Esenţa dreptului la portabilitatea datelor are în vedere mai mult protecţia consumatorului ori dreptul concurenţei decât dreptul teoretic la protecţia datelor cu caracter personal. Portabilitatea datelor este adesea conectată la temeiul art. 8 din Carta fundamentală a Drepturilor Uniunii Europene, exercitată, în concret, printr-un control sporit asupra datelor cu caracter personal ca parte a sistemului de drept fundamental al protecţiei datelor.
Potrivit Comisiei Europene, unul dintre cele trei obiective generale ale reformei legislative a fost de a eficientiza protecţia datelor şi oferirea unui control mai larg asupra datelor persoanelor[1]. Prin urmare, Comisia a considerat că portabilitatea datelor este esenţială cu privire la protejarea persoanei, asigurând astfel controlul şi eficacitatea dreptului fundamental de la articolul 8 din actul normativ anterior menţionat. De altfel, scopul reglementării acestui drept are rol şi de prevenire a blocajelor şi promovarea inovării prin refolosirea datelor la scară largă.
Acest drept oferă persoanei vizate posibilitatea de a solicita transferul datelor sale cu caracter personal de la un operator la un alt operator. Altfel spus, persoanele fizice au dreptul de a solicita şi de a reutiliza datele prelucrate prin mijloace automate deţinute de o entitate şi în raporturile cu alte părţi terţe.
În esenţă şi în unele circumstanţe, persoana vizată poate obţine într-un format uşor de refolosit datele pe care le prelucra un anumit operator fără a exista niciun fel de piedici. Evident, o condiţie importantă care se adaugă este ca exercitarea prezentului drept să nu afecteze sub nicio formă drepturile sau libertăţile altor persoane.
Între timp, întrebarea care subzistă este dacă setul de date pe care persoana vizată le poate exporta, datele oferite explicit unui operator de către o persoană vizată includ şi datele observate de către operator, cum ar fi cazurile de profilare ale persoanei vizate?[2]
O explicaţie privitoare această întrebare o aduce Ghidul WP170 al A29[3] şi subliniază că, deşi articolul 20 se referă la datele furnizate de persoana vizată, aceasta ar trebui să includă şi date cu caracter personal care reies din observarea acţiunilor realizate de către persoana vizată, cum ar fi datele brute prelucrate de un contor inteligent sau alte tipuri de obiecte conectate, jurnale de activitate, istoricul utilizării site-ului web sau activităţi de căutare.
Portabilitatea datelor, prin definiţie, promovează divulgarea datelor. Această dezvăluire, însă, poate apărea ca fiind în conflict cu intenţiile unei societăţi de a păstra secretul informaţiilor pentru a-şi depăşi competitorii, a-şi îmbunătăţi relaţiile cu clienţi sau produsele.
Portabilitatea nu duce neapărat la disponibilitatea publică a datelor, însă articolul 20 din Regulamentul 679/2016, în practică, poate duce la o suficientă disponibilitatea care este relevantă pentru persoanele vizate ori părţile terţe, concurenţi direcţi sau indirecţi, cărora le-a fost încredinţată reutilizarea.
În orice caz, se pune întrebarea dacă nu se poate ajunge ca această reglementare să joace un rol în activ în practicile concurenţiale deoarece concurenţii ar putea să-şi conteste reciproc arhivele de date prin convingerea persoanelor vizate să solicite datele lor[4], aspect care ar putea aduce atingere și secretului comercial.
Cu toate acestea, impactul prezentului articol va fi probabil limitat deoarece dreptul poate fi invocat numai în conformitate cu art.20 alin. (1) GDPR care priveşte datele cu caracter personal prelucrate pe baza consimţământului sau ca urmare a unui contract şi doar în cazul în care se utilizează mijloace automate.
Această reglementare exclude în mod efectiv o obligaţia operatorului de a furniza o copie a datelor prelucrate sub toate celelalte forme de prelucrare.
De asemenea, se exclude explicit transferabilitatea datelor în momentul procesării în interes public ori care face obiectul unui puteri publice, o reglementare care, de altfel, poate fi pusă sub semnul întrebării dat fiind incidenţa în dreptul unional a Directivei (UE) 1024/2019[5] prin care s-a creat o obligaţie în sarcina statelor membre de a face toate documentele reutilizabile, în scop comercial sau necomercial, fără a aduce atingere legislaţiei privind protecţia datelor[6].
Trebuie observat că art. 11 din GDPR prevede o dispensă de la dreptul la portabilitate, excepţia se aplică numai dacă se poate demonstra faptul că nu există o situaţie de prelucrare ori de identificare din parte unui operator determinat.
Evident, dacă datele personale sunt modificate, pseudonomizate sau şterse într-o asemenea măsură încât persoana investită cu prelucrarea nu mai poate identifica persoana, nu este nevoie ca o cerere de portabilitate să fie executată.
Dacă totuşi, operatorul doreşte realizarea unor operaţiuni de identificare el poate realiza acest lucru prin suplimentarea informaţiei provenite de la subiectul prelucrării. Ulterior suplimentării, persoana vizată va trebui să fie lăsat să-şi exercite toate drepturile, inclusiv dreptul la portabilitate.
Coroborând art. 20 şi art. 11 din GDPR se poate observa cu uşurinţă faptul că operatorii ar avea posibilitatea să opteze pentru prelucrare datelor prin pseudonime pentru a evita obligaţiile de portabilitate a datelor atunci când există date pe care nu doresc să le transfere.
În cazul în care persoana vizată îşi exercită dreptul la portabilitate, în sarcina operatorului apare o serie de noi obligaţii, în primul rând apare obligaţia de transmitere a datelor într-o formă strecurată, obişnuit folosită şi care să fie într-un format care poate fi citit automat[7], respectiv de a transmite datele către un nou operator dacă acest lucru este posibil din punct de vedere tehnic.
Pentru operatori de date care îşi desfăşoară activitate în mediul online, o implementare corectă presupune o legătură strânsă între proiectarea software şi hardware şi comunitatea juridică pentru a realiza dreptul la protecţia datelor şi pentru a permite o exercitare facilă a dreptului la portabilitate şi a transferului datelor cu caracter personal.
Astfel, operatorul trebuie să aibă în vedere dezvoltarea de interfeţe mai utile pentru gestionarea informaţiilor personale şi crearea de tablouri de bord care vizualizează seturile de date ale utilizatorului într-un mod lizibil[8].
Un ultim aspect care trebuie subliniat este că dreptul la portabilitate nu trebuie confundată cu dreptul la ştergerea datelor, aceste două sunt drepturi independente în cadrul GDPR. Portabilitatea ca esenţa permite permutarea datelor în cadrul comunităţii unionale, iar ştergerea presupune eliminarea completă a respectivelor date.
În concluzie, prin implementarea dreptului la portabilitatea datelor se oferă persoanelor vizate un anumit grad de control ridicat asupra datelor lor, în special în calitatea lor de consumator, iar refuzul unei întreprinderi de a facilita portabilitatea datelor poate constitui forme de abuz care pot duce la aplicabilitatea art. 82 şi a art. 83 alin. (5) lit. b din GDPR care stabilesc sancţiunile pe care un operator de date le poate primi.
avocat David Popa
[1] Manual de legislație europeană privind protecția datelor, Ediția 2018, p. 253
[2] Lilian Edwards, Data Protection: Enter the General Data Protection Regulation, pg 44.
[3] Article 29 Data Protection Working Party, 16/EN, WP 242 rev.01, Guidelines on the right to data portability, adoptat pe December 2016, revizuit și adoptat în 5 Aprilie 2017.
[4] Inge Graef, Martin Husovec, Nadezhda Purtov, Data Portability and Data Control: Lessons for an Emerging Concept in EU Law, pag 13.
[5] Art. 3 și următoarele din Directivă.
[6] Idem, pag. 24.
[7] Prin format automat trebuie înțeles faptul că datele ce urmează a fi transmise să fie ușor de folosit de către un computer ale cărui specificații sunt medii.
[8] Lachlan Urquhart, Neelima Sailaja, Derek McAuley, Realising the Right to Data Portability for the Domestic Internet of Things.