Sursa foto: Pixabay
Zece ONG-uri trag un semnal de alarmă privind noua propunere pentru Cloud-ul Guvernamental. Semnatarii spun că această propunere nu oferă garanții privind libertățile civile și că problema majoră rămâne rolul foarte larg al instituțiilor militarizate – SRI și STS.
Reamintim că Ministerul Cercetării, Inovării și Digitalizării a elaborat un nou proiect de cloud guvernamental, îmbunătățind semnificativ varianta inițială despre care specialiștii din domeniu spuneau că va bloca de fapt digitalizarea României. Însă câteva aspecte încă nu au fost clarificate suficient, iar specialiștii spun că noua forma încă păstrează prevederi care descurajează puternic concurența. Asociația pentru Tehnologie și Internet (ApTI) critică și această nouă formă, spunând că Serviciul Român de Informații devine unicul furnizor de securitate cibernetică a Cloud-ului și operatorul asociat (cu alte 3 instituții publice) pe toate activitățile de prelucrare date personale din Cloud-ul guvernamental. Reamintim că proiectul cloud-ului guvernamental este finanțat din Planul Național de Redresare și Reziliență (PNRR). (Detalii, AICI)
Scrisoarea integrală a ONG-urilor privind propunerea pentru Cloud-ul Guvernamental:
Recomandări Video
Articolul continuă mai jos
Având în vedere dezbaterea publică organizată de Ministerul Cercetării, Inovării și Digitalizării pe marginea proiectului de act normativ, actualizat, privind unele măsuri pentru sistemul de guvernanță al Cloud-ului Guvernamental, facem următoarele precizări:
Amintim că societatea civilă a atenționat și la versiunea anterioară a proiectului de act normativ că acesta nu oferă garanții cu privire la libertățile civile, atât prin modul de legiferare (Ordonanță de Urgență), cât și prin conținutul său. Problemele semnalate au fost ignorate și ne aflăm acum în aceeași situație.
Guvernul continuă să prefere Ordonanța de Urgență, în detrimentul legiferării normale, prin Parlament. Prima versiune a acestui act normativ a fost publicată în februarie. După patru luni, este ridicolă pretenția Guvernului că este vorba de o urgență ce nu suferă amânare, pentru a justifica ordonanța de urgență. Poate mai grav, Guvernul ignoră impactul asupra drepturilor fundamentale, iar atunci când acestea sunt afectate, nu este permisă legiferarea pe cale extraordinară.
Este simptomatic că instrumentul de prezentare al proiectului de act normativ (Nota de fundamentare) nu include secțiunea dedicată analizei impactului asupra drepturilor omului, care este obligatorie conform prevederilor Legii nr. 24/2000 privind normele de tehnică legislativă. Chiar Guvernul Ciucă, prin Hotărârea nr. 443/2022, din 30 martie, a actualizat forma obligatorie a instrumentului de prezentare, făcând mai vizibilă secțiunea privind drepturile omului. MCID a ales să ignore această hotărâre de guvern, cu toate că din text rezultă în mod evident că proiectul are un impact asupra vieții private.
În ce privește conținutul proiectului de act normativ supus dezbaterii publice, problema majoră rămâne rolul foarte larg al instituțiilor militarizate – SRI și STS – în dezvoltarea și administrarea sistemului de Cloud Guvernamental, inclusiv cu rol de operator asociat pentru toate datele și toate activitățile de prelucrare.
Putem vorbi chiar de o înrăutățire a situației, pentru că, în noua propunere, Serviciul de Telecomunicații Speciale (STS) și Serviciul Român de Informații (SRI) devin actori de egală importanță decizională din punct de vedere al prelucrării tuturor datelor personale cu MCID și Autoritatea pentru Digitalizarea României (ADR), cele două instituții civile responsabile cu realizarea și administrarea sistemului.
Mai mult, SRI are un rol sporit în domeniul securității cibernetice, devenind unicul (!) furnizor de securitate cibernetica a Cloud-ului guvernamental, dar și al”instituțiilor găzduite”, ceea ce în practică înseamnă că SRI primește cheile de acces la toate datele din cloud ale cetățenilor. Nu putem să nu asociem aceste prevederi cu cele din proiectele privind Legile Securității, publicate de G4Media.ro și puternic criticate de societatea civilă pentru că descriu o militarizare accentuată a statului. Prin propunerea de lege de organizare, scrisă, după cum am aflat din mass-media, tot de SRI, instituția ar putea primi și dreptul de acces, mai exact autorizarea „să acceseze şi să utilizeze informaţiile din baze de date ale altor autorităţi şi instituţii”.
Amintim că obligația legală unică a SRI, conform art. 2 din Legea nr. 14/1992 este de a desfășura “activități pentru culegerea, verificarea și valorificarea informațiilor (…)”. Practic SRI nu poate garanta nici respectarea principiilor prelucrării datelor personale (în special folosirea datelor exclusiv în scopul furnizării serviciilor din cloud) și nici îndeplinirea obligației de securitate a datelor (nici ca operator, nici ca împuternicit), pentru că obligația sa legală din Legea nr. 14/1992 este contrară celor din Regulamentul UE 679/2016 GDPR (în special articolele 5, 6 și 32). Și noua propunere neoficială pornește de la aceleași principii, colectarea de informații fiind principala atribuție.
Mai mult, și jurisprudența Curții Constituționale a României este constantă în acest domeniu, chiar anterior intrării în vigoare a GDPR, o argumentație similară fiind inclusă în Decizia nr. 17/2015 a CCR cu privire la altă structură din cadrul SRI care ar fi trebuit să joace un rol relativ similar cu cel pe care SRI urmează să îl joace acum în implementarea Cloud-ului guvernamental, dar care nu poate oferi garanțiile minime necesare pentru respectarea dreptului la viață privată:
“Or, în condiţiile în care Centrul Naţional de Securitate Cibernetică constituie o structură militară, în cadrul unui serviciu de informaţii, subordonată ierarhic conducerii acestei instituţii, deci sub un control direct militar-administrativ, apare cu evidenţă că o atare entitate nu îndeplineşte condiţiile cu privire la garanţiile necesare respectării drepturilor fundamentale referitoare la viaţă intimă, familială şi privată şi la secretul corespondenţei.”
Soluția corectă conform GDPR – care ar trebui discutată cu autoritatea competentă în domeniu – ANSPDCP – este în primul rând realizarea unei analize de impact asupra datelor personale (DPIA) – obligatorie conform art. 35 GDPR înainte de adoptarea soluției legislative, care trebuie să analizeze și aspectele legate de rolul corect al fiecărei instituții implicate.
Nici protestele societății, nici deciziile Curții Constituționale nu par a împiedica instituțiile de forță să încerce permanent să își mărească nejustificat domeniul de competențe, adică puterea.
Singura “concesie” făcută de inițiatorii proiectului este un simulacru de control parlamentar. Teoretic, parlamentarii din comisiile TIC ar urma să realizeze un raport anual, citit în plenul Parlamentului. Dar operatorii cloud-ului nu sunt în niciun fel obligați să raporteze către Parlament, iar un eventual raport critic nu are niciun fel de consecințe. Iar obiectivul de respectare a “drepturilor constituționale la viață intimă, familială și privată, libertatea de exprimare și secretul corespondenței” este imposibil de atins în lipsa unor mecanisme reale de control. Nici măcar nu ar exista un vot, ci doar o lectură. Am întâlnit această pseudo-soluție și în proiectele de Legi ale Securității amintite anterior.
Nu putem să nu observăm și că proiectul de act normativ prevede că numeroase aspecte critice vor fi reglementate prin Hotărâre de Guvern sau prin Ordin al șefilor instituțiilor implicate. Acest mod de reglementare are un efect pervers, pentru că, așa cum a decis Curtea Constituțională, consecințele penale ale unui abuz în serviciu pot fi declanșate doar de încălcarea prevederilor legilor, nu și pe cele ale normelor de rang inferior (hotărâre, ordin). Din nou, observăm corelarea cu Legile Securității, în sensul unui sistem care oferă impunitate structurilor militarizate.
Încă o dată, amintim politicienilor din coaliția de guvernare că, într-o democrație liberală, problemele civile nu se rezolvă „cu armata” (incluzând aici și celelalte structuri militarizate). Nu ne dorim ca sub atenta cârmuire a conducerii de partid și de stat să ne îndreptăm către Republica Militară România.
Solicităm încă o dată partidelor aflate la guvernare să găsească soluții care nu implică extinderea puterilor structurilor militarizate, soluții care întăresc și nu duc în ridicol controlul civil parlamentar, soluții care garantează în mod real drepturile fundamentale și libertățile civile.
Semnatari:
Asociația pentru Tehnologie și Internet
Centrul pentru Inovare Publică
CeRe: Centrul de Resurse pentru participare publică
Fundația TERRA Mileniul III
Centrul pentru Studiul Democrației
Átlátszó Erdély/Transilvania Transparentă
Funky Citizens
Asociația CIVICA
ActiveWatch
APADOR-CH
Sursa foto: Pixabay