Aplicarea în România a dispozițiilor art. 57 din RGPD, privind sarcinile autorității de supraveghere

Universuljuridic.ro PREMIUM

Aici găsiți informaţiile necesare desfăşurării activităţii dvs. profesionale.

Universuljuridic.ro PREMIUM pune la dispoziția profesioniștilor lumii juridice un prețios instrument de pregătire profesională. Oferim un volum vast de conținut: articole, editoriale, opinii, jurisprudență și legislație comentată, acoperind toate domeniile și materiile de drept. Clar, concis, abordăm eficient problematicile actuale, răspunzând scenariilor de activitate din lumea reală, în care practicienii activează.

Testează ACUM beneficiile Universuljuridic.ro PREMIUM prin intermediul abonamentului GRATUIT pentru 7 zile!

Observăm astfel că ANSPDCP are calitate de autoritate competentă în materia protecției datelor cu caracter personal atât din perspectiva Uniunii Europene cât și a Consiliului Europei. Legea nr. 102/2005, republicată, precizează în textul art. 1 alin. (2) că obiectivul ANSPDCP este acela de apărare a „drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului la viață intimă, familială și privată, în legătură cu prelucrarea datelor cu caracter personal și cu libera circulație a acestor date” și menționează inclusiv garanțiile de independență pe care Regulamentul le prevede iar statul român se obligă să le asigure pentru autoritatea națională de supraveghere.

3. Sarcinile autorităților naționale de supraveghere

Categoriile de sarcini ale autorităților de supraveghere, strâns legate de competența teritorială, dar mai ales de competențele pe care aceste autorități le au, sunt prevăzute, nelimitativ, în textul art. 57 din regulament și subliniază o dată în plus rolul pe care GDPR îl conferă acestor autorități în arhitectura instituțională. Observăm faptul că am utilizat deja termenul de competență, dar și pe cel de competențe și nu este întâmplător, întrucât forma în limba română a GDPR introduce aceste noțiuni, în textele art. 55, art. 56 și, respectiv art. 58, incluse în Secțiunea 2 a Capitolului VI, denumită abilitări, sarcini și competențe. Spre deosebire de formele în limba franceză, care se referă la compétence, missions et pouvoirs, sau în limba engleză, care menționează competence, tasks and powers, observăm că în limba română, deși titlul secțiunii se referă la abilitări, textele menționează competența, sarcinile și competențele, când ar fi fost mult mai corect și explicit să fie menționate competența, sarcinile și puterile sau, după caz, misiunile autorității, fiind evitate astfel eventualele confuzii. Utilizăm însă termenii menționați în forma în limba română, înțelegând că abilitarea autorității de supraveghere de a-și îndeplini sarcinile și de a-și exercita competențele teritoriale este strâns legată de sarcinile și competențele/puterile/misiunile autorității de supraveghere, prevăzute de art. 58 din regulament dar și de actele normative ale statelor membre, prin care autoritatea națională a fost instituită.

Subliniem faptul că alin. (1) al art. 57 din regulament menționează 22 de categorii de sarcini ale autorității de supraveghere. Calificăm aceste sarcini ca fiind minimale și nelimitative întrucât chiar textul introductiv precizează că aceste sarcini vor fi exercitate „fără a aduce atingere altor sarcini stabilite în temeiul prezentului regulament”, alin. (6) al art. 57 instituie posibilitatea statelor membre de a prevedea, în dreptul intern și alte competențe, fără afectarea modului „de operare eficientă a capitolului VII” privind mecanismele de cooperare și coerență, iar textul art. 57 alin. (1) lit. (v) prevede că autoritatea „îndeplinește orice alte sarcini legate de protecția datelor cu caracter personal”.

În opinia noastră nu poate fi realizată o ierarhizare a sarcinilor, toate fiind de natură să contribuie la asigurarea rolului important pentru care autoritatea de supraveghere a fost înființată. Cu toate acestea, semnalăm sarcinile referitoare la monitorizarea și aplicarea GDPR, inclusiv pe cele pe cele de promovare, sensibilizare și explicare a riscurilor, normelor și garanțiilor, dar și a drepturilor și obligațiilor pe care GDPR le reglementează, pe cele de consiliere și cooperare, respectiv participare la luarea deciziilor în cadrul mecanismului de cooperare și coerență, pe cele referitoare la clauzele-standard, elaborarea codurilor de conduită și stabilirea mecanismelor de certificare ori ținerea unor liste și evidențe esențiale pentru aplicarea uniformă a GDPR, dar și pe cele de soluționare a plângerilor, de efectuare a investigațiilor, de dispunere a măsurilor necesare și de aplicare a sancțiunilor în cazul încălcărilor, pe care le detaliem pe parcursul studiului nostru. Subliniem în context obligativitatea cooperării cu autoritatea de supraveghere, pentru îndeplinirea sarcinilor acesteia, reglementată în textul art. 31 din regulament, pentru operator și persoana împuternicită de acesta și observăm că modul de îndeplinire a acestei obligații este avut în vedere la individualizarea măsurilor corective pe care autoritatea le aplică^[17].

Recunoscând în mod implicit importanța exercitării de către persoana vizată a drepturilor pe care regulamentul i le conferă, dar și rolul responsabilului cu protecția datelor^[18] în cadrul sistemului de protecție a datelor, alin. (3) al art. 57 prevede gratuitatea îndeplinirii sarcinilor autorității în relația cu aceste două subiecte ale GDPR, iar alin. (2) instituie obligația de a facilita depunerea plângerilor inclusiv prin punerea la dispoziție a unui formular ce poate fi completat electronic, fără a se limita la aceasta.

În temeiul acestor dispoziții, art. 1 alin. (3) din Legea nr. 102/2005 a instituit o normă de trimitere la regulament și la legislația națională de transpunere a Directivei (UE) nr. 2016/680, stabilind astfel principalele atribuții ale ANSPDCP, iar în capitolul IV al legii a fost detaliat modul de exercitare a atribuțiilor de control și de soluționare a plângerilor și au fost instituite temeiuri legale pentru aprobarea procedurilor specifice prin decizie a președintelui autorității.

De asemenea, art. 41 din Legea nr. 284/2018, instituie norme pentru monitorizarea de către ANSDPCP a aplicării actului normativ, inclusiv în ceea ce privește transferul în străinătate al datelor cu caracter personal ce intră sub incidența legii, atribuțiile de primire, investigare, verificare a legalității prelucrărilor și soluționare a plângerilor, precum și pe cele referitoare la control. De asemenea, conține dispoziții privind auditarea operațiunilor, în mod sistematic, dar și consilierea, la cerere, a oricărei persoanei vizate, „cu privire la exercitarea drepturilor sale în contextul prelucrării datelor cu caracter personal în cadrul Sistemului de evidență a datelor PNR”. Semnalăm că prin toate aceste dispoziții legale au fost transpuse în dreptul intern normele prevăzute în mod succint de art. 15 din Directiva (UE) nr. 2016/681.

În strânsă legătură cu exercitarea sarcinilor, din analiza dispozițiilor art. 58 din regulament, ale art. 47 din Directiva (UE) nr. 2016/680  și ale art. 15 alin. (3) și (4) din Directiva (UE) nr. 2016/681 putem constata că autoritatea de supraveghere are trei categorii de competențe: competențe de investigare, competențe corective și competențe de autorizare și consiliere. Am detaliat cu alte prilejuri mai ales primele două categorii de competențe și specificul aplicării acestora în dreptul românesc^[19]. Semnalăm însă în acest context faptul că Legea nr. 102/2001, precum și Legea nr. 363/2018, mai ales în textul art. 53 și urm., pun în aplicare dispozițiile europene referitoare la competențele autorității de supraveghere și instituie temeiurile legale pentru reglementarea unora dintre procedurile aplicabile, prin decizie a președintelui ANSPDCP^[20].

Astfel, potrivit dispozițiilor legale, ANSPDCP are toate competențele de investigare prevăzute la alin. (1), precum și toate competențele corective prevăzute la alin. (2) al art. 58 din regulament, iar prin Legea nr. 102/2005 aceste competențe au fost reglementate în secțiunea privind exercitarea atribuțiilor de control și de soluționare a plângerilor^[21], întrucât activitatea de control, ce presupune realizarea unor investigații, se poate finaliza cu aplicarea unor măsuri corective și poate fi realizată nu doar din oficiu ci și ca urmare a unei plângeri depusă de persoana vizată^[22]. În opinia noastră este important de precizat și faptul că, în exercitarea competențelor de investigare, ANSPDCP poate solicita orice informații necesare îndeplinirii sarcinilor sale, poate obține acces, în condițiile legii, la toate datele și la toate informațiile respective, precum și la oricare dintre incintele și echipamentele entității investigate, însă aceste competențe sunt însoțite de garanții eficiente pe care nu doar GDPR ci și legea națională le reglementează.

Așa cum menționam mai sus, procedura de soluționare a plângerilor sau, după caz, procedura de investigare, poate fi finalizată și prin aplicarea uneia dintre măsurile presupuse de cele zece categorii de competențe corective prevăzute de alin. (2) al art. 58 din regulament. Textul descrie măsurile pe care autoritatea de supraveghere le poate dispune pentru încălcările produse, sau chiar înainte de producerea acestora, în cazul prevăzut la art. 58 alin. (2) lit. a), pentru a preveni o încălcare și, în opinia noastră, urmăresc nu doar sancționarea operatorului sau a persoanei împuternicite, ci, inclusiv prin denumirea lor, au ca scop și corectarea conduitei acestora. Deși GDPR este cunoscut și discutat mai ales din cauza uneia dintre competențele corective, cea prevăzută de art. 58 alin. (2) lit. i), potrivit căruia autoritățile de supraveghere au competența „de a impune amenzi administrative în conformitate cu articolul 83, în completarea sau în locul măsurilor menționate la prezentul alineat, în funcție de circumstanțele fiecărui caz în parte”, toate celelalte sunt importante și au reverberații nu doar în conduita entității controlate ci, în opinia noastră, inclusiv în planul imaginii publice și al încrederii persoanelor vizate în entitatea căreia i-a fost aplicată o sancțiune, indiferent de natura acesteia.

Semnalăm și faptul că art. 83 din regulament stabilește condițiile generale pentru impunerea amenzilor administrative, încălcările ce sunt supuse sancționării și mecanismele pentru a se asigura, la nivelul tuturor statelor membre, un sistem sancționator care să respecte inclusiv cerințele de eficacitate, proporționalitate și disuasivitate prevăzute de art. 84 și de considerentele din preambulul regulamentului. O normă distinctă, care a determinat deja câteva analize și modificări ale legislației naționale este cea conținută de art. 83 alin. (7) din GDPR, în conformitate cu care „fără a aduce atingere competențelor corective ale autorităților de supraveghere (…) fiecare stat membru poate prevedea norme prin care să se stabilească dacă și în ce măsură pot fi impuse amenzi administrative autorităților publice și organismelor publice stabilite în statul membru respectiv”.

Pe baza acestui temei, în Legea nr. 102/2005, precum și în Legea nr. 190/2018^[23] au fost introduse norme prin care echivalentul național al amenzilor administrative din regulament sunt sancțiunile contravenționale, care permit sancționarea entităților private sau publice cu avertisment sau cu amendă contravențională, care califică, chiar și prin trimitere la dispozițiile RGPD, diverse încălcări ca fiind contravenții, sau care instituie un regim sancționator mult mai favorabil pentru autoritățile și organismele publice. Acest regim sancționator mai favorabil stabilește limite minime și maxime ale amenzilor contravenționale precum și o procedură distinctă de aplicare, fazată în două etape, ultima nefiind însă obligatorie. Detaliile și limitele aplicării unei astfel de proceduri nu fac obiectul studiului nostru actual, însă subliniem faptul că acest regim sancționator distinct este corelat cu cel instituit prin Directiva (UE) nr. 2016/680 și cu cel instituit prin Directiva (UE) nr. 2016/681, respectiv prin legile naționale de transpunere a acestora. Considerăm că aplicarea oricăreia dintre măsurile corective este importantă pentru că ea va conduce, implicit, la conformarea activității entității sancționate cu dispozițiile legale privind protecția datelor. Dar mai ales publicitatea pe care ANSPDCP o face amenzilor contravenționale aplicate până în acest moment doar organismelor private, dacă ar fi mai detaliată, ar putea contribui, în opinia noastră, la îndrumarea aplicării GDPR și, pentru viitor, la evitarea regimului sancționator^[24].

Avem convingerea că dacă toate măsurile corective aplicate de ANSPDCP ar fi publice, acestea ar contribui și la conformarea activității altor entități, nu doar a celor sancționate și scopul preventiv al aplicării acestora ar fi atins. Cunoaștem însă faptul că nici regulamentul și nici legislația internă nu impun o astfel de obligație în sarcina ANSPDCP, însă considerăm că ea poate fi adoptată ca bună practică, mai ales că o astfel de evidență este realizată, în condițiile în care autoritatea de supraveghere are obligația, potrivit dispozițiilor art. 57 alin. (1) lit. u) din regulament, de a „menține la zi evidențe interne privind încălcările prezentului regulament și măsurile luate, în special avertismentele emise și sancțiunile impuse în conformitate cu articolul 58 alineatul (2)”, iar din analiza textelor art. 59 din regulament, art. 49 din Directiva (UE) nr. 2016/680, art. 5 din Legea nr. 102/2005 și art. 55 din Legea nr. 363/2018, ce reglementează rapoartele de activitate pe care autoritățile de supraveghere le întocmesc anual, le prezintă în fața autorităților competente și le aduc la cunoștința publică și care prevăd posibilitatea includerii în aceste rapoarte a unor liste a tipurilor de încălcări notificate și a tipurilor de măsuri aplicate potrivit legii, rezultă că nimic nu împiedică ANSPDCP să realizeze un registru public al încălcărilor, al măsurilor dispuse și, implicit, în care să fie motivate aceste măsuri, respectiv în care să se regăsească și eventualele soluții ori trimiteri la acestea, pe care instanțele competente le vor formula. De altfel, ANSPDCP a publicat și analize statistice ale activității sale, fiind evidențiate inclusiv numărul de plângeri, sesizări și notificări primite și de investigații efectuate, tipurile de măsuri corective aplicate și categoriile de încălcări care au condus la aplicarea acestora^[25].

În acest context semnalăm și dispozițiile art. 48 din Directiva (UE) nr. 2016/680, transpuse prin textul art. 54 din Legea nr. 363/2018, referitoare la instituirea, de către autoritățile naționale, a unor „mecanisme eficiente de încurajare a denunțării confidențiale a cazurilor de încălcare” a directivei, precizând că, în opinia noastră, un astfel de rol poate fi exercitat, confidențial sau nu, și de responsabilul cu protecția datelor, de organismele neguvernamentale specializate în protecția datelor sau în apărarea drepturilor fundamentale ori, după caz, oficial, de către Avocatul Poporului, în exercitarea competențelor constituționale și legale, de a sesiza direct Curtea Constituțională cu excepția de neconstituționalitate a legilor și ordonanțelor, respectiv de a sesiza autoritățile competente pentru a stopa încălcările drepturilor și libertăților persoanelor fizice, inclusiv cel la protecția datelor^[26].

Cea de-a treia categorie de competențe ale autorităților de supraveghere, reglementată de art. 58 alin. (3) din regulament, o constituie competențele de autorizare și consiliere, corespunzătoare sarcinilor menționate anterior. Aceste competențe nu vizează doar autorizare și consiliere în sensul limitativ al noțiunilor, ci și avizare, acreditare, certificare, adoptarea unor clauze-standard sau aprobarea regulilor corporatiste obligatorii, în condițiile GDPR.

De asemenea, apreciem ca fiind foarte importante sarcinile și competențele autorităților de supraveghere, prevăzute ca obligații sau ca posibilități de acțiune, în alte articole ale GDPR, cum ar fi obligația prevăzută de art. 35 alin. (4), de a întocmi și publica, respectiv de a comunica ulterior, Comitetului european pentru protecția datelor, „o listă a tipurilor de operațiuni de prelucrare care fac obiectul cerinței de efectuare a unei evaluări a impactului asupra protecției datelor”^[27], precum și posibilitatea inclusă în textul alin. (5) al aceluiași articol, de a stabili și pune „la dispoziția publicului o listă a tipurilor de operațiuni de prelucrare pentru care nu este necesară evaluarea impactului asupra protecției datelor”. La fel de importantă este în opinia noastră și obligația de consultare prealabilă a autorității de supraveghere, reglementată de art. 36 din regulament, instituită pentru operator „înainte de prelucrare, atunci când evaluarea impactului asupra protecției datelor prevăzută de la articolul 35 indică faptul că prelucrarea ar genera un risc ridicat în absența unor măsuri luate de operator pentru atenuarea riscului” [alin. (1)], precum și pentru statele membre ce au obligația de a consulta „autoritatea de supraveghere în cadrul procesului de pregătire a unei propuneri de măsură legislativă care urmează să fie adoptată de un parlament național sau a unei măsuri de reglementare întemeiate pe o astfel de măsură legislativă, la care se referă prelucrarea” [alin. (4)] și crearea temeiului pentru ca dreptul intern să poată „impune operatorilor să se consulte cu autoritatea de supraveghere și să obțină în prealabil autorizarea din partea acesteia în legătură cu prelucrarea de către un operator în vederea îndeplinirii unei sarcini exercitate de acesta în interes public, inclusiv prelucrarea în legătură cu protecția socială și sănătatea publică” [alin. (5)], precum și obligația corelativă instituită în sarcina autorității de supraveghere de a oferi consiliere în scris, în cazurile și în condițiile reglementate de art. 36.

4. Concluzii

Am adus toate aceste exemple pentru a sublinia concluzia esențială a studiului nostru, prin care argumentăm că aplicarea acestor norme de drept european este realizată nu doar prin aplicarea directă a regulamentului, ci și prin norme de drept administrativ, astfel încât instituțiile reglementate să poată să își desfășoare, efectiv, activitatea și să își exercite sarcinile, în sistemul de drept românesc.

Observăm astfel și faptul că interdisciplinaritatea are nuanțe din ce în ce mai accentuate, mai ales atunci când vorbim despre aplicarea dreptului european într-un sistem de drept administrativ intern, în conformitate cu principiile constituționale și cu normele care guvernează activitatea unei instituții cum este autoritatea de supraveghere din România.

Considerăm important să subliniem și ideea de europenizare tot mai accentuată a dreptului administrativ, iar exemplul reglementării sarcinilor autorității de supraveghere este unul care, în opinia noastră sprijină această idee, inclusiv în contextul în care în doctrina de drept european astfel de instituții sunt considerate ambasadori europeni în România, luându-se în considerare autonomia lor accentuată și se aduc argumente substanțiale potrivit cărora acestea fac parte din sistemul administrativ intern însă, în același timp, sunt parte componentă  sistemului administrativ european.