Mare agitație în aceasta frumoasă dimineață de 15 mai 2020. Au fost publicate pe site-ul Ministerului Afacerilor Interne măsurile de prevenire și control a infecțiilor aplicabile pe durata stării de alertă în cadrul unei anexe la Hotararea CNSSU 24/14.05.2020. In plus, Ordinul 3577/831/2020 emis de Ministerul Muncii si Protectiei Sociale si de Ministerul Sanatatii prevede ca angajatorul are obligatia sa desemneze un responsabil pentru verificarea temperaturii tuturor persoanelor care intră în unitate/instituţie si sa asigure triajul observaţional al angajaţilor prin verificarea temperaturii acestora la începerea programului de lucru şi ori de câte ori este necesar pe parcursul programului. Conform aceluiasi document, pe durata stării de alertă, pentru prevenirea răspândirii COVID-19, toţi angajaţii din sectorul public şi privat au obligaţia sa accepte verificarea temperaturii corporale la intrarea în sediu, la începutul programului şi ori de câte ori revin în sediu.

Dacă în țări europene, precum Belgia, Olanda și Franța, măsurarea temperaturii ca indicator al unei posibile infectări cu virusul SARS-Cov-2 este interzisă, în România această practică tocmai a devenit obligație legală pentru instituțiile și autoritățile publice, precum și operatorii economici publici și privați, altfel spus pentru toți operatorii care își desfășoară activitatea în incinte închise.

Din punct de vedere al prelucrării datelor cu caracter personal, în România, prelucrarea acestor date de face în regim de legalitate, fiind o obligație legală începând de azi. Dar, chiar dacă nu mai avem stresul identificării temeiului legal, această prelucrare trebuie să țină cont și să respecte principiile și obligațiile impuse de GDPR (principiul confidentialitatii, principiul transparentei, principiul minimalizarii si obligatia protectiei datelor de catre operator prin implementarea măsurilor tehnice si organizatorice adecvate ).

Măsurarea temperaturii angajaților

Toți operatorii care desfășoară activitate în spații închise, pe perioada stării de alertă, au obligația conform art. 2 (a) să "asigurare triajul epidemiologic constând în controlul temperaturii personalului propriu și a vizitatorilor, la punctele de control-acces în incinte". Practic, deducem de aici că la intrarea în incintă personal specializat (medic, asitent medical) sau instruit (portar, responsabil numit) va măsura temperatura și va condiționa accesul în incintă. Dacă vorbim de "triajul epidemiologic" care va cuprinde și verificarea altor indicatori decât temperatura, prelucrarea acestor informații se va face obligatoriu de către un cadrul medical, respectând confidențialitatea.

Ca o măsură organizatorică adecvată, recomandăm utilizarea unui tabel nominal care să conțină numele angajatului și dacă temperatura măsurată este sub 37,3 grade, sa se facă un simplu semn de tip "bifă", fără a nota valoarea măsurată și să îi fie permis accesul. Această listă ar trebui să fie păstrată într-o mapă închisă, accesul la aceasta fiind restricționat doar unui grup restrâns de persoane, în mod justificat. La finalul turei personalului specializat sau instruit care desfășoară aceste măsurători, această listă va fi predată unui responsabil unic cu arhivarea și păstrată pentru un termen de maxim 30 de zile, fiind pusă la dispoziția autorităților care realizează anchete epidemiologice, dacă este cazul.

Ca o măsură organizatorică adecvată, recomandam utilizarea numărului de marcă în locul numelui și prenumelui, instituind astfel o metodă de prelucrarea a datelor pseudoanonimizate și reducând nivelul de risc în cazul unei breșe de securitate prin accesarea datelor de către o persoană neautorizata. 

În cazul în care, temperatura măsurată depășește valoarea de 37,3 grade, personalul specializat sau instruit va interzice accesul angajatului în incintă, va nota în dreptul numelui valoarea măsurată ( eventual se va repeta manevra de măsurare pentru a elimina pe cât posibil erorile de măsurare).

Cea mai mare provocare este modul în care se pot realiza aceste măsurători în condiții de confidențialitate, asigurând astfel și dreptul la intimitate. Fiind o obligație legală, operatorul va putea efectua triajul epidemiologic constând în controlul temperaturii personalului propriu și fără a asigura dreptul al intimitate, dacă se face dovada că acest lucru este imposibil de realizat. În cazul în care măsurarea temperaturii se face prin metode automatizate, nu prin utilizarea termometrelor contactless, se va face o informare prealabila a persoanelor vizate prin afisarea pictogramelor standard, termenul de stocare este de maxim 30 de zile, accesul la înregistrări fiind limitat la persoanele special împuternicite de operator.

Măsurarea temperaturii vizitatorilor

Conform art. 2(a) obligațiile operatorilor care desfășoară activitate în spații închise, pe perioada stării de alertă, de a"asigurara triajul epidemiologic constând în controlul temperaturii" se aplică și vizitatorilor. În cazul lor, există un registru în care portarul completează datele de identificare și persoana vizitată. Recomandăm să nu fie schimbat scopul acestui registru prin completarea temperaturii. În schimb, se va utiliza un tabel nominal distinct care să conțină numele vizitatorului și dacă temperatura măsurată este sub 37,3 grade sa va face un simplu semn de tip "bifă", fără a se nota valoarea măsurată și să îi va fi permis accesul în incintă. Și în cazul acestei liste, ar trebui să fie păstrată în mod obligatoriu într-o mapă închisă, accesul la aceasta fiind restricționat doar unui grup restrâns de persoane, în mod justificat. La finalul turei personalului specializat sau instruit care desfășoară aceste măsurători, această listă va fi predată unui responsabil unic cu arhivarea și păstrată pentru un termen de maxim 30 de zile. În cazul în care măsurarea temperaturii se face prin metode automatizate, nu prin utilizarea termometrelor contactless, termenul de stocare este de asemenea de maxim 30 de zile, accesul la înregistrări fiind limitat la persoanele special împuternicite de operator.

În cazul în care, temperatura măsurată depășește valoarea de 37,3 grade, personalul specializat sau instruit va interzice accesul vizitatorului  în incintă astfel că nu mai este necesară înregistrarea numelui sau a oricărei alte informații în registrul de vizitatori sau in tabelul nominal privind verificarea temperaturii. 

Măsurarea temperaturii clieților

În cazul acestor persoane se aplică Art. 3 conform căruia instituțiile publice și operatorii economici care desfășoară activități comerciale/de lucru cu publicul ce implică accesul persoanelor în interiorul clădirilor sunt obligate să nu permită accesul persoanelor a căror temperatură corporală, măsurată la intrarea în incintă, depășește 37,3⁰C. Observăm că în acest caz nu se face referite la "triaj epidemiologic" astfel că măsurarea temperaturii este folosită ca un sistem de alertare și recomandăm să nu înregistrați sub nici o formă valoarea temperaturii. Aceste măsurători se vor face la intrarea în incintă, fiind condiționat accesul de o valoare mai mică decăt 37,3 grade. În cazul în care temperatura depășește această valoare, operatorul are posibilitatea de a înregistra zilnic anonimizat numarul persoanelor cărora le-a fost refuzat accesul, ca o dovadă a responsabilității față de măsurile publicate de autorități. În cazul în care măsurarea temperaturii se face prin metode automatizate, nu prin utilizarea termometrelor contactless, se va face o informare prealabila a persoanelor vizate prin afisarea pictogramelor standard, termenul de stocare este de maxim 30 de zile, accesul la înregistrări fiind limitat la persoanele special împuternicite de operator.

Totuși, ținând cont că aceste măsurători se vor face la intrarea în incintă cel mai probabil cu un termometru contactless, credem că va fi aproape imposibilă, în acest caz, asigurarea confidențialității și a dreptului la intimitate. Vom asista probabil cum clienții vor sta la rând și personalul desemnat de operator va face aceste măsurători, având în vedere obligația legală, fără a asigura confidențialitatea.

Concluzii

Operatorii nu au obligația de a anunța autoritățile privind identitatea persoanelor a căror temperatură măsurată la intrarea încintă depășește valoarea de 37,3 grade, astfel că, în cazul angajaților, considerăm suficientă arhivarea pentru un termen de maxim 30 de zile a înregistrărilor, fie că se fac pe suport de hârtie, electronic sau suprapuse peste imaginile video.

În cazul vizitatorilor și a clienților, nu există obligația identificării persoanelor cărora nu li se permite accesul în incintă în urma unei măsurători a temperaturii care depășește 37,3 grade. În cazul vizitatorilor cu valoarea măsurată sub 37,3 grade, va fi identificată persoana conform procedurii de acces vechi, ținându-se o evidență distinctă a acestor măsurători, fără a înregistra valoarea temperaturii.

În cazul clienților, aceștia nu vor fi identificați și înregistrați în lipsa unei obligații legale sau a unui interes legitim dovedit.

Operatorii vor avea o procedură scrisă actualizată privind accesul în incintă după data de 15 mai 2020, persoanele care vor realiza aceste măsurători fiind instruite în mod special privind protecția acestor informații din punct de vedere tehnic și organizatoric.

16 iulie 2020. O dată de referință pentru istoria protecției datelor personale. O dată de la care aproape toți operatorii de date personale din România ar trebui să-și reconsidere soluțiile de tip website, găzduire e-mail, servicii de newsletter, cloud, conturi pe rețele de socializare, cookie-ului de analiză, remarketing, aplicații diverse, găzduire de baze de date etc.

Despre autor: Daniela-Irina Cireasa este Senior Partner la NeoPrivacy Romania, a absolvit Facultatea de Drept, Universitatea Nicolae Titulescu și este consilier juridic din anul 2001. In 2018 a absolvit cursurile postuniversitare de protectia datelor „Protectia juridica a datelor personale”. Este membru ASCPD si a obtinut titlul de „Cel mai bun DPO din Romania” impreuna cu Echipa Nord Est DPO Romania la Targu Mures in iunie 2019. A realizat consultanta in domeniul implementarii Regulamentului general privind protectia datelor (GDPR) si este responsabil cu protectia datelor (DPO). Cei 17 ani de activitate practica din care 4 ani in functie de conducere, au ajutat la cunoasterea mediului privat de afaceri si respectiv a activitatii departamentelor din cadrul unei societati de productie si comert, precum si schimburi intracomunitare. Participa activ la dezbateri si conferinte dedicate dreptului la viata privata si protectiei datelor.

Dar cum am ajuns aici si ce s-a întâmplat pe 16 iulie 2020?

Problematica transferurilor de date personale între Uniunea Europeană și Statele Unite ale Americii a preocupat legiuitorii europeni încă de la momentul Directivei 95/46/CE care permitea transferurile de date personale în țări terțe pe fondul dezvoltării comerțului internațional, stabilind totodată că acest transfer nu este permis într-o țară terță care nu asigură un nivel de protecție adecvat cu excepția cazului în care operatorul oferă garanții suficiente privind atât protecția vieții private și a drepturilor și libertăților fundamentale ale persoanelor, cât și exercitarea drepturilor corespunzătoare, garanțiile urmând a fi adoptate prin Clauze contractuale standard (CCS).

În temeiul prevederilor Directivei, a fost adoptată Decizia Comisiei 2000/520/CE care recunoștea un nivel adecvat de protecție pentru transferul de date din Comunitate către Statele Unite ale Americii organizațiilor care “respectă principiile „sferei de siguranță” privind protecția vieții private pentru protecția datelor cu caracter personal transferate dintr-un stat membru în Statele Unite ale Americii (Safety Harbour).

Prin Hotărârea din 6 octombrie 2015, Schrems I (C‑362/14, EU:C:2015:650), Curtea a declarat nevalidă Decizia 2000/520/CE a Comisiei din 26 iulie 2000 în temeiul Directivei 95/46 privind caracterul adecvat al protecției oferite de principiile „sferei de siguranță” privind protecția vieții private și întrebările de bază aferente, publicate de Departamentul Comerțului al S.U.A., în care Comisia constatase că această țară terță asigura un nivel de protecție adecvat. Numele cauzei (Schrems I) provine de la numele activistului Max Schrems, utilizator al platformei de socializare Facebook. Acesta a reclamat faptul că orice persoană care are reședința pe teritoriul Uniunii Europene trebuie să încheie, la momentul înscrierii pe rețeaua de socializare, un contract cu Facebook Ireland, filială a Facebook Inc., stabilită în Statele Unite. Datele cu caracter personal ale utilizatorilor Facebook care au reședința pe teritoriul Uniunii sunt, în tot sau în parte, transferate către servere aparținând Facebook Inc., situate pe teritoriul Statelor Unite, unde fac obiectul unei prelucrări.

În anul 2010 este emisă Decizia 2010/87/UE privind clauzele contractuale tip pentru transferul de date cu caracter personal către persoanele împuternicite de către operator stabilite în țări terțe în temeiul Directivei 95/46/CE a Parlamentului European și a Consiliului prin care se consideră că clauzele contractuale tip prevăzute în anexă oferă garanții corespunzătoare în ceea ce privește protecția vieții private și a drepturilor și libertăților fundamentale ale persoanelor și cu privire la exercitarea drepturilor corespunzătoare în temeiul articolului 26 alineatul (2) din Directiva 95/46/CE. Decizia se aplică transferului de date cu caracter personal de către operatorii stabiliți în Uniunea Europeană către destinatari stabiliți în afara teritoriului Uniunii Europene, care îndeplinesc în exclusivitate rolul de persoane împuternicite de către operator.

Clauzele contractuale standard conțin informații cu privire la identitatea celor două părți (exportatorul și importatorul de date personale), definiții, date privind transferul, clauza terțului beneficiar (persoana vizată), obligațiile celor două părți, răspunderea acestora, mediere și jurisdicție, cooperarea cu autoritățile de supraveghere, legea aplicabilă, subcontractarea serviciilor de prelucrare a datelor dar și obligații după încheierea serviciilor de prelucrare a datelor cu caracter personal. Este de menționat faptul că în Apendicele 2, clauzele cuprind o listă a măsurilor tehnice și organizatorice de securitate puse în aplicare de către importatorul de date.

În anul 2016 este emisă Decizia 2016/1250 a comisiei privind caracterul adecvat al protecției oferite de Scutul de confidențialitate UE-SUA (Privacy Shield) care susținea Statele Unite garantează un nivel adecvat de protecție a datelor cu caracter personal transferate din Uniune către organizații din Statele Unite în temeiul Scutului de confidențialitate UE-SUA.

Pentru a face parte din Privacy Shield, organizațiile trebuiau să adere la acesta, în baza unei autocertificări prin care organizațiile din SUA se angajează să respecte un set de principii privind protecția vieții private. Decizia permitea astfel transferurile de la un operator sau de la o persoană împuternicită de operator în Uniune către organizații din SUA care și-au autocertificat adeziunea la principii către Departamentul Comerțului și s-au angajat să le respecte.

La data de 16 iulie 2020, CJUE, în Cauza C-311/18 (Schrems II) a invalidat Decizia 2016/1250 privind caracterul adecvat al protecției oferite de Scutul de confidențialitate UE-SUA, cunoscut sub numele de Privacy Shield, deoarece a considerat că nu asigură nivelul de protecție oferit de RGPD (garanții adecvate, drepturi opozabile și căi de atac eficiente) din cauza gradului excesiv de intruziune a autorităților americane (NSA, FBI). Totodată, prin hotărâre s-a validat Decizia 2010/87 a Comisiei privind clauzele contractuale standard pentru transferul de date cu caracter personal către persoanele împuternicite de către operator stabilite în țări terțe. Toodată, Curtea a hotărât că decizia are aplicabilitate imediată, fără a se crea un vid legislativ deoarece RGPD oferă modalități alternative de a transfera date personale în condiții de legalitate.

 IMPLICAȚII ALE INVALIDĂRII SCUTULUI DE CONFIDENȚIALITATE PENTRU OPERATORII DIN UE ȘI PERSOANELE VIZATE

Invalidarea Deciziei Scutului de confidențialitate a avut ecou în rândul specialiștilor în protecția datelor din întreaga lume, însă, cei afectați direct, respectiv operatorii de date personale și persoanele vizate, nu par a  fi la curent cu această decizie sau, în orice caz, nu par a conștientiza efectele ei. Așa cum arătam în introducere, decizia influențează alegerea de către operatori a soluțiilor de tip website, găzduire e-mail, servicii de newsletter, conturi pe rețele de socializare, cookie-ului de analiză, aplicații diverse, găzduire de baze de date și, în general, orice transfer de date personale din Uniune către Statele Unite.

Operatorii ar putea spune că ei nu fac niciun transfer de astfel de date către SUA, uitând să analizeze furnizorii de servicii de tip newsletter, spre exemplu, sau categoriile de cookie instalate pe website-ul companiei. Transferurile de acest tip sunt frecvente și mulți dintre operatori le-au făcut și încă le fac inconștient. Menționăm aici lipsa acordurilor încheiate cu persoanele împuternicite chiar și anterior Deciziei de invalidare a scutului de confidențialitate, utilizarea încă frecventă a adreselor de e-mail de tip yahoo sau gmail în scop profesional. Revenind la problematica ridicată de către Decizie, apreciem că efectele acesteia nu sunt cunoscute încă nici de către operatori și nici de către persoanele vizate.

Reacția Facebook, spre exemplu, este aceea că va continua să prelucreze datele personale ale utilizatorilor deoarece o face în baza unor Clauze contractuale standard și nu a Privacy Shield. Menționăm că autoritatea de supraveghere din Irlanda a pus în vedere Facebook Ireland să înceteze transferurile către Facebook Inc., decizie contestată de către Facebook.

NOYB, European Center for Digital Rights, a luat atitudine și a făcut plângere la autoritățile de supraveghere competente în temeiul articolelor 77 (1) și 80 (1) din RGPD împotriva a 101 operatori din Uniunea Europeană care utilizează în continuare soluții care implică transferul de date personale către SUA. Cu excepția a trei operatori din Liechtenstein care au renunțat la utilizarea Google Analitics și Facebook Connect, niciunul dintre ceilalți operatori nu a luat măsuri de încetare a transferurilor de date personale către SUA.

Doi dintre operatori sunt platforme de știri din România, respectiv hotnews.ro și gsp.ro pentru utilizarea Facebook Connect, respectiv Google Analytics. Subliniem faptul că majoritatea site-urilor din România utilizează astfel de soluții și, cel mai probabil, vor trebui să găsească alte soluții, fie să demonstreze existența unui temei legal pentru transferurile efectuate. La data de 4 septembrie 2020, EDPB a anunțat înființarea unui grup de lucru care să analizeze plângerile formulate în urma hotărârii CJUE din cauza Schrems II. Grupul de lucru va analiza problematica și va asigura o strânsă legătură între membrii Comitetului.

De asemenea,  ca urmare a Hotărârii în cazul Schrems II, EDPB a decis înființarea unui grup de lucru care să pregătească recomandări pentru operatori și persoane împuternicite care să-i ajute în a identifica și implementa măsuri suplimentare optime care să asigure protecție adecvată la transferul datelor în țări terțe

În ceea ce privește persoanele vizate, considerăm că acestea nu au fost informate transparent cu privire la transferurile propriilor date personale prin simpla utilizare a unui site și nici nu au putut previziona cine are acces, cu adevărat, la acestea.

POSIBILE SOLUȚII

Comitetul European pentru Protecția Datelor (EDPB) a făcut o listă cu cele mai frecvente întrebări ridicate de invalidarea Scutului de Confidențialitate, simpla parcurgere a acestora creionând impactul major al acestei decizii asupra activității operatorilor din Uniune. Plecând de la răspunsurile oferite de către EDPB, de la concluziile Curții și de la dispozițiile Regulamentului (RGPD), s-au conturat câteva posibile soluții.

Transferurile de date personale efectuate în prezent în temeiul Scutului de confidențialitate sunt ilegale. În vederea continuării transferului de date trebuie identificate alte condiții/temeiuri de transfer cum sunt cele ce urmează.

Situația trebuie, totuși, analizată de la caz la caz, făcându-se o evaluare în urma căreia să rezulte măsuri suplimentare de protecție care trebuie puse în aplicare, pe baza unor Clauze contractuale standard (cunoscute sub numele de CCS). Măsurile suplimentare, împreună cu CCS, în urma analizei fiecărui caz în parte, a circumstanțelor privind transferul, ar trebui să se asigure că legislația SUA nu afectează nivelul adecvat de protecție garantat. CJUE a declarat în mod clar că CCS-urile nu pot fi utilizate dacă destinatarul din SUA este supus legilor de supraveghere ale SUA (cum ar fi FISA 702). În cazul în care rezultatul analizei indică faptul că nu pot fi aplicate garanții suficiente, transferul ar trebui să înceteze. În situația în care acesta nu încetează, ar trebui anunțată autoritatea de supraveghere competentă.

Având în vedere hotărârea Curții, care invalidează Scutul de Confidențialitate din cauza gradului de interferență creat de către legea din SUA cu drepturile fundamentale ale persoanelor ale căror date sunt transferate în țara terță și faptul că  Scutul de Confidențialitate a fost proiectat să aducă garanții că datele sunt transferate cu instrumente de tipul Regulilor corporatiste obligatorii, hotărârea Curții se aplică și în contextul Regulilor corporatiste obligatorii deoarece legislația americană va avea supremație și asupra acestui instrument.

Garanțiile suficiente prevăzute în articolul 46 trebuie analizate, în conformitate cu hotărârea Curții, ținându-se seama de faptul că acest articol este parte a Capitolul V din RGPD și că trebuie citit prin prisma prevederii din teza finală a articolului 44 și anume “toate dispoziţiile din prezentul capitol se aplică pentru a se asigura că nivelul de protecţie a persoanelor fizice garantat prin prezentul regulament nu este subminat.”

Pentru realizarea de transferuri putem apela în continuare la derogările din art. 46 RGPD care precizează că în absența unei decizii a Comisiei, se pot face transferuri către țări terțe sau organizații internaționale în baza unor garanții adecvate și cu condiţia să existe drepturi opozabile şi căi de atac eficiente pentru persoanele vizate. În afara unor garanții adecvate care implică fie autorităție de supraveghere, fie Comisia sau regulile corporatiste obligatorii, regăsim la alin. 3, lit. “a) clauze contractuale între operator sau persoana împuternicită de operator şi operatorul, persoana împuternicită de operator sau destinatarul datelor cu caracter personal din țară terță sau organizația internațională”, sub rezerva autorizării din partea autorităţii de supraveghere competente.

Chiar dacă, după cum a subliniat Curtea, este responsabilitatea principală a exportatorilor de date și a importatorilor de date să se asigure că legislația țării terțe de destinație permite importatorului de date să respecte clauzele standard de protecție a datelor sau Regulile corporatiste obligatorii înainte de a transfera date cu caracter personal către respectiva țară terță, autoritățile de supraveghere vor avea, de asemenea, un rol esențial atunci când se aplică RGPD și atunci când se emit decizii cu privire la transferurile către țări terțe.

Articolul 49 din RGPD ne oferă, de asemenea, o altă soluție, în absența unei decizii a Comisiei și a garanțiilor adecvate și anume transferurile de date cu caracter personal către o țară terță sau o organizație internațională pot avea loc numai în una dintre condiţiile următoare:

“a) persoana vizată şi-a exprimat în mod explicit acordul cu privire la transferul propus, după ce a fost informată asupra posibilelor riscuri pe care astfel de transferuri le pot implica pentru persoana vizată ca urmare a lipsei unei decizii privind caracterul adecvat al nivelului de protecţie şi a unor garanţii adecvate;

1. b) transferul este necesar pentru executarea unui contract între persoana vizată şi operator sau pentru aplicarea unor măsuri precontractuale adoptate la cererea persoanei vizate;
2. c) transferul este necesar pentru încheierea unui contract sau pentru executarea unui contract încheiat în interesul persoanei vizate între operator şi o altă persoană fizică sau juridică;
3. d) transferul este necesar din considerente importante de interes public;
4. e) transferul este necesar pentru stabilirea, exercitarea sau apărarea unui drept în instanţă;
5. f) transferul este necesar pentru protejarea intereselor vitale ale persoanei vizate sau ale altor persoane, atunci când persoana vizată nu are capacitatea fizică sau juridică de a-şi exprima acordul;
6. g) transferul se realizează dintr-un registru care, potrivit dreptului Uniunii sau al dreptului intern, are scopul de a furniza informaţii publicului şi care poate fi consultat fie de public în general, fie de orice persoană care poate face dovada unui interes legitim, dar numai în măsura în care sunt îndeplinite condiţiile cu privire la consultare prevăzute de dreptul Uniunii sau de dreptul intern în acel caz specific.”

Referitor la teza de la lit a), respectiv consimțământul persoanei vizate, EDPB reamintește condițiile referitoare la consimțământ, în mod special consimțământul trebuie să fie explicit, specific și informat.

Așadar, există soluții pentru continuarea transferului de date personale către țări terțe sau organizații internaționale. Apreciem că multe dintre transferurile efectuate până la hotărârea Curții au încetat sau vor înceta, însă transferurile cu adevărat întemeiate se vor putea efectua în continuare cu respectarea restricțiilor și condițiilor impuse, finalitatea fiind apărarea drepturilor și intereselor cetățenilor europeni. Așteptăm cu interes recomandările EDPB pentru operatori și persoane împuternicite, până la apariția acestora facem câteva recomandări pentru operatorii de date personale în vederea respectării deciziei de invalidare a Scutului de confidențialitate:

• În cazul soluțiilor de tip newsletter puteți înlocui aplicațiile din SUA cu soluții din Uniune sau chiar din România.
• Site-urile de tip Wordpress, spre exemplu, asigură unelte de analiză a traficului asemănătoare cu Google Analytics, putându-se elimina acest tip de cookie.
• Recomandăm eliminarea adreselor de tip yahoo și gmail în scop profesional și înlocuirea acestora cu domenii de e-mail găzduite în Uniunea Europeană. De asemenea, domeniile găzduite în țări terțe ar trebui mutate pe servere din uniunea Europeană.
• Platformele site-urilor web găzduite în SUA pot fi înlocuite cu platforme găzduite în Uniunea Europeană.
• Recomandăm înlocuirea aplicatiilor de transfer de documente cu soluții găzduite în UE.
• De asemenea, serviciile de plată online de tipul Paypal pot fi înlocuite cu procesatori de plăți cu cardul din România, serviciile de remarketing de la Google pot fi eliminate și utilizate servicii din UE, aceeași soluție fiind valabilă și în cazul serviciilor de cloud.

Ori de câte ori se fac transferuri în SUA, utilizatorii trebuie informați transparent, în conformitate cu articolul 13 din RGPD, iar dacă prelucrarea / transferul se bazează pe consimțământ, operatorii trebuie să se asigure că au obținut un consimțământ valid.

Ca o recomandare generală, consiliem operatorii de date personale din România să își reanalizeze lista furnizorilor de servicii ce au calitatea de persoană împuternicită și să verifice țările către care se face transferul datelor prelucrate, iar, în cazul identificării de transferuri în țări terțe, să evalueze situația și să decidă asupra oportunității de a schimba acești furnizori cu furnizori de servicii din Uniunea Europeană.

CONCLUZII

Urmare a hotărârii CJUE în Cauza Schrems II  autoritățile de supraveghere din Europa au luat poziție în cazul transferurilor de date personale către SUA. Autoritatea de supraveghere din Elveția, țară care avea propriul acord cu Statele Unite, a invalidat acordul Elveția - SUA Privacy Shield în temeiul căruia se făceau transferurile de date personale ale cetățenilor elvețieni către SUA. Autoritățile elvețiene au anunțat în data de 8 septembrie 2020 că Statele Unite au fost scoase din lista țărilor care oferă protecție adecvată în anumite condiții deoarece nu asigură protecția necesară.

De asemenea, Comitetul „Convenției 108” și Comisarul pentru protecția datelor al Consiliului Europei au solicitat, ambii, adoptarea standardelor legale internaționale pentru protecția datelor în urma hotărârii Schrems II. Într-o declarație comună aceștia au afirmat că „Țările trebuie să fie de acord la nivel internațional cu privire la măsura în care supravegherea efectuată de serviciile de informații poate fi autorizată, în ce condiții și în ce măsuri de protecție, inclusiv o supraveghere independentă și eficientă”.

Autoritățile de supraveghere din Berlin, Hamburg dar și autoritatea olandeză recomandă încetarea transferurilor către SUA. Autoritatea berlineză recomandă chiar retragerea datelor din SUA. Mai multe autorităților de supraveghere subliniază necesitatea unor analize suplimentare și evaluări de la caz la caz.

Menționăm că autoritatea de supraveghere din Irlanda a pus în vedere Facebook să înceteze transferurile de date către SUA. Urmare a acestei somații, la data de 11 septembrie 2020, Facebook a început acțiuni în justiție împotriva Comisiei irlandeze pentru protecția datelor (IDPC), lansând un recurs în Irlanda în încercarea de a opri ordinul preliminar al IDPC de a suspenda utilizarea clauzelor contractuale standard (CSC) în transferurile de date UE-SUA.

CNIL a solicitat autorităților franceze să oprească cât mai repede posibil găzduirea platformei de date privind sănătatea pentru cercetare de către Microsoft, având în vedere recenta invalidare a Privacy Shield. Secretarul de stat pentru digital a anunțat în aceeași zi că lucrează cu ministrul sănătății pentru a repatria această platformă în infrastructurile franceze sau europene.

Facebook a considerat propunerea ca fiind prematură și a îndemnat autoritatea de reglementare irlandeză să adopte o abordare pragmatică și proporțională până când se poate ajunge la o soluție durabilă pe termen lung, deoarece susține că ordinul preliminar a fost decis înainte ca Facebook să primească îndrumări de la Comitetul european pentru protecția datelor.

Rămâne de văzut ce recomandări va emite grupul de lucru recent înființat la nivelul EDPB și cum vor putea fi acestea puse în practică atât de către operatori cât și de către autoritățile de supraveghere.

Amintim că suntem la începutul unui nou an școlar, în condiții restrictive pentru toți subiecții implicați, opțiunea desfășurării ședințelor, întâlnirilor și orelor on-line cu părinți, profesori și elevi fiind din ce în ce mai utilizată. Majoritatea platformelor utilizate pe perioada stării de urgență și a stării de alertă transferau date în SUA. Ministerul Educației și Cercetării a anunțat la data de 2 septembrie 2020 că, în colaborare cu Google (Meet) și Microsoft (Teams) pune la dispoziție în mod gratuit platforme educaționale, ambele platforme aparținând unor companii americane.

Adăugăm la lista platformelor care transfera date in SUA și noua facilitate a Anaf, de identificare vizuală în spațiul virtual printr-o platformă dedicată, platforma utilizată, conform declarațiilor utilizatorilor, fiind Zoom, platformă care a fost în trecut ținta unor atacuri din partea hackerilor.

O dovadă în plus că în România operatorii, fie ei de stat sau privați, nu au asimilat informația invalidării Scutului de confidențialitate sunt magazinele online sau simple site-uri de prezentare care utilizează în continuare suita de cookie-uri de analiză de la Google, soluții de newsletter sau de plată americane etc. Chiar și site-urile candidaților la alegerile locale au astfel de cookie-uri instalate. Apreciem că majoritatea operatorilor utilizează aceste soluții fără a fi deplin conștienți de implicații.

Apreciem că suntem încă departe de o nouă înțelegere între UE și SUA deși recomandările pentru SUA au devenit și mai urgențe: (1) adoptarea unei legislații federale cuprinzătoare privind confidențialitatea, (2) înființarea unei agenții independente de protecție a datelor și (3) ratificarea Convenției Consiliului Europei privind confidențialitatea. Actuala situație de incertitudine afectează atât companiile europene și americane cât și drepturile și interesele cetățenilor europeni.

NYOB a efectuat în perioada iulie - septembrie 2020 o interpelare a 33 de companii care transferă date în SUA iar reacțiile acestora au fost dintre cele mai variante de la lipsa unui răspuns pâna la răspunsuri vagi sau lipsite de substanță. Companii precum Airbnb, Netflix sau Whatsapp nu au răspuns deloc, în timp ce altele au răspuns făcând trimitere la Politici de confidențialitate care nu răspund întrebarilor punctuale adresate sau prin punerea la dispoziție a unor Clauze contractuale standard vădit neacoperitoare deoarece companiile respective se supun legislației americane intruzive.

Recomandăm tuturor operatorilor de date personale din România să apeleze la specialiști în domeniul protecției datelor personale, singurii care, la momentul actual, sunt la curent cu noutățile în domeniu și sunt în măsură să explice operatorilor toate implicațiile și să ofere soluții conforme cu legislația protecției datelor.

Draga cititorule, nu este vorba de vreo doamna frumoasă și elegantă! Fie vorba între noi e chiar urâtă! Are doar un ochi de zici că-i o doamnă ciclop și mai sta și agățată în sârme.

Aproape oriunde am merge, indiferent că e vorba de locul de muncă, spital, mall, supermarket sau hypermarket, restaurant, pensiuni / hoteluri sau că ne ducem și ne alimentăm mașina cu carburant, ea este prezentă! Ne privește în liniște, noi o vedem și, de cele mai multe ori, nu o mai băgăm în seamă, deoarece ne-am obișnuit cu prezența ei.

Dar, atunci când se întâmplă ceva, apelăm la serviciile ei, deoarece niciodată nu se odihnește, este permanent trează și ne ajută în diverse împrejurări.

Această doamnă silențioasa se numește “camera de supraveghere”!!!

Camera de supraveghere face parte din acest “sistem de supraveghere cu circuit închis - CCTV”, iar rolul ei covârșitor este de prevenție. Evident are și un rol secundar - reactiv, la care apelăm când s-a produs un eveniment, iar operatorul dorește să vadă ce anume s-a întâmplat acolo.

Odată cu apariția Regulamentului 679/2016 (GDPR) din perspectiva prelucrării datelor, sistemul de supraveghere video prelucrează date cu caracter personal! Dar, stai puțin, că nu acesta este începutul!

Înainte de GDPR am avut legea 677/2001. La aproape 11 ani distanța de la apariția Legii 677, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, emite Decizia nr. 52/2012, prin care imaginea captată de pe sistemul CCTV devine dată cu caracter personal.

Deci, nu GDPR-ul aduce această noutate, ci o dezvoltă pe cea veche!

Așadar, vine GDPR-ul și ne prinde cu camere de supraveghere instalate prin diverse locații! UPS! Ce facem cu ele? Cum ne raportăm la acest tip de prelucrare? Cum le gestionam? Ce documente trebuie întocmite? …. Și câte multe alte întrebări și-au pus sau ar fi trebuit să-și pună Operatorii!

La început s-au cerut consimțăminte mai ales angajaților, până când compania PWC din Grecia a luat amendă deoarece prelucra date cu caracter personal în raport cu angajații în baza consimțământului! Amenda nu a fost foarte mare, doar 150.000 EURO! 

În principiu, se pot prelucra date în conformitate cu oricare din temeiuri. Dar, cel mai interesant ar fi consimțământul! Hai să facem un exercițiu de imaginație prin care toată lumea ar prelucra imagini pe baza acestuia. Suntem într-o duminică și mergem la Mall. Coadă mare la intrare….. Ce se dă? Nu se dă nimic! Se semnează consimtaminte înainte de intrarea în Mall! Cine vrea să semneze la ghișeul 1, vă rog! Semnăm și intrăm! Am scăpat? Nu, că vrei să intri la H&M. Acolo, altă coadă. Alte consimțăminte de semnat…..și, tot așa, la fiecare magazin în parte! Pai, îți cumperi o înghețată la cornet și pleci acasă și asta pentru că fiecare magazin este dotat cu camere de supraveghere.

Este clar, trebuie să ne reorientăm asupra legalității prelucrării. După ce mai scotocim puțin prin art. 6 din Regulament, descoperim “interesul legitim”. Bun și ăsta, dar cum facem cu el? Mai trebuie să facem și aici un “dosar cu șină”, din care să reiasă acest interes legitim și să trecem prin cele trei teste (Testul scopurilor, Testul comparativ și Testul necesității). Pentru că nici prelucrarea datelor în baza interesului legitim nu e mai simplu de făcut, avem și în dreptul intern, nu doar în GDPR, ceva ce i se adresează direct, adică art. 5 din Legea nr. 190/2018, dar, asta într-o discuție viitoare.

Dar, cum noi suntem din România și avem legi pentru orice, inclusiv pentru “a ne deplasa cu fața spre stradă”, avem o lege și pentru asta! Gata, ne-am scos și o scoatem pe asta în față, deci prelucrăm imaginile pentru îndeplinirea obligațiilor legale!

Păi, hai să vedem despre ce este “vorba în propoziție”! Așadar, luăm la lectură temeinică și aprofundată această Hotărâre de Guvern, pe numele ei “mic” HG 301/2012 pentru aprobarea Normelor metodologice de aplicare a Legii nr. 333/2003 privind paza obiectivelor, bunurilor, valorilor și protectia persoanelor. Păi, nu sunt eu mai protejat acum? Clar! După alți vreo trei ani mai apare o surioară de-a ei, HG 1002/2015, care mai modifică prin anumite locuri niște articole, dar de bază, evident că rămâne tot surioara mai mare.

Ca să nu mai lungim vorba, pe scurt, la art. 2 din HG 301/2012 ni se spune că “Adoptarea măsurilor de securitate a obiectivelor, bunurilor și valorilor prevăzute de lege se realizeaza pe baza unei analize de risc la securitate fizică”. Văleleu, muică, ce mai e și asta, ar spune olteanul?

Hai să o lămurim și pe asta: “Analiza de risc la securitatea fizică constituie fundamentul adoptării măsurilor de securitate a obiectivelor, bunurilor şi valorilor prevăzute de lege, transpuse în planul de pază şi proiectul sistemului de alarmare”. E clar? Știu ca nu!

Atunci, să dezvoltăm puțin: „În elaborarea analizelor de risc la securitatea fizică se ţine cont şi de prevederile standardelor naţionale sau europene privind managementul şi tehnicile de evaluare a riscului”. Nici acum nu e clar?

Mă mai străduiesc atunci! “Analiza de risc la securitatea fizică - activitate desfăşurată pentru a identifica ameninţările şi vulnerabilităţile care pot pune în pericol viaţa, integritatea corporală sau libertatea persoanei ori care pot aduce prejudicii valorilor deţinute de unităţi, în scopul determinării impactului şi evaluării riscurilor de securitate şi în baza căreia se stabilesc măsurile necesare pentru limitarea sau eliminarea acestora”. Hai că acum e limpede ca un “tulburel”, mai ales după ce l-ai încercat!

Vine una bună și de înțeles acum, deci, hai să vedem cum o jucăm pe asta!” Analiza de risc la securitatea fizică, denumită în continuare analiza de risc, se materializează prin documentaţia întocmită în cadrul procesului standardizat de management al riscului, prin care se determină, în mod dinamic, măsurile necesare şi aplicabile pentru încadrarea riscurilor de securitate la niveluri acceptabile”. Ce e așa de greu de înțeles? Știu că este și nu va condamn pentru asta!

Dacă aruncăm o privire (și sper sa o și recuperăm, sic!) spre art. 2 din HG-ul menționat (HG 301/2012) parcă încep să mă mai luminez, că doar vine noaptea: “În vederea îndeplinirii obligațiilor prevăzute de Legea nr. 333/2003 privind paza obiectivelor, bunurilor, valorilor și protectia persoanelor, cu modificările și completările ulterioare, denumită în continuare Lege, unitățile prevăzute la art. 2 alin. (1) din Lege, denumite în continuare unități, indiferent de natura capitalului social, forma de organizare ori asociere, modul de deținere a bunurilor ori valorilor, trebuie să adopte măsuri de securitate în formele prevăzute de Lege, completate cu măsuri procedurale”.

Așadar, ca o primă concluzie pe care o putem trage până acum este că orice Unitate Operator / Imputernicit, dacă vorbim GDPR-istic, trebuie sa efectueze o evaluare de risc la securitate fizică. Și, atenție, această evaluare de risc la securitate fizică nu este facultativă, așa cum nici GDPR-ul nu este!

Apropos, dacă nu o ai, poliția, darnică din fire, îți va da ceva la schimb și anume o amendă.

Dar, despre cum folosim CCTV-ul și cum ne ajută “evaluarea de risc la securitate fizică” în prelucrarea datelor cu caracter personal, într-o “scriere” viitoare, că acum mă cheama soția la o ciorbă de legume! 

 Vă îmbrățișez cu drag și stați securizați!

 Ionuț Popescu-Chiliment