Trăim în era digitală, în care dispozitivele mobile precum telefoanele inteligente și tabletele reprezintă un element semnificativ din viețile noastre. Se pune însă problema dacă dezvoltatorii de aplicații pentru dispozitive mobile prelucrează date cu caracter personal în ceea ce îi privește pe utilizatorii aplicațiilor.

Folosim aceste dispozitive pentru a socializa, pentru a explora Internetul, pentru a redacta e-mail-uri și pentru alte numeroase activități pe care astfel de dispozitive le fac mai la îndemână ca niciodată.

Amploarea luată de acest fenomen este binevenită pentru antreprenorii care operează în domeniul IT-ului, dezvoltarea de aplicații pentru dispozitive mobile putând deveni o afacere profitabilă, fie că aplicațiile pot fi instalate de consumatori contra-cost, fie că sunt disponibile gratuit, dar generează venituri pentru dezvoltator prin intermediul reclamelor incluse în aplicații.

Aplicațiile pe care le instalăm pot ajunge să aibă acces la numeroase informații, fie că vorbim de adresele de e-mail, datele cardului de debit sau credit, localizarea geografică sau chiar și amprentele noaste. Având în vedere contextul prezentat, se pune problema dacă dezvoltatorii de aplicații pentru dispozitive mobile prelucrează date cu caracter personal în ceea ce îi privește pe utilizatorii aplicațiilor, spune Daniel Alexie, avocat la Grecu şi Asociatii.

Legislația națională aplicabilă în domeniu, respectiv legea nr. 677 din 21 noiembrie 2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date nu face referiri exprese cu privire la aplicabilitatea acesteia în cazul aplicațiilor pentru dispozitive mobile, însă, definițiile foarte largi instituite prin respectiva lege permit autorității competente, respectiv Autoritatea Națională pentru Supravegherea Prelucrării Datelor cu Caracter Personal, să se pronunțe asupra influențele legii asupra dezvoltatorii de aplicații mobile.

Astfel, conform legii, datele cu caracter personal reprezintă “orice informații referitoare la o persoană fizică identificată sau identificabilă”, în timp ce prelucrarea datelor cu caracter personal reprezintă “orice operațiune sau set de operațiuni care se efectuează asupra datelor cu caracter personal, prin mijloace automate sau neautomate, cum ar fi colectarea, înregistrarea, organizarea, stocarea, adaptarea ori modificarea, extragerea, consultarea, utilizarea, dezvăluirea către terți prin transmitere, diseminare sau în orice alt mod, alăturarea sau combinarea, blocarea, ștergerea sau distrugerea“, spune Alexie.

Atunci când astfel de aplicații colectează numele, vârsta sau sexul utilizatorului, ne aflăm în mod clar într-un caz de prelucrare a datelor cu caracter personal, însă întrebarea esențială care apare este dacă prelucrarea unor date care țin de dispozitiv (spre exemplu IMEI-ul unui telefon, sistemul de operare utilizat de dispozitiv, localizarea geografică a dispozitivului, adresa de IP utilizată pentru conectarea la Internet etc.) sunt date cu caracter personal ale utilizatorilor acestor dispozitive.

Această întrebare și-a adresat-o inclusiv Comisia Europeană, emitând astfel Avizul nr. 02/2013 privind aplicațiile instalate pe dispozitivele inteligente. Comisia a considerat că “principalele riscuri legate de protecția datelor cu caracter personal la care sunt expuși utilizatorii finali sunt lipsa de transparență și de cunoaștere a tipurilor de prelucrări operate de o aplicație și lipsa consimțământului în cauză din partea utilizatorilor finali înainte de prelucrarea datelor respective.

Măsurile de securitate deficiente, o tendință evidentă de maximizare a datelor și elasticitatea scopurilor în care sunt colectate datele cu caracter personal contribuie, de asemenea, la apariția riscurilor cu privire la protecția datelor cu caracter personal în mediul actual al aplicațiilor“.

De asemenea, se consideră că “un risc ridicat la adresa protecției datelor cu caracter personal rezultă de asemenea, din gradul de fragmentare a mediului de dezvoltare a aplicațiilor între numeroși actori, printre care se numără: dezvoltatorii de aplicații, proprietarii de aplicații, magazinele de aplicații, producătorii de sisteme de operare și de dispozitive, precum și alți terți care pot fi implicați în colectarea și prelucrarea datelor cu caracter personal preluate din dispozitivele inteligente, cum ar fi furnizorii de instrumente analitice și de servicii de publicitate“.

Referitor la datele cu caracter personal care pot face obiectul unei prelucrări prin intermediul aplicațiilor pentru dispozitive mobile, Comisia a oferit câteva exemple, după cum urmează:

- Poziția exactă; Contacte;
- Identificatori unici ai dispozitivului și ai consumatorului (cum ar fi IMEI, IMSI, IUD, si numărul de telefon mobil);
- Identitatea persoanei vizate; Identitatea telefonului (și anume, numele telefonului);
- Cartea de credit și datele referitoare la plăți;
- Jurnale de apeluri telefonice, SMS-uri sau mesagerie instantanee;
- Istoricul navigărilor;
- E-mail;
- Datele de autentificare pentru serviciile societății informaționale (în special serviciile cu caracter social);
- Fotografii și înregistrări video;
- Date biometrice (de exemplu, recunoașterea facială și modele de amprente digitale).

Așadar, din punctul de vedere al Comisiei, numeroase date care la prima vedere pot fi considerate ca fiind legate de dispozitivul utilizat, sunt considerate în fapt date cu caracter personal ale utilizatorului.

În acest sens, este important dacă aceeași viziune este împărtășită și de ANSPDCP. Având în vedere prevederile foarte largi ale legislației naționale și tendința autorităților autohtone de a respecta opiniile instituțiilor Uniunii Europene, este foarte posibil ca opinia ANSPDCP să conveargă spre cea a Comisiei, spune avocatul Grecu şi Asociaţii.

El consideră că dezvoltatorii de aplicații pentru dispozitivele mobile trebuie să fie foarte atenți la ce date prelucrează prin intermediul aplicațiilor puse la dispoziția consumatorilor, să ofere consumatorilor informări foarte clare cu privire la ce date vor fi prelucrate și să le respecte drepturile asigurate de Legea nr. 677/2001.

De asemenea, în anumite cazuri expres reglementate, în funcție de datele cu caracter personal prelucrate, dezvoltatorii au obligația de a transmite o notificare către ANSPDCP, prin care să dezvăluie datele cu caracter personal pe care le prelucrează și prin care să se înscrie în registrul de evidență a prelucrărilor de date cu caracter personal.

În cazul încălcării obligațiilor impuse de Legea nr. 677/2001, dezvoltatorii de aplicații pentru dispozitive mobile care prelucrează date cu caracter personal riscă amenzi cuprinse între 500 și 50.000 lei.

În concluzie, Alexie recomandă dezvoltatorilor de aplicații pentru dispozitive mobile ca înainte să le pună pe piață, să ia legătura cu avocați specializați în domeniu pentru a identifica ce obligații trebuie să respecte, în funcție de datele care urmează efectiv să fie prelucrate.