Protectia datelor in Romania. Conformare si sanctiuni GDPR

Autorul, cercetatorul Mihai Sandru, evidentiaza inca din debutul volumului „Protectia datelor in Romania” de ce acest domeniu a stralucit in ultimii ani in viata practica, aratand ca aparenta de birocratie este umbrita de faptul ca protectia datelor are valoare prin intelegerea structurata, bazata pe principii.
Linia sau firul rosu al acestei lucrari se mentine de la inceput catre final, reprezentand un „instrument de conformare” care se va afla, odata ce volumul va afla lumina tiparului, la dispozitia tuturor operatorilor si persoa­nelor interesate in cunoasterea si aplicarea Regulamentului General privind Protectia Datelor. Altfel spus, autorul Mihai Sandru, isi exprima in primul capitol intitulat „De ce protectia datelor”, intr‑un mod original, intreaga experienta dobandita in acest domeniu, cu grija celui care doreste sa instruiasca. Ca urmare, in primul capitol ni se deschide lumea practica a protectiei datelor, aratandu‑se unde pot aparea principalele provocari in respectarea Regulamentului General al Protectiei Datelor, unde trebuie facute distinctiile esentiale pentru a sti cum sa aplicam corect sau cel putin a intelege corect exigentele si sensul normelor principale ale acestui regulament si a legislatiei cu care interfereaza la nivelul operatorilor din Romania sau in legatura cu persoanele vizate din Romania.
Capitolul II atrage atentia asupra dinamicii legislatiei si actelor din domeniul protectiei datelor: toate acestea, spune autorul, reprezinta un ecosistem care se dezvolta an de an. Specificul protectiei datelor in Romania este evidentiat in special in legatura cu aplicarea legislatiei la nivelul instantelor judecatoresti din Romania si al autoritatilor. Din perspectiva legislatiei cred ca ceea ce este de noutate consta in modul propus de a vedea actele emise de catre Comitetul european pentru protectia datelor, mai exact acte care desi nu au forta juridica recunoscuta, fiind vorba de orientari, recomandari, instructiuni, totusi nu pot fi vazute ca fiind „lipsite de orice efect juridic”. In orice caz, in cadrul acestui capitol se urmareste descrierea generala a ecosistemului juridic al protectiei datelor, urmarindu‑se in cadrul protectiei normative si institutionale europene, cadrul general material si teritorial al RGPD si legaturile acestui regulament cu celelalte acte normative in domeniul protectiei datelor.
In capitolul IV sunt aratate unele caracteristici privind starea de fapt a aplicarii RGPD in Romania, utilizandu‑se in special doua puncte de reper: trimiterile preliminare formulate in fata si de catre instantele din Romania la Curtea de Justitie a Uniunii Europene si activitatea autoritatii nationale de supraveghere. Concluziile esentiale nu sunt critice, dar pe alocuri se formuleaza unele critici legate de inconsecventa unor instante in ceea ce priveste solutiile pronuntate, absenta intelegerii domeniului de aplicare fie a RGPD fie a Legii nr. 363/2018 privind prelucrarea datelor personale de catre autoritatile de aplicare a legii, ori chiar dificultatea de a receptiona practica instantelor in ansamblu ei, intrucat cautarea in sursele de informare, cum ar fi site‑ul rejust.ro este dificila. Poate in centrul intregii practici se situeaza cauza Bara si altii, invocata atat in practica CJUE dar si in aceea a unor instante din Romania.
In cadrul capitolului IV, care trateaza principiile protectiei datelor, acestea sunt descrise atat narativ cat si aratandu‑se mecanismul de interdependenta in aplicarea la situatii concrete. Cu siguranta, acesta este capitolul cel mai important, daca privim in ansamblul sau. Spre deosebire insa de limitarea stricta la principiile enuntate la articolul 5 din RGPD, autorul mai adauga un principiu, anume principiul proportionalitatii. Majoritatea autorilor considera ca acest principiu este inclus in principiul legalitatii prelucrarii datelor, insa autorul arata ca acest principiu este un standard mult mai larg decat a se reduce la principiul legalitatii prelucrarii datelor cu caracter personal, influ­entand inclusiv chestiunea dimensiunii unei sanctiuni aplicate de o autoritate de supraveghere.
Capitolul V, intitulat temeiurile prelucrarii, vine in completarea capitolului anterior privind principiile prelucrarii. Din nou, exemplele din jurisprudenta CJUE si a instantelor, repre­zinta „mirodeniile” care fac textul placut, usor de inteles, dar mai ales util, deoarece fiecare idee este insotita de un astfel de exemplu. Exista si aici, unele pozitionari care provoaca la dezbatere, aspect chiar pus in discutie de autor; astfel de pozitionari, precum ideea ca nu consimtamantul este principalul temei juridic utilizat pentru prelucrari privite in ansamblul lor sau ca in prezenta unui temei juridic, altele nu trebuie concomitent alaturate, confera un caracter practic lucrarii. Toate aceste idei de cele mai multe ori sunt insotite de recomandari din ghidurile si orientarile Comitetului european pentru protectia datelor. Un loc central din cadrul acestui capitol il reprezinta consim­tamantul ca temei legal al prelucrarii datelor. De altfel, consimtamantul este si centrul intereselor RGPD, motiv pentru care toate valentele si reflexele acestuia pentru a fi dat in mod valabil sunt dezbatute analizate si exemplificate. In referire la temeiurile juridice ale prelucrarii datelor personale, autorul concluzioneaza ca acestea reprezinta elementul juridic dur, dincolo de diferitele proceduri necesare respectarii RGPD. In acelasi timp, modul de prezentare a notiunilor este insotit de „atentionari” adresate cititorului sau, altfel spus, autorul ii cere acestuia sa ia aminte la „lectiile invatate”.
Capitolul VI se orienteaza catre puterile oferite persoanei ale carei date sunt prelucrate, puteri care se manifesta in virtutea unui „scut” solid de drepturi pe care RGPD l‑a consacrat strategic. Drepturile persoanei vizate sunt enuntate de catre autor si se fac precizari constatate privind specificul lor si cum trebuie exercitate in practica pentru a avea eficienta. In cadrul capitolului se pune in evidenta, implicit, una dintre ideile de la inceputul lucrarii: specificul protectiei datelor cu caracter personal este ca prin intermediul legislatiei corespunzatoare se manifesta in cadrul unor raporturi de drept public. Din acest motiv, autorul prezinta suita de entitati care, alaturi de operator chiar daca uneori in contra acestuia, au obligatii corespondente realizarii drepturilor persoanelor vizate: autoritatea de supraveghere, Comisia europeana, CEPD, responsabilul cu protectia datelor. Aceasta prezentare este facuta in cadrul unei tipologii a drepturilor persoanelor vizate prin raportare la obligatii corelative specifice fiecarei entitati.
In capitolul VII este prezentat principalul „beneficiar” al obligatiilor prevazute de RGPD: operatorul de date. Prezentarea este una descriptiva facandu‑se trimiteri la principalele sale obligatii, la principalele instrumente prin care poate sa‑si asigure conformarea, cum este cazul responsabilului cu protectia datelor sau incheierea acordurilor de protectie a datelor in relatiile sale contractuale. Tot aici sunt prezentate posibilitatile de consultare a autoritatii de supraveghere, dar si instrumentul de verificare a nivelului de intruziune asupra drepturilor fundamentale, anume evaluarea de impact (DPIA).
In capitolul final, intitulat „Cai de atac, raspundere si sanctiuni”, se enunta „garantiile” respectarii RGPD de catre operatorii de date, imputernicitii acestora, fie acestia entitati publice sau private. Demersul este insotit de exemplificari, mai ales atunci cand se doreste evidentierea unui aspect mai aparte, mai interesant, cum ar fi sanctiunile aplicate pentru utilizarea necorespunzatoare a cookies.
Am parcurs cu interes volumul si cred ca acesta reprezinta o radiografie coerenta a stadiului legislatiei specifice in domeniu si, totodata, a aspectelor particulare legate de protectia datelor cu caracter personal in Romania. Stilul de expunere a ideilor si informatiilor nu este unul teoretizat, ci mai degraba unul expeditiv, informativ, adesea telegrafic. Avantajul consta in cursivitatea scrierii si ideilor, in bogatia de jurisprudenta relevanta si in faptul ca autorul reuseste sa cuprinda in putine cuvinte, enorm de multe informatii, datorita experientei practice si teoretice pe care a dobandit‑o in acest domeniu. Lucrarea ar trebui sa se adreseze in special practicienilor de zi cu zi din domeniul protectiei datelor, in special datorita informatiilor condensate in cadrul ideilor, usurintei in citirea si intelegerea acestora si faptului ca in spatele fiecarei idei se afla „proba” oferita de jurisprudenta si practica autoritatii de supraveghere.

Nicolae‑Dragos Ploesteanu