Bazele de date copiate de SRI de la ministere si institutii cheie: Ce spune Autoritatea pentru Protectia Datelor Personale

SRI a copiat deja mai multe baze de date de la ministere si institutii publice cheie in cadrul unui sistem IT implementat anul trecut. Au fost respectate drepturile legale privind protectia datelor personale? Intr-un raspuns detaliat furnizat HotNews.ro, ANSPDCP (Autoritatea pentru protectia datelor) subliniaza ca legea protectiei datelor (677/2001) nu se aplica prelucrarilor si trasferului de date personale efectuate de SRI in cadrul activitatilor in domeniul sigurantei nationale, dar ca celelalte Ministere si institutii publice se supun acestei legi si au obligatii clare de informare a celor ale caror date au fost dezvaluite altor autoritati.

Serviciul Roman de Informatii (SRI), acuzat recent de cateva ONG-uri ca dezvolta un sistem IT prin care ar vrea sa copieze baze de date ale mai multor institutii publice pentru a dezvolta un adevarat sistem Big Brother, a precizat in mai multe randuri ca noul sistem nu face decat sa creasca semnificativ viteza de cautare a informatiei relevante in bazele de date deja existente. HotNews.ro a descoperit, analizand achizitiile SRI, ca noul sistem nu este decat o dezvoltare a unui sistem IT dezvoltat deja anul trecut, in urma caruia SRI a copiat baze de date ale unor ministere si institutii-cheie ale statului roman: MAI, Ministerul de Finante/ANAF, Justitiei, Dezvoltarii/APIA, ale BNR, ONRC si CNAS.

Informatia apare chiar in Caietul de sarcini al licitatiei demarate atunci de SRI pentru SII Infrastructura, un sistem IT a carui finalizare a fost anuntata de SRI in luna decembrie 2015, document in care este prezentata ‘lista bazelor de date ce fac obiectul replicarii’:

Este vorba de baze de date de la MAI, Ministerul de Finante/ANAF, Ministerul de Finante/ANV (n.a Directia Generala a Vamilor), Ministerul Justitiei-ANP (n.a Administratia Nationala a Penitenciarelor), Ministerul Dezvoltarii – APIA, Ministerul Dezvoltarii – AFIR (n.a Agentia pentru Finantarea Investitiilor Rurale), Banca Nationala a Romaniei (BNR), ONRC (Oficiul National al Registrului Comertului) si CNAS (Casa Nationala de Asigurari de Sanatate).

• Pentru detalii citeste: SRI a copiat deja baze de date de la mai multe ministere si institutii cheie. Ce urmareste noul sistem IT de prevenire a fraudei, coruptiei, terorismului si evaziunii fiscale

HotNews.ro a solicitat atat SRI cat si Ministerelor si institutiilor in cauza sa precizeze daca transmiterea acestor date s-a facut cu respectarea legii in ceea ce priveste drepturile la viata privata si protectia datelor cu caracter personal.

In acelasi timp, HotNews.ro a cerut un punct de vedere si de la Autoritatea pentru protectia datelor personale (ANSPDCP), care a transmis joi un raspuns amplu, in care subliniaza ca legea protectiei datelor (677/2001) nu se aplica prelucrarilor si trasferului de date personale efectuate de SRI in cadrul activitatilor in domeniul sigurantei nationale, dar ca celelalte Ministere si institutii publice se supun acestei legi si au obligatii clare de informare a celor ale caror date au fost dezvaluite altor autoritati.

• Redam integral precizarile transmise HotNews.ro de catre ANSPDCP:

„Art. 2 alin. (7) din Legea nr. 677/2001 stabileste faptul ca ‘Prezenta lege nu se aplica prelucrarilor si transferului de date cu caracter personal, efectuate in cadrul activitatilor in domeniul apararii nationale si sigurantei nationale, desfasurate in limitele si cu restrictiile stabilite de lege.’

Astfel, din dispozitiile legale sus-mentionate, rezulta ca nu sunt aplicabile prevederile Legii nr. 677/2001 in cazul prelucrarilor si transferului de date cu caracter personal, efectuate de SRI in cadrul activitatilor in domeniul sigurantei nationale, desfasurate in limitele si cu restrictiile stabilite de lege.

In acest context precizam ca, activitatea acestui serviciu este reglementata de Legea nr. 51/1991 privind securitatea nationala a Romaniei, republicata.

Astfel, activitatile specifice culegerii de informatii care presupun restrangerea exercitiului unor drepturi sau libertati fundamentale ale omului se efectueaza numai in conditiile prevazute de art. 14 si urm. din legea sus-mentionata, respectiv cu autorizarea judecatorului, la propunerea motivata a procurorului.

In ceea ce priveste ministerele si celelalte autoritati publice implicate in comunicarea bazelor de date in cauza, precizam faptul ca pana in present Autoritatea Nationala de Supraveghere nu a fost consultata de catre acestea in privinta conditiilor legale aplicabile acestei situatii de dezvaluire de date cu caracter personal mentionata de dvs., si nici nu a primit spre avizare acte normative cu incidenta in acest sens.

In ceea ce priveste Legea nr. 677/2001, potrivit acesteia, regula prelucrarii datelor (inclusiv a dezvaluirii acestora) este aceea ca se efectueaza numai cu consimtamantul persoanei in cauza, dat in mod expres si neechivoc.

Doar in mod exceptional datele cu caracter personal pot fi prelucrate fara consimtamantul persoanei vizate, in mai multe situatii de exceptie. Aceste cazuri, de stricta interpretare, sunt mentionate in mod expres la art. 5 alin. (2) din Legea nr. 677/2001 (pentru datele care nu au caracter special, cum ar fi numele, prenumele, adresa postala, de e-mail, nr. de telefon), precum si la art. 7, 8, 9 si 10 din aceeasi lege pentru datele cu caracter special (de exemplu, datele privind originea rasiala sau etnica, convingerile religioase, apartenenta sindicala, starea de sanatate, codul numeric personal, faptele penale sau contraventiile).

Spre exemplu, pentru datele care nu au un caracter special, printre cazurile de exceptie, reglementate de art. 5 alin. (2) din Legea nr. 677/2001, se numara si cele in care prelucrarea este necesara in vederea indeplinirii unei obligatii legale a operatorului.

Indiferent de modalitatea in care datele sunt prelucrate, respectiv la consimtamant sau pe baza exceptiilor de la acesta, datele colectate si prelucrate trebuie sa respecte in acelasi timp o serie de principii, printre care amintim: datele sa fie prelucrate cu buna-credinta si in conformitate cu dispozitiile legale in vigoare, scopul prelucrarii datelor sa fie determinat, explicit si legitim, iar datele sa fie adecvate, pertinente si neexcesive in raport de scopul in care acestea au fost colectate si ulterior prelucrate (art. 4 alin. 1 din Legea nr. 677/2001).

In acelasi timp, subliniem ca entitatile detinatoare ale datelor respective au obligatia de informare a persoanei vizate cu privire la prelucrarea (dezvaluirea) datelor, potrivit art. 12 din Legea nr. 677/2001, si anume de a comunica o serie de informatii persoanei fizice in cauza (denumirea operatorului, scopul prelucrarii datelor, destinatarii acestora, exercitarea dreptului de acces, interventie si opozitie etc.), atunci cand obtin datele in mod direct de la acea persoana”.

• Ce a raspuns BNR, intrebata de replicarea unor baze de date proprii de catre SRI

Precizarile venite de la Autoritatea pentru protectia datelor vin la o zi dupa ce Banca Nationala a Romaniei a oferit o prima reactie pe acest subiect.

Intrebati ce gen de informatii contin bazele de date BNR care au fost copiate deja de catre SRI in proiectul SII Infrastructura si care au fost prevederile legale in baza carora s-au transmis aceste date, oficialii BNR au precizat urmatoarele:

• „Pe baza deciziilor CSAT din 2010 – 2012 BNR a realizat un protocol de colaborare cu SRI privind crearea cadrului tehnic necesar schimbului de informatii prin intermediul Sistemului Informatic Integrat. Conform acestui protocol BNR pune la dispozitie date punctuale, pe baza unor solicitari exprese, primite de la SRI strict legate de operatiuni de combaterea finantarii terorismului”, au precizat oficialii BNR.

Pentru detalii citeste: Ce spune BNR despre bazele de date pe care le-a pus la dispozitia SRI