Supravegherea angajaților la locul de muncă: autoritățile publice nu pot invoca interesul legitim ca temei legal în cazul prelucrărilor efectuate

„O altă situație asupra căreia Autoritatea națională de supraveghere a atras atenția este aceea a aplicabilității prevederilor articolului 5 din Legea nr. 190/2018 doar în situațiile în care sunt utilizate sisteme de monitorizare prin mijloace de comunicații electronice și/sau prin mijloace de supraveghere video la locul de muncă, în scopul realizării intereselor legitime urmărite de angajator. În acest context este necesar a se lua în considerare faptul că autoritățile publice nu pot invoca interesul legitim ca și temei legal în cazul prelucrărilor efectuate de respectivele entități, în îndeplinirea atribuțiilor lor”, scrie în raportul de activitate al ANSPDCP pe 2023, recent publicat pe site-ul Autorității. 

Legea nr. 190/2018 a fost adoptată pentru a asigura aplicarea la nivel național a dispozițiilor GDPR. Aceasta introduce, printre altele, reguli speciale în privința prelucrării datelor personale în contextul relațiilor de muncă, dar și excepții ori derogări pentru autorități și organisme publice. În mod particular, Legea nr. 190/2018 detaliază condițiile în care pot fi utilizate sisteme de monitorizare a angajaților, precum și limitele prelucrării datelor cu caracter personal în scopul realizării intereselor legitime ale operatorilor.

Art. 5 din Legea nr. 190/2018 reglementează utilizarea sistemelor de monitorizare electronică și/sau video la locul de muncă, evidențiind condițiile stricte sub care angajatorii pot prelucra datele angajaților în scopul atingerii intereselor lor legitime. Printre aceste condiții se numără:

• justificarea temeinică a interesului legitim, care să prevaleze asupra drepturilor și libertăților salariaților;
• informarea prealabilă, completă și explicită a angajaților cu privire la procesul de monitorizare;
• consultarea reprezentanților salariaților sau a sindicatului înainte de introducerea sistemelor de monitorizare;
• lipsa unor metode alternative mai puțin intruzive;
• limitarea perioadei de stocare a datelor la maximum 30 de zile, cu excepțiile prevăzute expres de lege sau situate pe fundamentări clare.

Prin aceste cerințe, art. 5 urmărește să mențină un echilibru între interesul angajatorului (de pildă, protecția bunurilor, prevenirea fraudelor sau asigurarea securității spațiului de lucru) și drepturile fundamentale ale angajatului, precum dreptul la viață privată și protecția datelor cu caracter personal.

Afirmațiile ANSPDCP, mai sus citate, reamintesc că, în raport cu autoritățile publice, interesul legitim nu poate fi folosit ca temei legal pentru prelucrarea datelor, aspect esențial ce derivă din considerentele GDPR și ale Legii nr. 190/2018. Pentru autoritățile publice, temeiul juridic pentru prelucrarea datelor este, de regulă, îndeplinirea unei sarcini care servește unui interes public sau exercitarea autorității publice cu care acestea sunt învestite.

Astfel, dacă un angajator privat poate invoca art. 6 alin. (1) lit. f) din GDPR (interesul legitim), condiționat și de prevederile art. 5 din Legea nr. 190/2018, autoritățile publice trebuie să își întemeieze prelucrările pe alte baze legale, precum:

• respectarea unei obligații legale (art. 6 alin. (1) lit. c) GDPR);
• îndeplinirea unei sarcini care servește unui interes public sau exercitarea autorității publice (art. 6 alin. (1) lit. e) GDPR și art. 6 din Legea nr. 190/2018).

Art. 6 din Legea nr. 190/2018 instituie condiții specifice și garanții suplimentare în situația prelucrărilor efectuate de către operatorii care prelucrează date în scopul îndeplinirii unei sarcini de interes public. Aceste garanții includ:

• respectarea principiilor GDPR, în special minimizarea datelor și asigurarea confidențialității;
• numirea unui responsabil cu protecția datelor (DPO) atunci când este necesar;
• stabilirea unor termene clare de stocare și ștergere a datelor.

Prin urmare, autoritățile publice nu pot alege pur și simplu interesul legitim ca temei legal pentru monitorizare sau pentru alte prelucrări de date, deoarece cadrul legal dedicat lor indică utilizarea altor temeiuri. Interesul legitim, fiind un concept de natură mai degrabă privată, nu este potrivit pentru entitățile care acționează în virtutea legii și al interesului public.

Distincția cheie între operatorii privați și cei publici: În sfera privată, angajatorul și angajatul se află într-un raport de așa-zis echilibru negociat, chiar dacă raportul de forțe poate părea inegal. În acest context, interesul legitim poate fi invocat, dar numai cu respectarea condițiilor stricte menționate la art. 5 din Legea nr. 190/2018.

În schimb, o autoritate publică își desfășoară activitatea sub imperiul legii, iar legitimarea prelucrărilor de date se face prin raportare la mandatul legal sau la îndeplinirea atribuțiilor de interes public. Alegerea interesului legitim ar eluda baza legală specifică, strictă și supusă controlului democratic (prin acte normative), pe care o autoritate publică este obligată să o urmeze.

Consecințe și recomandări practice: Organizațiile publice trebuie să-și examineze atent bazele juridice înainte de a implementa sisteme de monitorizare a angajaților. În lipsa unui interes legitim recunoscut, acestea trebuie să se orienteze către normele ce reglementează îndeplinirea atribuțiilor legale ori interesul public, să informeze corespunzător persoanele vizate și să asigure garanțiile tehnice și organizatorice necesare.

Pe de altă parte, operatorii privați trebuie să se asigure că îndeplinesc riguros toate condițiile din art. 5 înainte de a implementa sisteme de supraveghere și să păstreze un echilibru între interesul legitim și drepturile fundamentale ale angajaților. Eșecul în respectarea acestor condiții poate conduce la sancțiuni.