Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal avertizeaza ca operatorilor de date si institutiilor publice din Romania, inclusiv Directia Nationala Anticoruptie (DNA) si Agentia Nationala de Cadastru si Publicitate Imobiliara (ANCPI), le este interzis sa faca schimb de date cu caracter personal, fara a informa persoanele vizate de anchete si invocand prevederile unor protocoale nepublice. Precizarea Autoritatii se regaseste intr-un raspuns acordat, in februarie 2017, unui cetatean care a semnalat practica de la DNA si Agentia Nationala de Cadastru unde, in virtutea unui protocol secret, se permite procurorilor accesul nestingherit la bazele de date existente la ANCPI. Mai grav este ca, din informatiile noastre exista 21 de astfel de protocoale care permit DNA acces la baze de date cu caracter personal. Doua dintre aceste protocoale au fost publicate si de Lumeajustitiei.ro, respectiv protocolul DNA cu Inspectoratul General pentru Imigrari, si protocolul incheiat intre DNA si Agentia de Cadastru. Daca aceasta practica ar continua, procurorii ar obtine automat date la care in mod normal nu ar avea acces decat in baza unor solicitari, putand oricand sa acceseze informatii, fara a se putea verifica ce date au solicitat si accesat, pe cine au verificat si care era rolul acestor verificari. Practic, in baza unor protocoale nepublice, oricine are acces la cont poate afla date (precum domiciliu, proprietati, masini, conturi) despre o persoana care face sau nu obiectul unor verificari ale procurorilor.

Or, conform raspunsului Autoritatii Nationale de Supraveghere a Prelucrarii Datelor cu Caracter Personal pe care Lumeajustitiei.ro il publica in exclusivitate, acordat cetateanului a carui identitate o vom proteja, Legea nr. 677/2001 pentru protectia persoanelor cu privire la prelucrarea datelor cu caracter personal si libera circulatie a acestor date interzice prelucrarea de date personale fara "consimtamantul persoanei in cauza, dat in mod expres si neechivoc". Aceeasi pozitie a adoptat-o recent si CJUE in cauza "Smaranda Bara si altii", unde a statuat ca nu este permisa prelucrarea datelor cu caracter personal, fara informarea prealabila a celor vizati.

In concret, Curtea de Justitie a Uniunii Europene a stabilit in cauza "Smaranda Bara si altii" ca in Romania au fost transmise informatii intre autoritatile publice, nu prin intermediul unor masuri legislative, ci in baza unor protocoale de colaborare nepublice, fapt care aduce atingere dreptului la informare al cetateanului si incalca prevederile Directivei 95/46/CE a Parlamentului European si a Consiliului din 24 octombrie 1995 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si libera circulatie a acestor date.

In cuprinsul Directivei se stabileste clar ca Parlamentul European si Consiliul European se opun unor masuri nationale care permit unei autoritati a administratiei publice a unui stat membru sa transmita date personale unei alte autoritati a administratiei publice si prelucrarea lor ulterioare, fara ca persoanele vizate sa fi fost informate despre aceasta transmitere sau despre aceasta prelucrare.

In Romania insa, desi la art. 12 din Legea nr. 677/2001 se invoca faptul ca informarea persoanei vizate reprezinta un drept pe care trebuie sa il respecte "toti operatorii de date cu caracter personal (inclusiv de ANCPI si DNA), indiferent de conditiile de legitimitate a prelucrarii datelor, respectiv la consimtamant sau in baza unor exceptii", acest lucru nu se intampla, dovada fiind chiar solicitarea adresata de cetateanul a carui identitate o protejam.

De precizat ca Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal efectueaza in prezent investigatii din oficiu fata de modul in care institutiile publice fac schimb de informatii, in baza protocoalelor incheiate – multe dintre ele nepublice – si nu in baza masurilor legislative.

Iata ce se precizeaza in raspunsul acordat de Autoritate:

"Subliniem ca prin hotararea din Cauza Smaranda Bara si altii (C-201/14, Curtea de Justitie a Uniunii Europene a statuat faptul ca articolele 10, 11 si 13 din Directiva 95/46/CE trebuie interpretate in sensul ca se opun unor masuri nationale care permit unei autoritati a administratiei publice a unui stat membru sa transmita date personale unei alte autoritati a administratiei publice si prelucrarea lor ulterioare, fara ca persoanele vizata sa fie fost informate despre aceasta transmitere sau despre aceasta prelucrare.

Asadar, cerinta prelucrarii corecte a datelor personale prevazute la art. 12 din Legea nr. 677/2001 ce implementeaza art. 6 din Directiva 95/46 obliga o autoritate a administratiei publice sa informeze persoanele vizate despre transmiterea acestor date unei alte autoritati a administratiei publice in vederea prelucrarii de catre aceasta din urma in calitate de destinatar al datelor mentionate.

Raportat la acest aspect, Autoritatea nationala de supraveghere subliniaza faptul ca dreptul garantat de art. 12 din Legea nr. 677/2001 trebuie respectat de catre toti operatorii de date cu caracter personal (inclusiv de ANCPI si DNA), indiferent de conditiile de legitimitate a prelucrarii datelor, respectiv la consimtamant sau in baza unor exceptii.

Autoritatea nationala de supraveghere atrage atentia asupra necesitatii respectarii dreptului la informare al persoanei vizate (...) pentru a da posibilitatea persoanei respective sa reactioneze in consecinta.

Totodata, mentionam ca prin hotararea pronuntata in Cauza Smaranda Bara si altii, instanta Uniunii Europene a constatat ca informatiile transmise intre autoritati publice, precum si modalitatile de efectuare a transmiterii acestora au fost stabilite nu prin intermediul unei masuri legislative, ci prin intermediul unui protocol, care nu a facut obiectul unei publicari oficiale."

Iata raspunsul Autoritatii nationale de supraveghere a prelucrarii datelor cu caracter personal:

Iata care sunt cerintele prelucrarii corecte a datelor personale, asa cum sunt prevazut la art. 12 "Informarea persoanei vizate" din Capitolul IV "Drepturile persoanei vizate in contextul prelucrarii datelor cu caracter personal" al Legii nr. 677/2001, actualizata, pe care are obligatia de a le respecta si DNA si ANCPI:

"(1) In cazul in care datele cu caracter personal sunt obtinute direct de la persoana vizata, operatorul este obligat sa furnizeze persoanei vizate cel putin urmatoarele informatii, cu exceptia cazului in care aceasta persoana poseda deja informatiile respective:

a) identitatea operatorului si a reprezentantului acestuia, daca este cazul;

b) scopul in care se face prelucrarea datelor;

c) informatii suplimentare, precum: destinatarii sau categoriile de destinatari ai datelor; daca furnizarea tuturor datelor cerute este obligatorie si consecintele refuzului de a le furniza; existenta drepturilor prevazute de prezenta lege pentru persoana vizata, in special a dreptului de acces, de interventie asupra datelor si de opozitie, precum si conditiile in care pot fi exercitate;

d) orice alte informatii a caror furnizare este impusa prin dispozitie a autoritatii de supraveghere, tinand seama de specificul prelucrarii.

(2) in cazul in care datele nu sunt obtinute direct de la persoana vizata, operatorul este obligat ca, in momentul colectarii datelor sau, daca se intentioneaza dezvaluirea acestora catre terti, cel mai tarziu pana in momentul primei dezvaluiri, sa furnizeze persoanei vizate cel putin urmatoarele informatii, cu exceptia cazului in care persoana vizata poseda deja informatiile respective:

a) identitatea operatorului si a reprezentantului acestuia, daca este cazul;

b) scopul in care se face prelucrarea datelor;

c) informatii suplimentare, precum: categoriile de date vizate, destinatarii sau categoriile de destinatari ai datelor, existenta drepturilor prevazute de prezenta lege pentru persoana vizata, in special a dreptului de acces, de interventie asupra datelor si de opozitie, precum si conditiile in care pot fi exercitate;

d) orice alte informatii a caror furnizare este impusa prin dispozitie a autoritatii de supraveghere, tinand seama de specificul prelucrarii.

(3) Prevederile alin. (2) nu se aplica atunci cand prelucrarea datelor se efectueaza exclusiv in scopuri jurnalistice, literare sau artistice, daca aplicarea acestora ar da indicii asupra surselor de informare.

(4) Prevederile alin. (2) nu se aplica in cazul in care prelucrarea datelor se face in scopuri statistice, de cercetare istorica sau stiintifica, ori in orice alte situatii in care furnizarea unor asemenea informatii se dovedeste imposibila sau ar implica un efort disproportionat fata de interesul legitim care ar putea fi lezat, precum si in situatiile in care inregistrarea sau dezvaluirea datelor este expres prevazuta de lege".

In mod exceptional, precizeaza Autoritatea, "datele cu caracter personal pot fi prelucrate (inclusiv dezvaluite) de catre un operator, fara consimtamantul persoanei vizate, in mai multe situatii de exceptie, de stricta interpretare si aplicare, reglementate de art. 5 alin. (2) din Legea nr. 677/2001".

Iata ce prevede art. 5 alin (2) din Capitolul II Reguli generale privind prelucrarea datelor cu caracter personal din Legea 677/2001, actualizata:

"Art. 5

Conditii de legitimitate privind prelucrarea datelor

(1) Orice prelucrare de date cu caracter personal, cu exceptia prelucrarilor care vizeaza date din categoriile mentionate la art. 7 alin. (1), art. 8 si 10, poate fi efectuata numai daca persoana vizata si-a dat consimtamantul in mod expres si neechivoc pentru acea prelucrare.

(2) Consimtamantul persoanei vizate nu este cerut in urmatoarele cazuri:

a) cand prelucrarea este necesara in vederea executarii unui contract sau antecontract la care persoana vizata este parte ori in vederea luarii unor masuri, la cererea acesteia, inaintea incheierii unui contract sau antecontract;

b) cand prelucrarea este necesara in vederea protejarii vietii, integritatii fizice sau sanatatii persoanei vizate ori a unei alte persoane amenintate;

c) cand prelucrarea este necesara in vederea indeplinirii unei obligatii legale a operatorului;

d) cand prelucrarea este necesara in vederea aducerii la indeplinire a unor masuri de interes public sau care vizeaza exercitarea prerogativelor de autoritate publica cu care este investit operatorul sau tertul caruia ii sunt dezvaluite datele;

e) cand prelucrarea este necesara in vederea realizarii unui interes legitim al operatorului sau al tertului caruia ii sunt dezvaluite datele, cu conditia ca acest interes sa nu prejudicieze interesul sau drepturile si libertatile fundamentale ale persoanei vizate;

f) cand prelucrarea priveste date obtinute din documente accesibile publicului, conform legii;

g) cand prelucrarea este facuta exclusiv in scopuri statistice, de cercetare istorica sau stiintifica, iar datele raman anonime pe toata durata prelucrarii.

(3) Prevederile alin. (2) nu aduc atingere dispozitiilor legale care reglementeaza obligatia autoritatilor publice de a respecta si de a ocroti viata intima, familiala si privata."

UPDATE – 16.03.2017 

Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal a trimis Lumeajustitiei.ro un drept la replica:

„In vederea asigurarii unei informari corecte a opiniei publice, fata de articolul publicat pe site-ul www.luju.ro, pe data de 15 martie 2017, orele 19.22, de catre dna Elena Dumitrache, Autoritatea de Supraveghere solicita publicarea urmatorului drept la replica:

Autoritatea de Supravghere se delimiteaza de formularea eronata si denaturata folosita de autoare in titlul articolului, ce conduce in mod gresit la ideea ca Autoritatea Nationala de Supraveghere 'condamna intruziunea DNA si a altor institutii de forta in viata privata a cetatenilor, pe baza protocoalelor secrete'.

Asa cum se poate observa din raspunsul Autoritatii de Supraveghere, invocat in continutul articolului si publicat, transmis unei persoane fizice, acesta a fost formulat in deplina concordanta cu prevederile Legii nr. 677/2001, ale jurisprudentei CJUE si potrivit atributiilor stabilite de Legea nr. 102/2005 care reglementeaza organizarea si functionarea Autoritatii Nationale de Supraveghere.

Prin urmare, tinand cont de continutul raspunsului transmis petitionarului, punctul de vedere exprimat intr-o maniera proprie de catre autoarea articolului, in titlul acestuia, nu reprezinta opinia Autoritatii”.