gdpr Archives - Traficmedia

Legislația în vigoare nu contravine GDPR

În contextul discuțiilor din spațiul public pe tema respectãrii GDPR, Ministerul Finanțelor Publice a trimis un comunicat de presă prin care precizează cã „instituirea utilizãrii Sistemului RO e-Factura în relația B2C s-a realizat prin completarea Ordonanței de urgențã a Guvernului nr. 120/2021, actul normativ de bazã care statuteazã regimul facturãrii electronice în România. Astfel, în conformitate cu prevederile art. 14 și 15 din Ordonanța de urgențã nr. 120/2021, prevederile actului normativ nu aduc atingere legislației privind protecția datelor cu caracter personal. Subliniem cã datele cu caracter personal obținute în scopul prelucrãrii facturilor electronice pot fi folosite exclusiv în acest scop sau în scopuri compatibile cu acesta, cu respectarea legislației privind protecția datelor cu caracter personal. Totodatã, modalitãțile de publicare, în scopul asigurãrii transparenței și a tragerii la rãspundere, a datelor cu caracter personal care au fost colectate în cadrul sistemului național privind factura electronicã RO e-Factura trebuie sã fie în concordanțã cu scopul publicãrii și protecției sferei private.

Prin OUG 69/2024, Guvernul României a reglementat extinderea utilizãrii Sistemului național privind factura electronicã RO e-Factura în relația B2C, în sensul instituirii obligației persoanelor impozabile care emit facturi pe aceastã relație de a le raporta în sistem, ca element important pentru ecosistemul de date utilizat de instrumentele digitale implementate pentru reducerea GAP-ului de TVA și combaterea evaziunii fiscale.

„În acest moment, cu toate cã în forma actualã legislația e-Factura respectã Regulamentul UE 2016/679 (GDPR)” – se menționează în comunicatul Ministerului de FInanțe – „MF exploreazã modalitãți prin care datele cu caracter personal regãsite pe factura electronicã sã fie convertite într-o formã de identificare fiscalã care sã nu permitã corelarea directã cu identitatea persoanei pentru care s-a emis factura.”

Managementul datelor, cu pãstrarea secretului fiscal

Ministerul Finanțelor și Agenția Naționalã de Administrare Fiscalã asigurã managementul datelor și informațiile existente în sistemul național privind factura electronicã RO e-Factura, cu pãstrarea secretului fiscal, “datele și informațiile din factura electronicã fiind folosite exclusiv de cãtre Ministerul Finanțelor și structurile subordonate, conform competențelor, pentru îndeplinirea atribuțiilor specifice, cu respectarea secretului fiscal. Prin urmare, cadrul legal în domeniul facturãrii electronice prevede, în clar, asigurarea condițiilor de ordin legislativ pentru respectarea prelucrãrii datelor cu caracter personal.”

Ministerul Finanțelor mai precizează cã în relația cu ANAF, persoanele fizice române se identificã prin codul numeric personal (CNP), iar persoanele fizice strãine se identificã prin numãrul de identificare fiscalã (NIF) atribuit de administrația fiscalã.

Codul numeric personal este identificator fiscal al persoanei fizice, conform art. 82 din Legea nr. 207/2015 privind Codul de procedurã fiscalã, atât în relația cu organul fiscal cât și cu celelalte sisteme de asigurare socialã (CNPP, CNAS, etc).
Pe de altã parte, codul numeric personal al persoanei fizice este înscris în alte declarații fiscale depuse de cãtre persoanele juridice (de ex. Declarația 112 depusã de angajator conține informații cu privire la sumele plãtite angajaților, inclusiv codul numeric personal al acestora).

„În conformitate cu art. 11 din Legea nr. 207/2015 privind Codul de procedurã fiscalã, toate informațiile furnizate organului fiscal indiferent cã acestea provin din declarații fiscale, facturi, bonuri fiscale, etc. intrã sub incidența secretului fiscal, iar personalul din cadrul ANAF este obligat sã pãstreze secretul asupra informațiilor de care a luat cunoștințã ca urmare a exercitãrii atribuțiilor de serviciu.”

Și în prezent, potrivit dispozițiilor Legii nr. 227/2015 privind Codul fiscal, cu modificãrile și completãrile ulterioare, plãtitorii de venituri cu regim de reținere la sursã a impozitelor au obligația sã depunã o declarație privind calcularea și reținerea impozitului pe venit și a contribuțiilor sociale pentru fiecare beneficiar de venit la administrația fiscalã competentã conform regulilor fiscale prevãzute pentru categoria de venit.

Astfel, în cazul veniturilor din salarii și asimilate salariilor, plãtitorii au obligația sã completeze și sã depunã Declarația privind obligațiile de platã a contribuțiilor sociale, impozitului pe venit și evidența nominalã a persoanelor asigurate pentru fiecare beneficiar de venit (D112), pânã la termenul de platã a impozitului pe venit și a contribuțiilor sociale, inclusiv.

De asemenea, Codul fiscal prevede cã plãtitorii de venituri cu regim de reținere la sursã a impozitului pe veniturile persoanei fizice au obligația sã depunã o declarație (D205) privind calcularea și reținerea impozitului pentru fiecare beneficiar de venit la organul fiscal competent, pânã în ultima zi a lunii februarie inclusiv a anului curent pentru anul expirat, cu excepția plãtitorilor de venituri care au obligația depunerii Declarației – D112.

Sunt de menționat cu titlu de exemplu, prevederile art. 147 alin. (17)-(22) din Codul fiscal, conform cãrora evidența obligațiilor de platã a contribuției de asigurãri sociale datorate de angajatori și asimilații acestora se ține pe baza codului de identificare fiscalã, iar cea privind contribuția de asigurãri sociale datoratã de persoanele fizice care au calitatea de angajați sau pentru care existã obligația plãții contribuției de asigurãri sociale, potrivit legii, pe baza codului numeric personal sau pe baza numãrului de identificare fiscalã, dupã caz. Declarația (D112) cuprinde cel puțin urmãtoarele informații:

a) date de identificare a persoanei fizice sau juridice care depune declarația;

b) codul numeric personal sau numãrul de identificare fiscalã atribuit de organul fiscal, dupã caz;

c) numele, prenumele și datele privind calitatea de asigurat;

d) date referitoare la raporturile de muncã și activitatea desfãșuratã;

e) date privind condițiile de muncã;

f) date privind venituri/indemnizații/prestații.

Totodatã, formularele de declarații fiscale conțin informația ”Document care conține date cu caracter personal protejate de prevederile Regulamentului (UE) 2016/679”.

În ordonanța de încetare din 22 noiembrie de anul trecut, pronunțată de Garante della Privacy la finalul unei proceduri de sancționare inițiate împotriva unei societăți comerciale, utilizarea datelor biometrice în contextul raportului de muncă a fost considerată ilegală. Cazul se referea la un sistem de pontaj care folosea un terminal biometric prin intermediul amprentei digitale, pentru angajați și colaboratori, cu scopul de a înregistra accesul și prezența în cadrul societății. Potrivit Garante, aceasta este o prelucrare ilegală a datelor, deoarece nu are un temei juridic valabil, fiind, de asemenea, contrară principiilor legalității, necesității și proporționalității.

Pentru ca o astfel de prelucrare să fie inițiată în mod legal, aceasta trebuie să se bazeze pe o lege care să aibă caracteristicile cerute de normele privind protecția datelor, inclusiv în ceea ce privește proporționalitatea în raport cu scopurile pe care se dorește a le atinge. De fapt, articolul 4 din Regulamentul european 2016/679 – așa-numitul GDPR – definește datele biometrice ca fiind „datele cu caracter personal obținute prin prelucrări tehnice specifice referitoare la caracteristicile fizice, fiziologice sau comportamentale ale unei persoane fizice care permit sau confirmă identificarea neechivocă a acesteia, cum ar fi imaginea facială sau datele dactiloscopice”.

Prelucrarea datelor biometrice, care este, de regulă, interzisă de GDPR, este permisă în contextul ocupării forței de muncă doar atunci când este făcută „necesară în scopul îndeplinirii obligațiilor și exercitării drepturilor specifice ale operatorului de date sau ale persoanei vizate în domeniul legislației privind ocuparea forței de muncă și securitatea socială și al protecției sociale, în măsura în care este autorizată de dreptul Uniunii sau al statelor membre sau de o convenție colectivă în temeiul legislației statelor membre, sub rezerva unor garanții adecvate pentru drepturile și interesele fundamentale ale persoanei vizate”.

Angajatorul, operatorul de date, este, în orice caz, obligat să respecte principiile legalității, corectitudinii și transparenței, limitării scopului, minimizării, precum și a integrității și confidențialității datelor și responsabilității. Consimțământul, chiar și cel dat de lucrător, este lipsit de valoare. Prin urmare, în absența unei legislații specifice, Garante della Privacy, în mai multe ocazii, în plus față de cea în cauză, a declarat nelegitimă utilizarea datelor biometrice pentru a detecta prezența angajaților. În plus, o astfel de prelucrare, tot conform Garante, este disproporționată în raport cu scopurile declarate, deoarece există alte instrumente care pot garanta detectarea prezenței. Conform acestei orientări a Garante, instrumente precum recunoașterea vocală, recunoașterea facială, sistemele de scanare corporală și scanările pentru identificarea neechivocă a persoanei nu pot fi utilizate în contextul relației de muncă. Ordonanța va provoca cu siguranță dezbateri aprige, având în vedere practica în vigoare în unele companii mari.