TOP LEGAL
Print Friendly, PDF & Email

Datele cu caracter personal se șterg foarte greu, aproape deloc
08.01.2019 | Andrei SĂVESCU


CONFERINTA VALERIU STOICA 2019
Andrei Săvescu

Andrei Săvescu

1. Potrivit art. 17 alin. 1 GDPR, „Persoana vizată are dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligația de a șterge datele cu caracter personal fără întârzieri nejustificate în cazul în care se aplică unul dintre următoarele motive…”. În lipsa unor motive, datele cu caracter personal nu se șterg. Prin urmare, regula este păstrarea datelor cu caracter personal, iar excepțiile de la această regulă, adică ștergerea, sunt cele menționate de lit. a)-f) ale aceluiași alineat. Chiar și excepțiile au o aplicare restrânsă. Iată, în continuare, de ce!

2. Cu referire la excepția prevăzută de art. 17 alin. 1 lit. a), observăm că datele cu caracter personal trebuie șterse atunci când nu mai sunt necesare pentru îndeplinirea scopurilor pentru care au fost colectate sau prelucrate. Însă necesitatea prelucrării ar putea să nu fie actuală, ci viitoare, adică datele să fie necesare pentru operațiuni de prelucrare viitoare, astfel încât datele vor fi păstrate.

3. Cu referire la excepția prevăzută de art. 17 alin. 1 lit. b), când prelucrarea s-a bazat pe consimțământul persoanei vizate, dar consimțământul nu a fost unicul temei al prelucrării, trebuie să observăm că, dacă există un alt temei juridic pentru prelucrare, acesta va fi prevalent față de întemeierea pe consimțământ, în pofida faptului că persoana vizată își retrage consimțământul.

4. Potrivit art. 17 alin. 1 lit. c), o altă situație de excepție în care datele cu caracter personal trebuie șterse este aceea în care persoana vizată se opune prelucrării în temeiul articolului 21 alin. 1 GDPR și nu există motive legitime care să prevaleze în ceea ce privește prelucrarea. Însă art. 21 alin. 1 GDPR se referă doar la prelucrarea realizată în temeiul art. 6 alin. 1 lit. e) sau f) GDPR, adică, pe de o parte la situațiile în care prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul, iar pe de altă parte la situațiile în care prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil. În ce privește lit. e), este greu de imaginat că îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul nu are prevalență față de simpla opunere la prelucrare pe care persoana vizată o comunică operatorului. În ce privește litera f), observăm că GDPR trimite în mod circular la „prevalență”, căci atât art. 17 alin. 1 lit. c) prima teză, cât și art. 6 alin. 1 lit. f) impun operatorului să cântărească dacă prevalează temeiurile menționate sau solicitarea de ștergere a datelor care îi este adresată de persoana vizată. Firește, în cazul în care divergența persistă, în ultimă instanță aprecierea va reveni unui judecător. De aceea, apreciem că excepția are în realitate o putere slabă.

5. Pe de altă parte, potrivit celei de-a doua teze a aceleiași lit. c), dacă persoana vizată se opune prelucrării în temeiul art. 21 alin. 2 GDPR, adică atunci când prelucrarea datelor cu caracter personal are drept scop marketingul direct, ea are, într-adevăr, dreptul de a se opune în orice moment prelucrării în acest scop a datelor cu caracter personal care o privesc, inclusiv creării de profiluri, dar numai în măsura în care prelucrarea este legată de marketingul direct respectiv. Cu alte cuvinte, nu este vorba de o veritabilă ștergere a datelor cu caracter personal, ci doar de o limitare a utilizării lor.

6. Excepția ștergerii datelor cu caracter personal în cazul în care ele au fost prelucrate ilegal, prevăzută de art. 17 alin. 1 lit. d), deși poate părea eficientă, în realitate are o sferă de aplicare limitată, întrucât nu atrage după sine ștergerea datelor decât dacă însăși colectarea a fost ilegală. În cazul oricăror alte activități de prelucrare, care s-au dovedit a fi ilegale, se opresc acele prelucrări, nu și stocarea datelor pentru realizarea ulterioară de prelucrări legale, de această dată.

7. Singura excepție necircumstanțiată este cea reglementată de art. 17 alin. 1 lit. e). Pe bună dreptate, datele cu caracter personal trebuie șterse pentru respectarea unei obligații legale care revine operatorului în temeiul dreptului Uniunii sau al dreptului intern sub incidența căruia se află operatorul.

8. În privința excepției prevăzute de art. 17 alin. 1 lit. f), care vizează colectarea de date cu caracter personal de la persoane vizate care nu au ajuns la vârsta majoratului, deși pare că este ilegală colectarea de date cu caracter personal pe bază de consimțământ de la minor, în realitate GDPR, prin art. 8 alin. 1 coboară vârsta necesară pentru exprimarea valabilă a consimțământului, adică se preocupă să nu fie prea restrictiv. Mai mult decât atât, art. 8 alin. 1 nu poate fi interpretat în mod izolat, ci împreună cu alin. 2 al aceluiași articol, care prevede că alin. 1 nu afectează dreptul general al contractelor aplicabil în statele membre, cum ar fi normele privind valabilitatea, încheierea sau efectele unui contract în legătură cu un copil. Prin urmare, interpretarea art. 8, și deci și interpretarea art. 17 alin. 1 lit. f), despre care discutăm aici, este aceea că în privința consimțământului minorilor este aplicabil regimul juridic național, iar doar în lipsa unor prevederi în acest sens devin aplicabile prevederile restrictive ale art. 8 alin. 1 GDPR.

9. Pentru a limita și mai mult aplicarea dreptului de a ștergere („dreptul de a fi uitat”), legiuitorul european a prevăzut limitări suplimentare privind aplicarea excepțiilor de la regula că datele cu caracter personal nu se șterg, în cuprinsul alin. 3 al art. 17, pe care le vom discuta în continuare.

10. Potrivit art. 17 alin. 3 lit. a), datele cu caracter personal nu se șterg dacă prelucrarea este necesară pentru exercitarea dreptului la liberă exprimare și la informare. Această limitare are caracter suplimentar, de întărire, căci concluzia formulată explicit în art. 17 alin. 3 lit. a) decurgea pe cale de simplă interpretare a art. 17 alin. 1 lit. d), potrivit căruia datele prelucrate ilegal se șterg, iar cele prelucrate legal nu. Apreciem totuși că această întărire a ideii este binevenită, fiind de natură să elimine eventuale controverse între persoanele vizate și operatori, întrucât, subliniem, ștergerea datelor cu caracter personal în încercarea persoanei vizate de a fi uitată se face la solicitarea acesteia. În momentul în care persoana vizată face o solicitare de ștergere a datelor sale cu caracter personal sâmburele de gâlceavă este deja încolțit, astfel încât clarificarea adusă de art. 17 alin. 3 lit. a) este binevenită, cu atât mai mult cu cât ea este destinată să protejeze, de exemplu, libera exprimare pe rețelele de socializare și libertatea presei.

11. În mod asemănător, datele cu caracter personal nu se șterg, în pofida faptului că persoana vizată solicită, atunci când sunt necesare pentru respectarea unei obligații legale care prevede prelucrarea în temeiul dreptului Uniunii sau al dreptului intern care se aplică operatorului sau pentru îndeplinirea unei sarcini executate în interes public sau în cadrul exercitării unei autorități oficiale cu care este învestit operatorul, conform art. 17 alin. 3 lit. b), din motive de interes public în domeniul sănătății publice, în conformitate cu articolul 9 alin. 2 literele h) și i) și cu articolul 9 alineatul 3, conform art. 17 alin. 3 lit. c) sau în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, în conformitate cu articolul 89 alineatul 1, în măsura în care dreptul menționat la alineatul 1 este susceptibil să facă imposibilă sau să afecteze în mod grav realizarea obiectivelor prelucrării respective, conform art. 17 alin. 3 lit. d). Remarcăm redundanța reglementării, chiar și în privința lit. b) de mai sus, care preia rațiunea reglementării de la art. 6 alin. 1 lit. c) și e), precum și de la art. 6 alin. 3 GDPR. Apreciem că rațiunea redundanței este aceea a clarificării limitărilor dreptului de a fi uitat chiar în interiorul textului articolului GDPR care se referă în titlul marginal la „dreptul de a fi uitat”.

12. În fine, potrivit art. 17 alin. 3 lit. e) GDPR, datele cu caracter personal nu se șterg atunci când sunt necesare pentru constatarea, exercitarea sau apărarea unui drept în instanță. Această problemă se pune nu în privința datelor care sunt utilizate, căci orice utilizare trebuie să aibă alte temeiuri, ci în privința datelor care sunt stocate fără altă prelucrare. Având în vedere termenele de prescripție extinctivă, precum și reglementarea suspendării cursului termenului de prescripție extinctivă și a repunerii în termenul de prescripție, termenele de păstrare este bine să fie stabilite cu grijă de către un operator prudent, adică este nevoie să fie destul de lungi. Pe de altă parte, în momentul în care o persoană vizată formulează o cerere de ștergere a datelor cu caracter personal, este limpede că s-a născut un potențial litigios, care el însuși justifică păstrarea datelor cu caracter personal, tocmai pentru ca operatorul să se poată apăra în cazul unui litigiu.

13. Dacă totuși, în pofida relaxării permise de legiuitorul european, operatorul are obligația să șteargă datele cu caracter personal, adică în puținele ipoteze în care are această obligație, cauzată de ilegalitatea colectării, așa cum am arătat mai sus, atunci executarea acestei obligații trebuie realizată „fără întârzieri nejustificate”. În lipsa unei definiții legale a întârzierii nejustificate, va rămâne în sarcina autorității naționale și, în ultimă instanță, judecătorului să aprecieze dacă întârzierea este sau nu nejustificată. Având în vedere această împrejurare, întârzierea ștergerii pentru a da posibilitatea unui judecător să se pronunțe asupra ei este, după părerea noastră, un motiv suficient de temeinic pentru a aprecia că întârzierea este justificată. De aceea, în realitate prevederea din finalul reguli prevăzute de art. 17 alin. 1 GDPR lasă operatorului o marjă de apreciere destul de largă. Firește, în cazul în care autoritatea sau, după caz, judecătorul, vor aprecia că operatorul și-a exercitat cu rea-credință prerogativa de a refuza sau întârzia ștergerea datelor cu caracter personal, acesta va suporta consecințele administrative și, după caz, prejudiciile materiale ale deciziei sale.

14. În concluzie, reglementarea dreptului de a fi uitat, prin art. 17 GDPR, conține în realitate limitări ale dreptului de a fi uitat, care sunt foarte numeroase și cu un câmp foarte larg de aplicare, astfel încât, în realitate, dreptul la ștergerea datelor cu caracter personal („dreptul de a fi uitat”) are în mod vădit un caracter de excepție, nicidecum nu este o regulă.

Av. dr. Andrei Săvescu
Managing Partner SĂVESCU & ASOCIAȚII

Newsletter JURIDICE.ro
Youtube JURIDICE.ro
Instagram JURIDICE.ro
Facebook JURIDICE.ro
LinkedIn JURIDICE.ro

Aflaţi mai mult despre , , , ,
JURIDICE.ro utilizează şi recomandă SmartBill pentru facturare.

Puteţi publica şi dumneavoastră pe JURIDICE.ro. Publicăm chiar şi opinii cu care nu suntem de acord. Publicarea nu semnifică asumarea de către noi a mesajului. JURIDICE.ro este o platformă de exprimare. Pentru a publica vă rugăm să citiţi Condiţiile de publicare şi să ne scrieţi la adresa redactie@juridice.ro!

Lasă un răspuns

Acest sit folosește Akismet pentru a reduce spamul. Află cum sunt procesate datele comentariilor tale.

Important: Descurajăm publicarea de comentarii defăimatoare. Vor fi validate doar comentariile care respectă Politica JURIDICE.ro şi Condiţiile de publicare.

CariereEvenimenteProfesioniştiRLWCorporate