de la art. 6 lit. f) din Regulamentul UE 2016/679, prelucrarea fiind solicitată cu justificarea interesului legitim al terţului, în scopul protejării intereselor vitale ale persoanelor vizate de prelucrare şi al altor persoane, aceasta fiind aşadar adecvată, relevantă şi limitată la ceea ce este necesar în raport de scopul pentru care s-a solicitat această prelucrare.

Pe cale de consecinţă, refuzul autorităţii pârâte de comunicare a datelor cu caracter personal ale acelor proprietari care nu au putut fi înştiinţaţi prin scrisoare recomandată asupra defecţiunilor tehnice ale autovehiculelor pe care le deţin în proprietate, are caracter nejustificat, în sensul art. 2 alin. (1) lit. i) din Legea nr. 554/2004.

Dispoziţiile legale reglementate de art. 11 din O.U.G. nr. 195/2002, invocate de către recurenta-pârâtă în sprijinul cererii sale, nu sunt relevante în cauză întrucât, indiferent dacă Registrul Naţional de Evidenţă al permiselor de conducere şi vehiculelor înmatriculate este sau nu integral actualizat, pe motiv că unii dintre proprietari de autovehicule nu îşi îndeplinesc în termenul legal obligaţia de a-şi înmatricula autovehiculelele pe propriul nume, recurenta-pârâtă deţine datele cu caracter personal la comunicarea cărora a fost obligată prin sentinţa recurată.

Pe de altă parte, câtă vreme intimata-reclamantă nu este încunoştiinţată în cazul înstrăinării autovehiculelor către alte persoane, susţinerea recurentei în sensul că, în calitate de agent comercial, reprezentantă în România a firmei producătoare a vehiculelor marca x cuprinse în campania de rechemare, aceasta se află în posesia datelor cu caracter personal ale proprietarilor acestora, menţionate în contractele de vânzare - cumpărare a respectivelor vehicule, astfel încât poate realiza informarea acestora cu privire la vehiculele neconforme tehnic pe care le-a întrăinat acestora, este lipsită de suport.

III. Temeiul legal al soluţiei instanţei de recurs

Pentru considerentele prezentate anterior, nefiind identificate motive de reformare a sentinţei din perspectiva art. 488 alin. (1) pct. 6 şi 8 C. proc. civ., Înalta Curte în baza art. 20 din Legea nr. 554/2004 şi art. 496 C. proc. civ. va respinge recursul formulat de pârâta Direcţia Regim Permise de Conducere şi Înmatriculare a Vehiculelor, ca nefondat.

PENRU ACESTE MOTIVE

ÎN NUMELE LEGII

D E C I D E

Respinge recursul formulat de pârâta Direcţia Regim Permise de Conducere şi Înmatriculare a Vehiculelor împotriva sentinţei nr. 513 din 29 iunie 2020 a Curţii de Apel Bucureşti, secţia a IX-a contencios administrativ şi fiscal, ca nefondat.

Definitivă.

Pronunţată în şedinţă publică, astăzi, 27 septembrie 2022.