Controale ANSPDCP la asociațiile de proprietari: Probleme identificate și recomandări

Când GDPR a intrat în vigoare, la finele lui mai 2018, am observat mulți membri ai unor asociații de proprietari care păreau convinși că normele privind protecția datelor nu le incumbă, nu le privesc, iar asociațiile nu pot intra nicicând sub lupa Autorității de Protecția Datelor pentru că nu sunt operatori de date. Asociațiile de proprietari prelucrează date personale însă, prin urmare, dacă există o legislație a protecției datelor, atunci ele trebuie să o respecte, oricum s-ar numi ea.

Anul trecut, printr-o serie de materiale ce priveau în special prelucrările de date de către asociațiile care au montate în blocuri sisteme de supraveghere, arătam că ANSPDCP s-a preocupat de asociații și înainte de epoca GDPR-ului, având ghiduri puse la dispoziția asociațiilor special pentru prelucrările de acest fel.

Marți, ANSPDCP a prezentat public măsurile coercitive impuse în lunile iulie-septembrie 2019 entităților controlate și, printre acestea, găsim destule ce privesc asociațiile de proprietari. Observăm că Autoritatea nu a aplicat acestor asociații amenzi, ci avertismente, însoțite de anumite solicitări: să ofere informații Autorității, să ia anumite măsuri, să dea informațiile cerute membrilor asociației ș.a.m.d.

Important! Ce sancțiuni și măsuri poate aplica ANSPDCP în urma unui control

Am sintetizat, mai jos, problemele identificate de Autoritate la asociațiile sancționate:

1. Asociația nu răspunde în termenul de maximum o lună prevăzut de GDPR (15 zile în vechea lege) cererilor adresate de persoanele vizate de prelucrări. E vorba de cererile prin care petentul își valorifică dreptul de acces, rectificare, ștergere, opoziție, restricționare a prelucrărilor ș.a.m.d. pe care Regulamentul european i le recunoaște. De pildă, un membru al asociației cere o informare cu privire la cine a avut accesul la înregistrările video sau dacă datele sale personale au fost transmise unor terți. Asociația este obligată să răspundă acestor cereri în cel mult o lună și poate fi sancționată dacă nu o face.

Util: Ce drepturi au locatarii din blocurile cu camere video în legătură cu prelucrarea datelor personale?

2. Probleme la afișarea listelor din bloc - fără nume și prenume la avizier: Autoritatea a subliniat că nu se respectă confidențialitatea datelor personale atunci când, la avizierul asociației, vedem numele și prenumele proprietarilor, mai ales în contextul în care nu există consimțământul acelor persoane.

3. Solicitarea unor copii după documente (după buletine, de exemplu) în scopul completării cărții de imobil nu e conformă GDPR-ului. Problema aici e că sunt cerute excesiv date personale. Asociației respective, ANSPDCP i-a pus în vedere "să ia măsurile necesare astfel încât, pe viitor, datele cu caracter personal să nu fie utilizate și dezvăluite cu încălcarea principiilor de prelucrare a datelor, respectându-se principiul limitării legate de scop și reducerea la minimum a datelor" - minimizarea datelor prelucrate este, de altfel, un deziderat primordial al GDPR.

4. Montarea de sisteme video de supraveghere - informarea persoanelor privind prelucrarea datelor lor personale în acest fel, informare pe care trebuie să o vadă toată lumea. Informarea persoanelor trebuie să se facă prin afișele de avertizare, conform articolului 13 din GDPR. Aici, Regulamentul prevede că informațiile ce trebuie puse la dispoziția persoanelor vizate de prelucrări sunt: identitatea operatorului, datele de contact ale responsabilului cu protecția datelor, datele prelucrate, scopul prelucrării, perioada de stocare a datelor, perioada pentru care vor fi stocate datele (mai exact, cât anume se vor păstra înregistrările).

5. Asociațiile trebuie să întocmească o procedură referitoare la gestionarea cererilor persoanelor vizate de prelucrări care își exercită drepturile din GDPR (dreptul de acces, opoziție etc.) și procedura trebuie adusă la cunoștința celor ale căror date sunt prelucrate.

6. Asociațiile sunt obligate să răspundă solicitărilor ANSPDCP, pentru că dacă le ignoră și dacă nu cooperează pot fi sancționate inclusiv cu amenzi. E important de știut că Autoritatea nu trebuie neapărat să se deplaseze la fața locului pentru a face o investigație, putând desfășura o procedură de control și la distanță. În contextul în care asociația ignoră adresele trimise de ANSPDCP, lucrurile se pot complica destul de mult și asta numai în defavoarea asociației și a membrilor acestora. Trei asociații controlate au fost trase de mânecă de Autoritate că au ignorat adresele trimise și solicitările de informații în controale.

Notă: Investigațiile ANSPDCP se pot face din oficiu sau în urma unor plângeri primite de la persoanele fizice, cu informare prealabilă sau inopinat - procedura, aici.

Câteva chestiuni pe care asociațiile trebuie să le aibă în vedere în cazul montării sistemelor de supraveghere video

Așa cum spuneam mai sus, redacția avocatnet.ro a realizat anul trecut o serie de materiale pentru asociațiile unde s-au montat sisteme video, în contextul GDPR. Discuția pornea de la alegerea temeiului de prelucrare a datelor - interesul legitim în securizarea proprietății, de principiu. Însă nu întotdeauna se justifică amplasarea unor camere video sau, mai exact, nu în anumite locuri (de pildă, nu atunci când în filmare apare ușa de la un apartament, pentru că, într-un atare caz, vorbim de o prelucrare excesivă).

Subliniam, de asemenea, faptul că accesul la datele astfel colectate, la filmări, nu ar trebui să îl aibă oricine. Trebuie desemnată o persoană în acest sens, toată lumea din bloc trebuie să o știe, iar divulgarea imaginilor de pe camere nu ar trebui făcută la cererea oricărei persoane - sunt asociații unde acest lucru se face doar către poliție, în cazul unor cercetări privind fapte penale. De asemenea, filmările nu trebuie păstrate sine die, perioade lungi de timp, iar perioada de stocare trebuie cunoscută de toată lumea.

Așa cum sublinia și în cadrul controalelor recente ANSPDCP, nu trebuie să scăpăm din vedere că într-un bloc nu intră numai persoane care au un drept locativ acolo, ci și alte persoane, iar datele lor personale ajung să fie și ele prelucrate de asociație, prin sistemele de monitorizare. De aceea se cere informarea prin afișe de avertizare, despre care vorbeam mai sus.

În ce măsură ar putea face opoziție un locatar față de sistemul de supraveghere video montat în bloc, în contextul în care nu mai dorește ca datele sale personale să fie prelucrate în acest mod? Discutabil, deși el are dreptul de a se opune prelucrărilor, voința sa nefiind singura care contează într-o asociație de proprietari (montarea în sine trebuie să fie rezultatul voinței majorității).

Decizia de a monta un sistem de supraveghere video la bloc trebuie luată de majoritate. Dar și chestiunile tehnice, ce țin de amplasarea camerelor, de numărul lor ori unde se va așeza echipamentul trebuie să facă și ele obiectul aceleiași hotărâri a asociației. "ANSPDCP recomandă instalarea unui număr redus de camere, prin raportare la scopul prelucrării și la locația supravegheată; un număr excesiv de camere aduce atingere dreptului la viață intimă, familială și privată", scrie într-un ghid mai vechi al Autorității, din epoca pre-GDPR.