Autoritățile de concurență pot ridica e-mailurile profesionale ale angajaților fără aprobarea prealabilă a unui judecător

Autoritățile de concurență pot ridica e-mailurile profesionale schimbate între angajații și conducerea unei companii în timpul unei inspecții la sediul acesteia, fără să obțină în toate cazurile aprobarea prealabilă a unui judecător. Curtea de Justiție a Uniunii Europene a stabilit însă că asemenea căutări trebuie să fie prevăzute clar de lege, limitate la suspiciunile investigate și supuse ulterior unui control judiciar efectiv.

Hotărârea Marii Camere privește trei investigații desfășurate în Portugalia în domeniul serviciilor medicale, al testelor pentru COVID-19 și al procesării plăților. Autoritatea portugheză de concurență a ridicat peste 12.900 de fișiere informatice din sediile companiilor vizate, după ce inspecțiile au fost autorizate de Parchetul portughez.

Autoritatea portugheză de concurență a deschis trei investigații separate privind posibile încălcări ale regulilor europene care interzic cartelurile și abuzul de poziție dominantă. Prima privea o posibilă coordonare între companii care ar fi dus la creșterea prețurilor serviciilor de teleradiologie furnizate spitalelor publice. A doua viza o posibilă înțelegere asupra prețurilor testelor pentru COVID-19 solicitate de autoritățile sanitare, iar a treia privea o suspiciune de abuz de poziție dominantă în procesarea plăților.

Inspecțiile au avut loc între ianuarie 2021 și martie 2022 la sediile companiilor IMI – Imagens Médicas Integradas, Synlabhealth II și ale grupului SIBS. Autoritatea a examinat mesajele electronice ale angajaților și a ridicat 1.405 fișiere în primul caz, 731 în al doilea și 10.797 în investigația privind SIBS.

Parchetul portughez autorizase în prealabil căutarea și ridicarea documentelor care aveau legătură directă sau indirectă cu practicile anticoncurențiale investigate. Mandatele permiteau verificarea e-mailurilor, documentelor interne folosite pentru circulația informațiilor între nivelurile de conducere și materialelor pregătitoare pentru deciziile comerciale. În investigațiile privind serviciile medicale, autorizațiile excludeau spațiile în care se acordau îngrijiri și arhivele protejate de secretul medical.

Companiile au contestat inspecțiile, susținând că mesajele profesionale sunt comunicații protejate și că ridicarea lor trebuia autorizată de un judecător de instrucție, nu de Parchet. Instanța portugheză pentru concurență a cerut Curții de Justiție să stabilească nivelul de protecție aplicabil și dacă autorizarea dată de procuror era suficientă.

E-mailurile de serviciu rămân comunicații protejate

Curtea a stabilit că un e-mail nu pierde protecția acordată comunicațiilor doar pentru că este trimis prin sistemul unei companii sau are un conținut profesional. Protecția se aplică indiferent dacă mesajul a fost citit, a rămas necitit, a fost șters sau provine de la o adresă aparținând unei persoane juridice.

Regulile interne prin care angajatorul interzice utilizarea contului de serviciu în scopuri personale nu elimină această protecție. Angajații și managerii păstrează dreptul la respectarea comunicațiilor, iar e-mailurile pot conține date personale precum nume, funcții, date de contact, afirmații atribuite unor persoane sau informații despre activitatea lor profesională.

Ridicarea mesajelor de către o autoritate publică limitează, prin urmare, atât dreptul la confidențialitatea comunicațiilor, cât și dreptul la protecția datelor. Această intervenție poate fi legală numai atunci când are o bază legislativă, urmărește un obiectiv legitim și nu depășește ceea ce este necesar pentru atingerea sa.

Investigațiile asupra cartelurilor justifică accesul la mesaje

Curtea consideră că identificarea cartelurilor și a abuzurilor de poziție dominantă reprezintă un obiectiv de interes general. Asemenea practici pot duce la prețuri mai mari, reducerea concurenței, limitarea producției sau excluderea unor rivali de pe piață, cu efecte asupra companiilor și consumatorilor.

E-mailurile sunt adesea una dintre puținele surse care pot arăta existența unei coordonări secrete. Înțelegerile privind prețurile, împărțirea clienților sau strategiile comune nu sunt în mod normal consemnate în contracte publice, iar probele pot apărea în discuțiile interne dintre angajați și conducere.

O interdicție generală de a căuta mesajele profesionale ar putea face imposibilă investigarea eficientă a unor încălcări grave. Dreptul european permite deja Comisiei și autorităților naționale să examineze documente comerciale indiferent de suportul pe care sunt stocate, inclusiv corespondența electronică.

Curtea a făcut însă diferența între accesul limitat la mesaje profesionale și accesul general la viața digitală a unei persoane. În cazul unei inspecții la sediul companiei, căutarea trebuie să urmărească informații comerciale referitoare la faptele investigate, iar datele personale apar în principal ca elemente secundare ale acelor documente.

Cuvintele-cheie și obiectul inspecției trebuie stabilite în avans

O inspecție trebuie să se bazeze pe suspiciuni rezonabile și pe o decizie motivată care indică faptele urmărite, perioada și tipurile de documente relevante. Inspectorii nu pot folosi accesul la sistemele companiei pentru a căuta informații fără legătură cu investigația sau pentru a aduna în mod general date despre angajați.

Atunci când sunt folosite programe informatice pentru analiza unor volume mari de e-mailuri, cuvintele-cheie și filtrele trebuie stabilite în raport cu obiectul definit anterior. Selecția trebuie să reducă la minimum colectarea datelor fără relevanță și să împiedice extinderea inspecției către alte presupuse încălcări care nu apar în mandat.

Datele ridicate pot fi folosite numai pentru identificarea practicii anticoncurențiale investigate. Ele trebuie păstrate într-un mediu securizat, accesibile unui număr limitat de persoane autorizate și eliminate atunci când nu mai sunt relevante sau când perioada justificată de stocare s-a încheiat.

Reprezentanții companiei trebuie să poată urmări procesul de selecție, să verifice documentele propuse pentru includerea în dosar și să conteste materialele evident fără legătură cu investigația. Datele personale care apar în documente relevante, dar nu sunt necesare pentru stabilirea încălcării, trebuie anonimizate atunci când acest lucru este posibil.

Controlul judiciar poate avea loc după inspecție

Dreptul UE nu obligă statele să prevadă autorizarea prealabilă a unui judecător pentru orice inspecție realizată la sediul unei companii. În Portugalia, măsurile fuseseră autorizate de Parchet, pe care Curtea îl descrie drept o autoritate judiciară independentă de celelalte autorități publice și responsabilă de apărarea legalității.

Această autorizare poate contribui la limitarea obiectului, duratei și întinderii inspecției, dar nu înlocuiește controlul ulterior al unei instanțe. Companiile și persoanele vizate trebuie să poată obține verificarea completă a temeiului legal, necesității și modului în care s-a desfășurat operațiunea.

Instanța trebuie să poată analiza și dacă inspectorii au depășit mandatul, dacă selecția mesajelor a fost prea largă și dacă datele au fost păstrate sau folosite în mod necorespunzător. Atunci când constată nereguli, controlul trebuie să ofere o reparație efectivă, inclusiv posibilitatea de a evalua dacă documentele ridicate mai pot fi folosite ca probe.

Dispozitivele personale au un nivel mai ridicat de protecție

Regula este diferită atunci când inspectorii vor să acceseze telefoanele, laptopurile sau alte dispozitive care aparțin angajaților și managerilor, chiar dacă acestea sunt găsite în sediul companiei. Un asemenea dispozitiv poate conține simultan e-mailuri profesionale, mesaje private, fotografii, istoricul navigării, date de localizare, informații bancare sau date despre sănătate.

Accesul la întregul conținut poate permite autorităților să afle detalii foarte precise despre viața unei persoane, deplasări, relații și activități care nu au legătură cu firma. Intervenția este astfel mult mai gravă decât căutarea într-un sistem de mesagerie administrat de companie și limitat oficial la scopuri profesionale.

În asemenea situații, datele pot fi protejate prin sigilarea dispozitivului până la obținerea unei aprobări. Accesul trebuie verificat în prealabil de o instanță sau de o autoritate administrativă independentă, care să pună în balanță nevoile investigației și drepturile persoanei.

Hotărârea permite autorităților de concurență să continue folosirea probelor electronice în investigațiile asupra companiilor, dar separă clar e-mailurile profesionale de conținutul dispozitivelor personale. Instanța portugheză trebuie acum să verifice dacă mandatele emise de Parchet, căutările efectuate și controlul judiciar disponibil au oferit garanțiile cerute de dreptul UE.