Răspunsul ApTI la consultarea privind proiectul de OUG pentru înregistrarea obligatorie a datelor personale ale utilizatorilor de cartele pre-pay

În decursul zilei de azi, 21 august 2019, ApTI răspuns la extemporalul consultarea privind Proiectului de Ordonanţă de urgenţă pentru modificarea şi completarea Ordonanţei de urgenţă a Guvernului nr. 34/2008 privind organizarea şi funcţionarea Sistemului naţional unic pentru apeluri de urgenţă şi a Ordonanţei de urgenţă a Guvernului nr. 111/2011 privind comunicaţiile electronice:

1. “Dezbatere publică”

Ne bucurăm că, spre deosebire de anii anteriori, de această dată se organizează o dezbatere publică asupra propunerii de ordonanță. Regretăm însă formatul restrictiv care nu permite o adevărată dezbatere ci sună mai degrabă a o “ascultare” în fața clasei. Considerăm că alocarea a numai 5 minute per participant restrânge dreptul la dezbatere, nu permite un schimb sănătos de argumente și nu contribuie la o discuție reală asupra acestui subiect complex și cu multe implicații.

2. Limitarea drepturilor fundamentale nu se poate face prin OUG

Curtea Constituțională a constatat prin decizia 461/2014 că colectarea datelor personale a utilizatorilor de cartele SIM pre-plătite este “în mod evident o limitare a dreptului la protecția datelor cu caracter personal, respectiv a drepturilor fundamentale protejate constituțional referitoare la viață intimă, familială și privată, la secretul corespondenței, precum și libertatea de exprimare.“

Conform art. 115 (6) din Constituție, “ordonanțele de urgență nu pot fi adoptate în domeniul legilor constituționale, nu pot afecta regimul instituțiilor fundamentale ale statului, drepturile, libertățile și îndatoririle prevăzute de Constituție, drepturile electorale și nu pot viza măsuri de trecere silită a unor bunuri în proprietate publică.”

Ca atare, orice propunere de colectare a datelor personale ale tuturor celor 10 milioane de cartele pre-pay nu poate fi făcută prin OUG.

3. Deciziile Curții Constituționale trebuie respectate

Proiectul de lege trebuie redactat ţinând cont de deciziile Curţii Constituţionale care a invalidat măsuri ce presupun ingerințe asupra vieții private.

Reamintim Decizia nr. 1258/2009 a Curții Constituționale a României, care subliniază:

„Or, în materia drepturilor personale cum sunt dreptul la viață intimă şi libertatea de exprimare, precum şi a prelucrării datelor cu caracter personal, regula unanim recunoscută este aceea a garantării şi respectării acestora, respectiv a confidențialității, statul având, în   acest sens, obligații majoritar negative, de abținere, prin care să fie evitată, pe cât posibil, ingerința sa în exercițiul dreptului sau a libertății.”

De asemenea, decizia 461/2014 a CCR trebuie luată în considerare în mod detaliat, atât prin completarea aspectelor din Nota de fundamentare cu impactul real asupra drepturilor fundamentale, cât și prin detalierea modului cum propunerea actuală ia în considerare aspectele de neconstituționalitate din precedentul proiect de act normativ.

În final, nu putem folosi ca pretext un caz șocant precum cazul Caracal, care denotă probleme sistemice ce nu vor fi rezolvate de introducerea regimului de înregistrarea a cartelelor pre-plătite, mai ales că aceasta este a șasea tentativă de a introduce tipul acesta de măsuri și că niciuna dintre aceste inițiative nu au luat în seamă deciziile Curții Constituționale.

4. A intrat în vigoare Regulamentul General privind Protecția Datelor (Regulamentul (UE) 2016/679)

Regulamentul General privind Protecția Datelor (GDPR) stabilește două măsuri importante cu privire la protecția datelor personale, care trebuie făcute înainte de propuneri de prelucrare a datelor care vizează:

1. “Privacy by design & by default”, adică protecția datelor personale începând cu momentul conceperii produselor/serviciilor, acestea fiind concepute din start pentru a proteja datele personale în mod implicit. (Art. 25 GDPR)
2. Evaluarea impactului privind protecția datelor (Art. 35 GDPR), care este obligatoriu de realizat înainte de introducerea unei măsuri care are impact semnificativ asupra vieții private.

O măsură care privește colectarea datelor personale de la 10 milioane de posesori de cartele pre-pay ar trebui să aibă un studiu fundamentat pe aceste aspecte legate de GDPR și de unde orice persoana interesată poate să înțeleagă cum se respectă principiile prelucrării (Art. 5 GDPR).

În concluzie, ApTI susține respingerea Art II din propunerea de Ordonanță de Urgență.

Eventual se poate propune reluarea procedurii ce ar trebui să înceapă cu o analiză substanțială conform art. 35 GDPR pe această propunere de colectare, care, dacă după consultarea cu persoanele vizate și cu Autoritatea (conform art. 36 GDPR) reiese că îndeplinește condițiile minimale de protecție a datelor personale și nu există alternative care să atingă același scop cu o prelucrare mai puțin intrusivă, se poate propune un proiect de lege pe acest subiect.