Drept & Internet - noutati si opinii

Autoritatea de protectia a datelor din Franta a amendat Google cu 50 de milioane de euro pentru incalcarea GDPR - ca urmare a sesizărilor de la organizații non-guvernamentale care se ocupa de respectarea drepturilor civile digitale - in cazul nostru  None of Your Business  si LaQuadratureDuNet.

Patru chestiuni de detaliu, dar care merita punctate daca cititi comunicatul si decizia:

• Ati observat ca Google isi schimba - chiar de astazi - termenii de utilizare, acum toate serviciile pt consumatori fiind in mod clar oferite de "Google Irlanda"? Acum intuiti de ce, nu? Parte din explicatie este si decizia de mai sus, unde s-a decis ca autoritatea din Franta este competenta, și nu se implica principiul "one stop shop". S-ar putea ca data viitoare, sa poată ca doar cea din Irlanda sa aplice sanctiuni...
• S-a considerat ca nu exista un consimtamant valid pentru personalizarea reclamelor. Daca asta nu este, va dati seama ca toate site-urile care te forteaza sa iti dai "acordul" nu au nicio sansa sa se considere că iau un consimțământ. Oricum este clar - sper ca pentru toata lumea, macar acum - ca nu este legal conform GDPR sa obligi utilizatorul să accepte reclame personalizate pentru folosirea altor servicii.
• S-a mentionat ca este o incalcarea continua, iar sanctiunea este mai mare datorita pozitiei dominante a Google pe sistemele de operare Android de pe mobile. Deci este posibila revenirea cu o sanctiune mai dura, daca nu sunt adresate problemele ridicate...
• A durat 8 luni investigația...

Mi-am aruncat un ochi doar într-o doară peste protocolul dintre SRI și Parchetul General făcut public vineri, pentru că nu am crezut că voi găsi ceva interesant. Cu toate acestea două aspecte mi-au sărit în ochi:

1. SRI și-a extins domeniul de competența printr-un “protocol” la infracțiunile grave.

În mod special – având în vedere rolul jucat de fosta Securitate - în momentul în care s-a făcut legea SRI (14/1992), i s-au luat orice atribuții de investigare penală și a fost lăsat doar cu “culegerea de informații”, cu excepția infracțiunilor cu privire la securitatea națională și terorism.

Deci adăugarea la colaborare pentru “infracțiuni grave” este pur și simplu o extindere a domeniului de competența dincolo de orice lege. (termenul de infracțiune gravă este definit prin legea 31/2002 art 2 (b) si este o listă extrem de lungă – redusă nițel în 2012). (a scris mai pe larg Georgiana Iorgulescu de la CRJ)

2. SRI- ul avea acces la toate datele de trafic fără limită. Le dădea și altora.

Mi-a sărit în ochi si art 37 al Protocolului:

Parchetul sau parchete teritoriale pot solicita, în scris, Serviciului stabilirea istoricului poziției geografice și caracteristicile tehnice (IMSI, IMEI) al terminalului mobil, în conditiile legii speciale.

N.b: Sublinierea le aparține autorilor documentului!

Aceste date sunt date de trafic informaționale, nu date de conținut, dar care – așa cum am mai precizat în nenumărate rânduri pe acest blog – ridică niște probleme deosebite dpdv al protecției vieții private. Dacă veți să vedeți cum arată în practica aruncați-vă un ochi aici.

Din câte deduc din data documentului, acesta a fost semnat la 4.02.2009 de către Parchet, moment în care era în vigoare legea 298/2008 (care ar trebui sa fie acea lege specială) privind păstrarea datelor de trafic informațional (ce a fost ulterior declarată neconstituțională la 8.10.2009). Aceasta înseamnă că exista deja o procedura legală (în art 16) care prevedea accesul procurorilor la datele de trafic, prin aprobarea instanței și prin obținere de la operatori, în vreme ce SRI avea un cec în alb (în art. 20, de altfel unul din motivele declarării neconstituționalității legii) de care se vede că a profitat la maximum. (și nimeni nu stie dacă nu mai profită și astăzi).

Întrebarea logică urmează:

Dacă procurorii aveau un instrument legal de acces legal la date prevăzut destul de clar în art 16 și care prevedea cum pot obține datele de la operatori, atunci de ce aveau nevoie de “ajutorul SRI”?

Cred ca sunt 2 posibile răspunsuri:

1. Ajutorul SRI în accesul la datele de trafic era necesar din motive de timp și certitudine. Pe de o parte operatorul nu știa de accesul la datele de trafic si deci o posibilă atenționare a persoanelor vizate (care oricum ar fi fost o infracțiune) ar fi fost imposibilă. Pe de altă parte dacă SRI avea deja toate datele (adică nu trebuia să le ceară), probabil accesul la ele ar fi fost mult mai rapid.
SAU
2. Ajutorul SRI în accesul la datele de trafic era necesar pentru că nu puteau fi obținute legal. Deci în loc să apeleze la procedura din art 16, procurorii erau interesați de datele de trafic în mod informal fie pentru că un mandat nu ar fi fost dat de către judecător, fie pentru că de fapt nu doreau să le folosească în rechizitoriu, ci erau informații utile pentru alte scopuri: de la presiune pe inculpat să recunoască faptele (în varianta optimistă) până la șantaj (în varianta pesimistă).

Cert este ca în ambele cazuri protocolul ne demonstrează un singur lucru: că este inutil să se stabilească proceduri legale pentru a asigura drepturile și libertățile fundamentale în accesul la date, dacă ele nu sunt dublate de măsuri de verificare ca procedurile să nu pot fi driblate cu ușurința.

Nici măcar nu mai pun întrebarea dacă această activitatea ar fi trebuit să fie sistată, iar protocolul actualizat, după decizia CCR din 8 octombrie 2009. Dar înțelegem poate cu alți ochi presiunile pentru a fi adoptată o noua lege pentru păstrarea datelor de trafic.

Întorcându-ne în prezent, nu putem să notăm că chiar dacă nu avem acum o lege de păstrarea a datelor de trafic, întreg sistemul de acces la datele operatorilor, ca și la interceptări telefonice – dacă este să extindem discuția – este lipsit de orice măsuri legale, tehnice și practice de protecție, mai ales dacă ele pot fi modificate printr-un protocol secret. Adică sistemul actual un cec în alb pentru abuzuri. Iar exemplele recente din Georgia și Macedonia ne arată că de fapt e doar o problemă de timp și nivel de moralitate a celor ce au acces la sistem pentru a exploata sistemul după cum doresc.

Din păcate nu cred ca încă suntem în fața unei discuții sincere și credibile despre măsurile de siguranță pe care un astfel de sistem trebuie să le aibă, câtă vreme majoritatea vocală ce critică sistemul actual – de obicei pe la TV – nu doar ca au procese pe rol și deci un interes direct în a scăpa basma curată, dar și amestecă dezinformări cu fapte reale, de iese un fel de Caragiale 2.0 amestecat cu un Dadaism post-modernism. Deci varză.

Așă că scriu nota asta pentru viitor. Ca să fie.

PS: Mi se pare extrem de interesant ca chiar seful DNA din acea perioada spune ca unele dispozitii din acel protocol erau ilegale.

Acum aproape doi ani, când apăruse hotărârea CEDO Bărbulescu vs. România am scris o însemnare, ca să rămână gravat faptul că CEDO nu a decis că angajații pot fi monitorizați, ci că "angajatorii nu au nicidecum un drept de a-și urmări angajatii, dar că acest lucru ar putea fi acceptabil în anumite circumstanțe (cum sunt cele din speța în cauză)." 

Acum două zile, a apărut noua hotărâre CEDO Bărbulescu vs. România a Marii Camere (pentru că CEDO a considerat că e un caz important, care ar putea fi revizuit cu mai multe argumente). Concluzia nu este diferită de cea de mai sus, pe care o punctasem atunci, deși majoritatea au spus că, inclusiv în circumstanțele din speța respectivă, monitorizarea angajatului a fost ilegală. Dar alte două aspecte mi se par mult mai important de subliniat (le găsiți pe scurt și în seria de întrebări și răspunsuri a Curții):

1. În primul rând, că Statele (inclusiv România) au obligația de a se asigura că un angajator nu poate să ia măsuri de supraveghere a angajaților doar pentru că vrea și fără a asigura garanții adecvate împortiva abuzului. În același timp, se lasă posibilitatea unei largi zone în care această obligație se poate îndeplini - probabil de la un cadru normativ specific sau printr-o jurisprudență adecvată a instanțelor (inclusiv cele din zona dreptului muncii - vezi par. 113-120 din Decizie pentru detalii);

2. În al doilea rând, CEDO deja creionează în par. 121 o serie de șase criterii care pun bazele nivelului minimal de asigurare a proporționalității și garanțiilor pentru un caz de monitorizare a angajatului:
   

   1. Informarea prealabilă a angajatului, inclusiv cu privire la natura monitorizării și momentul implementării măsurilor;

   2. Proporțiile monitorizării și nivelul de intruziune în viața privată a angajatului, inclusiv cu privire la date de trafic, conținut sau coordonate de localizare;

   3. Dacă vorbim de accesul la conținutul comunicațiilor, identificarea motivelor legitime pentru care o astfel de măsură este necesară;

   4. Posibilitatea implementării unui sistem de monitorizare mai puțin intruziv (hello, data minimisation!);

   5. Consecințele monitorizării și dacă rezultatele nu au fost folosite în alt scop;

   6. Garanții suficiente pentru angajat, în special pentru accesul la conținutul comunicațiilor.

În condițiile în care piața e plină de soluții de supraveghere electronică (nu doar a angajaților), unde majoritatea celor implicați (producători sau vânzători ori consultanți) "uită" să menționeze că soluțiile pot fi folosite doar în anumite condiții legale, va fi crucial rolul instanțelor să aplice corect decizia CEDO și rolul autorităților competente să aplice Regulamentul UE pentru protecția datelor personale - GDPR, pentru avea un regim legal funcțional, și nu doar pe hârtie.

Iar angajatorii trebuie să înțeleagă faptul că o formulare juridică a principiului:"Băi, eu știu tot ce faceți voi!" este mult mai complexă decât pare.

PS: Dacă tot vorbeam de GDPR, aruncați-vă o privire pe site-ul MAI, pentru că au pus în dezbatere publică ieri un proiect de lege, care practic implementează parte din GDPR în legislația română. Caută după: Proiectul de Lege pentru modificarea și completarea nr. Legii nr. 102/2005 privind înfiinţarea, organizarea şi funcţionarea Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal, precum și pentru abrogarea Legii nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date [...]

Am fost astazi la dezbaterea “Garantii legale pentru respectarea drepturilor omului în cadrul metodelor speciale de supraveghere”.

Două chestiuni:

1. Prezentarea făcută la eveniment referitoare la garanții - în principal m-am referit la cele de transparență și tehnice - legate de activitatea de interceptări (mai multe detalii despre eveniment vezi aici). E doar o încercare rapidă, pentru că nu am avut prea mult timp pt cercetarea în detaliu a subiectului, dar sper să fie mai degrabă un input bun de discuție (evident, dacă se vrea…):

2. Am aflat la dezbatere de două cazuri șocante povestite de judecători legate de interceptări:

• In primul dintre ele un judecator a primit o inregistrare audio pe CD, ca rezultat al unei interceptari. Doar ca fisierul respectiv nu a putut sa fie redat pe niciun calculator al instantei. Motivatia - atat a organului care asigura “suportului tehnic", cat si a departamentului tehnic al instanței - “nu avem softul”. :-)
• In al doilea caz un alt judecator a povestit cum au decis sa nu se bazeze doar pe transcrierea interceptarii, ci sa si asculte fisierul audio. Au ascultat partea indicata - vrei 20 de minute - si au avut supriza ca este inregistrata … doar muzica populara.

Nu stiu cum sunt altii, dar cand aud povestile astea, ma gandesc ca niste oameni ar fi trebuit sa-si dea demisia. Cel putin.

Iar prezentarea mea e un SF din alta lumea fata de realitate…

 

Ieri a fost publicată și motivarea deciziei CCR cu privire la excepţia de neconstituţionalitate a dispoziţiilor art.142 alin.(1) din Codul de procedură penală, prin care sintagma “ori de alte organe specializate ale statului” care ar putea face interceptări telefonice sau alte activități de supraveghere tehnică a fost declarată neconstituțională. Nu o să insist asupra prostiilor scenaritei acute și nici asupra faptului că decizia Curții este logică și urmează jurisprudența constantă a CCR. (vezi si par. 38-42 din decizie)

A. Două concluzii scurte

A1. Doar organele de urmărire penală pot să efectueze supravegherea tehnică

(34) (…) organele care pot participa la realizarea acestor (acte prevăzute de art.142 alin.(1) teza a doua din Codul de procedură penală) sunt numai organele de urmărire penală. Acestea din urmă sunt cele enumerate la art.55 alin.(1) din Codul de procedură penală, respectiv procurorul, organele de cercetare penală ale poliţiei judiciare şi organele de cercetare penală speciale.

A2. Decizia CCR se referă în principal la neclaritatea textului și la lipsa garanțiilor adecvate

Asta înseamnă că infrastructura de interceptare poate fi folosită de altcineva (vezi mai sus). Deci soluția propusă de Minisitrul Justiției ar putea fi o opțiune dacă garanțiile prevăzute de decizia CCR sunt respectate. Aceasta înseamnă în practică că o asemenea soluție NU se poate adopta prin OUG (fiind neconstituțional cf. Art 115 (6) din Constituția României) și că trebuie să aibă garanții adecvate - asta înseamnă inclusiv, in opinia mea, că sistemul ar putea să fie folosit doar după un audit tehnic extern care să garanteze principiile de mai jos.

B. Ce trebuie să reținem pentru viitor

 

B1. Avem nevoie de garanții juridice, procedurale și tehnice adecvate pe tot parcursul interceptărilor

CCR citează în par 44. CtEDO cu privire la necesitatea garanțiilor în ambele etape ale interceptărilor telefonice - autorizarea supravegherii (când trebuie garanţii substanţiale împotriva supravegherii arbitrare şi discriminatorii) şi efectuarea propriu-zisă a supravegherii. La acest ultim aspect cazul CtEDO citat subliniează că:

“nu este prevăzută nici o verificare a implementării măsurilor de supraveghere tehnică secretă de către un organism sau o entitate oficială, externă serviciilor care desfăşoară măsurile de supraveghere, sau cel puţin, căreia să îi fie impusă îndeplinirea unor condiţii care să îi asigure independenţa şi conformitatea cu principiile statului de drept, dar că nicio altă instituţie, în afara celor care dispun măsurile speciale de supraveghere, nu poate să verifice dacă măsurile luate îndeplinesc condiţiile prevăzute în mandatul de supraveghere sau dacă datele originale sunt reproduse cu exactitate în documentele scrise.”

B2. Avem criterii clare pentru garanții minime pe care nu le îndeplinim acum

CCR citează criteriile CtEDO cu privire la garanțiile minime care ar trebui să fie prevăzute în legislaţia statului, pentru evitarea abuzurilor de putere:

• natura infracţiunilor care determină necesitatea de interceptare;
• stabilirea categoriilor de persoane pasibile de înregistrarea convorbirilor telefonice;
• o limitare a duratei de înregistrare a convorbirilor telefonice;
• procedura obligatorie pentru examinarea, utilizarea şi stocarea datelor obţinute;
• măsurile de precauţie care trebuie luate în cazul informării altor părţi;
• împrejurările în care înregistrările pot sau urmează să fie şterse ori distruse

B3. Legislația care poate afecta drepturile fundamentale trebuie să îndeplinească cerințe de calitate precise

Orice decizie cu privire la interceptări trebuie să se faca prin lege (part 47) și să îndeplinească cerinţele (par 46) de:

• accesibilitate (normele care guvernează materia interceptării comunicaţiilor trebuie reglementate la nivel de lege),
• claritate (normele trebuie să aibă o redactare fluentă şi inteligibilă, fără dificultăţi sintactice şi pasaje obscure sau echivoce, într-un limbaj şi stil juridic specific normativ, concis, sobru, cu respectarea strictă a regulilor gramaticale şi de ortografie),
• precizie şi previzibilitate (lex certa, norma trebuie să fie redactată clar şi precis astfel încât să permită oricărei persoane - care, la nevoie, poate apela la consultanţă de specialitate - să îşi corecteze conduita şi să fie capabilă să prevadă, într-o măsură rezonabilă, consecinţele care pot apărea dintr-un act determinat)

Deci ne apucăm să ne gândim la un text care să respecte principiile sau iar fușerim un OUG până la următoarea decizie CCR?

În ultimele săptămâni a început sa abunde presa de relatări catastrofice legate de inerentul final al luptei anticorupție, pentru că SRI nu va mai putea face interceptări - cum zice decizia Curții Constituționale a României (CCR) anunțată pe 16.02.2016, despre care am mai scris.

De la scenarita intereselor ascunse ale membrilor CCR (relevată de jurnalistul economic Moise Guran) la informații concrete de la SRI care a început să raspundă dintr-o dată la cereri pe legea 544 și care afirmă că “atingerea standardului actual de performanta si de eficienta s-ar putea realiza in aproximativ 8 - 10 ani” până la o poziție nuanțată a lui Dan Tapalagă care concluzionează că “Serviciul Roman de Informatii nu pierde chiar atat de mutl pe cat pretind unii comentatori” s-a împărțit întreaga societate românească care așteaptă cu sufletul la gură motivația CCR:

• fie va fi pro-DNA, pro-SRI, pro luptă anticorupție și să lase SRI-ul să mai facă interceptările esențiale pentru această luptă acerbă;
• fie va fi pro-corupție, pro-Antena76, pro-Băsescu (?!!?), conservatoare și va zice că SRI nu poate să mai facă acele interceptări.

Îmi permit să risc a fi aruncat nemilos într-una din cele 2 categorii și să adresez 2 întrebări retorice, pe care eu le consider normale, dar care cu siguranța că ar trebui să atraga un titlu de genul “dezvăluiri uluitoare".

1. Și dacă judecătorii CCR pur si simplu își fac treaba corect, conform legilor și propriei conștiințe?

Judecătorii CCR sunt puși acolo nu să fie pro sau anti-corupție, ci să vegheze la echilibrul puterilor în stat și la respectarea Constituției. Să fim siguri că prin OUG nu se schimbă chestiuni care ne afectează drepturile fundamentale. Că statul nu poate dea mâine o lege prin care toți să fim puși la amprentare, chiar daca tot Parlamentul e de acord.

Așa cum am mai zis - decizia din 16.02 -este în trendul CCR de a considera neconstituționale acele dispoziții care sunt prea vagi și pot afecta drepturile fundamentale:

De la „ameninţări la adresa securităţii naţionale” și “pot avea” din Decizia 1258/2009 (Legea 298/2009 privind păstrarea datelor de trafic) până la “datele deţinute, relevante în contextul solicitării” din propunerea de lege privind securitatea cibernetică – Decizia 15/2015, CCR este constantă în a preciza că vor fi declarate neconstituționale acele dispoziții care “nu au un caracter precis şi previzibil.”

De altfel o altă decizie din 3 martie a CCR demontează o altă petardă - că decizia din 16.02 va revoluționa toate dosarele anticoruptie deja soluționate. Cum explică av. Dan Mihai:

Prin decizia din 3 martie 2016, Curtea Constituţională elimină posibilitatea unui şir kilometric de revizuiri ale unor hotărâri de condamnare pe motiv că interceptările efectuate prin SRI s-au bazat pe un text declarat neconstituţional. (…) decizia Curţii Constituţionale din 3 martie 2016 poate fi considerată ca fiind nu numai una justificată din punct de vedere tehnic/constituţional, ci şi ca una normală, corectă şi echitabilă. Chiar înţeleaptă.

Ca atare în loc să facem presiuni asupra judecătorilor CCR prin presă (care erau infierate de aceiași jurnaliști în alte contexte acum câțiva ani), ar fi bine să așteptăm liniștiți și cuminți motivarea - că lumea nu se termină aici - și apoi să trecem la întrebarea numărul 2:

2. Și dacă ar trebui să discutăm de fapt despre cum să avem un sistem legal de interceptări, care să treacă orice test de drepturi fundamentale (al CCR sau CEDO sau poate CEJ)?

Explicam acum 2 săptămâni:

în acest domeniu în România elefantul din cameră este de fapt modul de realizare a interceptăriilor. Un sistem care permite, dpdv tehnic, “accesul direct și nerestricționat la toate comunicațiile mobile” ale tuturor utilizatorilor este foarte probabil neconstituțional, câtă vreme nu are garanții adecvate. Iar cazul Zakharov vs Rusia a Marii Camere CEDO din decembrie 2015 este extrem de clar în acest sens. Singura diferență majoră dintre Rusia și România (sau ceea ce presupunem despre interceptările din România) este că în Rusia era clar că se poate face interceptarea fără mandat judecătoresc.

Știm din sursele publice (Decizia CSAT din 25 martie 2008, clasificata, Decizia nr. 258/2008 a ANCOM, Raportul Vodafone de Transparența) că practic operatorii telecom trebuie să pună la dispoziția SRI echipamentele de interceptare (black box). Asta înseamnă ca operatorul nu știe cănd, cum si ce se înregistrează. Doar SRI știe. (și ne dă niște cifre într-un raport anual - aproape 45 000 de interceptări pe an). Si pe SRI cine îl verifică?

Din punctul meu de vedere faptul că în loc de SRI va avea acces altcineva (DNA sau o nouă autoriatte de interceptări) la acele black box-uri, este o problemă secundară fața de problema primordială pe care ar trebui să ne-o punem fața de acest sistem:

Care sunt garanțille tehnice și juridice că acest sistemul de interceptări nu este abuzat? (de oricine - SRI, DNA, un angajat nemuițimit, operator, un terț din afară, producătorul echipamentului)

Garanțiile tehnice ar putea să fie un audit anual extern și independent, cu un rezultat public, care să verifice că chiar s-au făcut doar 45 000 de interceptări. Că tehnic era imposibil să se facă mai multe. Că există loguri de acces clare și justitificate. Că în niciun caz nu s-a inregistrat o persoană după ce i-a expirat mandatul. etc.

Garanțiile juridice ar putea să fie legate pe de o parte de mandatele judecătorești date penrtu interceptare - că fiecare interceptarea este legată de un mandat anume precizat pt o persoană identificată sau indentificabilă, că sistemul de mandat este un control eficient (sunt aprobate peste 95% din cereri?), care este sistemul instituțional de control au autoritătii? este acesta eficace? (vezi detalii in raport Comisia de la Veneția și în raport FRA) Poate o persoană care se consideră interceptată ilegal să afle dacă are dreptate sau nu? Sunt persoanele interceptate informate de acest fapt, dacă nu s-a început urmărirea penală (art 145 CPP)? Căte cazuri au fost de acest gen? etc.

Concluzie

Până când nu avem o discuție serioasă pe aceste întrebări, vom avea foarte probabil alte decizii punctuale ale CCR sau CEDO (pe care unii le vor bănui cu siguranța de parti-pris-uri) fără să ne gândim că problema e in curtea noastră și nu se rezolvă rapid cu un OUG. Evident, asta dacă se dorește punerea pe baze legale solide a sistemului de interceptări…

Articolul publicat inițial pe privacy.apti.ro

Cazul Barbulescu vs. Romania a stârnit o sumedenie de titluri cvasi-identice ale majoritatii presei romane care a conchis in mod greșit ca CEDO ar fi decis ca “Angajatorii au dreptul să supravegheze comunicațiile pe internet ale salariaților". Punct.

Lectura integrala a deciziei instantei, dar si a opiniei separate a unuia dintre judecatori ne arata că de fapt că angajatorii nu au nicidecum un drept de a-si urmari angajatii, dar că acest lucru ar putea fi acceptabil în anumite circumstanțe (cum sunt cele din speța în cauză).

Să intrăm un pic în detaliile cazului și să vedem de fapt ce zice CEDO:

A. Întăi cateva chestiuni procedurale:

1. Curtea a analizat doar cazul trimis - care este vorba de monitorizarea comunicațiilor doar în cadrul procedurilor disciplinare ale companiei și trimiterea acestora către instanța românească. În acest caz nu este vorba de monitorizarea preventivă sau continuă a angajaților, ci doar cea care a avut loc în cadrul unei proceduri disciplinare deschise conform dreptului muncii. Persoana respectiva a ridicat problema încălcării secretului comunicațiilor doar în contextul concedierii sale, el nu s-a plâns de încălcare dreptului la viața privată in contextul legii 677/2001 sau a Codului Penal.

The domestic law in force at the time of events provided for other remedies designed principally to protect private life (such as a criminal complaint based on Article 195 of the Criminal Code or a complaint based on Article 18(2) of Law no. 677/2001; see paragraphs 14 and 16 above), and the applicant did not claim that they were ineffective.

2. Cazul trimis se refera la comunicația de chat printr-un cont de Yahoo Messanger care a fost creat la instrucțiunile angajatorului și pe care angajatul a declarat ca il folosește exclusiv în scop profesional pentru a răspunde întrebărilor clienților. (vezi par 5-7)

3. Cazurile la CEDO se pot face doar împortiva statului român (vezi par. 52-54)

B. Pe fondul problemei:

1. Exista un drept la viață privată la locul de muncă. Comunicația prin Yahoo Messanger reprezintă “viață privată” și “corespondență” așa cum sunt ele prevăzute de art 8 par 1 al Convenției.

(40) (…) the content of the applicant’s communications on Yahoo messenger was accessed and that the transcript of these communications was further used in the proceedings before the labour courts, the Court is satisfied that the applicant’s “private life” and “correspondence” within the meaning of Article 8 § 1 were concerned by these measures (mutatis mutandis, Köpke v. Germany, (dec.), no. 420/07, 5 October 2010). It therefore finds that Article 8 § 1 is applicable in the present case.

2. Dreptul la viață privată trebuie să fie balansat cu interesul legitim al angajatorului. În acest caz angajatorul a avut un interes legitim pentru că (în mod cumulativ) (par 56-61):

• angajatorul credea că acel cont de Yahoo Messanger era folosit doar în scop profesional și nu personal
• accesul a fost făcut în cadrul procedurii disciplinare prevăzute de dreptul muncii
• accesul a fost limitat și proporțional - a fost doar cu privire la conversațiile din acel cont, nu cu privire la alte documente sau date din calculator
• trimiterea rezultatelor accesului în instanța a fost limitat doar la datele de trafic - cu cine a comunicat, fără a preciza identitatea sau conținutul comunicațiilor.
• angajatul nu a putut să explice in mod rezonabil de ce a folosit acel cont în scop personal.

3. A existat o informare din partea angajatorului prin care utilizarea calculatorului în scop privat nu este permisă. Aici însă este (una din) cheile distincției între opinia majoritară și cea minoritară, pentru că în opinia separată judecătorul Judge Pinto de Albuquerque subliniează că angajtorul nu a dovedit în mod suficient că angajatul stia că folosirea calculatorului în scop privat ar fi dus la concediere, la fel nu știa că este supravegheat electronic în mod constant:

In other words, there is not sufficient evidence in the file that the company’s employees, and specifically the applicant, were aware that monitoring software had been installed by the employer and recorded in real time the employees’ communications on the company’s computers, produced statistical records of each employee’s Internet use and transcripts of the content of the communications exchanged by them, and could block their communication

De altfel, opinia separată ridică mai multe semne de întrebare cu privire la circumstanțele concrete ale cazului si ale proporționalității acțiunii, care - estimez personal - că nu au fost luate în considerare de opinia majoritară tocmai din motivul explicat la punctul 1 din chestiunile procedurale. Astfel judecătorul Judge Pinto de Albuquerque noteaza că “Interferența cu dreptul la viață privată al angajatului este rezultatul deciziei de concediere luate pe baza unei măsuri ad-hoc de supraveghere a Internetului de către angajator, cu efecte drastice asupra vieții sociale a angajatorului. În opinia separată judecătorul explică că:

• Nu a existat o politică clară de utilizare a Internetului

  In other words, there is not sufficient evidence in the file that the company’s employees, and specifically the applicant, were aware that monitoring software had been installed by the employer and recorded in real time the employees’ communications on the company’s computers, produced statistical records of each employee’s Internet use and transcripts of the content of the communications exchanged by them, and could block their communication(…)Such a poorly-drafted “policy”, if existent, offered precious little protection to employees. In spite of its crucial importance for the outcome of the case, the majority did not care to consider the terms of the notice on the company’s alleged Internet surveillance policy. Taking into account the evidence before the Court, I cannot but consider that the notice did not identify the minimum elements of an Internet usage and surveillance policy, including the specific misconduct being monitored, the technical means of surveillance and the employee’s rights regarding the monitored materials.

• Mesajele interceptate aveau clar un caracter personal și chiar de natură sensibilă
• Angajatorul a interceptat și contul personal al angajatului
• Angajatorul a interceptat si a făcut copii ale unor comunicări care în mod evident nu puteau fi profesionale
• Angajatorul a trimis copii ale mesajelor personale către colegi ai angajatului si chiar au fost discutate de către aceștia.
• Concedierea a fost o sancțiune disproporționată.

C. O scurtă concluzie

Cazul nu spune în niciun caz ca angajatorul are dreptul de a supraveghea în mod nelimitat activitatea angajatului. De altfel întreaga jurisprudență CEDO citată în caz este constată în a susține în mod evident existența unui drept la viața privată a angajatului, chiar și la locul de muncă. Câteodata unele mici detalii procedurale pot îngropa un caz extrem de clar pe fond - faptul că reclamantul nu a decis să meargă pe încălcarea dreptului său la viață privată în fața instanțelor românești a limitat extrem de mult obiectul acțiunii la CEDO și probabil și rezultatului final.

Ultima săptămână a însemnat trei decizii majore pe care Curtea Europeană de Justiție (CEJ) le-a dat pentru domeniul protecției datelor cu caracter personal. Unii le-ar putea interpreta ca fiind o lovitură dată industriei, SUA sau instituțiilor publice. Noi le-am considera doar o reîntoarcere la normalul considerării dreptului la viață privată ca un drept fundamental și o răsturnare a deciziilor naționare, europene sau internaționale care desconsideră acest aspect.

Deși la noi a fost comentat mai ales cazul Bara vs. CNAS (pentru ca era un român implicat) trebuie să subliniem că toate cazurile au aceiași importanță practică fiind interpretări oficiale ale dreptului european.

1. Cazul Schrems vs Ireland Data Protection Commissioner - C 362/14 este probabil cazul cu cele mai profunde implicații la nivel internațional - pentru că a declarat invalidă Decizia Comisiei Europene prin care se considera că SUA au un regim adecvat de protecție a datelor personale (cunoscută sub numele de Safe Harbour).

Safe Harbour a fost intotdeauna în lumea specialiștilor (dar inlcusiv în rapoartele Comisiei) ca fiind o glumă proastă. Deși în cazul altor țări s-a făcut o analiză atentă a legislației pentru protecția datelor personale și a aspectelor practice pentru a beneficia de acest nivel de “regim adecvat de protecție", in cazul SUA s-a accepta un fel de auto-certificare, neverificată de nimeni. Adică, zice Facebook că respectă principiile protecției datelor personale? Atunci să-l credem pe cuvânt.

CEJ nu a putut decât să constate că un astfel de sistem, care permitea accesul neîngrădit al autorităților din SUA la datele personale stocate de firme americane și unde drepturile europenilor de acces sau rectificare a datelor erau recunoscute ca fiind de fapt iluzorii, “aduce atingere substanței dreptului fundamental la respectarea vieții private".

Decizia aruncă în aer și deci lipsește de bază juridică orice transfer de date personale dinspre UE către SUA. La cald, unii juriști consideră că soluția ar putea fi niște modele de clauze contractuale, în vreme ce alții punctează că doar o modificare a legislației din SUA ar putea să rezolve problema, de vreme ce contractul nu poate sa contravină legilor americane care permit accesul autoritătilor competente în mod direct la datele respective.

În fine trebuie remarcată frumusețea dreptului în care un tânăr jurist, Max Schrems, inarmat cu argumentele corecte și cu princiipile solide despre drepturile omului, dar și cu nervi și bani ca să-și permită procesul, poate sa câștige în fața uneia dintre cele mai mari firme din lume, a unei decizii a Comisie Europene și a unei Autorități publice ce ar trebui să fie competentă, dar e ineptă (e vorba de Autoritatea pt protecția datelor din Irlanda).

2. Cazul Bara vs CNAS - C 201/2014 precizează faptul că legislația privind protecția datelor cu caracter personal nu poate fi încălcată printr-un simplu protocol între 2 autorități publice (este vorba de CNAS și ANAF în cazul supus judecății).

Ne chinuim de câțiva ani să explicăm instituțiilor publice românești (ultima dată în cazul SIET) că datele personale nu pot fi transferate de la una la alta doar pentru că tehnic este posibil - ci trebuie analizat dacă acest schimb de date personale este necesar într-o societate democratică și care sunt garanțiile acordate pentru evitarea arbitrariului. Lucrurile trebuie analizate așezat și văzute de la caz la caz.

Și în cazul ăsta au apărut titluri pompieristice care consideră că orice transfer de date între autorități ar fi ilegal și că astfel infractorii ar fi protejați. De fapt situația este mult mai complexă și noi nu știm ce baze de date ar fi accesat ANAF și in ce condiții. Cert este insă că legea 677/2001 are suficiente excepții și interpetări care permit transferul de date între terți, dacă se respectă principiile protecției datelor cu caracter personal.

3. Cazul Weltimmo s.r.o. vs Nemzeti C 230/14 confirmă faptul că legea națională de protecție a datelor poate fi aplicață operatorilor care au o activitate - fie ea și minimală - legată de teritoriul respectiv, chiar dacă este o firmă străină.

Aceasta reconfirmare a principiului din cazul Google Spania vine să confirme situațiile în care mari firme (cum ar fi Facebook, Google sau Apple) refuză să aplice legislația națională pentru protecția datelor (și vă trimit în Irlanda, cum a fost cazul Schrems de mai sus), dar în schimb desfășoară o activitate comercială reală în țara respectivă - de la vândut reclame și până la recuperat creanțe.

Vom reveni în zilele următoare pe blogul Privacy.apti.ro cu mai multe detalii legate de primele 2 cazuri.