Cum ne pot citi autoritățile mesajele de pe WhatsApp, Facebook Messenger sau Telegram. Decizia secretă luată de guvernul Cîțu cu 3 zile înainte să fie demis

Proiectul de lege pentru transpunerea directivei UE 2018/1972 (Codul european al comunicațiilor), adoptat de Guvernul Cîțu cu 3 zile înainte de a fi demis de Parlament, introduce, discret, o lărgire a domeniului și spectrului interceptării comunicațiilor electronice, inclusiv a accesului la datele de trafic, date de conținut și la „conținutul comunicațiilor criptate tranzitate”, adică la conținutul comunicațiilor realizate prin platforme precum Skype, WhatsApp, Facebook Messanger, Signal, Wire sau Telegram, conform Asociației pentru Tehnologie și Internet (APTI).

“Între varianta (proiectului de lege – n. red.) din dezbatere publică și cea adoptată de guvern apare o nouă adăugire în motivație numită „Schimbări legislative relevante pentru domeniul securității naționale”, două definiții (scrise evident de persoane care nu au lucrat în domeniu, după formulările absolut improprii) și art 102 inserat într-o zonă care n-are nimic de a face cu subiectul celorlalte 299 de pagini”, notează Bogdan Manolea, președintele APTI.
Cele două articole sună astfel:
“Art.10^2. — (1) Furnizorii de servicii de găzduire electronică cu resurse IP și furnizorii de servicii de comunicații interpersonale care nu se bazează pe numere au obligația să sprijine organele de aplicare a legii și organele cu atribuții în domeniul securității naționale, în limitele competențelor acestora, pentru punerea în executare a metodelor de supraveghere tehnică ori a actelor de autorizare dispuse în conformitate cu dispozițiile Legii nr. 135/2010 privind Codul de procedură penală, cu modificările și completările ulterioare, și ale Legii nr. 51/1991 privind securitatea națională, republicată, cu modificările și completările ulterioare, respectiv:

a) să permită interceptarea legală a comunicațiilor, inclusiv să suporte costurile aferente;

b) să acorde accesul la conținutul comunicațiilor criptate tranzitate în rețelele proprii;

c) să furnizeze informațiile reținute sau stocate referitoare la date de trafic, date de identificare a abonaților sau clienților, modalități de plată și istoricul accesărilor cu momentele de timp aferente;

d) să permită, în cazul furnizorilor de servicii de găzduire electronică cu resurse IP, accesul la propriile sisteme informatice, în vederea copierii sau extragerii datelor existente.

(2) Obligațiile prevăzute la alin. (1) lit. a) – c) se aplică în mod corespunzător și furnizorilor de rețele sau servicii de comunicații electronice.”

Manolea traduce prevederile din proiect astfel:

“Furnizorii de servicii de găzduire electronică cu resurse IP” – sunt de fapt aceiași cu furnizorii de găzduire web (de fapt, deja reglementați în legea 365/2002), care oferă serviciile <<pe teritoriul României>> conform definiției nou inventate din art 4 alineatul (1), noul punct 9^5.
<<Serviciu de comunicații interpersonale care nu se bazează pe numere>> – este ce se numea acum câțiva ani „mesagerie instatanee sau mesaje chat” și practic intra în categoria asta Skype, WhatsApp, Facebook Messanger, Signal, Wire, Telegram sau pentru cei mai nostalgici Yahoo Messanger, AIM, ICQ sau chiar IRC. Atenție, aceștia nu sunt doar cei care oferă serviciile „ pe teritoriul României”. (cuvânt cheie- indiciu: „tranzitat”)
<<Organele cu atribuții în domeniul securității naționale>>- este aceiași terminologie vagă deja declarată neconstituțională în 2008 (și alte decizii). Oricum nimeni nu este în stare sa facă lista lor, cu atât mai mult cu privire la atribuțiile exacte, legea din 1991 find la fel de vagă și astăzi.

Bogdan Manolea susține că modificările privind interceptările ar trebui să fie realizate prin Codul de Procedură Penală.

“Aspectele legate de interceptarea legală comunicațiilor, cu toate garanțiile de rigoare sunt prevăzute de Codul de Procedură Penală (CPP). În mod logic, dacă ar fi vreo problemă sau este nevoie de actualizarea lor s-ar face tot printr-o modificare la acest cod. (indiciu: e o lege organică, greu de modificat).
Doar că dincolo de a impune obligații similare și unor alte categorii furnizori (care oricum, nu au legătura cu ANCOM) pe unde se plimbă în 2021 conținutul și legal, și ilegal. (poate de discutat, dar atunci ar trebui în CPP și nu pe șest), textul lărgește mult spectrul de acțiuni de interceptări și acces, pe care CPP nu le prevede. Mă opresc doar la 2 aici:
<<accesul la conținutul comunicațiilor criptate tranzitate în rețelele proprii;>> nu există în CPP.
Dincolo de faptul ca un furnizor (inclusiv cei de comunicații) ar trebui să își creeze un sistem de depistare a conținutului criptat tranzitat, eu cred că ținta sunt furnizorii care oferă astfel de servicii. Aici sunt 2 variante – fie vor conținutul decriptat direct de la furnizor sau pentru ca vor să spargă criptarea? (cât de legal, ilegal ar fi, este o altă discuție) , fie vor conținutul criptat pentru că vor să obțină/determine partea care are cheia de criptare să o dezvăluie cumva. Astea, ca și altele din același spectru ridică niște subiecte de privacy și security mult prea complexe pentru a le rezolva în 2 propoziții.
Să nu mai zicem că textul Directivei de implementat zice exact pe dos – promovați criptarea, nu o subminați: „ar trebui promovată de exemplu utilizarea criptării, end-to-end dacă este cazul, și, dacă este necesar, criptarea ar trebui să fie obligatorie în conformitate cu principiile securității și protejării vieții private în mod implicit și din faza de proiectare”
„să permită, în cazul furnizorilor de servicii de găzduire (…) accesul la propriile sisteme informatice, în vederea copierii sau extragerii datelor existente.”nu există în CPP.
O terminologie la fel de vagă ca cea din defuncta lege a securității cibernetice (declarata neconstituțională în 2015) face ca să ai practic acces la orice conținut de pe orice server din România în condiții total neclare.
Ca să poată probabil să justifice cumva integrarea în această lege, propunerea normativă mai și creează o obligație de înregistrare a acestor noi furnizori la ANCOM, ceea ce contrazice flagrant legislația europeană în domeniu (în principal directiva e-commerce, implementată la noi prin legea 365/2002). Dar ce mai contează o obligație europeana, când e în joc „securitatea națională”? Important e că le putem impune să își creeze, pe costuri proprii, infrastructura de interceptare și când vine o hârtie de la „organ” să dea tot”.