Datele personale a peste 20.000 de angajați și ale clienților Poștei Române au fost transferate, în vara lui 2024, în Republica Moldova. Deși acest stat nu face parte din UE, Compania Națională Poșta Română (CNPR) a făcut transferul fără notificarea și consultarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).
Poșta Română susține că transferul a respectat regulile de protecție, dar refuză să răspundă concret la întrebările punctuale ale „Independent news”, inclusiv să spună dacă a întocmit o evaluare a impactului asupra datelor personale (DPIA), prevăzută de Regulamentul (UE) 2016/679 – GDPR. Cert este, însă, că un astfel de document nu a ajuns pe masa ANSPDCP.
DPIA este o verificare prin care CN Poșta Română trebuia să stabilească ce riscuri există pentru persoanele ale căror date sunt transferate și ce măsuri ia pentru a le reduce.
Potrivit reglementărilor în vigoare, evaluarea de impact este obligatorie dacă transferul datelor către o țară din afara UE, care nu oferă un nivel de protecție a datelor echivalent celui din UE, așa cum este cazul Republicii Moldova. Cu atât mai mult dacă intervin și alți factori precum volumul mare de date sau prelucrarea datelor unor categorii vulnerabile.
Autoritatea de supraveghere a confirmat, pentru „Independent news”, demararea unei investigații pe această temă, și faptul că nu a primit nicio evaluare de impact (DPIA) din partea Poștei, în timp ce CNPR susține că transferul de date personale a avut loc în deplină conformitate cu normele GDPR.
Externalizarea unui call-center
Compania Națională Poșta Română (CNPR) a anunțat, pe 24 iulie 2024, cu patru luni înainte de primul tur al alegerilor prezidențiale, câștigat de Călin Georgescu, că externalizează baza de date personale a peste 20.000 de angajați și clienți ai Poștei Române către un operator din Republica Moldova, care să gestioneze Serviciul de relații cu clienții (call-center) al companiei.
Scopul declarat a fost creșterea eficienței și reducerea timpului de răspuns pentru preluarea a circa 2.000 de apeluri și peste 200 de e-mailuri zilnic – printre care informații despre statusul coletelor, preluarea solicitărilor și introducerea datelor personale în sistemul CRM al Poștei Române.
La acea dată, Compania Națională Poșta Română SA era condusă, ca și în prezent, de directorul general Valentin Ștefan, și funcționa sub autoritatea Ministerului Cercetării, Inovării și Digitalizării, condus de Bogdan-Gruia Ivan.
Mutarea a făcut parte dintr-un plan mai amplu de extindere internațională a Poștei Române, început, încă din decembrie 2022, când a fost înființată prima subsidiară externă la Chișinău. Atunci, tot Valentin Ștefan era director general al Poștei, dar ministru și, implicit, șeful său, era Sebastian Burduja, bunul său prieten.
După cum spuneam, baza de date cuprinde, potrivit reprezentanților Sindicatului Lucrătorilor Poștali din România (SLPR), datele a peste 20.000 de angajați ai Poștei Române și ale clienților companiei naționale.
Republica Moldova nu face parte din Uniunea Europeană sau din Spațiul Economic European (SEE) și nu are, din partea Comisiei Europene, o decizie oficială prin care să fie recunoscută drept țară care oferă un nivel de protecție a datelor echivalent celui din UE (așa-numita „decizie de adecvare”, prevăzută de art. 45 din Regulamentul GDPR).
Ce spune legea
Regulile europene privind protecția datelor cu caracter personal (GDPR) obligă firmele ca, înainte de anumite tipuri de prelucrări de date, să facă o analiză numită „evaluare a impactului asupra protecției datelor” (DPIA) – practic, o verificare prin care compania stabilește ce riscuri există pentru oamenii ale căror date le prelucrează și ce măsuri ia pentru a le reduce.
Art. 35 alin. (3) din GDPR spune că această evaluare e obligatorie, printre altele, în două situații:
● când se prelucrează la scară largă date sensibile (cum sunt cele privind sănătatea, orientarea sexuală etc.) sau date despre condamnări penale;
● când se monitorizează sistematic, la scară largă, un spațiu public.
Lista nu este completă. Chiar art. 35 alin. (1) spune, în termeni generali, că evaluarea e obligatorie oricând o prelucrare de date „este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice”.
Decizia nr. 174/2018 a Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) detaliază, pe baza GDPR, mai multe cazuri concrete în care evaluarea e obligatorie, printre care:
● prelucrarea la scară largă a datelor unor persoane vulnerabile – inclusiv ale angajaților – prin mijloace automate de monitorizare a comportamentului lor;
● prelucrarea la scară largă sau sistematică a datelor de trafic sau de localizare a oamenilor, atunci când acest lucru nu e strict necesar pentru serviciul pe care îl solicită persoana respectivă.
Ghidul Grupului de lucru „Articolul 29” (WP29), la care face trimitere chiar decizia ANSPDCP, adaugă un alt criteriu de risc: transferul datelor către o țară din afara UE, care nu are decizie de adecvare – exact cazul Republicii Moldova. Dacă acest criteriu se combină cu altele (cum ar fi volumul mare de date sau prelucrarea datelor unor categorii vulnerabile), evaluarea de impact devine, de regulă, obligatorie.
În acest context, Poșta Română avea, potrivit legislației europene și naționale menționate mai sus, o serie de obligații:
● să evalueze impactul asupra protecției datelor (DPIA) înainte de externalizarea call-center-ului.
Combinația factorilor de risc – (a) un număr foarte mare de persoane vizate (peste 20.000 de angajați, plus o parte importantă din clienți); (b) date ale angajaților, priviți ca persoane vulnerabile potrivit lit. d) din Decizia 174/2018; (c) transferul datelor către o țară din afara UE fără decizie de adecvare – plasează, cumulat, externalizarea call-center-ului exact în categoria cazurilor pentru care evaluarea de impact e obligatorie.
● să folosească un mecanism legal valid pentru transferul datelor către o țară din afara UE, conform Capitolului V din Regulamentul GDPR.
Fără decizie de adecvare, transferul are nevoie de garanții suplimentare, prevăzute la art. 46 – de regulă, aceste garanții iau forma unor Clauze Contractuale Standard (SCC), adoptate de Comisia Europeană în 2021.
● să semneze un contract de împuternicire cu operatorul din Chișinău, conform art. 28 din GDPR.
Practic, un acord scris care să stabilească exact ce date sunt prelucrate, în ce scop, pentru cât timp, ce categorii de persoane sunt vizate, ce obligații și drepturi are fiecare parte, precum și ce măsuri tehnice și de securitate trebuie respectate.
● să adopte măsuri de securitate corespunzătoare riscului (art. 32 din GDPR), ținând cont de cât de sensibile și de câte sunt datele transferate.
● să actualizeze registrul intern al activităților de prelucrare a datelor (art. 30 din GDPR) și, dacă evaluarea de impact arată un risc ridicat rămas neacoperit, să ceară în prealabil părerea ANSPDCP (art. 36 din GDPR).
● să informeze persoanele ale căror date sunt prelucrate (angajați și clienți) despre transferul internațional și despre garanțiile aplicate, menționând clar și țara terță în care ajung datele (art. 13-14 din GDPR).
● Să desemneze un reprezentant în UE pentru operatorul din Moldova, întrucât acesta prelucrează date ale unor persoane din UE, în legătură cu prestarea unui serviciu (art. 27 din GDPR).
Ce a răspuns Poșta Română
Pentru a afla dacă Poșta Română și-a respectat aceste obligații legale, „Independent news” a trimis 42 de întrebări, în baza Legii nr. 544/2001 privind liberul acces la informațiile de interes public.
Din cele 42 de întrebări, Poșta Română nu a răspuns punctual la niciuna. Motivul invocat pentru refuzul în bloc a fost „excepția comercială” – adică ideea că informațiile cerute ar afecta secretul comercial al companiei:
„În conformitate cu prevederile art. 12 alin. (1) lit. f) și g) din Legea nr. 544/2001 privind liberul acces la informațiile de interes public, informațiile care vizează activitățile comerciale sau financiare ale Companiei Naționale „Poșta Română” S.A., a căror divulgare ar aduce atingere secretului comercial sau competitivității pe piața liberă, sunt exceptate de la comunicare.
Externalizarea unor servicii operaționale reprezintă o decizie de management legitimă, menită să optimizeze eficiența serviciilor prestate în beneficiul clienților (volum mare de apeluri, timp de așteptare redus, etc.), fiind protejată prin clauze de confidențialitate contractuale.
Informațiile solicitate constituie elemente esențiale ale strategiei comerciale și ale relațiilor cu partenerii terți. Divulgarea acestora ar periclita poziția competitivă a Poștei Române pe o piață liberalizată. Transparența nu este sinonimă cu accesul neîngrădit la secrete comerciale sau la strategii de management”, a transmis instituția într-un punct de vedere pentru „Independent news”, transmis de Valentin Ștefan, director general al Companiei Naționale „Poșta Română”.
Pe lângă acest refuz, CNPR a oferit doar asigurări generale, nesusținute cu dovezi concrete, că întreaga operațiune respectă GDPR și că „acuzațiile (sic!) privind ilegalitatea transferului sunt nefondate.” Precizăm că „Independent news” nu a formulat nicio astfel de acuzație, lucru care poate fi verificat ușor din documentele atașate.
„Cu privire la conformitatea cu legislația privind protecția datelor (GDPR): Vă asigurăm că toate operațiunile de prelucrare și transfer al datelor cu caracter personal efectuate de Compania Națională „Poșta Română” S.A. se desfășoară cu respectarea strictă a Regulamentului (UE) 2016/679 (GDPR) și a legislației naționale conexe. Compania a implementat măsurile tehnice și organizatorice adecvate pentru asigurarea integrității și securității datelor, iar acuzațiile privind ilegalitatea transferului sunt nefondate”, ne-a transmis Poșta Română.
Ce permite Legea 544/2001
Legea 544/2001 permite, într-adevăr, refuzul de a comunica informații comerciale sau financiare a căror publicare ar afecta secretul comercial sau competitivitatea unei companii.
Însă această excepție trebuie interpretată strict și aplicată punctual – întrebare cu întrebare – nu ca refuz general, pentru toate întrebările deodată.
Cele 42 de întrebări trimise de „Independent news” se împart clar în două categorii. O parte dintre ele aduc, într-adevăr atingere secretului comercial – valoarea contractului, sursa finanțării, criteriile după care au fost evaluate ofertele, numărul de firme participante, costul anual înainte și după externalizare, economiile estimate sau indicatorii de performanță (KPI) din contract.
Alte întrebări însă nu sunt, prin natura lor, secrete comerciale, ci țin de obligații de conformitate cu GDPR – unele fiind chiar informații pe care legea obligă compania să le comunice direct persoanelor ale căror date le prelucrează:
● dacă a fost făcută o evaluare de impact (DPIA);
● de ce nu a fost consultată sau notificată ANSPDCP;
● care e temeiul juridic al prelucrării și transferului de date;
● la ce categorii de date au acces operatorii din Moldova;
● dacă au fost informați clienții și angajații despre acest transfer (obligație legală expresă, prevăzută la art. 13-14 din GDPR, nu o opțiune la latitudinea companiei);
● dacă au existat incidente de securitate sau scurgeri de date;
● dacă au fost sesizate ANSPDCP, Directoratul Național de Securitate Cibernetică (DNSC) sau organele de urmărire penală.
Furnizarea acestor informații nu afectează strategia comercială a Poștei față de concurenți – ele țin de drepturile persoanelor ale căror date sunt prelucrate și de obligațiile legale de conformitate, informații pe care GDPR le tratează, în bună măsură, ca fiind obligatoriu de comunicat persoanelor afectate, indiferent de contextul comercial.
De aceea, refuzul de a răspunde punctual la aceste întrebări, sub eticheta generică de „secret comercial”, e greu de susținut din punct de vedere juridic.
Este de remarcat și o inconsecvență a Poștei Române față de propria comunicare publică. În răspunsul trimis către „Independent news”, compania invocă secretul comercial pentru detalii operaționale, deși în comunicatul oficial din 2024 făcuse deja publice cifre operaționale similare (volumul de apeluri, numărul de e-mailuri).
De asemenea, CNPR refuză să ofere orice răspuns legat de angajați, inclusiv un punct de vedere la acuzația sindicatului SLPR potrivit căreia angajați ai Poștei ar fi fost contactați de persoane care le cunoșteau datele personale. Aceste aspecte au rămas complet neabordate de Poșta Română – o omisiune notabilă, având în vedere gravitatea acuzației.
Ce confirmă oficial ANSPDCP
„Independent news” a trimis întrebări, tot în baza Legii 544/2001, și Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).
Autoritatea ne-a confirmat că „operatorul Compania Națională Poșta Română S.A. nu a supus atenției instituției noastre nicio evaluare de impact – DPIA.”
Acest răspuns arată direct că Poșta Română nu a consultat în prealabil ANSPDCP – pas obligatoriu atunci când o evaluare de impact arată un risc ridicat, cum ar fi cazul unui transfer masiv de date către o țară din afara UE, fără decizie de adecvare din partea Comisiei Europene.
ANSPDCP ne-a mai confirmat că nu a primit din partea Poștei Române nicio notificare sau informare despre transferul de date către Republica Moldova și că nici nu i-a fost cerut vreun punct de vedere pe acest subiect.
Este încă o dovadă că Poșta Română nu a inițiat un dialog proactiv cu autoritatea de supraveghere, contrar bunei practici recomandate pentru operațiuni cu risc ridicat.
Nu în ultimul rând, ANSPDCP nu a primit nicio notificare de încălcare a securității datelor (conform art. 33 din GDPR) legată de acest transfer. Așadar, nu au existat breach-uri (scurgeri de date) raportate în legătură cu acest transfer specific.
Sesizare și anchetă
Un alt detaliu important, comunicat de ANSPDCP, este că autoritatea a primit, în iulie 2026, o sesizare (cu autor, deocamdată, necunoscut) legată exact de acest transfer de date și a demarat o investigație, aflată în prezent în curs de derulare, în baza GDPR și a Legii nr. 102/2005.
Practic, o verificare oficială are loc abia la aproape doi ani de la externalizarea call-center-ului, făcută în august 2024.
ANSPDCP va verifica: temeiul juridic al prelucrării; contractul cu împuternicitul/operatorul din Chișinău; măsurile tehnice și organizatorice de securitate; dacă exista obligația de a face o evaluare de impact (DPIA) și dacă aceasta a fost realizată; dacă persoanele ale căror date sunt prelucrate au fost informate; orice alte obligații relevante prevăzute de GDPR.
Odată finalizată, investigația ANSPDCP va fi cea care va clarifica dacă evaluarea de impact a fost sau nu făcută corespunzător, potrivit prevederilor legale în vigoare.
Acuzațiile sindicaliștilor
Florin Daniel Gheorghiu, președintele Sindicatului Lucrătorilor Poștali din România (SLPR), a avertizat că decizia de externalizare a call-center-ului a reprezentat un pericol pentru siguranța datelor personale ale angajaților și clienților, mai ales în contextul sensibil al alegerilor parlamentare și prezidențiale din România, care au avut loc la doar trei luni după această mutare.
„Baza de date a Poștei Române cuprinde nu numai datele celor peste 20.000 de angajați, ci și ale clienților Poștei Române, ceea ce înseamnă o mare parte din populația României. Am exemplul a doi colegi, care au fost sunați de persoane care vorbeau cu accent moldovenesc, le știau numele și îi întrebau de conturi la nu știu ce bancă. Fapt pentru care unul dintre colegi chiar a făcut plângere la Poliție. Nu am înțeles de ce a decis conducerea să externalizeze call-center-ul și să-l externalizeze fix în Republica Moldova. Eu cred că datele au fost folosite în scop electoral, mai ales că actualul director este implicat politic, alături de fostul ministru al Energiei, Sebastian Burduja”, a declarat Gheorghiu.
Surse din Poșta Română au declarat „Independent news” că nemulțumirile sindicaliștilor au fost generate de faptul că externalizarea call-center-ului a însemnat concedierea angajaților de la București.
„În schema asta a fost transferată întreaga bază de date, cu toți cetățenii români, cu toate datele personale, CNP-uri, seria și numărul cărților de indentitate, adrese, câte persoane locuiesc la o adresă, și chiar venituri. Informațiile despre venituri erau de la ANAF și Casa de Pensii, pentru a verifica dacă persoanele respective sunt îndreptățile să primească ajutoarele pe cardurile de energie.
Transferul datelor a fost mascată prin deschiderea unei sucursale a Poștei Române la Chișinău, deși traficul poștal putea fi asigurat de Poșta Moldovei și cea Română”, ne-au declarat sursele citate.
Răspunsul directorului Poștei
În ciuda controverselor, directorul general al Poștei Române, Valentin Ștefan, a făcut publică decizia de externalizare a call – center-ului într-o postare pe pagina oficială de Facebook a instituției, afirmând că este vorba despre „un pas esențial în modernizarea și îmbunătățirea calității serviciilor”.
„Suni la 021 9393? Îți răspundem în 30 de secunde! Compania Națională Poșta Română a decis să mute Serviciul de Relații cu Clienții în Republica Moldova, pentru a îmbunătăți rapiditatea și calitatea răspunsurilor oferite clienților noștri.
Zilnic, primim aproximativ 2.000 de apeluri și peste 200 de e–mail-uri, iar cu ajutorul unui partener specializat, acum putem răspunde mai repede și mai eficient – timpul mediu de așteptare este de doar 30 de secunde!
Tehnologie avansată – folosim un software telefonic performant și un sistem CRM avansat pentru a identifica și soluționa rapid problemele clienților. Suntem încrezători că, alături de parteneri profesioniști și respectați pe piața de profil, reușim să oferim un nivel superior de servicii și să consolidăm încrederea clienților în Poșta Română”, se arată în mesajul publicat pe rețelele sociale.
