CEDO stabilește criteriile pentru inregistrarea cartelelor pre-pay. Ce invatam?

Posted on: 30 January 2020
By: Bogdan Manolea

Update 18.02.2020: Curtea Constitutionala declara OUG 69/2019 neconstitutional în intregime, dupa sesizarea Avocatului Poporului, sustinuta de ApTI si APADOR -CH cu un amicus curiae.

Articol original:

Astazi, 30.01.2020, CEDO a decis intr-un caz impotriva Germaniei ca nu exista o incalcare a dreptului la viata privata in cazul legii germane de obligare a cetatenilor de inregistrare a datelor personale pentru cartele SIM pre-pay.

Daca cititi doar titlul, s-ar putea sa se inteleaga ca CEDO da un “cec in alb”, iar legea romaneasca (care nu este nici pe departe similara - OUG 69/2019) ar trebuie sa fie OK.

Povestea este insa mult mai complicata, si doar citirea intregii argumentatii si a contextului ne poate releva ceea ce deja indicam inclusiv in amicus-curiae trimis in noiembrie 2019 catre Curtea Constituțională a României: legea romana nu este proportionala.

Pe scurt:

CEDO decide (cumva in armonie cu directia sugerata si de CCR in decizia 461/2016) ca statul ar putea sa ceara inregistrarea cartelelor prepay, daca masura poate fi demonstrata ca fiind necesara intr-o societate democratica, fiind proportionala cu scopul urmarit. (detaliat mai jos)
In cazul specific al legislatiei germane – care trecuse de un control de constitutionalitate german (care de obicei este foarte riguros pe partea de protectie a datelor personale) si care a clarificat multe din punctele in suspensie - CEDO a decis cu 6 la 1 ca acest test de proportionalitate a fost respectat in mare masura.
In acelasi timp CEDO decide ca o astfel de masura este o limitare a dreptului la viata privata (aspect pe care autoritatile romanesti l-au contestat la orice propunere legislativa de pina acum), iar criteriile de proportionalitate si garantile trebuie sa fie existe si sa fie clare, pentru ca masura sa nu fie o incalcare a art 8.
Ca un comentariu personal – in acest caz persoanele care au facut plangere au mers foarte mult in abstract, nesuferind vreo incalcare personala a dreptului la viata privata care sa dovedeasca ca acele criterii nu sunt respectate in practica. (spre deosebire de alte cazuri destul de similare citate de CEDO unde s-a constatat incalcare art 8.)

Mai pe lung:

Partea buna din decizia CEDO (dincolo si de opinie separata a judecatorului Ranzoni care ajunge la concluzia ca testul de proportionalitate nu este atins nici de legea germana in cauza) este ca intra mai in detaliul criteriilor de proportionalitate care trebuie sa fie evaluate intr-o astfel de legislatie (si care fac parte dintr-o analiza de impactul asupra protecției datelor pe care am cerut-o insistent, fara succes, in cazul legislatiei din Romania). Cateva detalii – si in raport cu legea romana actuala:

CEDO subinieaza inca o data ca o astfel de masura afecteaza asupra dreptului la viata privata, lucru necontestat in procedura nici de guvernul german. In acest context, este mai mult decat evident ca o astfel de lege nu poate adoptata prin OUG, cum este cazul in Romania
Este important ca legea sa contina informatii clare si detaliate cu privire la – cel putin – durata stocarii, folosirea datelor, accesul tertelor parti, procedurile pentru pastrarea integritatii si confidentualitatii datelor, ca si procedurile pentru distrugerea lor. (par 83)
Legea germana se refera la folosirea aceste baze de date exclusiv pentru depistarea infractiunilor si prevenirea terorismului.
Datele colectate trebuie sa fie limitate. (de ex. In varianta germana nu se cere o confirmare ca sunt datele din actul de identitate sau o copie a acestuia) si nu trebuie sa fie date de trafic, locatia (auch!), date privind comunicatiile (par 92-95)
Durata de stocare este extrem de limitata si clara (maxim 2 ani de la incheierea perioadei contractuale sau de folosire) (legea romana are un termen de 5 ani, stabilita fara nicio analiza sau justificare)
In cazul german, exista garantii clare si precise cu privire la institutiile care au acces, pentru ce tipuri de cazuri, cu o baza legala precisa pentru acces, accesul este limitat doar la datele care sunt realmente necesare si unde exista deja o suspiciune rezonabila si exista posibilitatea de revizuire si control eficient al accesului. (In legea romana aceaste garantii sunt practic inexistente)
Toate informatiile sunt logate si exista posibilitatea de investigare de autoritati de protectia a datelor personale, iar persoanele fizice afectate se pot plange acestor autoritati (iarasi, in Romania aceste masuri sunt inexistente)