Opinia ANSPDCP cu privire la prelucrarea datelor personale din Cartea Electronică de Identitate de către companiile angajatoare

Aspectele asupra cărora am solicitat opinia Autorității vizează:

• Prelucrarea datelor biometrice (imaginea facială și amprentele digitale) ale titularului si obligația întocmirii unui DPIA având în vedere că prelucrarea realizată de angajator nu se înscrie în dispozițiile Cap. II Reguli speciale privind prelucrarea unor categorii de date cu caracter personal, art. 3 alin. (1) și (2) din Legea nr. 190/2018;

În raport cu acest subiect Autoritatea nu s-a pronunțat în mod explicit, dar indicarea prevederilor naționale, reprezintă în opinia noastră o limitare a angajatorului la aceste prevederi, fără a interpreta in extenso art. 3 și 4 din Legea nr. 190/2018.

Drept urmare, actualizarea DPIA existent în privința prelucrării datelor personale angajaților potrivit prelucrării copiei de pe CEI și a certificatului care dovedește domiciliul, sau chiar întocmirea unui DPIA punctual pentru aceste prelucrări, nu consideram ca este un demers obligatoriu.

Totuși, Autoritatea reamintește organizațiilor că activitățile de prelucrare a datelor personale ale angajaților trebuie să fie desfășurate în conformitate cu prevederile Regulamentului UE 2016/679 (GDPR), art. 6 (principiile prelucrării) și art. 9 (prelucrarea datelor speciale sau sensibile), în cazurile în care prelucrarea datelor nu este posibilă în baza obținerii consimțământului prealabil al persoanei vizate.

Suprimarea Verificatorilor de conținut digital

Autoritatea face trimitere la prevederile Regulamentului UE 2019/1157 privind consolidarea securității cărților de identitate ale cetățenilor Uniunii […], invocând art. 10 „Colectarea elementelor de identificare” și art. 11 „Protecția datelor cu caracter personal și răspunderea”. Astfel, datele biometrice pot fi colectate de personal calificat și autorizat în mod corespunzător de autoritățile responsabile pentru eliberarea cărții de identitate, al autorităților naționale competente și al agenților Uniunii (aspect reluat și în cadrul art. 11 alin. 6), exclusiv în scopurile precizate atât de legiuitor cât și de ANSPDCP, iar autoritățile competente care au acces la datele biometrice stocate pe suportul de stocare sunt înscrise într-o listă comunicată anual Comisiei.

• Recomandările Autorității privind prelucrarea datelor privind domiciliul angajatului de către angajator în contextul CEI, din punct de vedere GDPR în raport cu condițiile de eliberare a certificatului privind domiciliul.

Autoritatea stabilește existența legislației speciale existente la nivel național, potrivit căreia angajatorul este autorizat să prelucreze date privind domiciliul, reședința și actele de identitate ale cetățenilor români, care sunt dovedite pe teritoriul României cu actul de identitate.

De asemenea, Autoritatea atrage atenția cu privire la dovedirea adresei de domiciliu care poate fi efectuată cu prezentarea dovezii de resedinţă care, conform art. 33 din OUG nr. 97/2005 privind evidenţa, domiciliul, reşedinţa şi actele de identitate ale cetăţenilor români, este dovedită cu actul de identitate (pentru cărţile de identitate simple), sau dovada de resedinţă în cazul CEI, care, din interpretarea textului de lege, întelegem că trebuie să fie certificatul de atestare a domiciliului, urmând procedura descrisă în cadrul acestui LINK.

Trebuie să mai spunem că, în conformitate cu art. 5 (1) din Regulamentului UE 2019/1157, cărțile de identitate care nu îndeplinesc cerințele de securitate, model și specificații ale noilor cărți de identitate electronice, își încetează valabilitatea în data de 3 august 2031. Vrem nu vrem, cu toții vom avea Cărți Electronice de Identitate în următorii 6 (șase) ani.

Autoritatea pentru Digitalizarea României ne instruiește în domeniul noilor tehnologii

Ref Carte Electronica Identitate by start-up.ro