Am avut o discuție cu un prieten și coleg de breaslă pe marginea subiectului: numărul de înmatriculare al mașinii poate fi dată cu caracter personal? Dar adresa IP? Și tot așa. Am concluzionat că subiectul, mai mult juridic decît tehnic în primă instanță, este destul de sensibil.

Să începem cu teoria:

„date cu caracter personal” înseamnă orice informații privind o persoană fizică identificată sau identificabilă („persoana vizată”); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale

Definiția din Regulament este identică cu cea din fosta Directivă 95/46/EC.

Lucrurile, la prima lectură sînt simple: orice informație! Dar dacă avem în vedere „informațiile„, teoria academică ne spune că acestea pot fi „obiective„ (de exemplu tot ce este dovedit de știință) și „subiective„ (de exemplu opiniile personale legate de un subiect).

Dacă ne întoarcem la definiția dată de Regulament, observăm că acoperă atît latura obiectivă (de exemplu CNP) cît și pe cea subiectivă (de exemplu preferința politică).

Tot din definițiile Regulamentului constatăm că nu contează cît de multă tehnologie este implicată în prelucrarea datelor personale:

„prelucrare” înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;

Acest lucru este întărit în Paragraful (15) din preambulul Regulamentului:

Pentru a preveni apariția unui risc major de eludare, protecția persoanelor fizice ar trebui să fie neutră din punct de vedere tehnologic și să nu depindă de tehnologiile utilizate. Protecția persoanelor fizice ar trebui să se aplice prelucrării datelor cu caracter personal prin mijloace automatizate, precum și prelucrării manuale, în cazul în care datele cu caracter personal sunt cuprinse sau destinate să fie cuprinse într-un sistem de evidență. Dosarele sau seturile de dosare, precum și copertele acestora, care nu sunt structurate în conformitate cu criterii specificenu ar trebui să intre în domeniul de aplicare al prezentului regulament.

Nu am lămurit însă subiectul discuției cu prietenul meu. CNP-ul este o dată personală care identifică fără dubiu o persoană. Numărul de înmatriculare al mașinii conduce (prin „referire la„) spre o persoană „identificabilă„: încă nu este „identificată„, dar poate fi, „direct sau indirect„.  Prin urmare este o dată cu caracter personal. La fel și adresa IP.

În înțelegerea mea, ori de cîte ori se poate stabili o legătură directă sau indirectă între o „dată„ și un „individ„, aveam de a face cu „date personale„

Am scris acest articol în timp ce mă aflam cu mașina în service. Deși am fost programat pentru o anumită lucrare, am rugat să verifice cîți kilometri mai am pînă la următoarea revizie. Service-ul dealerului are înregistrat tot istoricul mașinii: verificări, schimburi, eventuale defecțiuni etc. Toate aceste înregistrări sînt asociate cu numărul de înmatriculare (chiar după acesta se face căutarea). Numărul de înmatriculare poate conduce la identificarea proprietarului/șoferului: cineva trebuie totuși să mai și plătească :). Altfel spus, proprietarul sau șoferul este o personă „identificabilă prin referire la un element de identificare„.

PS: în urmă cu doi ani, un angajat a uitat să îmi monteze un bec la un far. A fost „identificat„ pe baza înregistrărilor video….