Despre răspunderea salariaților în cazul sancționării contravenționale a angajatorului pentru încălcarea prevederilor legale referitoare la protecția datelor cu caracter personal
9 mai 2023 | Andrei SĂVESCU
Andrei Săvescu
1. Prevederile legale privind protecția datelor cu caracter personal sunt cuprinse în GDPR și reglementări interne, cum ar fi Legea nr. 180/2018. Încălcarea lor poate atrage sancțiuni prevăzute de art. 83 și 84 GDPR, precum și de art. 12-15 din Legea nr. 180/2018. Încălcarea prevederilor legale referitoare la protecția datelor cu caracter personal este de natură să perturbe activitatea angajatorului, uneori chiar cauzează prejudicii patrimoniale.
2. Atunci când apreciază că prevederile legale referitoare la protecția datelor cu caracter personal au fost încălcate, ANSPDCP stabilește măsuri corective și/sau aplică amenzi. Problema răspunderii disciplinare a salariaților se pune nu doar în cazul amenzilor contravenționale, ci și în cazul măsurilor corective dispuse de ANSPDCP.
Răspunderea disciplinară
3. Nerespectarea de către salariați a prevederilor legale privind protecția datelor cu caracter personal, precum și netranspunerea în practică a dispozițiilor angajatorului privind realizarea efectivă a măsurilor corective la nivelul angajatorului dispuse de ANSPDCP, va putea atrage răspunderea disciplinară. Răspunderea disciplinară a salariatului va fi angajată doar dacă prevederi ale regulamentului intern, ale fișei postului și ale dispozițiilor angajatorului cu caracter obligatoriu pentru salariat, emise cf. art. 40 alin. 1 lit. c) CM, au fost încălcate.
4. Regula în materia răspunderii disciplinare rămâne viguroasă: răspunderea disciplinară a salariatului va fi angajată doar în măsura în care abaterea salariatului are nivelul de gravitate necesar, evaluarea gravității făcându-se având în vedere criteriile prevăzute de art. 250 CM: a) împrejurările în care fapta a fost săvârşită; b) gradul de vinovăţie a salariatului; c) consecinţele abaterii disciplinare; d) comportarea generală în serviciu a salariatului; e) eventualele sancţiuni disciplinare suferite anterior de către acesta. Aceleași criterii circumstanțiază răspunderea disciplinară atât pentru salariații cu funcții de execuție cât și pentru salariații care au atribuții referitoare la exercitarea în mod concret și particular a drepturilor conferite de lege angajatorului.
5. Totuși, în unele situații răspunderea disciplinară poate fi angajată doar în cazul salariaților care au atribuții în ce privește elaborarea regulamentului intern, elaborarea fișelor de post și conducerea activității salariaților din subordine prin dispoziții emise în numele angajatorului.
6. Motivul pentru care răspunderea disciplinară trebuie limitată în acest fel este faptul că organizarea propriei activități este o atribuție a angajatorului, deopotrivă drept[1] și obligație. Astfel încât angajarea răspunderii disciplinare poate viza doar salariații ale căror atribuții constau în organizarea activității, în special, și în general salariații care au atribuții referitoare la exercitarea în mod concret și particular a drepturilor conferite de lege angajatorului.
7. În plus, este posibil[2] ca unele atribuții ale angajatorului[3] să fie exercitate direct de către organele de conducere a angajatorului persoană juridică, situație în care răspunderea în cazul măsurilor corective dispuse de ANSPDCP va reveni persoanelor care alcătuiesc aceste organe, adesea colegiale, răspundere care depășește cadrul răspunderii disciplinare a salariaților.
Răspunderea materială
8. În cazul măsurilor corective dispuse de ANSPDCP problema răspunderii materiale a salariaților nu se pune, întrucât aceste măsuri au rolul de a îmbunătăți organizarea la nivelul angajatorului, măsuri care, desigur, ocazionează costuri suplimentare. Însă aceste costuri nu pot fi puse în sarcina niciunui salariat, întrucât sunt costuri de respectare a legii.
9. Problema răspunderii materiale a salariaților se pune în ce privește constatarea unor contravenții și aplicarea de către ANSPDCP a unei amenzi, sancțiune contravențională.
10. Răspunderea materială a salariaților în cazul aplicării unei amenzi de către ANSPDCP necesită o analiză cu totul specială, care depășește cu mult cadrul obișnuit al dreptului muncii, și chiar cadrul oferit de dispozițiile dreptului civil.
11. Cauza principală a necesității unei analize speciale, concrete, a răspunderii materiale a salariaților în cazul amenzii pentru încălcarea dispozițiilor legale referitoare la protecția datelor cu caracter personal este regimul său juridic, respectiv regimul juridic al răspunderii contractuale, impus de art. 254 CM. Cu alte cuvinte, răspunderea materială a salariatului va putea fi angajată doar în cazul încălcării de către acesta a prevederilor contractului individual de muncă, inclusiv a celor din fișa postului, în măsura în care aceasta este parte a contractului individual de muncă. Încălcarea dispozițiilor regulamentului intern și a dispozițiilor angajatorului nu atrag răspunderea contractuală ci, eventual, răspunderea delictuală.
12. O altă cauză a necesității unei analize speciale în cazul răspunderii materiale a salariaților în cazul amenzii pentru încălcarea dispozițiilor legale referitoare la protecția datelor cu caracter personal este faptul că salariații nu răspund pentru pagubele care au ”cauze neprevăzute și care nu puteau fi înlăturate”[4]. În această categorie se află, după părerea noastră, unele incidente de securitate cibernetică, întrucât orice sistem informatic poate fi afectat de o breșă de securitate, dacă atacatorul alocă resurse suficiente pentru atacul informatic.
13. Pe de altă parte, lipsa resurselor patrimoniale necesare pentru implementarea unor măsuri de protecție informatică activă, de exemplu de către un salariat al angajatorului, nu are semnificația că operatorul de date personale în cauză este vinovat pentru această situație, și nici salariatul. Cu alte cuvinte, nu este rezonabil ca el să fie exterminat cu amenzi care în realitate sancționează slăbiciunea sa economică[5]. În cazul în care totuși ANSPDCP aplică o amendă, apreciem că o asemenea amendă nu va putea fi pusă în sarcina salariatului, întrucât ea reprezintă în realitate un risc normal al serviciului, cauză de exonerare de răspundere prevăzută de art. 254 alin. 2 teza finală CM.
14. O altă cauză a necesității unei analize speciale în cazul răspunderii materiale a salariaților în cazul amenzii pentru încălcarea dispozițiilor legale referitoare la protecția datelor cu caracter personal este reglementarea de către GDPR a circumstanțelor care trebuie luate în considerare, obligatoriu, de către ANSPDCP atunci când decide dacă aplică o amendă contravențională și, mai mult decât atât, atunci când decide cu privire la “valoarea amenzii administrative în fiecare caz în parte”[6]. O bună parte dintre criteriile de individualizare a amenzii aplicate angajatorului, în calitatea lui de operator de date cu caracter personal, sunt cu totul exterioare faptei salariatului care a încălcat, în activitatea sa, prevederile legale referitoare la protecția datelor cu caracter personal.
15. În acest sens, menționăm faptul că “domeniul de aplicare sau scopul prelucrării în cauză”[7] nu sunt decise de salariat, ci de angajator. Mai mult decât atât, salariatul adesea nici nu cunoaște scopul prelucrării, întrucât cunoașterea scopului nu este necesară pentru îndeplinirea atribuțiilor de serviciu ale salariatului.
16. La fel, salariatul nu are niciun control, și adesea nici nu cunoaște, și nici nu are trebui să aibă sau să cunoască detalii cu privire la “acțiuni întreprinse de operator sau de persoana împuternicită de operator pentru a reduce prejudiciul suferit de persoana vizată”[8], element important în stabilirea cuantumului amenzii aplicate angajatorului operator de date cu caracter personal. Exact la fel, salariatul vinovat este complet străin de “gradul de cooperare (al angajatorului operator de date cu caracter personal – n.n.) cu autoritatea de supraveghere pentru a remedia încălcarea și a atenua posibilele efecte negative ale încălcării”, un alt element important în stabilirea cuantumului amenzii.
17. Și mai edificatoare este împrejurarea că amenda depinde și de “eventualele încălcări anterioare relevante comise de operator sau de persoana împuternicită de operator”, ceea ce, în mod evident, nu are nicio legătură cu salariatul vinovat[9].
Concluzie
18. Angajarea răspunderii materiale a salariatului în cazul în care angajatorul a fost amendat pentru încălcarea prevederilor legale privind protecția datelor cu caracter personal, iar condițiile răspunderii civile contractuale a salariatului sunt îndeplinite necesită o analiză foarte atentă, în așa fel încât să fie luate în considerare și criteriile de stabilire a cuantumului amenzii, și, deci, al prejudiciului pentru angajator, criterii care nu sunt prevăzute nici în Codul muncii, nici în Codul civil, ci în regulamentul european privind protecția datelor cu caracter personal și în reglementările vizând activitatea ANSPDC.
19. În privința răspunderii patrimoniale a salariaților trebuie analizate și cauze de exonerare speciale, prevăzute de art. 254 CM, sau chiar o răspundere specială, care decurge din aplicarea art. 40 alin. 1 CM.
20. Răspunderea materială a salariaților în cazul aplicării unei amenzi de către ANSPDCP nu poate să fie, în niciun caz, o simplă mutare în sarcina salariatului a cuantumului amenzii.
[1] Cf. art. 40 alin. 1 lit. a) CM
[2] În practică este chiar foarte probabil să se procedeze așa.
[3] Bunăoară cele prev. de art. 40 alin. 1 lit. a) și b) CM, dar și multe altele.
[4] Art. 254 alin. 2 CM
[5] Pentru detalii a se vedea Andrei Săvescu, Despre vinovăția operatorilor de date cu caracter personal care sunt victime ale atacurilor informatice, RNSJ, 30 ianuarie 2023, disponibil aici. Ultima consultare: 4 mai 2023.
[6] Art. 83 alin. 2 GDPR
[7] Art. 83 alin. 2 lit. a) GDPR
[8] Art. 83 alin. 2 lit. c) GDPR
[9] Aproape toate criteriile menționate de art. 83 GDPR pot fi privite în același mod.
Av. dr. Andrei Săvescu, SĂVESCU & ASOCIAȚII
* Idei expuse în cadrul Conferinței naționale de dreptul muncii „Ion Traian Ștefănescu” – „Relațiile de muncă în contextul actual european și național”, 5 mai 2023, Sibiu, organizate de Facultatea de Drept din cadrul Universității „Lucian Blaga” din Sibiu, în parteneriat cu Academia de Științe Juridice din România și Facultatea de Drept din cadrul Academiei de Studii Economice din București
- Flux integral: www.juridice.ro/feed
- Flux secţiuni: www.juridice.ro/*url-sectiune*/feed
Pentru suport tehnic contactaţi-ne: tehnic@juridice.ro
