În ce condiții pot accesa autoritățile de control dispozitivele personale și datele de pe acestea?

Numeroase companii permit angajaților să folosească dispozitive personale în scop profesional. Acești angajați poartă deseori discuții pe WhatsApp, Telegram sau alte canale, transferă date și fișiere prin e-mail sau le stochează în propriul cloud. Această practică este problematică pentru că poate conduce către breșe de securitate și amenzi pentru încălcarea GDPR, dar acesta nu este unicul risc.

În anumite situații prevăzute de lege, unele autorități ale statului pot solicita acces la date, documente sau dispozitive utilizate în activitatea profesională, chiar și atunci când aceste date și documente se regăsesc în dispozitive personale sau în e-mailuri private.

Într-o speță recentă adusă în fața Tribunalului UE, s-a decis că o autoritate de concurență poate solicita documente și date stocate pe dispozitivele personale, inclusiv date din e-mailuri private, dacă acel dispozitiv a fost folosit cel puțin o dată în scop profesional și dacă informațiile sunt relevante pentru investigație. Hotărârea a fost pronunțată la data de 3 iunie 2026, în cauzele T-1097/23, Vivendi/Comisia Europeană și T-1119/23, Lagardère/Comisia Europeană. Soluția jurisprudențială nu este nouă, ci consacră o practică mai veche, printre care cauca Bezirkshauptmannschaft Landeck (C‑548/21), care privea accesul poliției la datele de pe un telefon mobil. În această speță, CJUE a decis că accesul este justificat dacă intervenția este strict necesară pentru investigarea unei infracțiuni concrete.

La baza litigiului s-a aflat o concentrarea economică dintre Vivendi și Lagardère. Comisia Europeană a deschis o investigație de concurență, solicitând, inter alia, comunicarea de către entitățile controlate de copii ale documentelor, e-mailurilor și conversațiilor pe WhatsApp, SMS, Telegram, Signal schimbate în perioada 1 ianuarie 2020 - 19 septembrie 2023 de 15 persoane identificate nominal, care conțineau anumiți termeni de căutare. Datele și documentele solicitate se regăseau pe e-mailurile private și dispozitivele personale ale unor persoane (telefoane, tablete). Unul dintre argumentele utilizate pe parcursul litigiului a fost acela că intruziunea Comisiei în viața privată a persoanelor este nejustificată și disproporțională. Tribunalul UE a respins acest argument și a dat dreptate Comisiei.

În privință argumentului privind protecția vieții private, Tribunalul a concluzionat că, într-adevăr, consultarea dispozitivelor și e-mailurilor personale reprezintă o ingerință potențial gravă în dreptul la viață privată. Totuși, raportat la această speță, Tribunalul a reținut că ingerința este proporțională, respectiv că este prevăzută de lege, că respectă esența dreptului, că urmărește un obiectiv de interes general și că este proporțională. Principalul argument a fost acela că într‑un mediu digitalizat, comunicarea se desfășoară în mare parte electronic, inclusiv pe dispozitive personale și că autoritățile au dreptul să investigheze aceste date și documente, atât timp cât se respectă cerințele de necesitate și proporționalitate și se adoptă măsuri adecvate pentru securizarea datelor.

Totuși, Comisia nu ceruse acces la toate datele și fișierele, ci acces limitat, pe baza unor cuvinte-cheie, așadar solicitarea a fost considerată de Tribunal a fi proporțională și necesară investigației. În altă speță similară, o altă instanță a decis în sens invers. Litigiul principal s-a desfășurat în Italia și a vizat două persoane nemulțumite de faptul că autoritățile fiscale din Italia le-au accesat nejustificat datele bancare. În concret, la data de 8 ianuarie 2026, în cauza Ferrieri și Bonassisa împotriva Italiei, Curtea Europeană a Drepturilor Omului a hotărât că Italia a încălcat Convenția deoarece autoritățile fiscale din acest stat au încălcat viața privată a unor persoane prin obținerea unor date bancare excesive. În esență, în această speță, Curtea a concluzionat că autoritățile fiscale nu au voie să acceseze oricând, oricum și fără motive reale și justificate datele bancare ale persoanelor fizice.

Din compararea celor două spețe indicate anterior, observăm că punctul comun este faptul că autoritățile pot accesa datele stocate în locații și dispozitive private doar dacă sunt îndeplinite condițiile de legalitate, proporționalitate și necesitate. Cu alte cuvinte, autoritățile nu au dreptul să solicite „toate datele” decât dacă este absolut necesar pentru investigația în curs. În majoritatea situațiilor, autoritățile trebuie să protejeze viața privată și să limiteze colectarea datelor la strictul necesar.

Cel mai important lucru pe care îl învățăm este că avem dreptul să ne întrebăm dacă solicitările de documente și informații de la autorități sunt legale, necesare și proporționale. Conform legii, suntem obligați să cooperăm deplin cu autoritățile. Totuși, chiar și la nivelul autorităților de stat, consider că trebuie respectate principiile privind prelucrarea datelor, printre care proporționalitatea, necesitatea, reducerea la minimum a datelor, integritatea și confidențialitatea. În mod normal, autoritățile trebuie să fie diligente și să solicite cantitatea minimă de date pentru desfășurarea investigației. Însă, atunci când solicitările de date și informații sunt excesive, avem dreptul să cerem explicații și să solicităm măsuri pentru protecția datelor, măsuri care sunt necesare pentru protecția vieții private și a datelor cu caracter personal. În cele din urma, majoritatea autorităților publice, chiar și atunci când exercită atribuții de control sau investigație, trebuie să respecte regulile de protecție datelor și să limiteze colectarea informațiilor la ceea ce este necesar pentru scopul urmărit.

--- >> Dincolo de aspectele juridice, aceste spețe reprezintă un semnal de alarmă pentru companii. Într-un context în care munca de la distanță și utilizarea dispozitivelor personale au devenit obișnuite, organizațiile trebuie să stabilească reguli privind utilizarea telefoanelor, laptopurilor și conturilor personale în scop profesional. O politică BYOD și proceduri interne adecvate pot reduce semnificativ atât riscurile de securitate, cât și dificultățile care pot apărea în cazul unor investigații desfășurate de autorități. Dacă ai nevoie de o implementare GDPR serioasă, care să țină la o investigație ANSPDPCP sau la audituri, consultă KIT-ul GDPR Premium sau scrie-mi pe e-mail (av.ruxandra.sava@gmail.com).