Motivație: Legea privind accesul la date personale aduce garanții noi de protejare a vieții private

În expunerea de motive la propunerea legislativă se menționează că propunerea legislativă de modificare și completare a Legii nr. 506/2004 are ca obiect reglementarea accesului la datele deținute de furnizorii de servicii de comunicații electronice, răspunzând totodată și criticilor formulate de Curtea Constituțională.

“Actul normativ aduce clarificări privind categoriile de date care sunt deținute și prelucrate de către furnizorii de servicii de comunicații electronice destinate publicului sau de rețele publice de comunicații, în scopul derulării activităților comerciale proprii, precum și în cadrul activităților de asigurare a serviciilor de comunicații electronice, fără să impună obligații suplimentare de reținere”, se precizează în motivarea la propunerea legislativă.

Inițiatorii legii menționează că s-a avut în vedere introducerea unei noi noțiuni, respectiv cea de “date de identificare a echipamentului”, precum și definirea acesteia.

“Prin această nouă sintagmă s-a urmărit un plus de claritate în ceea ce privește diferența dintre datele de trafic imperios necesare bunei desfășurări a activității specifice a furnizorilor de servicii de comunicații electronice (aceea de identificare a echipamentului care deservește o comunicație la un moment dat) și acele echipamente tehnice corespunzătoare terminalului utilizatorului (care permit localizarea utilizatorului serviciului de comunicații – coordonate GPS). Aceste date există și sunt prezente în sistemele de comunicații, fiind folosite de operatori inclusiv în rezolvarea litigiilor referitoare la buna funcționare a serviciilor oferite și corecta facturare a acestora (de ex. serviciile de comunicații “fix to mobile“ care se bazează pe amplasarea echipamentelor de comunicații într-o zonă geografică prestabilită)”, explică inițiatorii legii.

În expunerea de motive se mai arată că modificările și completările aduse Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice au fost elaborate avându-se în vedere cerințele prevăzute de Convenția europeană pentru apărarea drepturilor omului, Directivele europene referitoare la protecția datelor personale și la protecția vieții private în sectorul comunicațiilor electronice, precum și proiectul de Regulament al Uniunii Europene aflat în dezbatere, Constituția României și celelalte acte normative naționale privind protecția datelor cu caracter personal.

“Prin urmare, au fost introduse garanții noi în cuprinsul Legii nr. 506/2004 pentru a proteja dreptul la viața intimă, familială și privată, având în vedere că această lege stabilește condițiile în care furnizorii prelucrează anumite categorii de date cu caracter personal din domeniul comunicațiilor electronice, după cum urmează: accesarea datelor poate fi realizată într-un cadru precis delimitat, de către instanța de judecată sau cu autorizarea prealabilă a judecătorului; atunci când sunt transmise în format electronic, solicitările, respectiv răspunsurile, se semnează cu semnătură electronică extinsă, bazată pe un certificat calificat, eliberat de un furnizor de servicii de certificare acreditat, pentru asigurarea integrității datelor și pentru stabilirea trasabilității acestora”, se mai precizează în document.

Inițiatorii propunerii legislative mai arată că, pentru a evita confuziile în ceea ce privește momentul ștergerii datelor deținute de furnizori în cadrul activității lor a fost reglementat un termen în sensul că datele de trafic, datele de identificare a echipamentului și datele de localizare nu fac obiectul ștergerii sau anonimizării de către furnizori, atâta timp cât subzistă motivele care au stat la baza solicitării dar nu mai mult de 5 ani de la data solicitării sau, după caz, până la pronunțarea unei hotărâri definitive de către instanța de judecată.

“Subliniem faptul că prezenta propunere legislativă de modificare a Legii nr. 506/2004 nu urmărește înlocuirea Legii nr. 82/2012, declarată neconstituțională prin Decizia Curții Constituționale nr. 440/2014. Legea nr. 506/2004 transpune Directiva 2002/58/CE a Parlamentului European și a Consiliului privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, în vreme ce Legea nr. 82/2012 transpune Directiva 2006/24/CE a Parlamentului European și a Consiliului privind păstrarea datelor generate sau prelucrate în legătură cu furnizarea serviciilor de comunicații electronice accesibile publicului sau de rețele de comunicații publice și de modificare a Directivei 2002/58/CE, aceasta din urmă fiind invalidată de CJUE”, se precizează în expunerea de motive.

Prin urmare, de vreme ce prezenta reglementare nu instituie o veritabilă obligație de reținere a datelor în afara scopului facturării și asigurării serviciului de comunicații, nu mai subzistă necesitatea asigurării unor garanții suplimentare privind prelucrarea și stocarea acestor date și nici a instituirii unui alt mecanism de control, garanții solicitate prin Decizia Curții Constituționale nr.440/2014, menționează sursa citată.

Practic, completările și modificările aduse Legii nr.506/2004 prin prezenta inițiativă legislativă constau în definirea datelor tehnice ce permit individualizarea echipamentelor utilizate de furnizorii de servicii și rețele publice de comunicații electronice și statuează garanțiile și condițiile de legalitate prin instituirea obligației de obținere a aprobării judecătorului competent anterior accesării respectivelor date de orice autorități și instituții publice, apreciază inițiatorii proiectului.

“Totodată, trebuie precizat că respectivele date sunt deținute de furnizorii sus-menționați în scopul facturării și prevenirii unor litigii comerciale, iar acestor furnizori nu le sunt create obligații suplimentare”, se arată în document.

“De menționat că, în conformitate cu legislația privind protecția datelor cu caracter personal, prin art. 3 (în vigoare) al Legii nr. 506/ 2004, furnizorul unui serviciu de comunicații electronice destinat publicului are obligația de a lua măsuri tehnice și organizatorice adecvate în vederea asigurării securității prelucrării datelor cu caracter personal. Dacă este necesar, furnizorul serviciului de comunicații electronice destinate publicului va lua aceste măsuri împreună cu furnizorul rețelei publice de comunicații electronice. De asemenea, furnizorii trebuie să respecte cel puțin următoarele condiții: a) să garanteze că datele cu caracter personal pot fi accesate numai de persoane autorizate, în scopurile autorizate de lege;
b) să protejeze datele cu caracter personal stocate sau transmise împotriva distrugerii accidentale ori ilicite, împotriva pierderii sau deteriorării accidentale și împotriva stocării, prelucrării, accesării ori divulgării ilicite; c) să asigure punerea în aplicare a politicii de securitate elaborate de furnizor în ceea ce privește prelucrarea datelor cu caracter personal. Față de măsurile luate de furnizori, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), poate audita aceste măsuri și poate emite recomandări cu privire la cele mai bune practici privind nivelul de securitate care trebuie atins de aceste măsuri, potrivit noilor reglementări din proiect, mai spun inițiatorii.

În expunerea de motive se mai arată că, la data de 8 aprilie 2014, Curtea de Justiție a Uniunii Europene (CJUE) a pronunțat hotărârea preliminară în cauzele conexate C-293/12 (Digital Rights Ireland) și C-594/12 (Seilinger și alții), referitoare la întrebările preliminare privind validitatea Directivei 2006/24/CE privind reținerea datelor generate sau prelucrate de către furnizorii de rețele și servicii de comunicații electronice destinate publicului și de modificare a Directivei 2002/58/CE (“Directiva privind reținerea datelor”).

“În urma analizei efectuate, Curtea de Justiție a invalidat Directiva 2006/24/CE reținând, printre altele, că reglementarea în cauză trebuie să prevadă o serie de cerințe minime astfel încât persoanele ale căror date au fost păstrate să dispună de garanții suficiente care să permită protejarea în mod eficient a datelor lor cu caracter personal împotriva riscurilor de abuz, precum și împotriva oricărui acces și a oricărei utilizări ilicite a acestor date. De asemenea, în ceea ce privește accesul autorităților naționale competente la date și utilizarea lor ulterioară, Curtea a subliniat că Directiva 2006/24/CE nu conține garanții materiale și procedurale suficiente. O altă critică a vizat faptul că accesul la datele păstrate de autoritățile naționale competente nu este condiționat de un control prealabil efectuat fie de o instanță, fie de o entitate administrativă independentă prin a căror decizie să se garanteze limitarea accesului la date și a utilizării lor la ceea ce este strict necesar în vederea atingerii obiectivului urmărit”, se precizează în document.

Ulterior Hotărârii Curții de Justiție a Uniunii Europene, prin Decizia nr. 440/2014 Curtea Constituțională a României a constatat neconstituționalitatea dispozițiilor Legii nr. 82/2012 privind reținerea datelor generate sau prelucrate de furnizorii de rețele publice de comunicații electronice și de furnizorii de servicii de comunicații electronice destinate publicului, precum și pentru modificarea și completarea Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice.

Prin Decizia nr. 440/2014, Curtea Constituțională a reținut că Legea nr. 82/2012 nu oferea suficiente garanții care să asigure o protecție eficientă împotriva abuzurilor și a oricărui acces sau utilizări ilicite a datelor cu caracter personal, constatând că legea nu prevedea criterii obiective care să limiteze la strictul necesar numărul de persoane care au acces și pot utiliza ulterior datele păstrate. De asemenea, Curtea a arătat că solicitările de acces la datele reținute de furnizorii de servicii de comunicații electronice în vederea utilizării lor în scopul prevăzut de lege, formulate de către autoritățile competente altele decât organele de urmărire penală, nu sunt supuse autorizării sau aprobării instanței judecătorești, lipsind astfel datele păstrate de garanția unei protecții eficiente împotriva riscurilor de abuz, precum și împotriva oricărui acces și a oricărei utilizări ilicite a acestor date.

Prin aceeași decizie, Curtea a reținut că legea nu prevedea un mecanism autentic de control, care să asigure o verificare permanentă și efectivă a respectării dispozițiilor legale de către instituțiile competente.

“Prin urmare, de la data publicării Deciziei Curții Constituționale nr. 440/2014, furnizorii de rețele publice de comunicații electronice și furnizorii de servicii de comunicații electronice destinate publicului nu mai au nici obligația, dar nici posibilitatea legală de a reține anumite date generate sau prelucrate în cadrul activității lor și de a le pune la dispoziția organelor judiciare și ale celor cu atribuții în domeniul siguranței naționale”, se arată în document.

Prin excepție, pot fi reținute de către acești furnizori doar datele necesare pentru facturare sau plăți pentru interconectare ori alte date prelucrate în scopuri de comercializare doar cu consimțământul prealabil al persoanei ale cărei date sunt prelucrate, așa cum prevede Directiva 2002/58/CE, în vigoare.

“Având în vedere cele expuse și totodată pentru reglementarea procedurii de accesare a datelor deținute de furnizorii de servicii și rețele de comunicații electronice s-a considerat necesară modificarea și completarea Legii 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice”, se menționează în expunerea de motive la propunerea legislativă.