Interviu/ Andreea Şerban, doctorand Drept (UAIC): “Cea mai mare provocare cu care utilizatorii Internetului se confruntă este aceea că aceștia nu știu cum sunt prelucrate cu adevărat datele”

Multitudinea și diversitatea provocărilor specifice începutului mileniului al III-lea, simultan cu modificările ample determinate de globalizare și ascensiunea digitalului, determină nevoia adaptării legislaţiei naţionale şi europene în vederea protejării datelor cu caracter personal.

Andreea Șerban este doctorand în Dreptul Comerțului Internațional la Facultatea de Drept, Universitatea „Alexandru Ioan Cuza” din Iași. Andreea a comentat pentru Europunkt, într-un interviu acordat lui Vladimir Adrian Costea, pe marginea perspectivelor şi provocărilor privind protecția datelor cu caracter personal.

Vladimir Adrian Costea: Pentru început, te rog să ne explic care sunt prevederile jurisprudenței naţionale şi europene în materia datelor cu caracter personal și libera circulație a acestor date.

Andreea Șerban: Jurisprudența națională în materia datelor cu caracter personal nu este suficient de bogată încât să observăm o anumită atitudine a justițiabilului față de datele sale personale. În schimb, la nivelul Curții de Justiție a Uniunii Europene, fiind și instanța la care se raportează instanțele naționale din statele membre, putem observa o deosebită preocupare pentru datele noastre cu caracter personal în conexiune cu diverse domenii precum cel fiscal,  media și altele, pe de-o parte a instanței care are o perspectivă favorabilă asupra dreptului la protecția datelor și, pe de altă parte, a cetățenilor europeni cu un spirit civil acut, militând pentru respectarea drepturilor lor de către fiecare operator, indiferent de context.

Cum au evoluat în ultimii ani dezbaterile la nivel naţional şi european cu privire la regândirea regimului juridic al protecţiei datelor cu caracter personal? Care este poziția mediului academic?

Fără îndoială dreptul la protecția datelor a devenit în ultimii ani un drept fundamental de care dispune fiecare dintre noi. Nu doar că modificările aduse în această materie au evoluat, dar s-a revoluționat cu adevărat modul în care noi percepem datele cu caracter personal, accesul sau navigarea pe internet și modul în care informațiile despre noi sunt utilizate și prelucrate de căre diverse entități. Este interesant că există un paradox în această situație: știm că datele pe care noi le publicăm pe internet ne pot pune într-o lumină nefavorabilă sau nu la un moment dat, însă facem acest lucru în cunoștință de cauză și ne asumăm acest risc. Problemele care au stârnit opinii divergente în doctrină și în practică sunt cele privind transferul datelor în state terțe, utilizarea informațiilor colectate pentru crearea unor profiluri ale consumatorilor fără consimțământul acestora și instrumente juridice cu o aplicabilitate limitată la care persoanele vizate – cele ale căror date sunt prelucrate – pot apela pentru a-și proteja datele. Se dorește acum ca părțile interesate să cunoască conținutul noilor reglementări în domeniu, mai ales că noul Regulament privind protecția datelor propune o nouă viziune asupra datelor cu caracter personal și a modului în care acestea trebuie prelucrate și vine în întâmpinarea acelor situații pe care noi, ca utilizatori ai Internetului, fie nu le observăm la momentul navigării, fie le ignorăm, considerând că nu putem fi cumva afectați.

Care sunt aspectele sensibile ale interpretării și aplicării dreptului în materia protecției datelor cu caracter personal? Care sunt provocările cu care se confruntă utilizatorii?

Consider că cea mai mare provocare cu care utilizatorii Internetului se confruntă este aceea că aceștia nu știu cum sunt prelucrate cu adevărat datele lor și ce se întâmplă cu acestea după ce ei le publică pe Internet. Noul Regulament le aduce utilizatorilor o garanție suplimentară de protecție, operatorii fiind obligați să obțină consimțământul persoanelor pentru orice formă de prelucrare a datelor și să aducă la cunoștință utilizatorilor scopul, formelor și mijloacele de prelucrare. De asemenea, cel mai probabil în practică, va fi o provocare tocmai determinarea datelor care nu intră sub incidența noului Regulament, având în vedere că orice informație, în funcție de modul în care va fi prelucrată, poate determina identificarea unei anumite persoane vizate.

Care sunt practicile prin intermediul cărora operatorii pot încălca drepturile utilizatorilor la protecţia datelor cu caracter personal? Care sunt consecințele juridice ale încălcării acestui drept?

Practicile de care întrebați se pot referi predominant la modul în care datele sunt prelucrate: modul în care sunt colectate, dacă sunt șterse la cererea persoanei vizate sau nu etc. De asemenea, se pot referi și la nerespectarea drepturilor persoanei vizate: informare și acces,  rectificare, ștergerea datelor și restricționarea prelucrării la cerere, dreptul la opoziție. Persoana vizată, ale cărei drepturi nu au fost respectate ori ale cărei date cu caracter personal nu au fost prelucrate licit, poate acționa pe cale administrativă sau prin intermediul instanțelor pe cale judiciară pentru a obliga operatorul la respectarea normelor aplicate în domeniul protecției datelor și eventual în vederea obținerii unor despăgubiri pentru prejudiciile care i-au fost pricinuite, după caz.

Care este valoarea amenzilor aplicate în România și în celelalte state în ultimii ani, ca urmare a încălcării dreptului la protecția datelor cu caracter personal?

Având în vedere că Directivei 95/46/CE pentru protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal a necesitat transpunerea în legislațiile naționale, în România prin Legea nr. 677/2001 pentru protecția persoanelor cu  privire la prelucrarea datelor cu caracter personal, a rămas la latitudinea fiecărui stat stabilirea sancțiunilor aplicabile în acest domeniu. Nu știu cât de relevantă este valoarea exactă a amenzilor aplicate având în vedere că, după cum cum am menționat anterior, jurisprudența în materie nu este încă suficient de bogată. Însă trebuie menționat faptul că regimul sancționator la nivelul Uniunii Europene nu a fost suficient și eficient la oricare dintre valorile stabilite de fiecare stat membru, motiv pentru care noul Regulament privind protecția datelor stabilește valoarea amenzilor până la 10 000 000 EUR sau 2% din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior pentru întreprinderi. Acest lucru arată că datele cu caracter personal și în general activitatea de prelucrare a acestora, indiferent de domeniu, au căpătat o valoare deosebită atât pentru persoana vizată, cât și pentru legiuitor, instituții și instanțe, care urmăresc protejarea persoanelor fizice și în mediul online.