Sistemul național de supraveghere a turiștilor: ca să știe SRI pe unde umbli în vacanțe

Aflăm de la Mediafax că, potrivit unui proiect de lege a turismului se va înființa un Sistem Informatic de Evidenţă a Activităţii de Turism din Romania (SIEATR). Proiectul de lege, ca și expunerea de motive au fost publicate pe 24 august 2017 și puteți trimite comentarii timp de 20 de zile, la autoritatea care a propus proiectul.

SIEATR pare a fi o noua variantă a unui alt proiect anunțat în 2016 (dar mort) numit SIET și care vrea să informatizeze ceea ce există parțial - acea fișă a turistului pe care trebuie să o semnezi când te cazezi la un hotel. Doar că informatizarea aduce cu ea nu doar o simplificare a transmiterii informației, dar și o stocare pe o perioadă mai lungă și probleme substanțiale de viață privată (cine are acces, pentru ce, cât timp etc.?).

Înregistrarea turiștilor

Înainte de studia textul propus, trebuie să remarcăm că subiectul datelor turiștilor și accesul securității la ele este o problemă complexă, nu doar în România. Dacă citiți un raport american mai vechi, puteți vedea ce complicată e situația doar din analiza a 7 state europene. Ca să fie și mai complicat, obligativitatea înregistrării turiștilor este o obligație conform art. 45 din Convenția Schengen, ceea ce face inutilă o discuție cu privire la necesitatea măsurii.

Cu toate acestea, facând o paralelă cu datele pasagerilor de pe liniile aeriene (PNR), în contextul opiniei Curții Europene de Justiție pe acordul Canada - UE din iulie 2017, putem nota că:

• colectarea acestor date reprezintă fără îndoială o ingerință în dreptul la viață privată (vezi par. 121 - 125);
• chiar dacă aceasta ingerință este justitificată, ea trebuie să fie făcută prin "norme clare și precise care să reglementeze conținutul și aplicarea măsurii respective și să impună o serie de cerințe minime" (par. 141).

Ce se propune a fi SIEATR?

SIETR este un sistem care va fi găzduit de către Serviciul de Telecomunicații Speciale (STS) și este compus din trei module, dintre care doar al treilea ridică probleme serioase de colectare excesivă de date personale. Acesta, numit „Fişa de anunţare a sosirii și plecării turistului”, va fi administrat din punct de vedere tehnic de STS şi gestionat de Ministerul Afacerilor Interne (MAI), prin intermediul Inspectoratului General al Poliţiei Române (IGPR).

Iată datele care, potrivit propunerii de lege, vor fi colectate și stocate timp de 5 ani:

• numele și prenumele turistului;
• data naşterii și locul naşterii;
• cetăţenia;
• date referitoare la domiciliu: ţară, localitate, stradă, număr;
• date referitoare la actul de identitate: tipul, seria şi/sau numărul, data eliberării şi instituţia emitentă, statul emitent, codul numeric personal sau numărul personal de identificare;
• data sosirii şi data plecării;
• scopul călătoriei;
• date privind plata, inclusiv adresa de facturare;
• date din profilul "client fidel", dacă există, agenţia sau agentul de turism prin care a fost făcută rezervarea sau a fost cumpărat biletul.

O categorie largă de autorităţi și instituții vor putea utiliza datele cu caracter personal cuprinse în SIEATR:

• Ministerul Afacerilor Interne - Direcţia Generală Management Operaţional;
• Poliţia Română;
• Poliţia de Frontieră Română;
• Direcţia Generală de Protecţie Internă;
• Direcţia Generală Anticorupţie;
• Serviciul Român de Informaţii;
• Serviciul de Informaţii Externe;
• Ministerul Apărării Naţionale - Direcţia generală de informaţii a apărării;
• Ministerul Public.

Scopurile în care pot fi accesate datele sunt și ele extrem de vagi și largi:

a. protejarea turiștilor, a proprietății private și publice;

b. prevenirea și descoperirea infracțiunilor, respectarea ordinii și liniștii publice;

c. protecția martorilor, în conformitate cu legislația în vigoare;

d. depistarea persoanelor care se sustrag urmăririi penale, executării pedepselor sau altor hotărâri judecătorești în materie penală;

e. depistarea persoanelor dispărute;

f. depistarea persoanelor care nu respectă măsura controlului judiciar;

g. prevenirea și înlăturarea amenințărilor la adresa securității naționale prevăzute la art. 3 din Legea 51/1991 privind securitatea României, republicată.

Și evident, multe întrebări...

După cum spuneam și mai sus, în lipsa unor date relevante din partea autorităților competente, tot proiectul arată ca o bază de date (să luăm tot, baieți) aflată la cheremul unor securiști (și a altora). Altfel, pe legea actuală un angajat devotat al SIE poate să invoce că, pentru protejarea turiștillor, poate căuta numele fostei soții, să vadă cu cine a mai plecat ea în concediu.

Limitarea acestor tipuri de abuzuri (că de eradicat oricum e mai greu) se face prin multiple metode - dar majoritatea sunt identificate printr-un audit al datelor personale (Privacy Impact Assesment, oricum obligatoriu din 2018, chiar și pentru sectorul de law enforcement - cf. art. 27 din Directiva 680/2016). Că altfel apar numeroase întrebări legitime legate de datele colectate, cum ar fi (vezi și alte întrebari de la prof. Adrian Munteanu) - ordinea nu este cea a importanței:

• De ce era nevoie de un nou sistem, din moment ce și până acum Poliția putea primi când dorea acele fișe pe hârtie completate de turiști la hoteluri?
• Nu era mai bine pentru protecția datelor, ca informațiile să nu fie stocate centralizat, ci descentralizat la hoteluri?
• Care este rolul colectării anumitor date ? (de ex. client fidel sau scopul călatoriei ori a CNP-ului dacă ai seria de buletin). Sau de ce-ți mai trebuie data nașterii dacă ai CNP-ul?
• O persoană sub urmărire penală se va duce la un hotel și își va da datele corecte? 
• Cum se protejează turiștii prin colectarea datelor?
• Nu ar trebui ca, pentru fiecare instituție care are acces, să se stabilească un scop legat direct de atribuțiile acesteia?
• Care este sancțiunea de accesare dincolo de scopul promis? Cine poate să identifice aceste cazuri?
• De ce serviciul nu este gestionat tehnic tot de MAI și de ce trebuie să mai implicăm o altă înstituție? Sau datele sunt criptate by default și atunci STS nici nu știe ce găzduiește?
• Cine se asigură că hotelurile vor șterge ireversibil datele colectate dupa 1 an? Cine verifică faptul că ei le șterg și din back-upuri? Va trebuie ca fiecare hotel și pensiune să aibă un DPO? Cum vor respecta GDPR?
• De ce se vorbește de anonimizare, când de fapt datele sunt doar mascate, dar în niciun caz nu sunt anonime?
• De ce datele sunt păstrate 5 ani? De ce nu 4? de ce nu 10?
• Cum ne asigurăm că baza de date nu va fi folosită în alt scop? Ce-l împiedică pe SRI să facă o copie și să o includă în SII Analytics (adică fac ce vor cu datele, că oricum invocă "siguranța națională")?
• Cum știm că datele de acolo nu pot fi folosite pentru scopuri de business intelligence (e.g - ia să vedem unde a fost Johannis în concediu în ultimii 5 ani și cu ce mijloace de plată)?
• Având în vedere că este o bază de date cu extrem de multe informații despre persoane din România, care sunt măsurile tehnice ale organizatorilor de siguranță. Cine le verifică? Cine la auditează (pentru că, dacă STS sau SRI își auditează un serviciu unde tot ei au access, atunci mai bine semnăm o hârtie în alb).

Ce întrebări am uitat?

Pentru că nu putem să stăm cu întrebările nerăspunse, o să cerem autorității competente, cf. Legii 52/2003, realizarea unei dezbateri pe această temă.

Foto: Visualhunt.com (CC1.0 - Public Domain Dedication)