ÎCCJ, Secția de contencios administrativ și fiscal, Decizia nr. 2952/2021

Ședința publică din data de 18 mai 2021

Asupra recursurilor de față;

Din examinarea lucrărilor din dosar, constată următoarele:

I. Circumstanțele cauzei

Prin cererea înregistrată pe rolul Curții de Apel București, secția a VIII-a contencios administrativ și fiscal la data de 12.06.2018, sub nr. x/2018, reclamanta A. S.A. a solicitat, în contradictoriu cu pârâta Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, anularea în tot a Deciziei nr. 104/18.05.2019 a Președintelui Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal și, în subsidiar, anularea parțială a deciziei, în ceea ce privește dispunerea nelegala a măsurilor ștergerii/distrugerii datelor cu caracter personal privind codul numeric personal și a altor date cu caracter personal având o funcție de identificare de aplicabilitate generala deja colectate fără consimțământul persoanelor vizate, temei legal sau avizul ANSPDCP.

De asemenea, a solicitat suspendarea executării deciziei contestate, până soluționarea definitivă a prezentei cauze.

Curtea de Apel București, secția a VUI-a contencios administrativ și fiscal, prin sentința civilă nr. 4987 din 3 decembrie 2018, a admis în parte cererea formulată de reclamanta A. S.A., în contradictoriu cu pârâta Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal.

A anulat în parte decizia nr. 104/18.05.2018, în ceea ce privește obligația de ștergere/distrugere a datelor cu caracter personal privind codul numeric personal și a altor date cu caracter personal având o funcție de identificare de aplicabilitate generală stocate și colectate altfel decât prin reținerea copiilor de pe actele de identitate.

A suspendat executarea deciziei nr. 104/18.05.2018 în ceea ce privește obligația de ștergere/distrugere a datelor cu caracter personal privind codul numeric personal și a altor date cu caracter personal având o funcție de identificare de aplicabilitate generală stocate și colectate altfel decât prin reținerea copiilor de pe actele de identitate, până la soluționarea în mod definitiv a cauzei.

A menținut în rest decizia nr. 104/18.05.2018.

Reclamanta A. S.A. a promovat recursuri atât în ceea ce privește soluția pronunțată asupra cererii de suspendare, cât și împotriva soluției dată acțiunii în anulare, prevalându-se de motivele de casare prevăzute de art. 488 alin. (1) pct. 6 și 8 din C. proc. civ.

A promovat recurs și pârâta Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, invocând cazul de casare prevăzut de art. 488 alin. (1) pct. 8 din C. proc. civ.

Recurenta-reclamantă A. S.A. a formulat întâmpinare prin care a solicitat respingerea recursului promovat de partea adversă, ca ne fondat.

A formulat întâmpinarea și recurenta-pârâtă Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal prin care a invocat excepția tardivității recursului declarat împotriva soluției pronunțate asupra cererii de suspendare și, în subsidiar, a solicitat respingerea ambelor recursului ale părții adverse, ca nefondate.

II. Considerentele Înaltei Curți asupra recursurilor

În ceea ce privește recursul împotriva soluției date referitor la cererea de suspendare având în vedere că la termenul de astăzi s-a soluționat pe fond recursul, o analiză din perspectiva art. 14 din Legea nr. 554/2004 nu poate fi realizată, astfel că un astfel de recurs apare nefondat.

Cât privește recursul reclamantei A., deși se indică două motive din cele prevăzute de art. 488 C. proc. civ. în fapt se insistă asupra lipsei temeiului legal ca urmare a abrogării Deciziei nr. 132/2011 si a Legii nr. 677/2001

Odată cu intrarea în vigoare a Regulamentului UE nr. 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date ("Regulamentul nr. 2016/679") respectiv data de 25 mai 2018, cadrul legislativ național s-a schimbat prin dispunerea abrogării Deciziei nr. 132/2011 și prin abrogarea Legii nr. 677/2001 prin Legea nr. 129/2018 pentru modificarea și completarea Legii nr. 102/2005 privind înființarea, organizarea și funcționarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal, precum și pentru abrogarea Legii nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date.

Conform noului cadru legal, Regulamentul nr. 2016/679 nu încadrează datele privind identificarea persoanelor sub un regim special față de celelalte date cu caracter personal, Regulamentul precizând doar, în cadrul art. 82, că statele membre pot detalia în continuare condițiile specifice de prelucrare a unui număr de identificare național sau a oricărui alt identificator cu aplicabilitate generală.

Iar, in conformitate cu art. 2 lit. (h) din Directiva 95/46/CE a Parlamentului European si a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date:

"Articolul 2 - Definiții

In sensul prezentei directive: [...]

h) "consimțământul persoanei vizate" înseamnă orice manifestare de voință, liberă, specifică și informată prin care persoana vizată acceptă să fie prelucrate datele cu caracter personal care o privesc".

Prin urmare, intrucat:

(i) la trei zile după emiterea si înregistrarea, in Registrul General al ANSPDCP, a Deciziei contestate de către A. si chiar la data comunicării Deciziei către subscrisa, respectiv în data de 25.05.2018, a fost publicată în Monitorul Oficial Decizia nr. 99/2018 care a abrogat Decizia nr. 132/2011 incepand cu data de 25.05.2018;

(ii) Legea nr. 677/2001 a fost abrogata incepand cu data de 25 mai 2018 prin Legea nr. 129/2018 pentru modificarea și completarea Legii nr. 102/2005 privind înființarea, organizarea și funcționarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal, precum și pentru abrogarea Legii nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date, la momentul soluționării dosarului de către instanța de fond, ca si la momentul prezent, nu existau/nu exista dispoziții legale care să reglementeze situația de fapt în mod similar.

Se pretinde că instanța de fond ar fi trebuit sa aibă in vedere faptul ca atât la momentul introducerii contestației, cat si la momentul pronunțării hotărârii (n.n. situație valabila si in prezent) actul administrativ cu caracter individual contestat de către A. era lipsit de temei de drept și nu ar fi putut produce efecte ulterior datei de 25.05.2015.

În aceste circumstanțe, cu respectarea principiului de aplicare în timp a legilor prevăzut de art. 15 alin. (2) din Constituție, Decizia ANSPDCP prin care se impun anumite măsuri în baza unei dispoziții legale abrogate (Decizia nr. 132/2011, Legea nr. 677/2001) chiar incepand cu data la care Decizia ar fi trebuit sa-si producă efectele (data comunicării acesteia, respectiv 25.05.2018) nu mai poate produce efecte ulterior datei abrogării, ca urmare a principiului imediatei aplicări a legii care presupune aplicarea legii noi în detrimentul legii vechi, de vreme ce legea nouă este aplicabilă nu numai situațiilor viitoare (facla fittura), ci și situațiilor în curs de constituire, modificare sau stingere, dar și efectelor viitoare ale situațiilor anterior născute (facla pendentia).

In atare condiții se consideră nelegală impunerea unor masuri in contextul in care punerea în aplicare a acestora ulterior datei de 25.05.2018 excede dispozițiilor legale, ca urmare a abrogării de Ia acea dată a Deciziei nr. 132/2015 si a Legii nr. 677/2001.

Prin urmare, instanța de fond ar fi trebuit sa aibă in vedere faptul ca nu exista niciun temei legal care sa stea la baza masurilor dispuse de către ANSPDCP spre a fi puse in executare in termenul de 30 de zile calculat de la data comunicării Deciziei, respectiv chiar de la data de 25.05.2018, data abrogării Deciziei nr. 132/2015 si a Legii nr. 677/2001, in temeiul cărora au fost dispuse masurile respective.

Apărările în sensul că Decizia emisă în data de 18.05.2018 a fost comunicată reclamantului în data de 25.05.2018 când a fost aprobată Decizia nr. 132/2011 care a stat la baza emiterii actului administrativ nu pot fi primite întrucât la data întocmirii și emiterii actului Decizia era în ființă și producea efecte.

De esență apare

- procesul-verbal nr. x/22.03.2018 necontestat prin care s-a recomandat reclamantei: realizarea procedurilor interne de distrugere și de arhivare a documentelor într-un termen rezonabil și informarea clară a persoanelor vizate cu privire la scopul colectării datelor și a documentelor care conțin date cu caracter personal cu funcție de identificare(CNP), raportat la contractele ridicate - permanent.

Or, constatarea pentru care de altfel reclamanta a fost și amendată f.20 -f.24 dos fond) constă în prelucrarea nelegală a datelor cu caracter personal", prevăzută de art. 32 din Legea nr. 677/2001, cu încălcarea art. 4 alin. (1) lit. c) și art. 8 din Legea nr. 677/2001, coroborat cu art. 3 și 6 din Decizia Președintelui ANSPDCP nr. 132/2011, întrucât A. S.A. pentru magazinul A. din Bd. x, București, cu datele de identificare de pe prima pagină a procesului-verbal, prin colectarea si stocarea copiilor de pe actele de identitate, solicitate în mod obligatoriu prin contractele de servicii de telefonie 'încheiate cu persoanele care solicită acest serviciu, prelucrează în mod excesiv, date cu caracter personal ce intră sub incidența art. 8 din Legea nr. 677/2001, în cazurile în care nu există prevederi legale exprese, consimțământul expres al persoanelor vizate sau avizul ANSPDCP.

Pentru aceste motive s-a dispus (recomandat) realizarea procedurilor interne de distrugere și de arhivare a documentelor, obligație ce incumbă atâta timp cât procesul-verbal nu a fost contestat/anulat.

Așa fiind, celelalte apărări bazate în principal pe dispoziții normative ulterioare actului administrativ contestat nu pot fi primite.

Prin recursul pârâtei Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal s-a arătat că instanța de fond a făcut aplicarea greșită a normelor de drept material reținând faptul că măsura dispusă prin Decizia nr. 104/18.05.2018 excede neregulilor constatate și sancționate prin procesul-verbal nr. x/22.03.2018, deoarece prin decizia contestată pârâta a dispus mai mult decât recomandarea formulată în urma controlului efectuat la data de 22.03.2018.

Referitor la motivele prevăzute de art. 488 alin, (Vi pct. 8 din C. proc. civ. Se pretinde că nu pot fi reținute cele statuate de instanța de fond, care a anulat în parte Decizia nr. 104/18.05.2018 deoarece aceasta ar excede neregulilor constatate și sancționate prin procesul-verbal nr. x/22.03.2018, întrucât prin decizia contestată pârâta a dispus mai mult decât recomandarea formulată în urma controlului efectuat la data de 22.03.2018.

Astfel, instanța de fond nu a ținut cont de faptul Legea nr. 677/2001 este aceea care conferă, cu precădere, protecție codului numeric personal sau altor date cu caracter personal având o funcție de identificare de aplicabilitate generală.

De asemenea, instanța de fond nu a observat dispozițiile legale diferite pe baza cărora au fost întocmite cele două acte administrative, procesul-verbal și decizia, respectiv dispozițiile art. 35 din Legea nr. 677/2001 și cele ale art. 26 alin. (1) coroborat cu art. 21 alin. (3) lit. d) din aceeași lege, aspect ce justifică conținuturi diferite ale celor două acte.

Totodată, instanța de fond nu a observat dispozițiile art. 25 alin. (10) din Legea nr. 677/2001 care stipulează că "prevederile alin. (4)-(9) se aplică în mod corespunzător și în situația în care autoritatea de supraveghere află pe orice cale despre săvârșirea unei încălcări a drepturilor recunoscute de prezenta lege".

Din economia textului de lege sus-menționat rezultă că în situația în care președintele Autorității de Supraveghere află de încălcări ale drepturilor persoanelor fizice, pe orice cale, incluzând și efectuarea unei investigații din oficiu, așa cum a fost și cazul în speță, poate dispune măsuri obligatorii prin intermediul unei decizii.

În același timp, instanța nu a ținut cont de obligațiile instituite de art. 20 din Legea nr. 677/2001 potrivit cărora operatorul are obligația de a aplica măsuri tehnice și organizatorice adecvate pentru protejarea datelor cu caracter personal împotriva oricărei alte forme de prelucrare ilegală.

Instanța de fond nu a observat faptul că nu există text de lege care să impună președintelui Autorității conținutul unei decizii cu caracter obligatoriu pentru operatorul controlat și care să o limiteze doar la cele constatate de echipa de control în timpul investigației, la sancțiunea aplicată sau la recomandările formulate de această echipă.

De asemenea, instanța nu a ținut cont de faptul că în cadrul investigației au fost verificate doar un număr limitat de contracte încheiate cu clienții - persoane fizice, pentru scopul "servicii de comunicații electronice" furnizate de intimată, iar verificarea s-a efectuat doar la un singur punct de lucru.

Totodată, instanța nu a ținut cont de argumentele dovedite ale Autorității de Supraveghere privind faptul că în răspunsul Autorității nr. 23657/05.06.2018 (anexa nr. 3 la întâmpinare), dat la solicitarea intimatei și ulterior investigației și emiterii Deciziei 104, intimatei i s-a precizat că "deciziile președintelui ANSPDCP nr. 104/18.05.2018 și nr. 108/21.05.2018 nu se referă la datele cu caracter personal colectate cu respectarea dispozițiilor legale, ci doar la datele cu caracter personal deja colectate, fără consimțământul expres al persoanelor vizate, fără temei legal sau avizul ANSPDCP."

Prin urmare, dispozitivul deciziei este circumstanțiat, în sensul că dispune măsuri numai în privința prelucrărilor neconforme nu și în privința datelor prelucrate în conformitate cu legea și, în plus, acordă libertate intimatei de a verifica, în prealabil, în evidențele sale, care sunt aceste prelucrări neconforme și de a decide ea însăși care anume date se impun a fi șterse și care nu, astfel că nu este în imposibilitate de a o executa.

Cu alte cuvinte, așa cum s-a argumentat și la fondul cauzei, dar instanța nu a ținut cont de aceasta, decizia stabilește ca intimata, în calitate de operator de date cu caracter personal, să își efectueze, practic, o evaluare internă a activității de prelucrare a datelor pentru a identifica ce date și categorii de date prelucrează, în ce scopuri și ce temeiuri legale, iar în măsura în care constată faptul că nu respectă condițiile de legitimitate a prelucrării datelor, cum sunt, în speță, consimțământul valabil obținut, o prevedere legală expresă sau avizul Autorității de Supraveghere să procedeze la ștergerea/distrugerea acestor date protejate de art. 8 din Legea nr. 677/2001.

Or, așa cum s-a arătat, în investigația de la data de 22.03.2018, s-a verificat doar o mică parte și nu întreaga activitate a intimatei de prelucrare a datelor protejate de art. 8 din Legea nr. 677/2001 pentru furnizarea serviciilor de comunicații electronice.

Nici aceste susțineri nu pot fi primite fiind nereal faptul că în procesul-verbal nr. x/22.03.2012 s-ar fi făcut referire și la obligația de ștergere/distrugere a datelor cu caracter personal privind CNP și a altor date cu caracter personal având funcții de identificare de aplicabilitate generale stocate și colectate, altfel decât prin reținerea copiilor de pe actele de identitate.

Mai mult, din chiar susținerile recurentei-pârâte mai sus citate rezultă că aceasta indică faptul că "dispozitivul deciziei este circumstanțiat numai în privința prelucrărilor neconforme", dar acest lucru nu se poate realiza în legătură cu un act administrativ.

Este evident că emitentul actului a impus o obligație ce nu rezultă dintr-o neregulă indentificată în sarcina reclamantei.

De altfel, cum corect a reținut și instanța de fond, Decizia nr. 132/2011 realiza o diferențiere în ceea ce privește modalitatea de colectare a datelor cu caracter personal și prevedea, cu privire la efectuarea și reținerea copiilor de pe cartea de identitate, o condiție suplimentară constând în acordul expres al persoanelor pentru efectuarea și reținerea unei copii a cărții de identitate și nu doar un acord pentru prelucrarea datelor. În contextul acestei reglementări, recomandarea dispusă prin actele care au stat la baza emiterii deciziei contestate (proces-verbal și raport) a vizat exclusiv reținerea copiilor de pe cărțile de identitate, întrucât investigația a relevat faptul că reclamanta solicita un acord general al clienților cu privire la prelucrarea datelor cu caracter personal, însă nu solicita și un acord expres pentru colectarea și stocarea copiilor cărților de identitate.

În consecință, este nelegală măsura prin care a dispus obligația de ștergere/distrugere a datelor cu caracter personal privind codul numeric personal și a altor date cu caracter personal având o funcție de identificare de aplicabilitate generală, stocate și colectate altfel decât prin reținerea copiilor de pe actele de identitate, din moment ce în cursul investigației din data de 22.04.2018 nu au fost identificate alte nereguli în colectarea și stocarea datelor cu caracter personal, ci doar prelucrarea lor excesivă prin reținerea copiilor de pe cărțile de identitate, fără a exista un acord expres în acest sens al persoanelor vizate.

În aceste condiții, în raport de criticile ambelor părți, hotărârea instanței de fond apare ca temeinică și legală.

Cum în raport de motivele invocate, recursul reclamantei nu se încadrează în prevederile art. 488 alin. (1) pct. 6 sau 8 C. proc. civ. iar cel al pârâtei în dispozițiile art. 488 alin. (1) pct. 8 C. proc. civ., Înalta Curte în temeiul dispozițiilor art. 496 C. proc. civ. urmează a respinge ambele recursuri ca nefondate.

PENTRU ACESTE MOTIVE

ÎN NUMELE LEGII

D E C I D E

Respinge recursul formulat de reclamanta A. S.A. împotriva sentinței civile nr. 4987 din 3 decembrie 2018 a Curții de Apel București, secția a VlII-a contencios administrativ și fiscal, în ceea ce privește soluția pronunțată asupra cererii de suspendare, ca nefondat.

Respinge recursul formulat de reclamanta A. S.A. împotriva sentinței civile nr. 4987 din 3 decembrie 2018 a Curții de Apel București, secția a VlII-a contencios administrativ și fiscal, în ceea ce privește soluția dată acțiunii în anulare, ca nefondat.

Respinge recursul formulat de pârâta Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal împotriva sentinței civile nr. 4987 din 3 decembrie 2018 a Curții de Apel București, secția a VlII-a contencios administrativ și fiscal, ca nefondat.

Definitivă.

Pronunțată, în ședință publică, astăzi 18 mai 2021