Protecția datelor la locul de muncă în România: De la prelucrarea ilegală a CNP-ului la provocările AI Act

Introducere

Într-un mediu de afaceri tot mai digitalizat, respectarea Regulamentului General privind Protecția Datelor (GDPR - Regulamentul UE 2016/679) rămâne o provocare constantă pentru companiile din România. Deși au trecut ani de la punerea sa în aplicare, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) continuă să aplice sancțiuni usturătoare pentru practici care ar fi trebuit eliminate demult: afișarea publică sau stocarea nejustificată a Codului Numeric Personal (CNP) și monitorizarea audio-video excesivă a angajaților.

În plus, intrarea în vigoare a noilor reglementări europene, precum Regulamentul privind Inteligența Artificială (AI Act), ridică ștacheta conformității la un nivel fără precedent.

1. Prelucrarea CNP-ului: Un identificator național cu regim special

Codul Numeric Personal (CNP) nu este un simplu număr de identificare; în dreptul românesc (prin Legea nr. 190/2018), acesta este încadrat ca date cu caracter personal având o funcție de identificare de aplicabilitate generală.

Conform deciziilor ANSPDCP și jurisprudenței recente, operatorii de date comit frecvent următoarele greșeli legate de CNP:

• Publicarea neautorizată: Afișarea listelor cu angajați sau clienți (de exemplu, fluturași de salariu, procese-verbale, tabele de instruire ISCIR) la avizierul companiei sau pe platforme interne accesibile tuturor.
• Fotocopierea nejustificată a cărților de identitate: Solicitarea și păstrarea copiei de pe buletin fără un temei juridic clar sau fără a demonstra că scopul nu putea fi atins prin alte mijloace mai puțin intruzive.
• Lipsa consimțământului sau a temeiului legal: Colectarea CNP-ului în scopuri de marketing sau de fidelizare a clienților fără o bază legală solidă conform Art. 6 din GDPR.

Principiu cheie: Principiul minimizării datelor (Art. 5 alin. 1 lit. c din GDPR) impune ca colectarea CNP-ului să fie excepția, nu regula. Dacă scopul verificării identității se poate realiza prin alte mijloace, solicitarea CNP-ului constituie o încălcare a legii.

2. Monitorizarea video și audio a angajaților: Unde se termină interesul legitim?

O altă zonă de risc major o reprezintă instalarea sistemelor de supraveghere CCTV sau înregistrarea audio la locul de muncă. ANSPDCP a amendat repetat angajatorii din România pentru camere orientate direct spre birourile angajaților sau pentru înregistrări audio efectuate fără informare prealabilă.

Pentru ca monitorizarea angajaților să fie legală, un angajator trebuie să îndeplinească cumulativ următoarele condiții (art. 5 din Legea 190/2018):

1. Prioritatea altor măsuri: Angajatorul trebuie să dovedească faptul că a încercat anterior alte metode mai puțin intruzive pentru atingerea scopului (ex. sisteme de acces cu card).
2. Consultarea prealabilă: Consultarea obligatorie a sindicatului sau a reprezentanților angajaților înainte de introducerea sistemelor de supraveghere.
3. Informarea completă și transparentă: Angajații trebuie să fie informați în mod clar, explicit și anterior începerii monitorizării.
4. Durata de stocare: Păstrarea imaginilor nu trebuie să depășească 30 de zile, cu excepții bine justificate legal.

3. Ce schimbări aduce cadrul european: GDPR întâlnește AI Act

Cadrul de protecție a datelor din UE nu mai funcționează izolat. În prezent, companiile care activează în România trebuie să fie atente la intersecția dintre GDPR și noile acte europene:

• AI Act (Actul privind Inteligența Artificială): Interzice utilizarea sistemelor AI de recunoaștere emoțională la locul de muncă și în mediile educaționale. De asemenea, algoritmii utilizați pentru evaluarea, recrutarea sau promovarea angajaților sunt clasificați ca având risc ridicat, necesitând audituri stricte privind transparența datelor și prelucrarea CNP-urilor sau a datelor biometrice.
• Directiva privind Transparența Salarială: Va obliga companiile să raporteze date salariale, dar cu respectarea strictă a confidențialității (fără dezvăluirea de CNP-uri sau date financiare individuale la nivel public).

Concluzie

Amenzile ANSPDCP arată clar că autoritatea din România nu mai tolerează practica „colectăm tot pentru orice eventualitate”. Pentru companiile românești și multinaționalele care operează pe piața locală, revizuirea proceselor interne privind protecția datelor, eliminarea stocării inutile a CNP-urilor și securizarea monitorizării la locul de muncă nu mai sunt opționale, ci reprezintă piloni esențiali de conformitate și etică corporativă.