Daniel-Mihail ŞANDRU, Protecția datelor personale în relațiile de muncă. Considerații privind temeiul prelucrării / Protection of personal data in labor relations. Considerations regarding lawfulness of processing, Pandectele române, nr. 5/2019
Daniel-Mihail Sandru – relevant activities in the field of personal data protection
Daniel-Mihail Sandru – relevant activities in the field of personal data protection
Pandectele române, nr. 5/2019, p. 67-78
Protecția datelor personale în relațiile de muncă. Considerații privind temeiul prelucrării
Protection of personal data in labor relations. Considerations regarding lawfulness of processing
Prof. univ. dr. Daniel-Mihail Șandru[1]
Rezumat:
Relațiile de muncă sunt omniprezente în viața oricăruia dintre noi, cu atât mai mult cu cât în realitate expresia acoperă orice fel de relație cu un lucrător și chiar cu un prestator de servicii. Departamentele de resurse umane sunt cele mai afectate, real sau doar potențial, de Regulamentul general privind protecția datelor („GDPR”). De la modificarea fișei postului până la situațiile care au legătură cu GDPR multe probleme sunt de resurse umane. Prelucrarea datelor se poate face potrivit unui temei juridic, pe care operatorul, uneori împreună cu responsabilul cu protecția datelor și departamentul de resurse umane, trebuie să-l stabilească. Articolul are în vedere obligațiile angajatorului atât față de salariați (și în primul rând, față de responsabilul cu protecția datelor), cât și față de terți (mai ales angajații acestor terți), de la procesul de recrutare – în diferitele sale ipostaze – , până la situații privind încălcarea securității datelor cu caracter personal.
Cuvinte cheie:
Angajator, angajat, protecția datelor, GDPR, responsabilul cu protecția datelor.
Abstract:
Work relationships are ubiquitous in the lives of any of us, especially since these relations actually cover any kind of relationship with a worker and even a service provider. Human resources departments are the most affected, actually or only potentially, by the General Data Protection Regulation (“GDPR”). From modification of the job description to cases related to GDPR many issues relate to human resources management. Data processing can be performed according to a legal basis, which the operator, sometimes together with the data protection officer and the human resources department have to establish. The article will consider the obligations of the employer (and first of all, the data protection officer) both towards employees, as well as towards third parties (especially their employees) from the recruitment process – in its various situations – to cases related to breaches in data security.
Keywords:
Employer, employee, data protection, GDPR, data protection officer.
I. Surse legislative și soft-law
Regulamentul general privind protecția datelor[2] (în continuare GDPR sau Regulamentul) este unul dintre actele normative ale Uniunii Europene cu o influență mare în toate domeniile vieții sociale. GDPR protejează datele personale nu doar în general, în calitatea subiecților de drept de persoane vizate dar și în anumite situații/ contexte speciale. Art. 88 reglementează în mod special ”prelucrarea în contextul ocupării unui loc de muncă”[3] iar în temeiul acestuia în legislația română a fost adoptată Legea nr. 190/2018,[4] care, în art. 5, ce are denumire marginală ”prelucrarea datelor cu caracter personal în contextul relaţiilor de muncă” reglementează utilizarea de sisteme de monitorizare prin mijloace de comunicaţii electronice şi/sau prin mijloace de supraveghere video la locul de muncă, aspecte pe care le vom detalia în mod distinct. Măsurile de punere în aplicare a regulamentului, inclusiv în privința art. 88 sunt gestionate de Comisia europeană și sunt disponibile pentru fiecare stat membru.[5]
Tratatele[6] precum și declarațiile adoptate prin Tratatul de la Lisabona[7] și art. 8 din Carta drepturilor fundamentale a Uniunii Europene (CDFUE) sunt foarte importante pentru că sunt interpretate, în soluționarea unor cereri de decizii preliminare, de Curtea de Justiție a Uniunii Europene (CJUE).[8] Conform consid. 41 din preambulul GDPR “Ori de câte ori prezentul regulament face trimitere la un temei juridic sau la o măsură legislativă, aceasta nu necesită neapărat un act legislativ adoptat de către un parlament, fără a aduce atingere cerinţelor care decurg din ordinea constituţională a statului membru în cauză. Cu toate acestea, un astfel de temei juridic sau o astfel de măsură legislativă ar trebui să fie clară şi precisă, iar aplicarea acesteia ar trebui să fie previzibilă pentru persoanele vizate de aceasta, în conformitate cu jurisprudenţa Curţii de Justiţie a Uniunii Europene („Curtea de Justiţie”) şi a Curţii Europene a Drepturilor Omului.” Trebuie subliniat că există o distincție între dreptul la viață privată și dreptul la protecția datelor, reglementat doar de CDFUE în mod separat.
Regulamentul și legislația națională de punere în aplicare formează latura cea mai vizibilă a reglementărilor. În afara acestora sunt documente soft law de importanță pentru interpretarea dreptului aplicabil, provenite de la Comitetul european pentru protecția datelor (fostul Grup de lucru pentru articolul 29) și anume Avizul nr. 2/2017 privind prelucrarea datelor la locul de muncă, GL 249, adoptat la 8 iunie 2017, Documentul de lucru privind supravegherea comunicațiilor electronice la locul de muncă, GL 55, 29 mai 2002, Avizul nr. 8/2001 privind prelucrarea datelor cu caracter personal în contextul ocupării unui loc de muncă, GL 48, 13 septembrie 2001, Avizul nr. 6/2014 privind noțiunea de interese legitime ale operatorului în conformitate cu articolul 7 din Directiva 95/46/CE, GL 217, adoptat la data de 9 aprilie 2014. Acestora li se poate adăuga și un document interesant, teoretic și practic, realizat de autoritatea de protecția datelor din Franța, Commission Nationale de l’Informatique et des Libertés (CNIL), și anume ”Référentiel relatif aux traitements de données à caractère personnel” (prescurtat în acest document CNIL Ref).[9]
II. Temeiuri ale prelucrării datelor cu caracter personal în relațiile de muncă
Relațiile de muncă reprezintă una dintre funcțiile sociale esențiale pentru orice formă de societate.[10] Acestea nu se pot desfășura fără prelucrarea datelor personale, și ambele sunt importante în prezentul material, așadar vom circumscrie. Definiția relațiilor de muncă reglementate de regulament este extinsă și nu poate fi interpretată ca referindu-se doar la relațiile în care există un contract de muncă. CNIL Ref precizează că relațiile de muncă se referă la orice formă de angajare, chiar dacă ar privi alte noțiuni (echipă, efectiv, resurse umane, persoane angajate, personal etc.). Se pot avea în vedere următoarele elemente, ca scopuri ale prelucrării: a) recrutare sau utilizare de noi tehnologii în recrutare; b) gestiunea datelor personalului; c) gestionarea remunerației; d) punerea la dispoziția personalului de echipamente informatice; e) organizarea muncii; f) monitorizarea carierei și a mobilității; g) formare; h) gestiunea ajutoarelor sociale. (CNIL REF). Scopul pentru care sunt prelucrate date personale este foarte important în privința verificării respectării principiilor GDPR.[11] În afara unei definiții extinse referitoare la relațiile de muncă trebuie avute în vedere noțiunile de ”prelucrare” și ”date cu caracter personal”, (art. 4 GDPR) fiind esențiale pentru departamentele de resurse umane întrucât sunt extrem de vulnerabile din punctul de vedere al încălcării protecției datelor pornind de la aceste aspecte fundamentale. „Date cu caracter personal” înseamnă orice informații privind o persoană fizică identificată sau identificabilă („persoana vizată”) prin orice mijloace, direct sau indirect. De asemenea trebuie avute în vedere definițiile privind datele biometrice, datele genetice și datele privind sănătatea. Toate acestea sunt adeseori avute în vedere de angajatori pentru prelucrarea datelor angajaților și fiind date sensibile au regim distinct. În fine, subliniem că prin noțiunea de „prelucrare” se determină orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea” (art. 4 pct. 2).
Pentru departamentul de resurse umane dar și pentru responsabilul cu protecția datelor una dintre primele măsuri în vederea aplicării GDPR este dată de cartografierea datelor, identificarea tuturor surselor de date cu caracter personal, de la listele aflate în computere, documente de management sau financiare, adrese de mail structurate pe grupuri sau chiar pagina web, toate sunt surse de date, care sunt prelucrate de către operator.
Astfel, o primă obligație este de a stabili temeiul prelucrării datelor, în funcție de scopurile și mijloacele stabilite de operator. Stabilirea unui temei greșit duce la încălcarea art. 6 și, cel mai probabil și la încălcarea art. 5, sancționate drastic de GDPR[12].
Primul dintre temeiurile enumerate de art. 6 este consimțământul (lit.a).[13] Consimțământul ca temei al prelucrării datelor ar trebui să fie utilizat foarte rar, dacă nu chiar deloc. Avizul 2/2017 subliniază că ”pentru cea mai mare parte a acțiunii de prelucrare a acestor date la locul de muncă, temeiul juridic nu poate și nu ar trebui să fie consimțământul angajaților, având în vedere natura relației între angajat și angajator”. În situația în care se ajunge la concluzia că temeiul ar putea fi consimțământul acesta trebuie dat pentru fiecare scop în parte. Consimțământul ar putea interveni în situații care nu au legătură cu relația de muncă (de cele mai multe ori contractul individual de muncă) și nu afecteze în vreun fel această relație. Dovada consimțământului rămâne la operator (angajator) care trebuie să dovedească faptul că în cazul refuzului salariatul nu ar fi pus într-o situație inferioară, nu ar fi pusă în discuție imaginea sa în cadrul operatorului, altfel spus pierderile pe care le-ar putea suferi angajatul nu sunt doar de natură materială.
Probabil cele mai utilizate temeiuri de prelucrare a datelor salariatului sunt contractul (art. 6 lit. b), îndeplinirea unor obligații care îi revin operatorului (art. 6 lit. c) și interesele legitime ale operatorului (art. 6 lit. e). Interesul legitim sau contractul ori legea sunt temeiuri și pentru prelucrarea datelor soțului/soției și ale rudelor angajatului, cu excepția situațiilor cand prelucrarea se realizează în afara obligațiilor operatorului (de ex. deducerile personale, potrivit art. 77 din Codul fiscal[14]). În situația prelucrarării datelor sensibile care dezvăluie starea de sănătate a angajatului în cazul concediilor medicale pentru incapacitate temporară de muncă, legalitatea prelucrării se va întemeia pe art. 9 alin. (2) lit. b) GDPR.[15]
Utilizarea contractului ca temei pentru prelucrarea datelor angajatului trebuie să se facă cu stricta observare a scopului pentru care a fost încheiat contractul. Nu orice prelucrare are legătură cu contractul de muncă și ar putea avea ca temei contractul (art. 6 lit. b GDPR). Avizul nr. 2/2017 oferă ca exemplu remunerarea salariatului, fără a detalia, de exemplu, dacă temeiul contractual privind remunerația prin card (prin intermediul unei instituții bancare) este acoperit de acest temei, în situația în care angajatorul impune o anumită instituție bancară. După cum vom vedea în secțiunea dedicată cazurilor, ipotezelor și scenariilor acest temei nu este suficient.
Instanțele române au anulat ”consimțământul” liber al salariaților (care încheiaseră acte adiționale prin care erau de acord cu un pontaj biometric bazat pe recunoaștere facială) și au aplicat textul proportționalității: ”proporționalitatea oricărei prelucrări de date cu caracter personal implică așadar: – adecvarea, adică trebuie colectate numai acele date fără de care nu se poate realiza prelucrarea, strict necesare prin raportare la scopul în care sunt colectate și ulterior prelucrate; – pertinența, respectiv trebuie să aibă relevanță și să fie circumscrise scopului de prelucrare; – caracterul neexcesiv, în sensul limitării cantității datelor colectate pentru realizarea scopului propus. Revine celui care procedează la prelucrarea datelor cu carcater personal să demonstreze întrunirea cumulativă a cerințelor de adecvare, pertinență și caracterul neexcesiv, întrucât îi incumbă obligația de respectare a proporționalității pentru metoda folosită.”[16] Astfel, instanța a înlăturat atât ”consimțământul” care fusese formal, pe tabel, comun cu alte acte ale societății dar mai ales a subliniat că operatorul avea la dispoziție modalități mai puțin intruzive pentru realizarea pontajului salariaților.
III. Drepturi și obligații în ecuația angajat-angajator
Obligațiile angajatorului de proteja datele personale este una generală fără a avea în vedere vreun acord special[17]. Obligația este ope legis și se întinde cu privire la orice dată personală a angajatului, cu atât mai mult cu privire la date sensibile de care angajatorul ar putea lua cunoștință. Dacă exploatarea prelucrării datelor personale conduce la aplicarea normelor privind discriminarea la locul de muncă sau egalitatea de șanse atunci sunt două elemente diferite care trebuie avute în vedere: situația de discriminare și protecția datelor.
Exercitarea drepturilor persoanei vizate se realizează în temeiul GDPR, pentru oricare dintre drepturile prevăzute și se aplică aceleași dispoziții cu privire la restricționare și eventuala lipsă de refuz a răspunsului. În practică se solicită aplicarea dreptului la ștergere după ce angajatul a fost concediat sau și-a dat demisia, solicitând ștergerea datelor personale. Este evident că acest lucru nu este posibil, dar ar putea fi avut în vedere pentru acele date personale stocate de angajator în temeiul consimțământului, de exemplu în situația participării la un concurs intern. Datele care sunt deținute în temeiul consimțământului ar trebui să fie șterse, indiferent de modalitatea de prelucrare. Tocmai de aceea este necesar să nu fie utilizat consimțământul pentru datele personale care nu vor putea fi șterse la eventuala cerere a persoanei vizate.
Persoanele vizate (angajații) au uneori obligația de fi înregistrați în anumite registre profesionale (unele publice). Ștergerea din aceste registre nu face parte din obligațiile operatorului, deținătorul registrului având drepturi și obligații în această privință.[18]
În cazul pontării electronice a salariaților prelucrarea este necesară în scopul intereselor legitime urmărite de operator.[19] Cu toate acestea pontarea biometrică trebuie să fie corect și suficient documentată, pentru a se justifica o asemenea intruziune în viața privată și prelucrarea unor date sensibile cu un grad semnificativ asupra riscurilor în cazul încălcării securității datelor. În privința prelucrării datelor despre condamnări penale și infracțiuni s-ar putea afirma că acestea se află între interdicție (art. 10 GDPR) și interes legitim (având în vedere sfera activităților unor operatori, cum ar fi băncile). Mai mult, în unele situații, legea prevede încă prelucrarea datelor și solicitarea unui cazier judiciar la angajare, pentru dobândirea unei calificări[20], sau pentru realizarea unor drepturi,[21] eforturile Uniunii Europene în acest caz nefiind de a înlătura cazierul judiciar ci de a-l face mai eficient.[22] Ar fi oportun ca autoritățile române să se implice în completarea normelor de punere în aplicare a Regulamentului prin instituirea unor dispoziții cu caracter general referitoare la prelucrarea de către angajator a datelor din cazierul judiciar. Într-o cauză, în care sindicatul a solicitat anularea prevederilor unui Regulament intern al operatorului pentru încălcarea GDPR, instanța a menționat că ”în ceea ce privește prelucrarea datelor cu privire la condamnări penale și săvârșirea unor infracțiuni, această prelucrare este impusă de existența unor prevederi legale cum ar fi art.50 (suspendarea de drept a contractului individual de muncă), art.52 (suspendarea contractului individual de muncă din inițiativa angajatorului), art.56 (încetarea de drept a contractului individual de muncă), art. 61 din Codul muncii (concedierea pentru motive care țin de persoana salariatului), precum și legislația specifică pentru anumite categorii de personal (cum ar fi gestionarii). În acest context prelucrarea acestor date cu caracter personal devine obligatorie pentru angajator și corespunde pe deplin exigențelor art. 10 din Regulamentul European nr.679/2016 care stabilește că o astfel de prelucrare se face fie numai sub controlul unei autorități de stat (autoritate nereglementată la acest moment la nivel național), fie atunci când prelucrarea este autorizată de dreptul european sau de dreptul intern (cum este cazul în situația de față).”[23] Trebuie menționat totuși că formularea contestată era prea vagă și nu credem că ar trece testul autorității de date.[24] Aceeași instanță constată ca fiind legală obligația salariaților de transmitere către departamentul de resurse umane a litigiilor în care sunt implicați (”procese pe rol care ar putea afecta imaginea societății”). Această obligație a fost derivată și motivată de instanță din obligația de fidelitate, înscrisă în art. 39 alin. 1 lit. a din Codul muncii. ”Aducerea la cunoștința Departamentului Resurse Umane a informațiilor cu privire la existența unor procese pe rolul instanțelor de judecată, care ar putea afecta imaginea angajatorului, nu reprezintă o încălcare a dreptului la viață privată, deoarece informațiile cu privire la dosarele aflate pe rolul instanțelor de judecată sunt publice, astfel încât dacă salariatul este parte într-un dosar (indiferent de natura acestuia) nu este lezat prin comunicarea directă a acestui aspect angajatorului său prin departamentul indicat. Obligația astfel cum este prevăzută în Regulamentul Intern actualizat, nu impune transmiterea unor documente din dosarele judiciare și nici nu urmărește atragerea vreunui fel de răspundere a salariatului, ci, așa cum rezultă din chiar conținutul ei, protejarea imaginii angajatorului[25]. De altfel, prevederea din cuprinsul Regulamentului Intern actualizat nu vizează doar dosarele aflate pe rolul instanțelor, în care salariații sunt părți, ci acele dosare de care aceștia au cunoștință, indiferent de modalitatea în care au ajuns să aibă cunoștință de existența respectivului dosar (spre exemplu fiind chemați în fata instanței în calitate de martori, sau dacă au suferit vătămări ca urmare a unui delict civil sau a săvârșirii unei infracțiuni).”
IV. Cazuri, ipoteze și scenarii
Recrutare
Procesul de recrutare se poate realiza prin surse proprii, prin site-uri specializate, societăți de consultanță, cv-uri nesolicitate/ recomandări interne din partea angajaților. În toate situațiile operatorul (angajatorul) va trebui să documenteze și să facă proceduri obligatorii pentru persoanele implicate. În situația în care recrutarea se face prin surse proprii, angajatorul va trebui să delimiteze zona documentelor care conțin date cu caracter personal sensibile și să le distrugă sau să le restituie candidatului. În privința angajării prin site-uri specializate, operatorul va trebui să încheie un contract în care deținătorul site-ului să fie co-operator sau împuternicit[26] în funcție de natura prelucrării. Societățile de consultanță care realizează interviul în locul angajatorului vor trebui de asemenea să aibă un contract, în acest din urmă caz este totuși puțin probabil ca societatea de consultanță să fie persoană împuternicită de operator. În privința cv-urilor nesolicitate, operatorul va trebui ca prin procedură să aleagă fie distrugerea, fie stocarea acestora pe o perioadă rezonabilă de timp, cu informarea persoanei vizate în sensul stocării și prelucrării datelor precum și a perioadei de timp pentru care se face prelucrarea. Stabilirea documentelor necesare în procesul de recrutare și principiul reducerii la minimum a datelor este un moment și uneori chiar un document în procedura de prelucrare a datelor întrucât există domenii de activitate în care sunt necesare acte juridice specifice, obținute de la autorități sau instituții, ori care au un anumit caracter clasificat, ori sunt necesare autorizații prealabile. Cu toate acestea, operatorul nu trebuie să ia decizii pe baza unor acte medicale pe care le procură din surse terțe sau despre au cunoștință membrii comisiei de concurs din activități anterioare.[27] Stabilirea unor verificări efectuate de angajator (pe portalul instanțelor de judecată, în mediul online, registre publice etc….) se poate realiza doar după analiza interesului legitim al operatorului din care reiese că interesul operatorului de date prevalează asupra drepturilor si intereselor potentialului angajat.
Utilizarea platformelor on line și a aplicațiilor în activitatea de recrutare a personalului trebuie să se facă cu precauție având în vedere posibilele incidentele de securitate. Datele personale prelucrate chiar prin extragere ori vizualizarea acestora aflate din platformele on-line se bucură de protecția GDPR și, în consecință persoanele vizate trebuie înștiințate cu privire la prelucrare. Utilizarea aplicațiilor comerciale, cum ar fi whatsapp trebuie evitată, având în vedere și faptul că autoritatea română de protecția datelor a sancționat utilizarea acestui serviciu pentru transmiterea de date personale între o bancă și o societate cu răspundere limitată.[28]
Eficiența angajaților și monitorizarea (există viață privată la locul de muncă)
Unul dintre punctele cheie ale aplicării protecției datelor în relațiile de muncă este controlul eficienței angajaților de către operator, prin monitorizarea prin mijloace de comunicaţii electronice şi/sau prin mijloace de supraveghere video, fie că în concret se face monitorizarea locului de muncă (a instrumentului, utilajului, calculatorului), monitorizarea eficienței prin instalarea unui soft pe calculatorul angajatului, monitorizarea prin geo-locație și monitorizarea video. Legiuitorul român a reglementat prin legea de punere în aplicare condițiile monitorizării:
a) interesele legitime urmărite de angajator sunt temeinic justificate şi prevalează asupra intereselor sau drepturilor şi libertăţilor persoanelor vizate;
b) angajatorul a realizat informarea prealabilă obligatorie, completă şi în mod explicit a angajaţilor;
c) angajatorul a consultat sindicatul sau, după caz, reprezentanţii angajaţilor înainte de introducerea sistemelor de monitorizare;
d) alte forme şi modalităţi mai puţin intruzive pentru atingerea scopului urmărit de angajator nu şi-au dovedit anterior eficienţa; şi
e) durata de stocare a datelor cu caracter personal este proporţională cu scopul prelucrării, dar nu mai mare de 30 de zile, cu excepţia situaţiilor expres reglementate de lege sau a cazurilor temeinic justificate (art. 5 din Legea nr. 190/2018).
Temeiul pe care îl instituie legea este acela al intereselor legitime, așadar utilizarea consimțământului este în afara cadrului legal. Cu toate acestea, persona vizată (angajatul) trebuie să fie informată, complet și explicit. De asemenea, operatorul (angajatorul) trebuie să dovedească îndeplinirea cumulativă a tuturor condițiilor. Cauza Lopez Ribalda c. Spania instituie o excepție în privința supravegherii fără acordul salariatului, și anume existența unor indicii temeinice de încălcare a legii.[29] Monitorizarea ”totală” a activității lucrătorilor a creat controverse, operatorii din Germania confruntându-se cu ptotestele salariaților și ale sindicatelor.[30]
Uneori problemele apar atunci când se confruntă două valori apropiate, respectiv dreptul la viață privată și dreptul la protecția datelor. Acest lucru a fost evidențiat în cauzele referitoare la accesarea e-mailului (personal) al salariatului sau la anumite fișiere din computerul salariatului.[31]
Utilizarea tehnologiilor în privința evaluării salariaților poate să conducă la discriminare. Algoritmii[32] sau alte elemente care să conducă la o profilare automată sunt utilizabile în condiții speciale, întrucât impactul asupra vieții private este semnificativ iar controlul în privința unor decizii automate discriminatorii este redus.
Evaluarea angajaților în contextul GDPR (chestionare online, evaluări de tip 3600) trebuie să țină seama de posibilitatea dacă acestea generează decizii automate și dacă acestea sunt realizate intern, cu softuri proprii, sau dacă sunt utilizate programe realizate de terți sau programe gratuite disponibile pe internet (cu introducerea și transmiterea datelor către acest terț).
Există și situații specifice de încheiere a contractului de muncă, respectiv munca la domiciliu (art. 108-110 Codul muncii)[33] precum și a telemuncii[34]. În cazul acestor forme de muncă, angajatorul are dreptul de control asupra activității salariatului, iar un acord prea intruziv cu privire la accesul la computerul acestuia ar putea duce la încălcarea vieții private și a datelor cu caracter personal.
Transmiterea datelor angajatului către terți
În cele mai multe situații operatorul (angajatorul) nu transmite datele salariaților către terți. Cu toate acestea fie din necesități derivate din încheierea unor contracte, fie dintr-o obligație juridică datele angajatului vor fi transmise către terți. Pentru toate situațiile în care operatorul (angajatorul) trebuie să respecte diferite cerințe legislative nu este necesar consimțământul ci doar informarea. Acesta este cazul pentru operarea în Registrul general al salariaților[35] sau pentru medicina muncii.[36] Se pune problema acordului, așadar a prelucrării în temeiul consimțământului, pentru alte situații cum ar fi plata salariului pe card la o bancă pe care doar angajatorul o agreează, sau pentru diferite forme de asigurări pentru salariați ca beneficii asociate salariului. În toate aceste situații salariatului trebuie să i se ofere posibilitatea unei alternative sau posibilitatea refuzului prelucrării datelor în acest context.
Pregătirea angajaților pentru aplicarea normelor privind protecția datelor.
Operatorul trebuie să ia măsuri referitoare la pregătirea angajaților privind aplicarea Regulamentului general privind protecția datelor. Aceste măsuri tehnice și organizatorice se referă atât la gestionarea alături de responsabilul de protecție a datelor a instruirii inițiale (înainte de începerea activității) a salariatului care prelucrează date cu caracter personal și la documentarea acestuia, cât și la responsabilizarea și instruirea continuă a angajaților ca parte a măsurilor organizatorice pe care trebuie să le implementeze operatorul ca expresie a principiului protecţiei datelor începând cu momentul conceperii şi cel al protecţiei implicite a datelor.[37] Deși nu pare un punct important (fiind depășit de desemnarea DPO, realizarea procedurilor)[38] instructajul angajaților, îndeosebi al celor din departamentul resurse umane este esențial atât timp statisticile arată că peste 60% din încălcările securității datelor se realizează din cauze umane. De asemenea, această pregătire a salariaților nu este realizată de mulți dintre operatori (într/un sondaj se indică că 40% din operatori au recunoscut că nu toți angajații resurselor umane au beneficiat de pregătire specifică în domeniul protecției datelor).[39]
Responsabilul cu protecția datelor
Responsabilul cu protecția datelor (DPO) este un capitol separat în ecuația relațiilor de muncă, fiind personaj central în aplicarea dreptului la protecția datelor în cadrul operatorului.[40] În acest material de sinteză amintim doar câteva elemente privind desemnarea, organigrama, fișa postului, atribuțiile, colaborarea cu alte departamente sau instruirea angajaților. Responsabilul cu protecția datelor trebuie să fie în același timp independent și conectat la toate acțiunile de prelucrare ale operatorului. Practica de a desemna o persoană ca responsabil[41], pentru ca după aceea să fie instruită, poate fi necesară și salvatoare dar fără un interes constant din partea acesteia pentru o instruire accentuată rezultatele pot fi deplorabile. Până să se ajungă la exercitarea unui drept de regres împotriva responsabilului, pentru acțiuni ori inacțiuni culpabile, prejudiciile materiale ori de imagine, ori asupra vieții private se vor fi produs. Organigrama trebuie modificată corespunzător, astfel încât DPO să fie trecut pe o poziție care să reflecte statutul indicat de GDPR și Ghidul DPO.[42] DPO trebuie să fie preocupat de drepturile persoanelor vizate, de drepturile și obligațiile operatorului, de monitorizarea respectării GDPR, inclusiv a condițiilor tehnice de prelucrare a securității datelor (echipamente utilizate și situații de posibilă încălcare a securității datelor). Colaborarea dintre departamentele de resurse umane și responsabilul cu protecția datelor esteesențială pentru cartografierea datelor și realizarea obligațiilor operatorului în privința art. 30 (evidența activităților de prelucrare).
Concluzii
Prelucrarea datelor cu caracter personal în contextul de relațiilor de muncă trebuie realizată prin stabilirea unui balans proporțional între interesul legitim al operatorului (angajatorului) și întemeierea legalității. Una dintre problemele majore este și necesitatea protecției datelor și a vieții private a persoanei vizate (a angajatului). Posibilitatea de utilizare redusă a temeiului privind consimțământul determină o presiune suplimentară în privința informării. Informarea trebuie să fie efectivă, corectă, permanentă. Condițiile acestea, poate împovărătoare (costuri, timp etc.) pentru angajator, sunt necesare pentru ca atât angajatul să acționeze în conformitate cu reglementările, dar mai ales pentru ca operatorul să poată demonstra, și din această perspectivă, respectarea principiului responsabilității prelucrării datelor.
[1] Daniel-Mihail Şandru este cercetător științific gr. I, a fondat şi coordonează Centrul de Studii de Drept European al Institutului de Cercetări Juridice „Acad. Andrei Rădulescu” al Academiei Române. Profesor universitar la Universitatea Creştină Dimitrie Cantemir şi Universitatea din Bucureşti. Judecător ad hoc la Curtea Europeană a Drepturilor Omului şi arbitru la Curtea de Arbitraj Comercial Internaţional de pe lângă Camera de Comerţ şi Industrie a României. Preşedinte al Societăţii de Ştiinţe Juridice şi al Asociaţiei Române de Drept şi Afaceri Europene. Redactor şef al Revistei române de drept european (Wolters Kluwer). Poate fi contactat la adresa mihai.sandru@csde.ro Pagina web: www.mihaisandru.ro Materialul a fost pregătit pentru Conferința națională Comunități virtuale în epoca Regulamentului General privind Protecția Datelor, organizată de Universitatea Danubius, Galați, 13 noiembrie 2019. Detalii: http://www.csde.ro/?p=3319 Lucrarea a fost finalizată la 13 noiembrie 2019, dată la care au fost accesate ultima dată paginile web la care face trimitere articolul.
[2] Regulamentul (UE) 2016/679 al Parlamentului European şi al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor) a fost publicat în Jurnalul Oficial L 119, 4.5.2016, p. 1–88.
[3] Art. 88 are următorul conținut ”(1) Prin lege sau prin acorduri colective, statele membre pot prevedea norme mai detaliate pentru a asigura protecția drepturilor și a libertăților cu privire la prelucrarea datelor cu caracter personal ale angajaților în contextul ocupării unui loc de muncă, în special în scopul recrutării, al îndeplinirii clauzelor contractului de muncă, inclusiv descărcarea de obligațiile stabilite prin lege sau prin acorduri colective, al gestionării, planificării și organizării muncii, al egalității și diversității la locul de muncă, al asigurării sănătății și securității la locul de muncă, al protejării proprietății angajatorului sau a clientului, precum și în scopul exercitării și beneficierii, în mod individual sau colectiv, de drepturile și beneficiile legate de ocuparea unui loc de muncă, precum și pentru încetarea raporturilor de muncă.
(2) Aceste norme includ măsuri corespunzătoare și specifice pentru garantarea demnității umane, a intereselor legitime și a drepturilor fundamentale ale persoanelor vizate, în special în ceea ce privește transparența prelucrării, transferul de date cu caracter personal în cadrul unui grup de întreprinderi sau al unui grup de întreprinderi implicate într-o activitate economică comună și sistemele de monitorizare la locul de muncă.
(3) Fiecare stat membru informează Comisia cu privire la dispozițiile de drept intern pe care le adoptă în temeiul alineatului (1) până la 25 mai 2018, precum și, fără întârziere, cu privire la orice modificare ulterioară a acestora.” Acest articol are corespondent în consid. 115, care însă nu aduce lămuriri suplimentare. Pentru încălcarea dispozițiilor naționale de punere în aplicare a acestui articol se ”se aplică amenzi administrative de până la 20 000 000 EUR sau, în cazul unei întreprinderi, de până la 4 % din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior, luându-se în calcul cea mai mare valoare” (art. 85 alin. 5 lit. d)
[4] Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), M. Of. nr. 651/2018. În același timp locul de muncă este important pentru că poate determina competența autorității naționale de soluționare a plângerii, aspect prevăzut și de art. 20 din Legea nr. 102/2005 privind înfiinţarea, organizarea şi funcţionarea Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal. Legea nr. 102/2005 a fost republicată în M. Of. nr. 947/2018. ”Orice persoană vizată care consideră că prelucrarea datelor sale cu caracter personal încalcă prevederile legale în vigoare are dreptul de a depune plângere la Autoritatea naţională de supraveghere, în special în cazul în care reşedinţa sa obişnuită, locul său de muncă sau presupusa încălcare se află sau, după caz, are loc pe teritoriul României.” (art. 20)
[5] Acestea sunt disponibile pe site-ul Comisiei, EU Member States notifications to the European Commission under the GDPR https://ec.europa.eu/info/law/law-topic/data-protection/data-protection-eu/eu-countries-gdpr-specific-notifications_en, notificarea României este disponibilă la adresa https://ec.europa.eu/info/sites/info/files/ro_notification_51.4_83.9_85.3_88.4_publish_0.pdf
[6] Tratatul privind Uniunea Europeană (TUE) – în special art. 39, Tratatul privind Funcționarea Uniunii Europene (TFUE), în special art. 16 TFUE.
[7] Declarația (20) cu privire la articolul 16 din Tratatul privind funcționarea Uniunii Europene; Declarația (21) cu privire la protecția datelor cu caracter personal în domeniul cooperării judiciare în materie penală și al cooperării polițienești.
[8] Adriana-Maria Şandru, Privire critică asupra jurisprudenţei Curţii de Justiţie a UE referitoare la interpretarea art. 8 privind protecţia datelor cu caracter personal din Carta drepturilor fundamentale a Uniunii Europene (CDFUE), Pandectele Române, nr. 1/2018, p. 26-33.
[9] Disponibil la adresa
[10] Pentru analiza din alte domenii, a se vedea: Daniel-Mihail Șandru, Protecția datelor (în special Regulamentul general privind protecția datelor) și proprietatea intelectuală, Revista română de drept european, nr. 3/2019; Adriana-Maria Șandru, Daniel-Mihail Șandru, Dreptul umanitar și protecția datelor personale, Pandectele române, nr. 4/2018, p. 58-66.
[11] Daniel-Mihail Șandru, Principiile protecţiei datelor – de la teorie la practică, Curierul Judiciar, nr. 6/2018, p. 364-366 precum si celelalte articole menționate la adresa http://www.mihaisandru.ro/daniel-mihail-sandru-relevant-activities-in-the-field-of-personal-data-protection/
[12] Referitor la particularitățile regimului sancționator a se vedea Irina Alexe, Regimul sancționator prevăzut de Regulamentul (UE) 2016/679 privind protecția datelor cu caracter personal, Revista Curierul Judiciar nr. 1/2018, p. 36-42; în același sens, referitor la aplicarea acestui regim sancționator în România a se vedea Irina Alexe, Daniel-Mihail Șandru, Reglementări naționale ce vizează aplicarea, în România, a Regulamentului General privind protecția datelor, în volumul Irina Alexe, Daniel-Mihail Şandru (editori), Legislația privind protecția datelor în România, Editura Rosetti International, București, 2018, p. 7-25.
[13] Pe larg, a se vedea: Daniel-Mihail Şandru, Elemente privind reglementarea consimţământului în prelucrarea datelor cu caracter personal, potrivit art. 6 din Regulamentul 2016/679, Revista română de dreptul afacerilor, nr. 5/2017, p. 129-135; Daniel-Mihail Şandru, Situaţii în care este permisă prelucrarea datelor cu caracter personal fără consimţământul persoanei vizate, p. 39-48 în Andrei Săvescu (ed.), Regulamentul general privind protecţia datelor cu caracter personal. Comentarii şi explicaţii, Editura Hamangiu, 2018, p. 39-48
[14] Art. 77 din Codul fiscal dispune că ”persoana în întreţinere poate fi soţia/soţul, copiii sau alţi membri de familie, rudele contribuabilului sau ale soţului/soţiei acestuia până la gradul al doilea inclusiv, ale cărei venituri, impozabile şi neimpozabile, nu depăşesc…”. Operatorul prelucrează datele acestor persoane în temeiul contractului și al legii.
[15] A se vedea Silviu-Dorin Șchiopu, Unele temeiuri juridice ale prelucrării datelor cu caracter personal privind sănătatea potrivit articolului 9 din Regulamentul general privind protecția datelor, Revista Universul Juridic nr. 8/2019, p. 107.
[16] Curtea de Apel București, Decizia Civilă nr. 36/13.03.2017, disponibilă la http://www.rolii.ro/hotarari/592f6d6ee49009f41d0000ae
[17] Pe larg, cu privire la noutățile GDPR în materie: Adriana Maria Șandru, Inovări şi reevaluări în privinţa drepturilor persoanei vizate în Regulamentul nr. 2016/679, RRDA, nr. 4/2018, p. 42 și urm
[18] Pentru o cerere de ștergere a datelor adresată Registrului Comerțului (din Italia) de un administrator al unei societăți cu răspundere limitată: C-398/15, Manni, hotărârea din 9 martie 2017, Publié au Recueil numérique ECLI:EU:C:2017:197. Hotărârea Curții a fost următoarea: ”Articolul 6 alineatul (1) litera (e), articolul 12 litera (b) și articolul 14 primul paragraf litera (a) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date, coroborate cu articolul 3 din Prima directivă 68/151/CEE a Consiliului din 9 martie 1968 de coordonare, în vederea echivalării, a garanțiilor impuse societăților în statele membre, în înțelesul articolului 58 al doilea paragraf din tratat, pentru protejarea intereselor asociaților sau terților, astfel cum a fost modificată prin Directiva 2003/58/CE a Parlamentului European și al Consiliului din 15 iulie 2003, trebuie interpretate în sensul că, în stadiul actual al dreptului Uniunii, revine statelor membre sarcina de a stabili dacă persoanele fizice vizate la articolul 2 alineatul (1) literele (d) și (j) din această din urmă directivă pot să solicite autorității însărcinate cu ținerea registrului central, a registrului comerțului și respectiv a registrului societăților să verifice, pe baza unei aprecieri de la caz la caz, dacă se justifică în mod excepțional, pentru motive preponderente și legitime referitoare la situația lor specială, să se limiteze, la expirarea unui termen suficient de lung după dizolvarea societății interesate, accesul la datele cu caracter personal care le privesc, înscrise în acest registru, la terții care justifică un interes special în consultarea datelor respective.” Considerațiile din hotărâre rămân valabile și sub imperiul GDPR.
[19] A se vedea cauza, C-342/12, Worten, hotărârea din 30 mai 2013, ECLI:EU:C:2013:355. Datele care figurează într-o evidență a timpului de lucru (…), care privesc, în cazul fiecărui lucrător, perioadele de lucru zilnice, precum și perioadele de repaus, constituie date cu caracter personal, (…), întrucât este vorba despre „informații referitoare la o persoană fizică identificată sau identificabilă” (a se vedea în acest sens în special Hotărârea din 20 mai 2003, Österreichischer Rundfunk și alții, C-465/00, C-138/01 și C-139/01, Rec., p. I-4989, punctul 64, Hotărârea din 16 decembrie 2008, Huber, C-524/06, Rep., p. I-9705, punctul 43, precum și Hotărârea din 7 mai 2009, Rijkeboer, C-553/07, Rep., p. I-3889, punctul 42). [pct. 19] Colectarea, înregistrarea, organizarea, stocarea, consultarea, utilizarea unor astfel de date de către un angajator, precum și transmiterea lor de către acesta autorităților naționale competente să monitorizeze condițiile de muncă prezintă astfel caracterul unei „prelucrări a datelor cu caracter personal”, (…) (a se vedea în acest sens în special Hotărârile citate anterior Österreichischer Rundfunk și alții, punctul 64, și Huber, punctul 43). [pct. 20] Pe de altă parte, trebuie precizat că, din moment ce în cauza principală nu se contestă că prelucrarea datelor cu caracter personal este automată și că niciuna dintre excepțiile prevăzute la articolul 3 alineatul (2) din Directiva 95/46 nu este aplicabilă, prelucrarea menționată intră în domeniul de aplicare al acestei directive. [pct. 21] În consecință, trebuie să se răspundă la prima întrebare că articolul 2 litera (a) din Directiva 95/46 trebuie interpretat în sensul că o evidență a timpului de lucru, precum cea în discuție în litigiul principal, care implică indicarea orelor la care fiecare lucrător începe și termină ziua de lucru, precum și a întreruperilor sau a pauzelor corespunzătoare face parte din noțiunea „date cu caracter personal” în sensul dispoziției menționate. [pct. 22]
[20] Norme Metodologice din 2004 privind condiţiile şi criteriile pentru selecţionarea, şcolarizarea, atestarea şi utilizarea ghizilor de turism, M. Of. 534/2004.
[21] Ordonanța Guvernului nr. 41/2003 privind dobândirea și schimbarea pe cale administrativă a numelor persoanelor fizice, M. Of., 68/2003.
[22] Directiva (UE) 2019/884 a Parlamentului European și a Consiliului din 17 aprilie 2019 de modificare a Deciziei-cadru 2009/315/JAI a Consiliului în ceea ce privește schimbul de informații privind resortisanții țărilor terțe și în ceea ce privește sistemul european de informații cu privire la cazierele judiciare (ECRIS) și de înlocuire a Deciziei 2009/316/JAI a Consiliului, JO, L 151, 7.6.2019, p. 143. A se vedea și Rezumat al avizului Autorității Europene pentru Protecția Datelor cu privire la propunerea de regulament privind ECRIS-TCN, JO, C 55/4, 14.2.2018
[23] Tribunalul Constanța, Secția I Civilă, Sentinta Civila nr. 1456 din 04.06.2019 disponibilă la adresa http://www.rolii.ro/hotarari/5d65db94e490095819000031
[24] ”De asemenea, [operatorul] prelucrează următoarele categorii speciale de date cu caracter personal: date privind săvârșirea de infracțiuni, date privind condamnări penale/măsuri de siguranță, date privind cazierul judiciar, date privind sancțiuni contravenționale, date referitoare la fapte penale sau contravenții petru a asigura un mediu sigur de lucru pentru salariații săi. GDPR prevede că, pentru datele cu caracter personal prevăzute la paragraful anterior, prelucrarea se efectuează numai sub controlul unei autorități de stat sau atunci când prelucrarea este autorizată de dreptul Uniunii sau de dreptul intern care prevede garanții adecvate pentru drepturile și libertățile persoanelor vizate.~ Tribunalul Constanța, Sentința citată supra.
[25] În același Regulament intern era menționat că necomunicarea constituie abatere disciplinară gravă.
[26] Pentru o descriere a raporturilor din operator și împuternicit, respectiv între operatorii asociați, a se vedea Irina Alexe, Relația dintre operator și persoana împuternicită, în domeniul protecției datelor personale, Pandectele Române, nr.2/2018, p.71-79.
[27] TFP, Cauza, F-46/09, V / Parlamentul European, hotărârea din 5 iulie 2019, ECLI:EU:F:2011:101. Transferul datelor medicale de la Comisie la Parlament și ”investigația” medicală fundamentată exclusiv pe analiza unor documente dintr-o investigație anterioară au fost anulate de Tribunalul Funcției Publice.
[28] Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal Protecţia, Comunicat din 9.10.2019, „Noi amenzi în aplicarea RGPD”, disponibil la adresa https://www.dataprotection.ro/?page=Comunicat_Presa_09_10_2019&lang=ro
[29] Cauza Lopez Ribalda și alții c. Spania, hotărârea din 17 octombrie 2019, cererile nr. 1874/13 și 8567/13.
[30] Marianne Arens, Amazon conducts total surveillance of workers in new German plant, 16.12.2017, disponibil la adresa https://www.wsws.org/en/articles/2017/12/16/amaz-d16.html; Jörn Boewe, Johannes Schulten, The Long Struggle of the Amazon Employees, 2017, p. 9 și 21, disponibil la adresa https://www.rosalux.eu/fileadmin/user_upload/Publications/2017/Long-struggle-of-Amazon-employees.pdf. Documentul analizează, pe aproape 70 de pagini, diferite încălcări ale vieții private din perspectiva monitorizării la locul de muncă.
[31] Astfel Curtea de Casație din Franța a decis că accesarea fișierelor personale violează secretul corespondenței și nu pot fi utilizate. A se vedea: Curtea de Casație, Secția civilă, hotărârea din 26 ianuarie 2016 disponibilă la adresa https://www.legalis.net/jurisprudences/cour-de-cassation-civile-chambre-sociale-arret-du-26-janvier-2016/. În același sens este și hotărârea din 25 octombrie 2019 (Curtea de casație, https://www.legalis.net/jurisprudences/cour-de-cassation-ch-soc-arret-du-23-octobre-2019/). Fără a intra în detalii se pare că și jurispudența CEDO, în special cauza Bărbulescu c. România se înscrie în aceeași linie, deși în cauza Bărbulescu instanța se referă la dreptul la viață privată și protecția datelor. Pe larg, a se vedea: Daniel-Mihail Șandru, Curtea de Justiție a Uniunii Europene și protecția datelor personale ale angajaților în relațiile de muncă, Revista română de drept european, nr. 4/2017, p. 92-101.
[32] De exemplu, a se vedea: Miriam Kullmann, Discriminating Job Applicants Through Algorithmic Decision-Making, disponibil la adresa https://ssrn.com/abstract=3373533
[33] Codul muncii, adoptat prin Legea nr. 53/2003, republicat, cu modificări și completări.
[34] Legea 81/2018 privind reglementarea activităţii de telemuncă, M. Of. 296/2018.
[35] Hotărârea Guvernului nr. 905/2017 privind registrul general de evidenţă a salariaţilor, M. Of. nr. 1005/2017.
[36] Legea securităţii și sănătăţii în muncă, nr. 319/2006, M. Of. nr. 646/2006.
[37] A se vedea: Silviu-Dorin Șchiopu, Privire generală asupra măsurilor tehnice și organizatorice necesare pentru implementarea efectivă a Regulamentului general privind protecția datelor, Revista română de drept al afacerilor nr. 2/2019, p. 53-56.
[38] A se vedea, de exemplu, Nicolae Ploeșteanu (coord), Protecția datelor cu caracter personal. Modele și formulare, Ed. Universitară, 2019, p. 13 și urm.
[39] A se vedea, Valerie Bolden-Barrett, Survey: Most HR managers aren’t taking employee data security seriously, 18.11.2019, disponibil la adresa https://www.hrdive.com/news/survey-most-hr-managers-arent-taking-employee-data-security-seriously/567404/
[40] Irina Alexe, Principalele noutăți privind responsabilul cu protecția datelor, incluse în GDPR, Revista Pandectele Române nr.1/2018, p.34-45; Irina Alexe, Responsabilul cu protecția datelor (DPO) – funcționar public sau personal contractual?, Revista Română de Dreptul Muncii, nr. 2/2108, p.53-65; Irina Alexe, Daniel-Mihail Șandru, Desemnarea unui responsabil cu protecția datelor unic de către mai multe autorități sau organisme publice, Revista de drept public, nr. 2/2019, p. 47-56; Irina Alexe, Rolul responsabilului cu protecția datelor în respectarea drepturilor persoanei vizate, Revista română de drept al afacerilor, nr. 3/2019.
[41] Instanțele au anulat decizii de desemnare în funcția de DPO fără acordul angajatului: Tribunalul București, Secția a VIII-a Conflicte de muncă și asigurări sociale, Sentința Civilă nr. 7415/2018, disponibilă la adresa http://rolii.ro/hotarari/5bcdb83ce49009081b000083.
[42] Grupul de Lucru privind Articolul 29, Ghid privind Responsabilul cu protecția datelor (‘DPOs’), Revizuit și adoptat în data de 5 aprilie 2017, 16/RO WP 243 rev.01, disponibil în Daniel-Mihail Șandru, Irina Alexe (editori), Legislația Uniunii Europene privind protecția datelor personale, Editura Universitară, 2018, p. 420 și urm.
Lucrare pregatită pentru Conferința națională Comunități virtuale în epoca Regulamentului General privind Protecția Datelor, organizată de Universitatea Danubius din Galați, 13 noiembrie 2019
CITARI:
Maria Dumitru, Costina-Ștefana Pristavu, Consimţământul – un cameleon între temeiurile prelucrării datelor cu caracter personal, RRDA, nr. 1/2021, p. 36.
Silviu Dorin Șchiopu, O scurtă privire critică asupra unei preconizate completări a contractelor de studii universitare de doctorat, Revista Română pentru Protecția și Securitatea Datelor cu Caracter Personal (RRPSDCP), nr. 2/2020, p. 68
Marius Cătălin Mitrea, Sancționarea unui operator pentru încălcarea art. 5 alin. (1) lit. a) raportat la art. 6 alin. (1) din Regulamentul General privind Protecția Datelor în ceea ce privește supravegherea audio-video la locul de muncă, Pandectele române, nr. 5/2021, p. 136