Rezumat: Această lucrare își propune să răspundă la întrebarea „În contextul cursurilor online, este legal ca orele cadrelor didactice din învățământul universitar să fie înregistrate în scopul dovedirii activității?”. În secțiunea 1. am explicat aplicabilitatea RGPD în cadrul instituțiilor de învățământ superior, am definit și explicat anumiți termeni juridici. În secțiunea 2. am explicat de ce înregistrarea cursurilor online contravine principiilor RGPD, iar în secțiunea 3. am explicat de ce această activitate este nelegală în conformitate cu prevederile RGPD. Concluziile prezentei lucrări au reiterat importanța și dimensiunea socială vieții private în actualul context al digitalizării activității didactice și au reamintit că sancțiunile care pot să intervină pentru încălcarea principiilor RGPD sunt, pentru operatorii din domeniul privat, avertismentul sau amenda de până la 20.000.000 EURO, iar pentru instituțiile și organismele publice avertismentul sau amenda de la 10.000 la 200.000 lei. Totodată, prin intermediul concluziilor, am precizat faptul că răspunderea contravențională nu exclude răspunderea penală (de exemplu, abuzul în serviciu) sau răspunderea civilă delictuală, mecanism prin intermediul căruia studenții sau profesorii prejudiciați se pot adresa instanței de judecată pentru a solicita plata de daune materiale și/sau morale.
1.Noțiuni introductive
Acest material (denumit în continuare „materialul”, „articolul) își propune să răspundă la întrebarea „În contextul cursurilor online, este legal ca orele cadrelor didactice din învățământul universitar să fie înregistrate în scopul dovedirii activității?”.
Pentru a evita orice dubiu, acest material va răspunde la întrebarea indicată anterior doar din perspectiva legislației naționale și europene privind protecția datelor, respectiv Regulamentul (UE) nr. 679/2016 (RGPD) și Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 679/2016.
Cu titlu preliminar, pentru a parcurge cu ușurință documentul, vom explica în ce măsură se aplică RGPD instituțiilor de învățământ superior și vom defini anumite noțiuni juridice.
Cu privire la domeniul de aplicare material, facem precizarea că RGPD se aplică „prelucrării datelor cu caracter personal, efectuată total sau parțial prin mijloace automatizate, precum și prelucrării prin alte mijloace decât cele automatizate a datelor cu caracter personal care fac parte dintr-un sistem de evidență a datelor sau care sunt destinate să facă parte dintr-un sistem de evidență a datelor” (art. 2 alin. (1) RGPD). Prin urmare, având în vedere că înregistrarea cursurilor online în cadrul instituțiilor din învățământul universitar se realizează total sau parțial prin mijloace automatizate, rezultă că RGPD se aplică, în această situație, instituțiilor de învățământ preuniversitar. Aceasta este și opinia Curții de Justiție a Uniunii Europene care, în cauza C-345/17, a hotărât faptul că, în cadrul unui sistem de supraveghere video, o înregistrare video a unor persoane, stocată pe un echipament de înregistrare în mod continuu, și anume pe hard disk‑ul acestui sistem, constituie, în conformitate cu articolul 2 litera (b) și cu articolul 3 alineatul (1) din Directiva 95/46, o prelucrare de date cu caracter personal automată (a se vedea în acest CJUE, Cauza C‑345/17. Sergejs Buivids c. Autoritatea Națională pentru Protecția Datelor, Letonia, pct. (33) – (37)).
Aplecându-ne asupra definiției „prelucrării”, respectiv „orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea” (art. 4 pct. (2) RGPD), rezultă în mod clar faptul că activitatea de înregistrare a orelor cadrelor didactice în contextul cursurilor online reprezintă o activitate de prelucrare în sensul dispozițiilor RGPD.
Analizând definiția operatorului, respectiv „persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; (…)” (art. 4 pct. (7) RGPD), observăm faptul că instituțiile de învățământ superior au calitatea de operator în sensul RGPD.
O persoană vizată este „orice persoană fizică identificată sau identificabilă” (art. 4 pct. (1) RGPD), prin urmare participanții la cursurile online (profesorii și studenții) au calitatea de persoană vizată în sensul RGPD.
Având în vedere că date cu caracter personal înseamnă „orice informații privind o persoană fizică identificată sau identificabilă („persoana vizată”)” (art. 4 pct. (1) RGPD), observăm faptul că datele cu caracter personal ale profesorilor și studenților care participă la cursuri online (imagine, voce, prezență etc) reprezintă date cu caracter personal.
***
În concluzie, având în vedere cele indicate anterior, instituția de învățământ superior, în calitatea sa de operator în temeiul RGPD, are obligația de a respecta prevederile RGPD și de a proteja datele cu caracter personal ale elevilor și studenților. Printre obligațiile pe care trebuie să le respecte instituția de învățământ superior se numără respectarea principiilor RGPD (art. 5 RGPD) și legalitatea prelucrării (art. 6 RGPD).
Pentru nerespectarea prevederilor RGPD, instituțiile din învățământul superior pot fi sancționate (cu avertisment sau amendă – art. 83 RGPD) sau pot fi supuse unor măsuri corective. De asemenea, persoanele fizice (studenți, profesori) afectate de o prelucrare neconformă a datelor personale, au, printre altele, dreptul de a depune o plângere la ANSPDPC (art. 77) și dreptul de a se adresa justiției, pe tărâmul răspunderii civile delictuale[1], pentru a solicita și obține, în condițiile legii, daune materiale și/sau morale (art. 82).
În continuare, vom analiza dacă activitatea de înregistrare a orelor cadrelor didactice în contextul cursurilor online este în conformitate cu RGPD având în vedere legislația în vigoare până la data de 16.09.2020.
2.Nerespectarea principiilor RGPD
Activitatea de înregistrare a orelor cadrelor didactice în contextul cursurilor online trebuie, ca orice altă activitate de prelucrare, să respecte, în mod cumulativ, toate cele șapte principii ale RGPD (art. 5 RGPD). Cele șapte principii sunt legalitatea, echitatea și transparența, principiul limitării scopului, principiul reducerii la minimum a datelor, exactitate, principiul limitării stocării, integritate și confidențialitate și responsabilitate.
Suntem de părere că activitatea de înregistrare a orelor cadrelor didactice în contextul cursurilor online încalcă cel puțin următoarele principii RGPD:
- Legalitatea, echitatea și transparența (art. 5 alin. (1) lit. a));
Principiul legalității este încălcat deoarece, așa cum vom arăta la punctul 3 din prezentul document, nu există un temei legal pentru înregistrarea prin mijloace audio-video a orelor cadrelor didactice în contextul cursurilor online.
Principiul echității înseamnă că datele ar trebui prelucrate într-un mod în care persoanele vizate (studenți, profesori) s-ar aștepta în mod rezonabil, iar aceste moduri nu ar trebui să aibă efecte negative nejustificate asupra acestora[2]. Este puțin probabil ca stocarea înregistrărilor audio-video pe o anumită perioadă să respecte principiul legalității deoarece, printre altele, studenții se așteaptă la un grad ridicat de confidențialitate cu privire la imaginile audio-video mai ales în contextul în care își desfășoară activitatea de la domiciliu. În acest sens este relevant și art. 74 din Codul Civil care prevede că activitatea de a capta sau a utiliza imaginea sau vocea unei persoane afla într-un spațiu privat, fără acordul acesteia, este o ingerință în viața privată. Chiar dacă se obține acordul studenților, acesta va fi, în viziunea noastră, nevalabil conform RGPD pentru motivele pe care le vom indica în secțiunea 3 din prezentul material. Totodată, așa cum afirmat și CEDO în cauza Antović și Mirković c. Muntenegru (2017), profesorii ar trebui să se bucure de respectarea vieții private și în cadrul amfiteatrelor din universități[3]. Având în vedere gradul ridicat de ingerință în viața privată a studenților și a profesorilor, considerăm că principiul echității este încălcat în contextul înregistrării prin mijloace audio-video a cursurilor online.
- Principiul reducerii la minimum a datelor (art. 5 alin. (1) lit. c));
Principiul reducerii la minimum a datelor înseamnă, în esență, că trebuie prelucrată doar cantitatea minimă de date necesară atingerii scopului. Pornind de la prezumția că scopul înregistrării prin mijloace audio-video a cursurilor online este „dovedirea activității”, facem precizarea că acest scop se poate atinge și prin mijloace mai puțin intruzive, precum înregistrarea datelor din cartelele de acces sau semnarea condicii de prezență. În concluzie, în viziunea noastră, în contextul înregistrării prin mijloace audio-video a cursurilor online, este încălcat principiul reducerii la minimum a datelor.
***
Având în vedere faptul că principiile trebuie respectate în mod cumulativ, precum și faptul că, așa cum am arătat anterior, se încalcă cel puțin două principii RGPD, considerăm că instituțiile de învățământ superior care înregistrează prin mijloace audio-video cursurile online, pot fi sancționate pentru încălcarea prevederilor RGPD cu avertisment sau amendă sau pot fi supuse unor măsuri corective. De asemenea, studenții sau elevii prejudiciați prin această activitate se pot adresa instanțelor de judecată pentru a solicita și obține, în condițiile legii, daune materiale și/sau morale (art. 82 RGPD).
3.Absența unui temei legal
Art. 6 RGPD prevede că prelucrarea este legală doar dacă respectă cel puțin una dintre condiții, cunoscute drept temeiuri legale. Aceste temeiuri legale sunt consimţământul (art. 6 alin. (1) lit. a) RGPD), contractul (art. 6 alin. (1) lit. b) RGPD), obligaţia legală (art. 6 alin. (1) lit. c) RGPD), interesul vital (art. 6 alin. (1) lit. d) RGPD), interesul public (art. 6 alin. (1) lit. e) RGPD) şi interesul legitim (art. 6 alin. (1) lit. f) RGPD).
Instituțiile universitare nu își pot întemeia prelucrarea („înregistrarea cursurilor”) pe temeiul contractului (deoarece prelucrarea nu este necesară prin încheierea sau executarea unui contract), pe temeiul obligației legale (nu există nicio dispoziție legală care să oblige la înregistrarea cursurilor), pe temeiurile interesului vital sau interesului public[4].
Prin urmare singurele temeiuri disponibile sunt consimțământul sau interesul legitim.
Cu privire la temeiul consimțământului facem precizarea că, potrivit RGPD, consimțământul, pentru a fi valabil, trebuie să îndeplinească, în mod cumulativ, o serie de standarde ridicate. Consimțământul, pentru a fi valabil, trebuie să fie o „manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizat” (art. 4 pct. 11 RGPD).
Grupul de Lucru Art. 29[5] subliniază faptul că, în situația în care intervine un dezechilibru de putere, consimțământul nu mai este liber. În absența caracterului liber, consimțământul devine nevalabil. Grupul de Lucru Art. 29 dă exemplul autorităților publice spunând că este puțin probabil ca acestea să se poată baza pe consimțământ deoarece ne aflăm în prezența unui dezechilibru de putere, persoana vizată neavând o alternativă reale de a alege[6], iar un consimțământ forțat își va pierde caracterul liber. Aceasta este și în situația înregistrării cursurilor online deoarece atâta timp cât studenților și profesorilor nu li se oferă o opțiune reală de a putea refuza să fie înregistrați, consimțământul nu va fi valabil, iar instituțiile universitare, cu excepția situației în care vor da posibilitatea studenților sau profesorilor de a refuza înregistrarea, nu se pot baza pe consimțământ.
Cu privire la temeiul interesului legitim facem precizarea că acesta poate fi utilizat doar în situațiile în care este necesar și nu prevalează interesele sau drepturile şi libertăţile fundamentale ale persoanei vizate (art. 6 alin. 1 lit. f)). Prin urmare, pentru a fi valabil, interesul legitim trebuie să fie necesar. A analiza condiția necesității înseamnă, așa cum a subliniat Grupul de Lucru Art. 29 „că ar trebui să se analizeze dacă sunt disponibile alte mijloace mai puțin invazive pentru a servi aceluiași scop”[7]. În situațiile în care există mijloace mai puțin intruzive pentru atingerea scopului, interesul legitim nu poate fi utilizat drept temei legal. Așa cum am precizat anterior, atingerea scopului („dovedirea activității cursurilor online”) poate fi realizată și prin mijloace mai puțin intruzive, precum înregistrarea datelor din cartelele de acces sau semnarea condicii de prezență. În concluzie, având în vedere că instituțiile universitare au mijloace mai puțin intruzive la îndemână, iar aceste mijloacele nu s-au dovedit anterior ineficiente, considerăm că nu se poate utiliza temeiul juridic al interesului legitim.
***
În concluzie, în această secțiune am arătat faptul că instituțiile universitare nu își pot întemeia activitatea de prelucrare (înregistrarea cursurilor prin mijloace audio-video) pe niciun temei juridic prevăzut la art. 6 RGPD. Desigur că analiza se face de la caz la caz, însă, în absența altor factori relevanți[8], considerăm că înregistrarea cursurilor prin mijloace audio-video este nelegală. În consecință, instituțiile de învățământ superior care înregistrează prin mijloace audio-video cursurile online, pot fi sancționate pentru încălcarea prevederilor RGPD cu avertisment sau amendă sau pot fi supuse unor măsuri corective. De asemenea, studenții sau elevii prejudiciați prin această activitate se pot adresa instanțelor de judecată pentru a solicita și obține, în condițiile legii, daune materiale și/sau morale (art. 82 RGPD).
***
Concluzii
Idealul învățământului, inclusiv al învățământului online constă în „dezvoltarea liberă, integrală și armonioasă a individualității umane”[9]. Însă, ca orice nouă tehnologie, și învățământul online prin intermediul platformelor digitale implică nu doar beneficii, ci și riscuri. Ne putem imagina o serie de prejudicii la adresa studenților și profesorilor printr-o prelucrare neconformă a datelor lor, care le poate afecta nu doar viața privată, ci și celelalte drepturi și libertăți fundamentale.
Dacă „libera dezvoltare a personalității umane și demnitatea omului, valori proclamate prin chiar art. 1 din Constituția României, nu pot fi concepute fără respectarea și ocrotirea vieții intime, familiale și private”[10], în jurisprudența CEDO, „dreptul la viață privată reprezintă o dimensiune intimă, personală, dar și o dimensiune socială.”[11]. Tot CEDO a statuat că există viață privată și în amfiteatrele din Universități, afirmând că„ „viața privată” este un termen extins care nu poate fi supus unei definiții exhaustive și că ar fi prea restrictiv a limita noțiunea de „viață privată” la un cerc interior în care individul își poate trăi propria viață personală așa cum dorește (…) Astfel articolul 8 garantează dreptul la viață privată în sens larg, inclusiv „dreptul de a duce o viață socială privată” și anume posibilitatea persoanei de a-și dezvolta propria identitate socială. În această privință, dreptul la viață privată consacră posibilitatea persoanei de a se apropia de ceilalți și de a dezvolta relații cu aceștia. (…)”[12]
Importanța vieții private capătă azi noi valențe, mai ales din perspectiva noilor tehnologii utilizate în contextul învățământului online. Ne putem imagina o serie de riscuri la adresa drepturilor și libertăților studenților și profesorilor printre care pierderea controlului asupra informațiilor confidențiale, furt de identitate, fraudă electronică[13]. Probabil aceasta a fost și rațiunea legiuitorului atunci când, reglementând activitatea didactică online în cadrul învățământului preuniversitar a interzis înregistrarea activităților desfășurate online[14]. Prin urmare, din rațiuni ce țin de egalitate de tratament între studenți și elevi și între profesorii din mediul preuniversitar și profesorii din mediul universitar, considerăm că, și în cadrul învățământului online preuniversitar, de lege ferenda, înregistrarea cursurilor online ar trebui interzisă.
Însă, indiferent de intervenția legiuitorului în acest domeniu al predării digitalizate, principiile RGPD sunt clare. Așa cum am arătat la punctele 2) și 3) de mai sus, prin înregistrarea cursurilor, se încalcă principiile RGPD, iar sancțiunile care pot să intervină pentru încălcarea principiilor RGPD sunt, pentru operatorii din domeniul privat, avertismentul sau amenda de până la 20.000.000 EURO, iar pentru instituțiile și organismele publice avertismentul sau amenda de la 10.000 la 200.000 lei. Această răspundere contravențională nu exclude răspunderea penală (de exemplu, abuzul în serviciu) sau răspunderea civilă delictuală, mecanism prin intermediul căruia studenții sau profesorii prejudiciați se pot adresa instanței de judecată pentru a solicita plata de daune materiale și/sau morale.
Note de subsol
[1] Răspunderea civilă delictuală trebuie să îndeplinească patru condiții: prejudiciul, fapta ilicită, culpa, legătura de cauzalitate între faptă și prejudiciu. A se vedea Fl. A. Baias, E. Chelaru, R. Constantinovici, I. Macovei (coord.), Noul Cod Civil. Comentariu pe articole, Ed. C.H. Beck, 2012, p. 1407. Cu privire la culpă, având în vedere prevederile art. 82 alin. (3) din RGPD, în opinia noastră, ne aflăm în prezența unei prezumții legale de culpă, operatorului putând răsturna prezumția prin dovedirea faptului că că nu este răspunzător (răspunzătoare) în niciun fel pentru evenimentul care a cauzat prejudiciul (art. 82 alin. (3) din RGPD).
[2] Ghidul ICO p. 17, link accesat la 16.09.2020.
[3] CEDO, în cauza Antović și Mirković c. Muntenegru, prin Hotărârea din 28.11.2017, a statuat că: „Amfiteatrele universitare erau spații de lucru ale profesorilor. Nu erau doar spații în care doar le predau studenților, ci spații în care interacționau cu ei, dezvoltând relații reciproce și construindu-și identitatea socială. Curtea a reținut deja că supravegherea video ascunsă a angajaților la locul lor de muncă trebuie analizată, ca atare, ca o intruziune considerabilă în viața lor privată, care presupune documentarea înregistrată și reproductibilă a conduitei lor la locul de muncă pe care angajații, obligați contractual să lucreze acolo, nu o puteau evita. Nu a existat niciun motiv pentru Curte să se îndepărteze de la această constatare până și în cazurile de supraveghere video deschisă a angajaților la locul lor de muncă. Mai mult, Curtea a reținut că indiferent de faptul că existau reglementări restrictive ale angajatorului cu privire la viața socială privată a angajaților la serviciu, acestea nu o puteau reduce la zero. Respectarea vieții private continua să existe, chiar dacă putea fi limitată într-o măsură necesară. Informațiile colectate prin supravegherea video contestată se refereau la „viața privată” a reclamanților, iar articolul 8 era, așadar, aplicabil. (…)
În particular, Curtea reiterează că „viața privată” este un termen extins care nu poate fi supus unei definiții exhaustive și că ar fi prea restrictiv a limita noțiunea de „viață privată” la un cerc interior în care individul își poate trăi propria viață personală așa cum dorește (…) Astfel articolul 8 garantează dreptul la viață privată în sens larg, inclusiv „dreptul de a duce o viață socială privată” și anume posibilitatea persoanei de a-și dezvolta propria identitate socială. În această privință, dreptul la viață privată consacră posibilitatea persoanei de a se apropia de ceilalți și de a dezvolta relații cu aceștia. (…)
Curtea a statuat deja că noțiunea de „viață privată” poate include activități profesionale sau activități care au loc într-un context public (…). La urma -urmei, în cursul vieții lor profesionale, majoritatea oamenilor au oportunitatea de a dezvolta relații cu lumea exterioară și nu este întotdeauna posibil să se distingă care activități fac parte din viața profesională sau comercială și care nu. Prin urmare, există o zonă de interacțiune a unei persoane cu ceilalți, chiar într-un context public, zonă care poate intra în domeniul de aplicare al vieții private”.
[4] Fără a intra în detalii, vom spune că aceste temeiuri nu sunt, în viziunea noastră, justificate în sensul RGPD.
[5] Grupul de lucru Art. 29 pentru protecția datelor, Orientări asupra consimțământului în temeiul Regulamentului 679/2018, adoptat la 28 noiembrie 2017, Bruxelles, p. 4-7.
[6] Idem, p. 4.
[7] Grupul de lucru Art. 29 pentru protecția datelor, Avizul 06/2014 privind noțiunea de interese legitime ale operatorului de date prevăzută la articolului 7 din Directiva 95/46/CE, Adoptat la 9 aprilie 2014, Bruxelles, p. 31.
[8] Ca de exemplu, apariția unei legi care să prevadă obligativitatea, obținerea consimțământului valabil al tuturor persoanelor vizate, ineficacitatea măsurilor mai puțin intruzive pentru justificarea interesului legitim.
[9] Art. 2 alin. (3) din Legea Educației Naționale nr. 1/2011.
[10] Ioan Muraru, Elena – Simina Tănăsescu, Constituția României. Comentariu pe articole, Ed. 2, Ed. C.H. Beck, 2019, p. 26 din versiunea digitală lege5.ro, link accesat 06.09.2020.
[11] Idem, p. 27.
[12] CEDO, Cauza Antović și Mirković c. Muntenegru (2017), Hotătârea din 28.11.2017, pct. 41-42.
[13] Daniel J. Solove, The Digital Person Technology and Privacy in the Information Age, New York University, 2004, p. 17 Apud Wellcome Trust, ‘Summary Report of Qualitative Research into Public Attitudes to Personal Data and Linking Personal Data’; Rainie, ‘Privacy and Information Sharing’).
[14] Art. 4 alin. (5) din Metodologia-cadru privind desfășurarea activităților didactice prin intermediul tehnologiei și al internetului, precum și pentru prelucrarea datelor cu caracter personal, anexă la Ordinul Ordinul nr. 5545/2020[14] prevede „Ca măsură de protecție a datelor cu caracter personal, prelucrate cu ocazia utilizării aplicațiilor/platformelor educaționale informatice, se interzice înregistrarea activităților desfășurate online.”.
