Date personale sensibile, expuse pe platforma Guvernului
Platforma lansată de Guvern pentru transparentizarea informațiilor despre companiile de stat este în centrul unei controverse după ce mai multe documente publicate online ar fi conținut date personale care nu ar trebui să fie accesibile publicului în această formă.
Potrivit unei investigații publicate de Știripesurse.ro, cel puțin zece documente identificate pe platformă conțineau informații precum CNP-uri, date ale actelor de identitate și adrese de domiciliu. Unele dintre documente ar fi afișat informațiile direct, în timp ce în alte cazuri acestea ar fi fost acoperite vizual, fără ca datele să fie eliminate efectiv din fișiere.
Platforma oficială de guvernanță a companiilor de stat pune la dispoziția publicului informații despre conducerea societăților, CV-uri și documente aferente acestora.
Documente în care ar fi rămas date personale
Investigația citată indică mai multe întreprinderi publice ale căror documente ar fi conținut informații personale excesive. Printre societățile menționate se află Radioactiv Mineral Măgurele, Uzina Mecanică București, Active Conexe, OPCOM, Oil Terminal, Fabrica de Arme Cugir și Carpatica Feroviar România.
În unele situații, informațiile ar fi fost vizibile direct în documentele PDF. În alte cazuri, datele ar fi fost acoperite cu elemente grafice, însă textul original ar fi rămas în structura fișierului.
O asemenea procedură nu reprezintă, tehnic, o anonimizare completă dacă informațiile pot fi recuperate prin copierea sau extragerea textului din document.
Transparența companiilor de stat nu înseamnă publicarea tuturor datelor
OUG 109/2011 stabilește obligații de transparență pentru întreprinderile publice, inclusiv publicarea unor informații privind conducerea societăților, CV-urile și remunerațiile.
Existența obligației de transparență nu înseamnă însă că orice informație existentă într-un contract trebuie făcută publică. Publicarea trebuie corelată cu regulile privind protecția datelor cu caracter personal și cu principiul limitării informațiilor la ceea ce este necesar pentru scopul urmărit.
În cazul unor documente care conțin date precum CNP-ul, seria și numărul actului de identitate sau domiciliul, problema este dacă aceste informații sunt necesare pentru obiectivul de transparență urmărit de platformă.
O problemă suplimentară: anonimizarea incompletă a PDF-urilor
Cazurile în care informațiile sunt doar acoperite vizual ridică o problemă tehnică distinctă.
Pentru ca o informație să fie eliminată dintr-un document electronic, simpla aplicare a unui dreptunghi peste text nu este suficientă. Datele trebuie eliminate sau rasterizate astfel încât informația inițială să nu mai poată fi extrasă.
Dacă datele rămân în structura fișierului, documentul poate părea anonimizat pentru un utilizator obișnuit, dar poate permite recuperarea informațiilor prin instrumente software.
Regulamentul GDPR impune operatorilor să adopte măsuri tehnice și organizatorice adecvate pentru securitatea datelor.
Poate fi vorba despre o încălcare a regulilor GDPR?
În funcție de circumstanțele concrete și de modul în care au fost publicate documentele, situația ar putea fi analizată de autoritatea competentă din perspectiva GDPR.
O eventuală investigație ar trebui să stabilească cine este operatorul datelor, ce categorii de informații au fost publicate, în baza cărui temei legal și dacă măsurile tehnice utilizate pentru protejarea datelor au fost suficiente.
De asemenea, trebuie stabilit dacă publicarea a creat un risc pentru persoanele vizate și dacă incidentul îndeplinește condițiile unei încălcări a securității datelor cu caracter personal.
Apar întrebări și în privința informațiilor despre afilierea politică
Investigația Știripesurse.ro ridică și problema unor informații referitoare la afilierea politică a unor directori executivi.
OUG 109/2011 prevede obligații de transparență privind afilierea politică în cazul anumitor membri ai organelor de conducere ale întreprinderilor publice.
În situațiile în care platforma publică informații despre persoane care nu intră în categoriile expres prevăzute de lege, trebuie clarificat temeiul juridic distinct care permite publicarea unor asemenea date.
Această chestiune este cu atât mai importantă deoarece datele privind opiniile politice beneficiază de un regim special în cadrul GDPR.
Sunt semnalate și neconcordanțe privind remunerațiile
Investigația mai semnalează posibile diferențe între unele valori afișate pe platformă și datele existente în rapoartele unor companii de stat.
Unul dintre exemplele prezentate vizează Hidroelectrica, unde anumite indemnizații ale membrilor Consiliului de Supraveghere ar fi fost prezentate ca valori brute, deși cifrele indicate ar corespunde unor valori nete.
Și în cazul Nuclearelectrica sunt menționate diferențe între valorile afișate pe platformă și cele din documentele societății.
Astfel de diferențe ar necesita verificare și corectare dacă se confirmă, în condițiile în care datele publicate de o platformă oficială trebuie să fie exacte și actualizate.
Ce se poate întâmpla dacă o breșă este confirmată
În cazul confirmării unei încălcări a legislației privind protecția datelor, autoritatea competentă poate analiza măsurile luate de operator, inclusiv modul în care incidentul a fost identificat și remediat.
În funcție de natura și gravitatea situației, pot exista obligații de notificare, măsuri de remediere și, în anumite condiții, informarea persoanelor afectate.
Persoanele care consideră că au suferit un prejudiciu ca urmare a unei încălcări a GDPR au, de asemenea, posibilitatea de a solicita despăgubiri în condițiile prevăzute de regulament.
Eventuala răspundere penală trebuie stabilită de autorități
În spațiul public au apărut și referiri la posibilitatea unei răspunderi penale. O asemenea concluzie nu poate fi trasă însă doar din existența unor documente publicate online.
Codul penal prevede, la articolul 304, infracțiunea privind divulgarea fără drept a unor informații secrete de serviciu sau care nu sunt destinate publicității, în anumite condiții.
Pentru a stabili dacă această dispoziție poate fi aplicată într-un caz concret ar trebui determinate, printre altele, persoana responsabilă de divulgare, natura juridică a informațiilor, existența sau lipsa dreptului de publicare și forma de vinovăție.
Prin urmare, simpla publicare a unor documente cu date personale nu demonstrează automat existența unei infracțiuni și nici nu stabilește răspunderea unei anumite persoane.
Platforma Guvernului, verificată după apariția informațiilor
Platforma guvernamentală are ca obiectiv centralizarea informațiilor despre companiile de stat și conducerea acestora. Catalogul oficial afișează companii, funcții, CV-uri și documente asociate.
Cazurile semnalate ridică însă întrebări privind procedurile de verificare și anonimizare înainte ca documentele să fie făcute accesibile publicului.
Rămâne de văzut dacă documentele indicate în investigație vor fi retrase sau înlocuite cu versiuni anonimizate și dacă autoritățile competente vor verifica modul în care datele au ajuns să fie publicate.
Surse
Warning: Attempt to read property "ID" on bool in /home/fluxinfo/monitorulzileimaramures.ro/wp-content/themes/jannah/framework/functions/post-actions.php on line 114
