Organizarea și desfășurarea concursurilor pentru ocuparea unor funcții în administrația publică presupune inerent realizarea unor prelucrări de date cu caracter personal, prelucrări care trebuie realizate doar pentru scopul pentru care datele au fost colectate. Cu toate acestea, pe parcursul desfășurării concursurilor, desfășurare care presupune mai multe etape, rezultatele diferitelor probe, precum și comunicarea unor activități organizatorice, se face prin afișarea publică a numelui candidaților, afișare care semnifică realitatea divulgării către terți a acelor prelucrări și, în consecință, o restrângere a dreptului la protecția datelor cu caracter personal și a vieții private. Este o asemenea restrângere legală? Există o motivație pentru care operatorul de date poate divulga publicului datele cu caracter personal ale candidaților, chiar și atunci când aceștia se află doar în proceduri de concurs sau chiar nu au obținut rezultatul necesar ocupării funcției? Iată câteva elemente de apreciere prin prisma noului Regulament european privind protecția datelor și legislația specifică.
Procedura publicării rezultatelor la concursurile desfășurate în general în administrația publică urmărește în special asigurarea unei transparențe necesară pentru asigurarea legalității concursurilor de ocupare a funcțiilor în domeniul administrației publice, apărând astfel mai degrabă ca o obligație a autorității organizatoare, cu scopul de a reduce riscurile de corupție și a satisface drepturile și interesele posibililor candidați. Pe de altă parte, publicarea rezultatelor unui concurs prin nominalizarea directă a participanților apare ca o restrângere a dreptului la viață privată, fiind în mod direct legată de o prelucrare de date cu caracter personal. Ca urmare, problema se rezolvă printr-o armonizare a diferitelor obligații și drepturi, urmărindu-se să se stabilească în ce măsură interesul public, legat de transparență prin publicarea rezultatelor la concursuri poate fi realizat printr-o restrângere cât mai redusă a dreptului la viață privată, ori prin luarea unor măsuri tehnice sau organizatorice care pot conduce la asigurarea completă a dreptului la viață privată, în special măsuri de anonimizare sau pseudonimizare.
Principalul temei legal îl constituie Legea nr. 188/1999 privind Statutul funcționarilor publici (în special, Capitolul VI - Cariera funcționarilor publici/Secțiunea 1 - Recrutarea funcționarilor publici). De reținut că articolul 55 stabilește următoarele: „Ocuparea funcțiilor publice vacante și a funcțiilor publice temporar vacante se poate face numai în condițiile prezentei legi.", iar art. 57 alineatele (2) și (3) prevăd următoarele: „(2)Condițiile de participare și procedura de organizare a concursului se stabilesc potrivit legii. (3) Concursul are la bază principiile competiției deschise, transparenței, meritelor profesionale și competenței, precum și cel al egalității accesului la funcțiile publice pentru fiecare cetățean care îndeplinește condițiile legale." Hotărârea nr. 611/2008 pentru aprobarea normelor privind organizarea și dezvoltarea carierei funcționarilor publici prevede că „transparența, principiu potrivit căruia autoritățile și instituțiile publice au obligația de a pune la dispoziție tuturor celor interesați informațiile de interes public referitoare la cariera în funcția publică."(articolul 4, litera f).
Articolul 6 RGPD, referitor la Legalitatea prelucrărilor, cuprinde dispoziții relevante pentru cazul de față la alineatele b (prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract;); c (prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului); și e (prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul;).
Articolul 86 RGPD stabilește: „Datele cu caracter personal din documentele oficiale deținute de o autoritate publică sau de un organism public sau privat pentru îndeplinirea unei sarcini care servește interesului public pot fi divulgate de autoritatea sau organismul respectiv în conformitate cu dreptul Uniunii sau cu dreptul intern sub incidența căruia intră autoritatea sau organismul, pentru a stabili un echilibru între accesul public la documente oficiale și dreptul la protecția datelor cu caracter personal în temeiul prezentului regulament".
Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentul general privind protecția datelor prevede următoarele: „În cazul în care prelucrarea datelor personale și speciale este necesară pentru îndeplinirea unei sarcini care servește unui interes public conform art. 6 alin. (1) lit. e) și art. 9 lit. g) din Regulamentul general privind protecția datelor se efectuează cu instituirea de către operator sau de către partea terță a următoarelor garanții: a) punerea în aplicare a măsurilor tehnice și organizatorice adecvate pentru respectarea principiilor enumerate la art. 5 din Regulamentul general privind protecția datelor, în special a reducerii la minimum a datelor, respectiv a principiului integrității și confidențialității; b) numirea unui responsabil pentru protecția datelor, dacă aceasta este necesară în conformitate cu art. 10 din prezenta lege; c) stabilirea de termene de stocare în funcție de natura datelor și scopul prelucrării, precum și de termene specifice în care datele cu caracter personal trebuie șterse sau revizuite în vederea ștergerii.(articolul 4). În conformitate cu articolele 14, alineatele (3)-(5) din Legea nr. 190/2018, încălcarea principiilor de confidențialitate constituie, după caz, forme de contravenție.
Analizând prevederile relevante din legislația națională, am observat că niciunde nu se specifică concret că numele și prenumele trebuie afișate, ci doar „rezultatele candidaților" și, în plus, la nivel de Lege nu se stabilește nici necesitatea comunicării prin afișare a rezultatelor, acest lucru fiind stabilit doar la nivel de hotărâre de guvern.
Trebuie să se observe că „Riscul" divulgării datelor personale este împlinit, odată cu afișarea numelui și a rezultatului, astfel că în absența unui temei juridic solid, instituția este supusă pericolului de sancționare. Împlinirea acestui risc are drept consecință expunerea unor situații personale (intenția de a concura și rezultatul acestei intenții) la cunoștința publicului, ceea ce poate prejudicia o persoană.
Exemplu 1: după ce a pierdut concursul, persoana intenționează să candideze pe un alt post la un alt angajator. Lucrătorul de la resurse umane face o căutare pe net și constată că respectivul a „picat", aspect care s-ar putea să-i diminueze șansele de a ocupa un alt post, prejudiciind persoana fizică. Exemplul 2: datorită aceleiași publicități, un „inamic al candidatului", de altfel declarat admis, culege informația și publică pe o rețea de socializare o părere personală negativă, făcând supoziția că respectivul candidat a luat concursul doar pentru că este „băiatul" vreunui om public local, aducând astfel atingere demnității și imaginii acelui candidat. De aceea, proporționalitatea este discutabilă, în special pentru că interesul public al unei transparențe totale credem că nu reușește să contrabalanseze necesitatea protecției vieții private și a altor libertăți ale unei persoane.
Credem că afișarea numelui și prenumelui candidaților, odată cu rezultatele obținute, nu reprezintă în general o operațiune de prelucrare realizată în interes public, în sensul Legii nr. 544/2001. Eventualele suspiciuni de fraudă legate de modul de organizare și desfășurare a concursului pot fi foarte bine cercetate și verificate, prin instituirea unui sistem de comunicare a rezultatelor pseudonimizat, care să permită documentarea etapelor de desfășurare a concursurilor.
Considerăm că actuala modalitate de prelucrare a datelor cu caracter personal este disproporționată în raport cu dreptul persoanei fizice vizate la protecția datelor cu caracter personal și a altor drepturi și libertăți în strânsă conexiune cu acesta, astfel că se impune luarea unor măsuri tehnice și organizatorice pentru asigurarea conformității cu RGPD.
