Daniel-Mihail Şandru, Curtea de Justiţie a Uniunii Europene şi protecţia datelor personale ale angajaţilor în relaţiile de muncă, Revista română de drept european, nr. 4/2017, p. 92-101
RRDE 4/2017
Curtea de Justiție a Uniunii Europene și protecția datelor personale ale angajaților în relațiile de muncă
Daniel-Mihail ȘANDRU[1]
Motto:
„Dacă e adevărat că exprimă o situație ce s-a lovit de pragul imposibilității, totuși ceva real apare în modalitatea sa. Ceea ce „n-a fost să fie” a încercat să fie; a bătut la poarta realității spre a fi, dar n-a fost. Tentativa de a fi nu poate fi străină de problematica ființei și nu este neant pur.” (Constantin Noica)
ABSTRACT
The recent judgment of the European Court of Human Rights (ECHR) in Bărbulescu v. Romania case puts us in face of an alternative hypothesis and it is also an opportunity to review the case-law of the Court of Justice of the European Union (CJEU). This aims at indicating the coordinates of the two European courts on a strictly defined issue: the protection of personal data of employees in employment relationships.
Keywords: Bărbulescu v. Romania; case-law; the Court of Justice of the European Union; the European Court of Human Rights; personal data protection; employee; employment relationship
REZUMAT
Recenta hotărâre a Curții Europene a Drepturilor Omului (CEDO) în cauza Bărbulescu c. România ne pune în fața unei ipoteze alternative și este un prilej pentru revedea jurisprudența Curții de Justiție a Uniunii Europene (CJUE). Aceasta are ca scop semnalarea coordonatelor celor două instanțe europene într-o problematică strict delimitată, protecția datelor cu caracter personal ale angajaților în relațiile de muncă.
Cuvinte cheie: Bărbulescu împotriva României; jurisprudență; Curtea de Justiție a Uniunii Europene; Curtea Europeană a Drepturilor Omului; protecția datelor cu caracter personal; angajat; relație de muncă
Introducere
Ipotezele științifice sunt elemente fundamentale pentru realizarea unor cercetări riguroase. Desigur ipotezele nule alternative sunt unele dintre acelea care au provocat discuții, având în vedere că nu întotdeauna sunt utile în cercetare. Articolul de față nu își propune să răspundă la întrebarea ce ar fi fost dacă s-ar fi formulat o trimitere preliminară, ci cum se interpretează hotărârea Curții Europene a Drepturilor Omului în contextul dreptului român, având în vedere și aplicarea prioritară a dreptului UE, potrivit tratatelor la care România a aderat și a art. 148 din Constituție. Pe de altă parte, problema de fond, articolul are în vedere intersecția dreptului la viață privată cu dreptul angajatorului de a monitoriza activitatea salariaților[2].
Curtea Europeană a Drepturilor Omului a pronunțat decizii succesive în aceeași cauză, pe care am putea să le denumim Bărbulescu I (hotărârea din 12 ianuarie 2016) și Bărbulescu II (hotărârea din 5 septembrie 2017). Soluțiile sunt diferite. În timp ce, în 2016, CEDO a respins acțiunea împotriva statului român, în cea de-a doua hotărâre, CEDO a pronunțat o condamnare. În continuare vom analiza ambele hotărâri, efectele acestora, precum și relația cu dreptul Uniunii Europene.
I. Invocarea dreptului Uniunii Europene în cauza Bărbulescu împotriva României, hotărârea din 12 ianuarie 2016
În cauza Bărbulescu împotriva României[3],Curtea Europeană a Drepturilor Omului nu s-a referit la dreptul Uniunii Europene. Această instanță subliniază limitele în par. 53:
„În cauza de față, Curtea constată că cererea reclamantului trebuie examinată din punctul de vedere al obligațiilor pozitive ale statelor, din moment ce acesta a fost angajat într-o companie privată, neputând astfel ca acțiunile sale să angajeze responsabilitatea statului în temeiul convenției”[4].
Raționamentul esențial al Curții se fundamentează pe dictonul latin „non multa, sed multum” și evocă în primul rând starea de fapt și referirea la hotărârea pronunțată de Curtea de Apel București, care, din perspectiva protecției datelor, a fost eficientă și legală, pe scurt motivată în sensul CEDO și nu a încălcat dreptul la viață privată prevăzut de art. 8 CEDO[5].
„58. În ceea ce privește folosirea transcrierii comunicațiilor schimbate de reclamant pe Yahoo Messenger ca probă în fața instanțelor naționale, Curtea nu consideră că instanțele naționale au acordat o anumită importanță acesteia ori conținutului comunicațiilor. Instanțele naționale s-au bazat pe transcriere numai pentru a dovedi încălcarea disciplinară a reclamantului, și anume că a folosit computerul întreprinderii în scopuri personale în timpul orelor de lucru. Nu există, într-adevăr, nicio mențiune în deciziile lor, cu privire la circumstanțe particulare, în sensul că reclamantul a comunicat; identitatea părților cu care a comunicat nu este nici ea dezvăluită. Astfel, Curtea apreciază că, în constatările instanțelor naționale, conținutul comunicațiilor nu a jucat un rol determinant”[6].
În par. 18-22, Curtea reține normele dreptului Uniunii Europene aplicabile speței, amintind atât de directivă[7], cât și de Grupul de lucru art. 29[8] și avizul 8/2001 privind prelucrarea datelor cu caracter personal în relațiile de muncă, prezentat de acela, care rezumă principiile fundamentale de protecție a datelor: finalitate, transparență, legitimitate, proporționalitate, precizie, securitate și sensibilizare a personalului.
Ne reține atenția opinia separată a judecătorului Pinto De Albuquerque.
„Par. 7. În contextul juridic al Uniunii Europene (UE), respectul vieții private și protecția datelor personale au fost recunoscute ca drepturi fundamentale separate în articolele 7 și 8 din Carta drepturilor fundamentale a Uniunii Europene. Elementul central al cadrului juridic al UE în această privință este Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 Octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date. Relațiile de muncă sunt prevăzute în mod expres doar în contextul prelucrării datelor cu caracter sensibil. Regulamentul (CE) nr. 45/2001 stabilește aceleași drepturi și obligații la nivelul instituțiilor și organelor [Uniunii] Europene. De asemenea stabilește o autoritate independentă de supraveghere cu sarcina de a asigura respectarea dispozițiilor sale. Directiva 2002/58/CE privește prelucrarea datelor personale și protecția intimității în sectorul comunicațiilor electronice, reglementând probleme precum confidențialitatea, facturarea, date referitoare la trafic și comunicații nesolicitate [i.e. spam]. Confidențialitatea informațiilor este protejată de articolul 5 din directivă, care impune statelor membre obligația de a asigura confidențialitatea comunicațiilor și datele de trafic aferente prin mijloacele unei rețele publice de comunicații și servicii de comunicare electronică disponibile publicului, prin intermediul legislației naționale. Mai exact, trebuie interzisă ascultarea, stocarea sau orice alte feluri de interceptare sau supraveghere a comunicațiilor și a traficului de date aferent de alte persoane în afară de utilizatori, fără acordul utilizatorilor respectivi, exceptând cazurile când sunt legal permise astfel de situații. Interceptarea comunicațiilor prin rețele private, incluzând email-uri, servicii de comunicare instanță, și apeluri telefonice și în general comunicări private, nu sunt acoperite, ținând cont că directiva se referă la serviciile electronice de comunicare disponibile publicului în rețelele de comunicație publică. De asemenea relevantă este Directiva 2000/31/CE a Parlamentului European și a Consiliului din 8 iunie 2000 privind anumite aspecte juridice ale serviciilor societății informaționale, în special ale comerțului electronic, pe piața internă (directiva privind comerțul electronic)[9], care specifică că statele membre pot să nu impună obligații generale de monitorizare furnizorilor de servicii de internet/email, pentru că o astfel de obligație ar constitui o atingere a libertății informației cât și confidențialității corespondenței (articolul 15). În cadrul fostului pilon al treilea al Uniunii Europene, Decizia-cadru 2008/977/JAI privea protecția datelor personale prelucrate în cadrul cooperării polițienești și judiciare în materie penală[10]. Nu în ultimul rând, articolul 29 din Avizul grupului de lucru 8/2001 privind prelucrarea datelor personale în relațiile de muncă, adoptat pe 13 septembrie 2001, Documentul de lucru privind supravegherea și monitorizarea comunicărilor electronice la locul de muncă adoptat la 29 mai 2002, Documentul de lucru referitor la o interpretare comună a articolului 26 alin.(1) al Directivei 95/46/CE, adoptat la 25 noiembrie 2005, și articolul 29 al Avizului grupului de lucru 2/2006 privind chestiuni de intimitate referitor la furnizarea de servicii de screening de email, adoptat la 26 februarie 2006, sunt de asemenea importante pentru a stabili standardele protecției datelor personale aplicabile angajaților în UE. În raportul ei anual din 2005, grupul de lucru a afirmat că „[n]u se contestă că o adresă de email atribuită de o companie angajaților constituie informație personală dacă aceasta permite unei persoane să fie identificată”.
Comentariile cu privire la hotărâre și la opinia separată nu au încetat să apară[11]. Primul și cel mai important este de încadrare a acestei hotărâri în jurisprudența CEDO, mai precis cu referire la cauza Copland: suntem în fața unui reviriment sau o ipoteză particulară?[12] Se poate observa că suntem în prezența unei hotărâri care are un puternic caracter factual, respectiv este analizat rolul datelor personale în motivarea instanței naționale. Curtea a stabilit că instanța națională a motivat hotărârea fără a impieta asupra datelor personale, ci doar stabilind situația de fapt și aplicând dreptul în relațiile de muncă. Dintr-un anumit punct de vedere se poate spune că datele personale sunt doar incidente cauzei, soluția de drept din domeniul raporturilor juridice de muncă fiind esențială și preponderentă. Poate de aceea Curtea nu a insistat asupra dreptului Uniunii Europene în materia protecției datelor. Atât timp cât punctul de verificare a respectării dreptului Convenției europene a drepturilor omului[13], fundamentându-se pe legislația aplicabilă atât națională (legea prin care se transpune directiva, Convenția Consiliului Europei din 1981 pentru protecția persoanelor fizice cu privire la procesarea automata a datelor) soluția aleasă de Curte este singura în măsură să satisfacă cerințele unei hotărâri corecte. Toate aceste argumente au fost revizuite însă de Marea Cameră a Curții Europene a Drepturilor Omului, în hotărârea din 5 septembrie 2017, în cauza Bărbulescu împotriva României[14], sau Bărbulescu II.
II. Hotărârea Marii Camere a Curții Europene a Drepturilor Omului din 5 septembrie 2017
Hotărârea pronunțată la 5 septembrie 2017, prin care s-a constatat încălcarea de România a art. 8 din convenție, a ridicat noi semne de întrebare referitoare la interpretarea acesteia, limitele și domeniul de acțiune. Astfel cum s-a remarcat CEDO s-a oferit să soluționeze faptele mai degrabă decât încălcarea dreptului[15].
Deși Curtea arată că „era discutabil dacă domnul Bărbulescu ar fi putut avea o așteptare rezonabilă de confidențialitate, având în vedere regulamentele restrictive ale angajatorului privind utilizarea pe internet, despre care fusese informat”, concluzia este că „instrucțiunile unui angajator nu ar putea reduce viața socială privată la zero la locul de muncă”.
Curtea a considerat că plângerea urma să fie examinată din punctul de vedere al obligațiilor pozitive ale statului. Autoritățile naționale au fost obligate să efectueze un exercițiu de echilibrare între interesele concurente în cauză, și anume dreptul domnului Bărbulescu la respectarea vieții private, pe de o parte, și dreptul angajatorului său de a lua măsuri pentru a asigura buna funcționare a companiei, pe de altă parte.
Critica esențială în acest este aceea că „instanțele naționale au omis să determine dacă domnul Bărbulescu fusese notificat în prealabil cu privire la posibilitatea ca angajatorul său să introducă măsuri de monitorizare, precum și natura acestor măsuri”. Or, după cum vom vedea în continuare, în hotărârea Curții de Apel București s-a făcut trimitere la aceste măsuri de monitorizare, precum și faptul (necontestat) că domnul Bărbulescu știa de existența monitorizării.
III. Context european: CJUE – pro-„privacy”
Unul dintre cele mai importante elemente ale „comparației”, de fapt ale situării pertinente în zona dreptului Uniunii Europene, trebuie să fie apelul la jurisprudența CJUE. Amintim aici cauzele Digital Rights, Google Spain, Rynes, Schrems – analizate pe larg în doctrină și pe care le vom evoca în continuare doar în privința aspectelor de caracterizare generală și de eventuală aplicare a art. 7 și 8 din Carta drepturilor fundamentale a Uniunii Europene în cauza Bărbulescu I.
1. CJ, C-293/12 și C-594/12, Digital Rights, hotărârea din 8 aprilie 2014, EU:C:2014:238, pct. 33-35.
„Pentru a stabili existența unei ingerințe în dreptul fundamental la respectarea vieții private, are puțină relevanță dacă informațiile vizate referitoare la viața privată prezintă sau nu prezintă un caracter sensibil sau dacă persoanele interesate au suferit sau nu au suferit eventuale dezavantaje ca urmare a acestei ingerințe (a se vedea în acest sens Hotărârea Österreichischer Rundfunk și alții, C-465/00, C-138/01 și C-139/01, EU:C:2003:294, punctul 75).
Rezultă de aici că obligația impusă de articolele 3 și 6 din Directiva 2006/24[16] furnizorilor de servicii de comunicații electronice accesibile publicului sau de rețele de comunicații publice de a păstra pentru o anumită perioadă date referitoare la viața privată a unei persoane și la comunicațiile sale, precum cele prevăzute la articolul 5 din această directivă constituie per se o ingerință în drepturile garantate de articolul 7 din cartă.
În plus, accesul autorităților naționale competente la date constituie o ingerință suplimentară în acest drept fundamental (a se vedea, în ceea ce privește articolul 8 din CEDO, Hotărârea Curții EDO din 26 martie 1987, Leander împotriva Suediei, seria A nr. 116, § 48, Hotărârea Rotaru împotriva României [GC[17]], nr. 28341/95, § 46, CEDO 2000-V, precum și Hotărârea Weber și Saravia împotriva Germaniei (dec.), nr. 54934/00, § 79, CEDO 2006-XI). Astfel, articolele 4 și 8 din Directiva 2006/24, care prevăd norme privind accesul autorităților naționale competente la date, constituie de asemenea o ingerință în drepturile garantate de articolul 7 din cartă.”
„Directiva 2006/24/CE a Parlamentului European și a Consiliului din 15 martie 2006 privind păstrarea datelor generate sau prelucrate în legătură cu furnizarea serviciilor de comunicații electronice accesibile publicului sau de rețele de comunicații publice și de modificare a Directivei 2002/58/CE este nevalidă.”
2. CJ, C-131/12, Google Spain, hotărârea din 13 mai 2014, EU:C:2014:317
„Întrucât persoana vizată poate, având în vedere drepturile sale fundamentale prevăzute la articolele 7 și 8 din cartă, să solicite ca informația în cauză să nu mai fie pusă la dispoziția marelui public prin intermediul includerii sale într-o asemenea listă de rezultate, aceste drepturi prevalează în principiu nu numai asupra interesului economic al operatorului motorului de căutare, ci și asupra interesului acestui public de a avea acces la informația respectivă cu ocazia unei căutări referitoare la numele acestei persoane.”
3. CJ, C-212/13, Rynes, hotărârea din 11 decembrie 2014, EU:C:2014:2428
„Articolul 3 alineatul (2) a doua liniuță din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date trebuie interpretat în sensul că operarea unui sistem de supraveghere video care determină o înregistrare video a unor persoane stocată pe un echipament de înregistrare în mod continuu, cum ar fi un hard disk, instalat de o persoană fizică în locuința sa de familie în vederea protejării proprietății, a sănătății și a vieții proprietarilor locuinței, acest sistem supraveghind de asemenea un spațiu public, nu constituie o prelucrare a datelor cu caracter personal efectuată în cursul unei activități exclusiv personale sau domestice în sensul acestei dispoziții.”
4. CJ, C-362/14, Schrems, hotărârea din 6 octombrie 2015, EU:C:2015:650
„Articolul 25 alineatul (6) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date, astfel cum a fost modificată prin Regulamentul (CE) nr. 1882/2003 al Parlamentului European și al Consiliului din 29 septembrie 2003, interpretat în lumina articolelor 7, 8 și 47 din Carta drepturilor fundamentale a Uniunii Europene, trebuie interpretat în sensul că o decizie adoptată în temeiul acestei dispoziții, precum Decizia 2000/520/CE a Comisiei din 26 iulie 2000 în temeiul Directivei 95/46 privind caracterul adecvat al protecției oferite de principiile „sferei de siguranță” privind protecția vieții private și întrebările de bază aferente, publicate de Departamentul Comerțului al S.U.A., prin care Comisia Europeană constată că o țară terță asigură un nivel de protecție adecvat, nu se opune ca o autoritate de supraveghere dintr-un stat membru, în sensul articolului 28 din această directivă, cu modificările ulterioare, să examineze cererea unei persoane de protecție a drepturilor și libertăților sale în ceea ce privește prelucrarea datelor cu caracter personal care o privesc, care au fost transferate dintr-un stat membru către această țară terță, atunci când respectiva persoană invocă faptul că dreptul și practicile în vigoare în țara terță menționată nu asigură un nivel de protecție adecvat. Decizia 2000/520 este nevalidă.”
O evaluare generală a jurisprudenței amintite pare să situeze CJUE între instanțele care au o preferință pentru o protecție extinsă a drepturilor privind datele cu caracter personal. Această evaluare ne pune în fața unei adevărate dileme, respectiv a unei posibile trimiteri preliminare, aspect pe care îl vom analiza în secțiunile următoare.
IV. Trimiterea preliminară … fără opinii separate
Formularea unei trimiteri preliminare, care respectă condițiile art. 267 TFUE și recomandările adresate instanțelor naționale[18] se finalizează cu pronunțarea de către Curtea de Justiție a unei hotărâri sau ordonanțe, fie în aprecierea validității dreptului UE, fie pentru interpretarea acestuia. Cum în cauză nu se punea problema validității, rămâne să stabilim dacă ar fi fost posibilă, mai precis pertinentă, formarea unei trimiteri preliminare pentru interpretarea Directivei 95/46.
Spre deosebire de CEDO, CJUE nu poate hotărî în majoritate, cu opinii separate. Aceasta implică mai multe dificultăți, însă asigură forța hotărârii pronunțate[19]. De aceea, aplicarea dreptului Uniunii Europene, transpus integral în dreptul român (Directiva 95/46 a fost transpusă prin Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date[20]) se putea face fie de către judecătorul național – potrivit expresiei Curții de Justiție judecătorul național este primul judecător unional, pentru că acesta aplică în mod direct faptelor deduse judecății dreptul – dar și prin intermediul interpretării Curții de Justiție.
În cauză, Curtea de Apel București[21], fără a menționa expressis verbis, a aplicat teoria actului clar[22].
CEDO a reținut, în par. 12, trimiterea la dreptul Uniunii Europene:
„12. În decizia definitivă din 17 iunie 2008, Curtea de Apel București a respins apelul și a menținut hotărârea pronunțată de Tribunal. Sprijinindu-se pe dispozițiile Directivei 95/46/EC, Curtea de Apel a reținut că comportamentul angajatorului a fost rezonabil și că monitorizarea comunicațiilor reclamantului a fost singura metodă pentru a stabili dacă a existat o abatere disciplinară. În ceea ce privește drepturile sale procedurale, Curtea de Apel a respins argumentele reclamantului, reținând că probele deja administrate erau suficiente”[23].
Curtea de Apel a reținut, în decizia sa, în părțile relevante, aplicarea dreptului Uniunii Europene:
„Desigur că între dreptul angajatorului în ceea ce privește monitorizarea și dreptul salariaților de a se bucura de protecția vieții private, există un conflict, rezolvat la nivelul Uniunii Europene prin adoptarea Directivei nr. 95/46/CE care a formulat principii ce guvernează monitorizarea utilizării internetului și a poștei electronice la locul de muncă, anume:
– principiul necesității: monitorizarea trebuie să fie necesară pentru un anume scop;
– principiul finalității: datele trebuie colectate pentru un scop […] explicit și legitim;
– principiul transparenței în virtutea căruia angajatorul trebuie să furnizeze angajaților toate informațiile cu privire la monitorizare;
– principiul legitimității, potrivit căruia operațiunile de procesare a datelor pot avea loc numai în cazul unui scop legitim;
– principiul proporționalității, conform căruia datele personale care fac obiectul monitorizării trebuie să fie relevante și adecvate în raport cu scopul specificat;
– principiul securității, în virtutea căruia angajatorul este obligat să ia toate măsurile de securitate pentru ca datele colectate să nu fie accesibile terților.
Or, în condițiile în care angajatorul are dreptul și obligația de a asigura funcționarea unității și în acest scop, de a controla modul de îndeplinire a sarcinilor de serviciu de către salariați, dat fiind că lui îi revine prerogativa disciplinară, de care dispune în mod legitim și în scopul căruia a monitorizat și transcris comunicările efectuate pe Yahoo Messenger de salariatul care a negat că le-ar fi efectuat în interes personal, după ce acesta, cât și ceilalți angajați fuseseră avertizați cât privește interdicția utilizării mijloacelor societății în scop personal, nu se poate susține că violarea secretului corespondenței nu ar fi fost singura modalitate de realizare a acestui scop legitim și nu ar fi respectat justa proporție între nevoia de protecție a vieții private și dreptul angajatorului de a supraveghea funcționarea afacerii sale.”
V. Influența noii reglementări
Noua reglementare europeană, respectiv Regulamentul (UE) 2016/679[24] nu va modifica substanțial regimul protecției datelor personale în privința relațiilor de muncă[25]. Trebuie amintit că și sub incidența reglementării directivei, consimțământul în privința relațiilor de muncă era pus sub semnul întrebării, în ceea ce privește prelucrarea datelor cu caracter personal. Astfel, incidental, Comisia subliniază că, în plus, în conformitate cu art. 2 lit. (h) din Directiva 95/46, consimțământul trebuie să fie liber manifestat, specific și informat. Potrivit Grupului de lucru instituit prin articolul 29, prima dintre aceste cerințe înseamnă că orice „presiune” poate conduce la invalidarea consimțământului. Acest lucru este deosebit de relevant în contextul relațiilor de muncă, în care raportul de subordonare și dependența inerentă a angajatului de angajator va pune de obicei sub semnul întrebării valabilitatea consimțământului[26]. Într-o perspectivă mai generală, consimțământul dat de o persoană vizată care nu a avut ocazia să facă realmente o alegere sau care a fost pusă în fața unui fapt împlinit nu poate fi considerat valid.
VI. Concluzii
Problematica raporturilor de muncă nu este clarificată din perspectiva dreptului UE; există art. 7 și 8 CDFUE – care ar putea fi interpretate de CJUE (potrivit art. 19 TUE) în contextul unei spețe de acest fel/cu astfel de circumstanțe de fapt.
De la hotărârea Costa/ENEL[27] – ordinea juridică a Uniunii Europene este declarat autonomă (confirmat și recent odată cu Avizul 2/13 privind aderarea UE la CEDO)[28] – iar ca o consecință a autonomiei dreptului Uniunii Europene a fost dedusă prioritatea dreptului UE în raport cu CEDO[29].
Hotărârea Bărbulescu împotriva României este importantă prin circumstanțele de fapt și nu implică în vreun fel instanța de la Luxemburg în jurisprudența sa, subiectul rămânând deschis, cel puțin din perspectiva argumentelor exprimate în opinia separată. În continuarea acestei idei, poate fi observată jurisprudența CJUE după hotărârea Bărbulescu împotriva României. În cauza C-73/16, Puškár[30], CJUE a hotărât că „articolul 47 din Carta drepturilor fundamentale a Uniunii Europene trebuie interpretat în sensul că se opune ca o instanță națională să respingă ca mijloc de probă a unei încălcări a protecției datelor cu caracter personal conferite de Directiva 95/46 o listă precum lista în litigiu, prezentată de persoana în cauză și care conține date cu caracter personal ale acesteia, în ipoteza în care persoana menționată ar fi obținut această listă fără consimțământul, impus de lege, al operatorului acestor date, cu excepția cazului în care o astfel de respingere este prevăzută de legislația națională și respectă atât conținutul esențial al dreptului la o cale de atac efectivă, cât și principiul proporționalității”.
Dincolo de hotărârile europene, va trebui ca angajatorii și angajații să găsească o aurea mediocritas, o linie de mijloc care să protejeze ambele interese aflate în conflict: viața privată a angajaților și dreptul angajatorului de a monitoriza activitatea salariaților[31]. Distincția mesaje private/profesionale a fost realizată și de jurisprudența Curții de Casație din Franța, într-o cauză recentă[32].
[1] Prof. univ. dr. – Universitatea Creștină „Dimitrie Cantemir”, București; cercetător științific gr. II, coordonatorul Centrului de Studii de Drept European (CSDE) din cadrul Institutului de Cercetări Juridice „Acad. Andrei Rădulescu” al Academiei Române; judecător ad-hoc la Curtea Europeană a Drepturilor Omului; adresa: Calea Victoriei, nr. 125, Sector 1, București; e-mail: mihai.sandru@csde.ro mihaisandru.ro. Acest material a fost pregătit pentru simpozionul cu tema „Protecția datelor personale ale angajaților în relațiile de muncă”, organizat de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal cu ocazia „Zilei europene a protecției datelor”, Palatul Parlamentului, București, 28 ianuarie 2016. Mulțumesc participanților la conferință, precum și colegilor care au luat parte la dezbaterea organizată de Societatea de Științe Juridice, „Bărbulescu vs. România. Soluția finală”, 18 septembrie 2017 (https://dezbateri.juridice.ro/7550/barbulescu-v-romania-solutia-finala). Articolul se publică după pronunțarea deciziei în Marea Cameră a Curții Europene a Drepturilor Omului (CEDO). Toate documentele online au fost consultate/verificate ultima dată la 20 septembrie 2017.
[2] Christian Harteis, The Impact of Digitalization in the Workplace. An Educational View, Springer, 2017.
[3] CEDO, Bărbulescu împotriva României, cererea nr. 61496/08, hotărârea din 12 ianuarie 2016.
[4] i.e. Convenția pentru apărarea drepturilor omului și a libertăților fundamentale, CEDO.
[5] Pentru art. 8 CEDO, a se vedea: C. Bîrsan, Convenția europeană a drepturilor omului. Comentariu pe articole, ediția a II-a, Ed. C. H. Beck, 2010.
[6] Traducerea este cea publicată de juridice.ro (Anda-Laura Tănase, Ana-Maria Udriște, Cosmina Sima, Raluca-Andreea Trîncă-Găvan, Robert Bălașa, CEDO. Cauza Bărbulescu vs. România. Hotărârea tradusă, inclusiv opinia separată, 18 ianuarie 2016, disponibilă la adresa https://www.juridice.ro/420630/cedo-cauza-barbulescu-vs-romania-hotararea-tradusa-inclusiv-opinia-separata.html); traducerea a fost revizuită urmând textul în limba franceză al hotărârii de la http://hudoc.echr.coe.int.
[7] Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO L 281, 23.11.1995, p. 31, Ediție specială, 13/vol. 17, p. 10).
[8] Grupul de lucru art. 29, care va fi înlocuit din 25 mai 2018 de Comitetul european pentru protecția datelor (în virtutea Regulamentului nr. 679/2016 – a se vedea n. 24, infra), emite avize, opinii privind interpretarea unor concepte și instituții din domeniul protecției datelor cu caracter personal. Pentru aspectele discutate aici, cel mai important document este WP 55 – Working document on the surveillance of electronic communications in the workplace (Document de lucru privind supravegherea comunicațiilor electronice la locul de muncă) din 22 mai 2002.
[9] JO L 178, 17.7.2000, p. 1, Ediție specială, 13/vol. 29, p. 257.
[10] JO L 350, 30.12.2008, p. 60; menționăm că la 6 mai 2018, actul în cauză urmează a fi abrogat de Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului (JO L 119, 4.5.2016, p. 89).
[11] Vasile Bozeșan, Neîncălcarea dreptului la viață privată și corespondență în cazul accesării și verificării de angajator a contului profesional Yahoo Messenger utilizat de un angajat al său, JurisclasorCEDO, 14 ianuarie 2016, disponibil la adresa hotararicedo.ro; Steve Peers, Is Workplace Privacy Dead? Comments on the Barbulescu judgment, 14 ianuarie 2016, la adresa http://eulawanalysis.blogspot.ro/2016/01/is-workplace-privacy-dead-comments-on.html; CEDO. Cauza Bărbulescu vs. România. Hotărârea tradusă, inclusiv opinia separată, Anda-Laura Tănase, Ana-Maria Udriște, Cosmina Sima, Raluca-Andreea Trîncă-Găvan, Robert Bălașa, JURIDICE.ro, 18 ianuarie 2016, disponibilă la http://www.juridice.ro/420630/cedo-cauza-barbulescu-vs-romania-hotararea-tradusa-inclusiv-opinia-separata.html
[12] Copland împotriva Regatului Unit, cererea nr. 62617/00, hotărârea din 3 aprilie 2007:
„Reclamanta era angajată la Colegiul Carmarthenshire, instituție înființată prin lege și administrată de către stat. În 1995 ea a devenit asistenta personală a directorului instituției și a trebuit să lucreze în strânsă colaborare cu directorul-adjunct, numit recent. În fața Curții, ea s-a plâns că, la ordinul acestuia din urmă, utilizarea telefonului de către aceasta, a mesageriei electronice și a internetului fuseseră monitorizate.
Încălcarea articolului 8 (dreptul la respectarea vieții private și al secretului corespondenței). Curtea a considerat că colectarea și stocarea de date cu caracter personal referitoare la doamna Copland prin utilizarea de către aceasta a telefonului, a mesageriei electronice și a internetului au adus atingere dreptului său la respectarea vieții private și a corespondenței și că această ingerință nu era „prevăzută de lege”, având în vedere că la momentul faptelor, nicio dispoziție de drept intern nu reglementa această supraveghere.
Curtea a admis că uneori poate fi legitim ca un angajator să monitorizeze și să controleze utilizarea de către un angajat a telefonului și a internetului, dar a considerat că, în speța de față, nu este necesar să se stabilească dacă ingerința în litigiu a fost „necesară într-o societate democratică”.
[13] A se vedea în acest sens, motivarea Curții, în special par. 41 și urm: „41. Prin urmare, obiectul plângerii sale fața Curții este limitat la monitorizarea comunicațiilor în privința utilizării lor în cadrul procedurii disciplinare; decizia angajatorului de a înceta contractul reclamantului nu s-a bazat pe conținutul propriu-zis al comunicațiilor sale nici pe o eventuală dezvăluire a lor.”
[14] Cererea nr. 61496/08.
[15] Andrei Săvescu și Monica Livescu în cadrul dezbaterii „Bărbulescu vs. România. Soluția finală”, citată supra, n.1.
[16] Directiva 2006/24/CE a Parlamentului European și a Consiliului din 15 martie 2006 privind păstrarea datelor generate sau prelucrate în legătură cu furnizarea serviciilor de comunicații electronice accesibile publicului sau de rețele de comunicații publice și de modificare a Directivei 2002/58/CE (JO L 105, 13.4.2006, p. 54, Ediție specială, 13/vol. 53, p. 51).
[17] i.e. Marea Cameră.
[18] Curtea de Justiție a Uniunii Europene: Recomandări în atenția instanțelor naționale, referitoare la efectuarea trimiterilor preliminare (JO C 439, 25.11.2016, p. 1).
[19] Michal Bobek, Un al patrulea în instanță: De ce există avocați generali la Curtea de Justiție?, în R.R.D.E., nr. 2/2013; Michal Bobek, Comparative Reasoning in European Supreme Courts, Oxford University Press, 2013; Gunnar Beck, The Legal Reasoning of the Court of Justice of the EU, Hart Publishing, 2013; Gerard Conway, The Limits of Legal Reasoning and the European Court of Justice, Cambridge University Press, 2012.
[20] M.Of., nr. 790 din 12 decembrie 2001, modificată și completată prin Ordonanța de Urgență nr. 36/2007 pentru abrogarea Legii nr. 476/2003 privind aprobarea taxei de notificare a prelucrărilor de date cu caracter personal, care cad sub incidența Legii nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date și prin Legea nr. 102/2005 privind înființarea, organizarea și funcționarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal.
[21] Decizia nr. 2439R/2008, nepublicată.
[22] Pentru tipologii ale respingerii trimiterilor preliminare: Mihai Șandru, Dragoș-Alin Călin, Mihai Banu, Tipologii privind respingerea de către instanțele judecătorești din România a cererilor de efectuare a unei trimiteri preliminare în vol. Refuzul instanțelor naționale de a trimite întrebări preliminare, Ed. C. H. Beck, 2013, p. XVII – LXXII. Pe larg, pentru întreaga procedură a trimiterilor preliminare raportată la dreptul român: Mihai Șandru, Mihai Banu, Dragoș Călin, Procedura trimiterii preliminare. Principii de drept al Uniunii Europene și experiențe ale sistemului român de drept, Editura C.H. Beck, 2013, p. 103 și urm (privind actul clar).
[23] Paragraful esențial evidențiat de CEDO în hotărârea instanței naționale este acela în care se motivează interesul societății de a-și asigura buna funcționare, altfel spus preeminența unui interes și a unor drepturi – respectiv dreptul societății de a funcționa normal – și ingerința într-un drept al salariatului, respectiv dreptul la viață privată: „Având în vedere faptul că angajatorul are dreptul și obligația de a asigura funcționarea societății și, în acest scop, dreptul de a verifica maniera în care angajatorii săi își duc la îndeplinire sarcinile profesionale, precum și faptul că angajatorul deține puterea disciplinară de care poate dispune în mod legitim și care îi oferă dreptul de a monitoriza și transcrie conversațiile avute pe Yahoo Messenger pe care angajatul neagă că l-a folosit în scopuri personale, și după ce a fost, împreună cu colegii săi, avertizat asupra utilizării resurselor societății în scopuri personale, nu poate fi reținut că violarea secretului corespondenței nu a fost singura manieră prin care își putea atinge scopul legitim și că balanța adecvată între nevoia de a proteja viața privată și dreptul angajatorului de a monitoriza funcționarea afacerii sale nu a fost respectată”.
[24] Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), JO L 119, 4.5.2016, p. 1.
[25] Daniel-Mihail Șandru, Regimul juridic al protecției datelor cu caracter personal este în proces de regândire, R.R.D.A., nr. 3/2015, pp. 40-45. A se vedea și http://ec.europa.eu/justice/data-protection/reform/index_en.htm, precum și volumul Irina Alexe, Nicolae-Dragoș Ploeșteanu, Daniel-Mihail Șandru (coord.), Protecția datelor cu caracter personal. Impactul protecției datelor personale asupra mediului de afaceri. Evaluări ale experiențelor românești și noile provocări ale Regulamentului (UE) 2016/679, Editura Universitară, 2017, în special: Marius Eftimie, Adina Rus, Protecția datelor cu caracter personal în relațiile de muncă. Scurte considerații referitoare la limitele monitorizării de către angajator a folosirii internetului la locul de muncă, p. 228 și urm., Daniel-Mihail Șandru, Dragoș-Alin Călin, Constantin-Mihai Banu, Aplicarea și interpretarea Directivei 95/46 de către instanțe române. Tipologii și consecințe juridice, p. 60 și urm., și Irina Alexe, Constantin Mihai Banu, De la directivă la regulament în reglementarea, la nivelul Uniunii Europene, a protecției datelor cu caracter personal, pp. 14-40.
[26] Grupul de lucru instituit prin articolul 29, „Avizul 8/2001 privind prelucrarea datelor cu caracter personal în contextul relațiilor de muncă” (WP 48), 13 septembrie 2001, p. 3, 23 și 26. Potrivit grupului de lucru, ar trebui să se recurgă la consimțământ numai în cazurile în care lucrătorul are realmente posibilitatea unei alegeri libere și, prin urmare, poate să își retragă ulterior consimțământul fără să existe consecințe negative. A se vedea, de asemenea: Grupul de lucru instituit prin articolul 29, „Document de lucru privind o interpretare comună a articolului 26 alineatul (1) din Directiva 95/46/CE din 24 octombrie 1995” (WP 114), 25 noiembrie 2005, p. 11.
[27] CJ, cauza 6/64, Costa/ENEL, hotărârea din 15 iulie 1964, ECR 1964, p. 585, ECLI:EU:C:1964:66.
[28] Avizul 2/13 din 18 decembrie 2014 referitor la aderarea Uniunii Europene la CEDO, ECLI:EU:C:2014:2454.
[29] În acest sens, a se observa și Documentul de reflecție al Curții de Justiție a Uniunii Europene cu privire la unele aspecte ale aderării Uniunii Europene la Convenția europeană pentru apărarea drepturilor omului și a libertăților fundamentale, 5 mai 2010. „În ceea ce privește, în special, procedura trimiterii preliminare, astfel cum este prevăzută la articolul 267 TFUE, este util să se amintească în acest context că modul în care funcționează aceasta, ca urmare a naturii sale descentralizate care presupune că instanțele naționale sunt instanțe de drept comun al dreptului Uniunii, a dat rezultate foarte satisfăcătoare de mai bine de o jumătate de secol, chiar și acum când Uniunea este compusă din 27 state membre. Cu toate acestea, nu este sigur că Curtea de Justiție este sesizată cu o trimitere preliminară în toate cazurile în care s-ar pune în discuție conformitatea unei acțiuni a Uniunii cu drepturile fundamentale. Astfel, deși este adevărat că instanțele naționale pot, iar unele dintre ele trebuie, să sesizeze Curtea de Justiție cu o cerere de pronunțare a unei hotărâri preliminare pentru ca aceasta din urmă să se pronunțe asupra interpretării și, dacă este cazul, asupra validității acțiunii Uniunii, părțile nu au nicio putere în ceea ce privește declanșarea acestei proceduri. În plus, ar fi dificil ca această procedură să fie considerată cale de atac a cărei folosire ar constitui măsura prealabilă care trebuie luată înainte de orice sesizare a Curții Europene a Drepturilor Omului în temeiul regulii epuizării căilor de recurs interne.”
[30] C-73/16, Puškár, hotărârea din 27 septembrie 2017, ECLI:EU:C:2017:725.
[31] Pe larg, cu opinii în sensul coordonării celor două drepturi, a se vedea: Adrienn Lukács, To Post, or Not to Post – That Is the Question: Employee Monitoring and Employees’ Right to Data Protection, Masaryk University Journal of Law and Technology, vol. 11, 2/2017, p. 187 și urm. A se vedea și Consiliul Europei, (2012) Recommendation CM/Rec(2012)4 of the Committee of Ministers to Member States on the Protection of Human Rights with Regard to Social Networking Services. CM/Rec(2012)4, 4 aprilie 2012.
[32] Legalis.fr, Vie privée: la messagerie personnelle du salarié au travail protégée, 10.02.2016. A se vedea, pe larg, https://www.legalis.net/jurisprudences/cour-de-cassation-civile-chambre-sociale-arret-du-26-janvier-2016; cauza [Cour de cassation, civile, Chambre sociale, 26 janvier 2016, 14-15.360, ECLI:FR:CCASS:2016:SO00140] este disponibilă la https://www.legifrance.gouv.fr sau https://www.courdecassation.fr.
Daniel-Mihail Sandru – relevant activities in the field of personal data protection
CITĂRI:
Ana Alina Ionescu Dumitrache, Viața privată și datele cu caracter personal. Considerații privind jurisprudența CEDO, PR, nr. 6/2019, p. 75
Marius Cătălin Mitrea, Sancționarea unui operator pentru încălcarea art. 5 alin. (1) lit. a) raportat la art. 6 alin. (1) din Regulamentul General privind Protecția Datelor în ceea ce privește supravegherea audio-video la locul de muncă, Pandectele române, nr. 5/2021, p. 136