Ghid oficial pentru asociațiile de proprietari: Cum pot prelucra legal datele personale

Ghidul a fost publicat pe site-ul ANSPDCP în 2 decembrie și poate fi accesat aici. Principalul aspect de reținut pentru asociațiile de proprietari e că și lor li se aplică GDPR, dacă prelucrează date personale. În acest context, e important pentru asociațiile de proprietari să identifice o serie de aspecte:

• ce date personale prelucrează (numele, prenumele locatarilor; imagini cu aceștia și cu alte persoane care intră într-o scară de bloc, dacă există camere de supraveghere acolo; date privind istoricul plăților unor locatari etc.);
• pentru ce scop prelucrează acele date (de exemplu, dacă instalează o cameră de filmare într-o scară, de ce a făcut acea asociație de proprietari acel lucru - pentru siguranță?);
• care este volumul de date prelucrate și dacă există vreo proporționalitate între prelucrarea de date și scopul urmărit (dacă sunt instalate camere de supraveghere, unde sunt instalate și câte?; dacă sunt mai multe, e necesar acel număr ridicat de camere?; de ce sunt instalate camere la fiecare etaj, dacă important e să se vadă cine intră în scară? etc.);
• cum sunt respectate drepturile persoanelor vizate de prelucrarea de date (de pildă, GDPR le garantează celor vizați de prelucrarea de date mai multe drepturi - de exemplu, dreptul de acces, prin care pot vedea ce date deține cineva despre ei etc.; dacă un locatar îi solicită unei asociații de proprietari să îi comunice datele pe care aceasta le deține despre el, asociația e obligată să o facă, de principiu) etc.

Printre aspectele discutate de ANSPDCP în ghid, e important de scos în evidență o serie de situații cu care, probabil, fiecare asociație de proprietari se confruntă sau ar fi posibil să se confrunte, în viitor:

1) Instalarea și folosirea camerelor de filmat, într-o scară de bloc, este permisă, dar trebuie să îndeplinească niște condiții. De exemplu, temeiul adecvat de prelucrare a datelor (fiecare prelucrare de date trebuie să fie justificată de un temei prevăzut de GDPR) este, cel mai probabil, interesul legitim al asociației. De obicei, e vorba de interesul de a asigura siguranța (fie a persoanelor, fie a bunurilor). Prin urmare, este important ca fiecare asociație să aibă o documentație internă în care acest lucru să fie reflectat. De asemenea, hotărârea de a se instala un sistem de supraveghere video trebuie luată în cadrul adunării generale a asociației de proprietari.

Un aspect esențial e ca instalarea camerelor video să se limiteze la ce este strict necesar pentru atingerea scopului pentru care au fost instalate. Astfel, dacă motivul instalării este siguranța persoanelor și bunurilor, este justificată instalarea camerei video la intrare, însă nu și la fiecare etaj. În plus, ANSPDCP recomandă ca, în cazul în care, totuși, sunt instalate camere la nivelul fiecărui etaj, asociația să obțină consimțământul locatarilor (un alt temei de prelucrare decât interesul legitim). Legând acest lucru de ce am spus înainte, devine de înțeles de ce se aplică diferențiat GDPR, în aceste situații, și de ce e nevoie de o justificare suplimentară pentru instalarea de camere video la fiecare etaj (în afara montării unei camere la intrare).

După aceea, e important ca, în apropierea zonei unde e instalată camera de supraveghere, să apară o avertizare (de preferat, o pictogramă), prin care să fie informate persoanele care trec pe acolo că are loc o supraveghere video. Este la fel de important ca asociația de proprietari (sau societatea care instalează și asigură mentenanța sistemului de supraveghere) să limiteze perioada de timp de stocare a imaginilor (ca principiu, ar trebui să fie vorba de 30 de zile).

2) O problemă cu care se confruntă fiecare asociație de proprietari e afișarea datelor personale ale locatarilor la avizier (despre care și redacția avocatnet.ro a vorbit aici). Potrivit Autorității, și aici discutăm de o prelucrare de date (mai ales dacă toată lumea poate să vadă numele proprietarului apartamentului și cheltuielile lunare ale acestuia).  De aceea, trebuie găsit un temei pentru prelucrare.

O posibilă justificare ar fi îndeplinirea unei obligații legale (însă, cum am arătat și aici, nu e clar dacă legislația română în materia asociațiilor de proprietari chiar impune o asemenea obligație). De aceea, rămâne un singur temei aplicabil, aici, respectiv consimțământul persoanei vizate.

Însă e important ca acel consimțământ să fie liber, iar persoana care e vizată de prelucrare, în caz că nu-și dă consimțământul pentru prelucrarea de date, să nu sufere nicio consecință negativă. Astfel, asociația de proprietari (sau firma care administrează imobilul) nu va putea, de exemplu, să îl penalizeze pe cel care care refuză să îi apară numele la avizier.

În plus, consimțământul trebuie să fie activ și expres. De aceea, după cum a precizat și ANSPDCP, asociația de proprietari nu ar putea să presupună existența unui consimțământ atunci când locatarul nu a reacționat în niciun fel la o cerere a asociației de a-i afișa datele personale la avizier.

În asemenea situații, dincolo de obligațiile pe care le au asociațiile de proprietari de a găsi un temei pentru prelucrarea datelor, este important ca acestea să mai respecte o serie de principii, printre care:

• principiul legalității, echității şi transparenţei (toate activitățile de prelucrare trebuie să respecte prevederile legale);
• principiul limitării legate de scop (trebuie identificat, de la început, un scop pentru care sunt prelucrate datele, iar prelucrarea să se facă doar în acel scop; odată prelucrate astfel, datele nu vor putea fi folosite pentru alte motive - de exemplu, filmările făcute pentru siguranță nu vor putea fi folosite pentru a adăuga încă o persoană la cheltuieli);
• principiul reducerii la minimum a datelor: prelucrarea datelor adecvate, relevante şi limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate (aici se explică de ce ar fi justificată instalarea de camere de supraveghere la intrarea în scară, de exemplu, dar nu și la fiecare etaj);
• principiul limitării legate de stocare: datele sunt păstrate într-o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele (e clar că, dacă nu a existat niciun pericol în zonă, într-o anumită perioadă de timp, nu se justifică păstrarea filmărilor, pentru a mă referi la același exemplu);
• principiul integrității şi confidenţialității - prelucrarea datelor într-un mod care asigură securitatea adecvată a datelor cu caracter personal, inclusiv protecţia împotriva prelucrării neautorizate sau ilegale şi împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare.

Așadar, asociațiile de proprietari, când prelucrează date personale ale locatarilor sau ale altor persoane, sunt ținute de respectarea legislației din domeniul protecției datelor. De aceea, ele trebuie să aibă grijă când sunt implicate în activități ce ar putea viza prelucrarea datelor personale (cum ar fi, de exemplu, filmarea persoanelor care intră într-o scară sau chiar afișarea numelor locatarilor la avizier). În plus, ele trebuie să se asigure că au un motiv specific pentru care prelucrează datele, că acest lucru e legal și că respectă o serie de principii (de exemplu, proporționalitate între datele prelucrate și scopul urmărit etc.). Dacă ar fi să simplific pe cât posibil problema, aproape orice implică detalii despre o persoană reprezintă o prelucrare de date, iar acestea trebuie să rămână, ca regulă, confidențiale. Dacă ceea ce se urmărește poate fi atins și fără prelucrare sau prin prelucrarea mai puținor date, atunci asociația trebuie să procedeze astfel.