legea securității cibernetice

Avocatul Poporului ne apără de abuzurile SRI întrebând SRI ce părere are

15/11/2023/în Buna guvernare, Comunicate, Slider /de Rasista

Am cerut AVP că atace la CCR un articol din Legea securității naționale, care dă puteri discreționare SRI în timpul campaniei electorale și nu numai. AVP ne-a răspuns după 4 luni că a zis SRI că ne putem plânge în instanță dacă considerăm că ni se încalcă drepturile

Am cerut în luna iulie Avocatului Poporului să atace la Curtea Constituțională o prevedere introdusă anul trecut în Legea securității naționale (art 3 litera p) care îi dă Serviciului Român de Informații puterea de a se amesteca în viața publică, de exemplu în campaniile electorale, și de a decide cine comunică corect și cine dezinformează. Legea mai fusese atacată la CCR, tot de AVP și la solicitarea APADOR-CH, dar CCR o declarase constituțională, în ciuda existenței unor articole formulate vag, care pot da naștere la abuzuri.

Între timp, însă, la câteva luni după pronunțarea CCR, un general SRI a făcut declarații halucinante în spațiul public, arătând exact cum interpretează SRI unul dintre articolele problematice din lege. Generalul Anton Rog a afirmat că SRI poate, conform legii, să intervină în campania electorală și să „pună jos” site-uri și campanii online care influențează alegerile și voința electoratului, iar prin asta schimbă ordinea constituțională. Cu alte cuvinte, cei care propagă idei contrare celor oficiale și, din această cauză, ar putea câștiga alegerile, trebuie consideraţi ameninţări la securitatea naţională.

Considerând că declarațiile generalului exemplifică perfect temerile existente încă de la promulgarea legii, APADOR-CH a cerut din nou AVP să atace la CCR articolul 3 litera p din Legea 51/1991, întrucât formularea deficitară a acestuia poate duce la încălcări ale drepturilor fundamentale. Declarațiile generalului Rog au constituit o dovadă clară, și apărută ulterior deciziei CCR nr. 70/2023, în sensul că SRI, în practică, speculează ambiguitatea textului declarat OK de CCR, ambiguitate care permite o aparență de legalitate pentru intervenția SRI în procesul electoral.

După o lungă perioadă de gândire (de aproape patru luni), Avocatul Poporului ne-a răspuns zilele trecute spunând că a decis să NU atace din nou legea la CCR, întrucât a mai atacat-o o dată și Curtea a zis că e constituțională și că SRI nu sancționează chiar orice campanie de dezinformare, ci numai pe alea mai grave. În plus, de data asta, AVP a întrebat și SRI ce părere are. Și SRI a zis că nu vede nicio problemă, cine se simte lezat de acțiunile sale e liber (încă) să se plângă de asta justiției și diverselor comitete și comisii de anchetă și control al SRI.

Ca o consolare, AVP ne-a asigurat că va veghea în continuare asupra drepturilor noastre și va acționa imediat ce va vedea că, prin noua lege, ne sunt încălcate la următoarele alegeri.

Nu negăm că în noua situație mondială, în care se discută mult despre influențele străine asupra proceselor electorale din UE și nu numai, este nevoie de un mecanism institutional de apărare și garantare că alegerile se derulează corect, fără interferențe ilegale. Totuși, acest instrument este unul sensibil, iar instituirea lui printr-un articol de lege ambiguu poate face mai mult rău decât bine, poate să ne „protejeze” atât de mult alegerile încât să nu ne mai lase să alegem decât ce vrea SRI.

———–

Ce spune concret articolul 3 litera p din legea 51/1991 a securității naționale, modificat prin noua Lege a securității cibernetice 58/2023:

Art. 3. – Constituie ameninţări la adresa securităţii naţionale a României următoarele:

(…)

p) acţiuni derulate de către o entitate statală sau nonstatală, prin realizarea, în spaţiul cibernetic, a unor campanii de propagandă sau dezinformare, de natură a afecta ordinea constituţională.”

———–

Ce a declarat generalul Rog de la SRI în luna iulie 2023, după ce CCR a stabilit că legea e constituțională:

Mandatul e simplu. Pe 14 martie, după ce a fost atacată la CCR Legea securității și apărării cibernetice – e o Curte care acum văd că ține cu România – Curtea a declarat legea constituțională în integralitatea sa. La art. 3 s-au adăugat trei litere. Litera „p” e cea care se referă la acțiuni hibride, dezinformare, dar numai acelea care schimbă ordinea constituțională, și dacă discutăm despre alegeri, ne aflăm în această situație.

Deci din martie avem lege care ne obligă să acționăm. Ce face Centrul în această situație? Dacă acea campanie e una de dezinformare, un atac hibrid la ordinea constituțională, adică influențează alegerile, influențarea însemnînd că voința electoratului, care e parte din Constituție, este schimbată, adică votul nu mai e conform voinței fiecăruia și există influențe care conduc către alte procente și se schimbă ordinea constituțională, atunci noi ne folosim toate mijloacele și forța de care dispune Serviciul de informații pentru a elimina acea amenințare. Asta înseamnă că contracarăm campania online, înseamnă că dacă discutăm de o agenție de informații sau de siteuri, le punem jos, cu ajutorul ANCOM, cu ajutorul Directoratului Național de Cibernetică, în multe situații nici nu se știe că noi suntem în spate și facem toată treaba. Mergem către instituțiile care au atribuții de a le închide, le dăm toate informațiile, iar ele iau acele măsuri. Dacă ajungem și la persoane despre care știm sigur că fac treburile alea, la fel, luăm în mai puțin de o oră un mandat pe securitate semnat electronic de director, de procuror, de procurorul general, de un judecător de la ÎCCJ. Nu se mai face nimic pe hârtie, totul e electronic”.

————

Citește răspunsul integral al AVP în care este inclus „în esență” și răspunsul SRI.

Cerem Avocatului Poporului să atace la CCR textul de lege care anulează alegerile libere

20/07/2023/în Buna guvernare, Comunicate, Slider /de Rasista

Un articol din noua Lege a securității cibernetice permite SRI să decidă cine are dreptul să candideze la viitoarele alegeri, cum să-și facă campanie electorală și pe cine vor pune ștampila alegătorii

APADOR-CH a transmis astăzi Avocatului Poporului încă o solicitare de a ataca la Curtea Constituțională un articol introdus in Legea securității naționale, prin noua Lege a securității cibernetice.

Concret este vorba despre articolul 3 lit. p) din Legea nr. 51/1991 privind securitatea națională a României, modificat prin noua Lege a securității cibernetice 58/2023. Acesta are următorul conținut:

Art. 3. – Constituie ameninţări la adresa securităţii naţionale a României următoarele:

(…)

p) acţiuni derulate de către o entitate statală sau nonstatală, prin realizarea, în spaţiul cibernetic, a unor campanii de propagandă sau dezinformare, de natură a afecta ordinea constituţională.”

Printr-o redactare ambiguă, acest articol ridică probleme de constituţionalitate pentru că transformă în ameninţări la securitatea naţională (ce pot fi calificate şi ca infracţiuni prevăzute de art. 404 cod penal) orice opinii, politice sau nu, prezentate publicului de oricine, persoană fizică, asociație sau partid politic, care candidează în alegeri, dacă aceste opinii contrazic sau ies din tiparul unei anumite linii „oficiale” de gândire trasată de autorităţile publice şi, după cum se va vedea în continuare, supervizată de SRI.

Potrivit textului de lege în discuție, dacă ideile propagate de un candidat/partid politic conving electoratul, ele devin contrare ordinii constituționale, pentru că modifică rezultatul alegerilor, în sensul că nu vor mai fi votate aceleași partide de la putere, ci partidele ale căror idei au convins alegătorii. Cu alte cuvinte, cei care propagă idei contrare celor oficiale și, din această cauză, ar putea câștiga alegerile, trebuie consideraţi ameninţări la securitatea naţională.

Cine apreciază dacă o persoană, fizică sau juridică, oricare ar fi ea, inclusiv asociaţie sau partid politic, „dezinformează” sau face „propagandă”, în sensul echivocei „litere p)”, şi, prin asta, afectează ordinea constituțională, adică securitatea naţională? Desigur că SRI, care, când apreciază că „dezinformarea” sau „propaganda” pot afecta ordinea constituţională (de exemplu, pot afecta rezultatul alegerilor) solicită ICCJ emiterea unui mandat de supraveghere pe motiv de securitate naţională (MSN). Rata aprobării de către ICCJ a cererilor de emitere a MSN variind, anual, între 99,99% şi 100%, este evident că entitatea care decide dacă o persoană dezinformează sau nu ori face propagandă sau nu şi prin asta periclitează securitatea naţională este SRI.

Așadar, în viitoarea campanie electorală, SRI va fi instituția abilitată din România, conform noii legi, să decidă cine și ce are voie să spună, să blocheze site-uri, să cenzureze discursuri politice pe care le consideră „dezinformare” și în ultimă instanță, să decidă pe cine avem voie să votăm.

Raţionamentul de mai sus nu este o simplă teorie, ci este o realitate exprimată explicit, într-un interviu recent, de un factor de conducere din SRI, respectiv de generalul SRI Anton Rog, șeful Centrului național Cyberint. Generalul SRI a ţinut să sublinieze că până la introducerea „literei p)” [art. 3 lit. p din Legea 51/1991] nu era posibil ca discursul politic al partidelor de opoziţie, care poate atrage voturi de la alegători, să fie calificat ca o ameninţare la securitatea naţională şi şi-a exprimat deplina satisfacţie că din 2023 acest lucru a devenit posibil.

Cetăţenii nu vor putea vota liber, pentru a alege un partid sau un candidat despre care consideră că îi reprezintă. Ei vor putea alege doar dintre partidele sau candidaţii despre care SRI apreciază că „merită” să candideze, adică dintre partidele/candidaţii despre care SRI apreciază, după criterii proprii, că nu „dezinformează” sau fac „propaganda” în alegeri. Aceasta este o încălcare evidentă a dreptului la liberă exprimare prevăzut în art. 30 din Constituţie, a dreptului la informaţie prevăzut de art. 31 din Constituţie, a dreptului de vot prevăzut în art. 36 din Constituţie, a dreptului de a fi ales prevăzut în art. 37-38 din Constituţie, a dreptului de asociere prevăzut în art. 40 din Constituţie.

Întrucât permite intruziunea masivă a serviciilor de informaţii, în special a SRI, în viaţa politică şi în exercitarea mai multor drepturi (la liberă exprimare, la alegeri libere, la asociere), considerăm că art. 3 lit. p) din Legea 51/1991 intră în contradicţie şi cu prevederile art. 1 al. 3 şi 4 din Constituţie care garantează că România este un stat de drept, care funcţionează în cadrul democraţiei constituţionale.

APADOR-CH a semnalat aceste aspecte încă de când proiectul de lege era dezbătut în Senat, iar ulterior, după adoptare, a cerut Avocatului Poporului să atace la CCR articolul 3 litera p). Avocatul Poporului a atacat legea la CCR, dar nu pentru acest articol, prin urmare un nou demers către Curte se poate face, întrucât CCR încă nu s-a pronunţat pe o sesizare privind art. 3 lit. p) din Legea 51/1991.

***

Declarațiile generalului SRI Anton Rog pot fi urmărite în acest interviu video. Referirile redate mai jos se găsesc la minutul 49 din interviu, dar interviul merită urmărit integral, întrucât se referă la diverse alte mijloace prin care SRI se laudă că influențează voința populară, de exemplu prin „inginerie socială”:

Mandatul e simplu. Pe 14 martie, după ce a fost atacată la CCR Legea securității și apărării cibernetice – e o Curte care acum văd că ține cu România – Curtea a declarat legea constituțională în integralitatea sa. La art. 3 s-au adăugat trei litere. Litera „p” e cea care se referă la acțiuni hibride, dezinformare, dar numai acelea care schimbă ordinea constituțională, și dacă discutăm despre alegeri, ne aflăm în această situație.

Deci din martie avem lege care ne obligă să acționăm. Ce face Centrul în această situație? Dacă acea campanie e una de dezinformare, un atac hibrid la ordinea constituțională, adică influențează alegerile, influențarea însemnînd că voința electoratului, care e parte din Constituție, este schimbată, adică votul nu mai e conform voinței fiecăruia și există influențe care conduc către alte procente și se schimbă ordinea constituțională, atunci noi ne folosim toate mijloacele și forța de care dispune Serviciul de informații pentru a elimina acea amenințare. Asta înseamnă că contracarăm campania online, înseamnă că dacă discutăm de o agenție de informații sau de siteuri, le punem jos, cu ajutorul ANCOM, cu ajutorul Directoratului Național de Cibernetică, în multe situații nici nu se știe că noi suntem în spate și facem toată treaba. Mergem către instituțiile care au atribuții de a le închide, le dăm toate informațiile, iar ele iau acele măsuri. Dacă ajungem și la persoane despre care știm sigur că fac treburile alea, la fel, luăm în mai puțin de o oră un mandat pe securitate semnat electronic de director, de procuror, de procurorul general, de un judecător de la ÎCCJ. Nu se mai face nimic pe hârtie, totul e electronic”.

În concluzie, din declarațiile generalului SRI Anton Rog, șeful Centrului național Cyberint, rezultă suficient de clar că partidele politice nu îşi vor putea face decât o campanie electorală agreată/acceptată de SRI, în caz contrar site-urile care nu se conformează vor fi „puse jos, cu ajutorul ANCOM”, iar SRI va folosi „toate mijloacele și forța de care dispune Serviciul de informații pentru a elimina acea amenințare”.

Dacă un partid va fi considerat de SRI o amenințare, va fi eliminat. Dacă o persoană/candidat va fi considerată de SRI o amenințare, va fi eliminată.

Iar toate aceste intruziuni ale SRI în viaţa politică şi în libertatea de exprimare sunt permise de noua „literă p)”, care a fost adăugată în acest an la art. 3 din Legea 51/1991, astfel cum declară, cu satisfacţie nedisimulată, generalul SRI Anton Rog, șeful Centrului național Cyberint.

UPDATE 23 august 2023 – Avocatul Poporului ne-a răspuns că analizează constituționalitatea legii și că ne va anunța dacă va decide să o atace la CCR sau nu.

Răspunsul Avocatului Poporului

UPDATE 15 noiembrie 2023 – Avocatul Poporului ne-a răspuns că a decis să NU atace din nou legea la CCR, întrucât a mai atacat-o o dată și Curtea a zis că e constituțională și că SRI nu sancționează chiar orice campanie de dezinformare, ci numai pe alea mai grave. În plus, de data asta, AVP a întrebat și SRI ce părere are. Și SRI a zis că nu vede nicio problemă, cine se simte lezat de acțiunile sale e liber (încă) să se plângă de asta justiției și diverselor comitete și comisii de anchetă și control al SRI.

Citește răspunsul integral al AVP în care este inclus „în esență” și răspunsul SRI.

Moș Parlament vine cu amenzi uriașe și pușcărie pentru cine amenință cu vorba securitatea cibernetică a statului

21/12/2022/în Buna guvernare, Comunicate, Slider /de Rasista

Noua lege a securității cibernetice, discutată azi în Senat, instituie amenzi mai mari decât cele de circulație, pentru o simplă virusare a unui laptop, și ani de închisoare pentru opinii contrare cu cele oficiale, exprimate în mediul online. Plus alte prevederi aberante, care vor militariza Internetul civil și vor da posibilitatea MApN să „cheme la oaste” orice furnizor privat de Internet din România

Proiectul de Lege privind securitatea şi apărarea cibernetică a României a fost adoptat de Camera Deputaților în urmă cu două zile, în forma propusă de Guvern, deși mai multe voci din societatea civilă, inclusiv APADOR-CH, au atras atenția asupra câtorva prevederi aberante din proiectul supus dezbaterii. Această variantă se discută azi în Senat, unde pare puțin probabil să se mai schimbe ceva, judecând după viteza cu care se dorește adoptarea acestei legi așa cum a fost concepută de inițiatori, ignorând complet propunerile venite de la societate.

Pe lângă militarizarea întregului spațiu virtual românesc, sub pretextul securizării sale, legea conține o serie de termeni neclari care lasă loc arbitrariului în aplicarea ei (de la entitățile cărora li se aplică până la definirea neclară a ceea ce înseamnă incident de securitate) și amendează cu sume exorbitante nerespectarea unor prevederi neclare. Iar în final, legea conține și un articol care modifică altă lege, 51/1991 privind securitatea națională, incriminând transmiterea online de opinii contrare cu acțiunile statale. De exemplu niște opinii antivacciniste, exprimate pe Facebook, ar putea fi încadrate ca amenințări la securitatea națională și pedepsite cu dosar penal și eventual închisoare de la 6 luni la 5 ani, conform Codului penal.

1Pe cine vizează legea? Pe noi toți

Legea se aplică rețelelor naționale (gestionate de autorități), dar vizează și orice furnizor de internet şi orice reţele sau sisteme informatice din mediul privat, considerate de interes public, așadar orice instituție de presă, ONG sau entitate privată care furnizează servicii publice ori de interes public vor cădea sub incidența legii. În acest context, APADOR-CH a transmis luna trecută cinci amendamente la forma propusă de Ministerul Cercetării, prin care ceream modificarea sau înlăturarea articolelor care instituie o militarizare a Internetului național, sub pretextul securizării. APADOR-CH consideră că a introduce toate reţelele şi sistemele informatice în sistemul de protecţie a securităţii naţionale este excesiv şi dăunător pentru libertatea de exprimare şi dreptul la viaţă privată.

Ministerul Apărării Naționale (MApN) a pretins că e de datoria lui să apere fruntariile virtuale ale Internetului, inclusiv pe cel civil, la fel cum apără spațiul aerian și maritim al țării. Totuși, ca o concesie făcută societății civile, a promis că va renunța la articolul 30 din proiect, care prevedea că MApN poate convoca mediul privat pentru formare şi instruire periodică, după cum apreciază necesar, pe baza unor criterii pe care tot MApN le va stabili printr-o lege pe care urmează să o iniţiere. Nu s-a ținut de cuvânt, prevederea a rămas și în forma adoptată de Camera Deputaților, dar la articolul 31, iar, în loc de lege, acele criterii se vor stabili prin HG.

APADOR-CH consideră că legea are nevoie de o mai mare precizie la stabilirea domeniului de aplicare, prin evitarea formulărilor ambigue (de la articolul 3), pentru a putea fi stabiliți foarte clar destinatarii legii, mai ales că în sarcina acestora sunt prevăzute obligații, însoțite de sancțiuni severe, în caz de nerespectare a obligațiilor.

2 Ce înseamnă incident de securitate cibernetică? Se notifică sau se comunică?

Conform noii legi, orice incident de securitate trebuie „notificat” către Platforma naţională pentru raportarea incidentelor de securitate – PNRISC în termen de 48 de ore. În caz contrar sunt prevăzute amenzi usturătoare. Legea nu este clară, însă, nici la definirea incidentelor de securitate cibernetică. Acestea sunt definite aparent la art. 2 lit. n din proiect, dar definiția nu este clară, fiind făcută prin trimitere la noțiunea de „securitate cibernetică”, definită și ea la art. 2 lit. y din proiect, dar care suferă tot de lipsa clarității.

Ambiguitatea celor două definiții legale poate duce la situația din practică în care orice nefuncționare a unui laptop să poată fi considerată incident de securitate cibernetică. Este nevoie ca în proiect să fie definite mult mai clar și previzibil cele două noțiuni, de care sunt legate multe și importante obligații ale deținătorilor de laptopuri.

De exemplu, în timpul dezbaterii publice organizate de Ministerul Cercetării pe marginea acestui proiect de lege, a avut loc un incident de securitate: un participant la dezbatere a afișat mai multe imagini porno chiar pe ecranul din spatele prezidiului oficial, profitând de posibilitatea de share screen uitată activă pentru participanții online la dezbatere. Un astfel de incident, pentru care ministerul a acuzat întreaga audiență, în loc să-și găsească vinovații în propriul departament IT, ar putea fi, conform legii care trece azi prin Senat, un incident de securitate care trebuie notificat autorităților în termen de 48 de ore. Sau poate nu este decât o încercare a societății civile inconștiente, de a duce în derizoriu eforturile susținute ale autorităților de a ne apăra chiar și împotriva voinței noastre…

La fel de ambigue sunt și cele două noțiuni folosite pentru anunțarea incidentului de securitate cibernetică: omisiunea de „notificare” și omisiunea de „comunicare completă” sunt în același timp și contraventii diferite (art. 48 din proiect). Numai noțiunea de „notificare” este definită (la art. 22 din proiect, prin trimitere la o altă lege L362/2018), dar noțiunea de „comunicare completă” nu este definită, astfel că nu se poate ști dacă, atunci când ai raportat un incident, acea raportare a fost „notificare” sau „comunicare completă” și deci dacă ești absolvit de amendă.

3 Ce presupune notificarea?

Aparent, sesizarea PNRISC de către victima unui incident de securitate cibernetică pare a fi benefică, deoarece respectiva platformă este special destinată rezolvării unor astfel de incidente. Dar, din cauza definirii neclare a noțiunii de incident de securitate cibernetică, se poate ajunge la situația în care pentru o simplă virusare sau pentru o aparentă virsuare (o nefuncționare normală) a unui laptop, orice persoană care are o activitate ce poate fi considerată (nu se știe de către cine?) ca fiind de interes public să fie obligată să sesizeze PNRISC.

Aceasta este, totuși, o intruziune importantă în viața privată a persoanei, intruziune asupra căreia deținătorul laptopului nu are, deși ar trebui, un drept de liberă apreciere, adică nu poate opta dacă se adresează sau nu PNRISC, ci există o obligație legală strictă, sancționată sever cu amendă contravențională, de a se adresa PNRISC și, implicit, de a pune la dispoziția unor terți o multitudine de date și informații privind viața sa privată sau profesia sa.

De aceea, ar trebui ca obligația de raportare a incidentelor de securitate cibernetică (art. 22 din proiect), astfel cum sunt ele definite ambiguu la art. 2, să fie prevăzută doar pentru autoritățile/instituțiile din sectorul public, lăsând pentru entitățile din mediul privat doar facultatea (nu obligația) de a sesiza PNRISC.

4 E mai ieftin să mergi pe contrasens pe autostradă decât să ai un laptop virusat și să nu anunți „organul”

În caz de omitere a sesizării PNRISC, amenzile sunt disproporționat de mari. Cea mai mică amendă este de 5.000 lei, iar cea mai mare este de 10% din cifra de afaceri sau, după caz, din totalul veniturilor realizate în anul anterior. Pentru cei fără afaceri (organizații nonprofit), amenda maximă este de 25 de salarii minime brute pe economie (momentan circa 64.000 lei, adica 25×2.550 de lei, deși de la 1 ianuarie 2023 salariul minim brut crește la 3.000 de lei).

Este necesară o reașezare a amenzilor în limite rezonabile, având în vedere că provocarea unor accidente de circulație, generate tot de omisiunea respectării unor obligații legale, accidente care se pot solda cu pierderi de vieți omenești, este mult mai ieftină, din punct de vedere al amenzilor contravenționale, decât afectarea unor sisteme informatice. De exemplu întoarcerea și circulația pe contrasens pe autostradă sau neoprirea la bariera de cale ferată se amendează cu maximum 3.000 de lei.

5 Opiniile contrare se bagă la pușcărie

Bomboana de pe legea asta care ne apără de pericolele Internetului este art. 50 din proiectul de lege, prin care se introduce, oarecum pe șest, o literă (lit. p) la art.3 din Legea 51/1991 privind securitatea națională, unde sunt definite amenințările la adresa securității naționale.

Textul propus (lit. p la art. 3 din Legea 51/1991) este următorul:

p) acţiuni derulate de către o entitate statală sau nonstatală, prin realizarea, în spaţiul cibernetic, a unor campanii de propagandă sau dezinformare, de natură a afecta ordinea constituţională

Devine astfel infracțiune exprimarea unor opinii pe contrasensul acțiunii statale de vaccinare (de exemplu) sau punerea unor intrebări incomode sau formularea de opinii contrare unei politici oficiale a statului, cum ar fi politica de vaccinare, chiar dacă e vorba de vaccinare cu seruri noi, netestate la data administrării.

Calificarea ca amenințări la adresa securității naționale, a unor poziții publice împotriva cursului politicii oficiale a statului, va face ca autorii acestor poziții critice, îndreptate „împotriva curentului”, să devină autori ai unei infracțiuni contra securității statului, prevăzută la art. 404 din Codul penal, infracțiune denumită „Comunicarea de informații false” și care are următorul conținut:

Comunicarea sau răspândirea, prin orice mijloace, de ştiri, date sau informaţii false ori de documente falsificate, cunoscând caracterul fals al acestora, dacă prin aceasta se pune în pericol securitatea naţională, se pedepseşte cu închisoarea de la unu la 5 ani.”

Până acum, din cauză că aceste poziții critice orientate împotriva curentului politicii oficiale nu erau calificate de Legea 51/1991 ca amenințări la adresa securității naționale, aceste critici deranjante pentru putere nu puteau fi încadrare în infracțiunea din art. 404 Cod penal. Acum, după includerea acestor critici în categoria amenințărilor la securitatea națională, va fi relativ simplu de inițiat dosare penale, pentru o infracțiune gravă – privind securitatea națională – criticilor mai mult sau mai puțin înverșunați, ai puterii politice.

APADOR-CH solicită Senatului eliminarea lit. p la art. 3 din Legea 51/1991, precum și amendarea celorlalte articole din proiectul votat deja de Camera Deputaților, menționate în documentul transmis, ce poate fi citit pe larg aici.

O opinie în acest sens a publicat și Asociația Pentru Tehnologie și Internet.

UPDATE 22 decembrie 2022 – Legea a trecut de Senat fără modificări semnificative.

Alături de alte organizații, APADOR-CH a semnat sesizarea către Avocatul Poporului pentru atacarea legii la CCR

UPDATE 27 decembrie 2022

Avocatul Poporului a sesizat Curtea Constituțională privind neconstituționalitatea Legii securității cibernetice

UPDATE noiembrie 2023 – În martie 2023 CCR a stabilit că Legea securității naționale, modificată prin Legea securității cibernetice, este constituțională. Totuși, în iulie, declarațiile unui general SRI au arătat că există articole problematice în lege, care permit SRI să se implice în alegeri și să le controleze, sub pretextul combaterii dezinformării. APADOR-CH a cerut din nou AVP să atace Legea securității naționale la CCR. După patru luni de gândire, Avocatul Poporului ne-a răspuns că a decis să NU atace din nou legea la CCR, întrucât a mai atacat-o o dată și Curtea a zis că e constituțională și că SRI nu sancționează chiar orice campanie de dezinformare, ci numai pe alea mai grave. În plus, de data asta, AVP a întrebat și SRI ce părere are. Și SRI a zis că nu vede nicio problemă, cine se simte lezat de acțiunile sale e liber (încă) să se plângă de asta justiției și diverselor comitete și comisii de anchetă și control al SRI.

Citește răspunsul integral al AVP în care este inclus „în esență” și răspunsul SRI.

sursa foto

Domnule prim-ministru, așteptăm calendarul discuțiilor așezate

30/03/2016/în Comunicate, Slider /de Rasista

APADOR-CH împreună cu mai multe organizații neguvernamentale i-au scris azi premierului Dacian Cioloș, cerându-i să pună în practică promisiunea cu „discuțiile așezate” pe tema legilor pe care SRI dorește să le impună pe fondul atentatelor teroriste de la Bruxelles.

Textul scrisorii

București, 30 martie 2016

Domnule Prim Ministru Dacian Cioloș,

Ați zis ieri o vorbă mare: „Cred că e important să ne învățăm în societatea românească să discutăm așezat și să luăm decizii în cunoștință de cauză.”

Și noi credem la fel. Și noi așteptăm cu interes vremea când o să discutăm așezat. Cu argumente și fapte. Cu analize de impact serioase, bazate pe cifre. Cu atenție la impactul asupra drepturilor fundamentale pentru proiectele de lege care au fost deja declarate cel puțin o dată neconstituționale.

Dar, din păcate, ce am văzut în ultimele două luni este departe de declarația dumneavoastră.

Vă reamintim:

După declarația dumneavoastră referitoare la înregistrarea cartelelor pre-pay, ministrul pentru Comunicații și pentru Societatea Informațională a anunțat că proiectul va intra într-un „regim de avizare rapid. Toate chestiunile legate de neconstituționalitate au fost eliminate.” Nu s-a anunțat nimic de vreo dezbatere publică. Nicio analiză de impact asupra drepturilor fundamentale. Nimic despre studiul de impact cu privire la cum va afecta industria. Nu am înțeles nici cum un terorist nu va putea să dea 3 lei unui om al străzii cu buletin ca să-i cumpere o cartelă. Așteptăm dezbaterea reală cu argumente.

În urmă cu aproximativ două săptămâni, Guvernul dumneavoastră a reușit contraperformanța de a adopta un nou tip de act normativ – Ordonanța de Urgență a CSAT cu privire la interceptarea comunicațiilor, într-un timp demn de un record mondial – o singură zi. Nici acolo n-am văzut o dezbatere, ci doar un proiect ieșit pe surse, iar proiectul era diferit de ce ați publicat ulterior în Monitorul Oficial. Ați anunțat apoi că „este nevoie de o amplă dezbatere publică pentru organizarea unei instituții responsabile pentru punerea în executare a supravegherii tehnice.” De atunci a fost liniște pe acest subiect. Așteptăm dezbaterea reală, cu argumente.

Acum puțin peste o lună, s-a încheiat dezbaterea publică privind legea securității cibernetice. Încă nu s-au publicat răspunsurile punctuale la cu propunerile avansate, dar deja ministrul societății Informaționale a participat la o conferință în care a explicat cum se va implementa legea (ca și cum proiectul nu ar putea suferi modificări în Parlament). De asemenea, am aflat deja că proiectul va ajunge în Parlament undeva în luna aprilie și că trebuie să fie „discutat în regim de urgență.” Nicio vorbă despre cele șase puncte concrete de neconstituționalitate pe care le-am tot adus în discuție. Pare ca unii politicieni cred că rezolvarea acestora se face prin corectarea virgulelor într-un text. Proiectul de lege prevede un impact bugetar 0 și un impact asupra sectorului privat care este tot 0. Dar un calcul empiric și parțial, dacă ne uităm doar la obligația de audit, ne duce la cel puțin 1000 euro x 400.000 firme = 400.000.000 euro/an doar pentru sectorul privat (art 18. alin 1 din propunerea de lege). Așteptăm dezbaterea reală cu argumente și cu participarea tuturor celor afectați.

Domnule Prim-Ministru, dorim să fim profesioniști și să facem ca la Bruxelles – nu cu informații prin presă că există un grup de lucru interministerial care lucrează, ci cu documente și argumente concrete despre proiectele de lege care pot afecta drepturile fundamentale ale cetățenilor. Dorim să discutăm cu documentele pe masă despre:

Analiza de nevoi care să conțină inclusiv
- Studiu de impact asupra drepturilor omului (practică CEDO, CEJ, CCR, garanții, urmărirea scopului legitim, necesitatea într-o societate democratică, proporționalitatea cu scopul urmărit)
- Impactul real asupra bugetului
- Impactul real asupra sectorului privat
- Eventual analiza cadrului similar european și mondial, dacă este cazul.
Textul politicii publice propuse, cu variante de adoptare posibile și efectele lor.
Stabilirea unui calendar ferm de dezbateri publice – online și offline.

După cum spuneam, așteptăm dezbaterea reală cu argumente pentru toate proiectele de mai sus. Pentru primul pas, așteptăm calendarul discuțiilor așezate.

Cu respect,

Bogdan Manolea, Asociația pentru Tehnologie și Internet (ApTI)

Ioana Avădani, Centrul pentru Jurnalism Independent

Mircea Toma, ActiveWatch

Georgiana Iorgulescu, CRJ

Mihail Bumbeș, Miliția Spirituală

Maria-Nicoleta Andreescu, APADOR-CH

Ovidiu Voicu, Centrul pentru Inovare Publică

Elena Calistru, (Asociația) Funky Citizens

Cătălin Hegheș, AMPER

Legea securității cibernetice, încă o tentativă a serviciilor de a intra în viața privată a cetățenilor, e neconstituțională

21/01/2015/în Comunicate, Slider /de Rasista

Asociația pentru Apărarea Drepturilor Omului în România – Comitetul Helsinki (APADOR-CH) și Asociația pentru Tehnologie şi Internet (ApTI) salută decizia CCR de a declara neconstituțională, în ansamblu, Legea securității cibernetice. Această lege reprezintă încă o tentativă a legiuitorului, împreună cu serviciile de informații, de intruziune în viața privată a individului sub pretextul luptei împotriva terorismului.

Conform comunicatului CCR legea este considerată neconstituțională în ansamblul ei, judecătorii considerând că sunt mai multe articole, decât semnalase societatea civilă, care încalcă Constituția. Principalele articole neconstituționale, așa cum au fost ele sesizate de societatea civilă sunt 2, 3, 16 și 17.

În ultimii cinci ani România a traversat o întrecere absurdă între autoritățile statului – care au impus legi pentru controlul absolut asupra comunicațiilor cetățenilor – și justiția, care le-a declarat neconstituționale. Organizațiile semnatare au semnalat de fiecare dată aceste derapaje și au cerut parlamentarilor țării să-și înfrâneze slăbiciunile în fața serviciilor de informații și să-și canalizeze eforturile spre legiferarea conformă cu interesul public și în respect față de drepturile fundamentale ale omului.

Considerăm că după patru verdicte naționale de neconstituționalitate, plus o invalidare europeană, date în ultimii 5 ani pe aceeași temă, Parlamentul, Guvernul și serviciile de informații ar trebui să înțeleagă că dorințele lor contravin drepturilor fundamentale ale cetățenilor.

O cronologie a invalidării legilor din categoria „Big brother”:

– Reţinerea datelor de trafic, de localizare şi de identificare, de către furnizorii de servicii şi reţele de comunicaţii electronice a generat nenumărate controverse încă de la apariţia Directivei europene nr. 2006/24/UE. În România, prima lege (Legea nr.298/2008) prin care s-a dorit transpunerea directivei a fost declarată neconstituţională, Curtea Constituţională (CCR) bazându-şi argumentele în principal pe încălcarea dreptului la viaţă privată prin obligaţia general aplicabilă de a păstra date care sunt legate în mod direct de comunicaţiile private ale tuturor cetăţenilor.

– În 2012, o nouă lege privind reținerea datelor (Legea nr.82/2012) a fost adoptată de către Parlamentul României. Și aceasta a fost declarată neconstituțională de către CCR, în iulie 2014. Cu unanimitate de voturi, Curtea a admis excepţia de neconstituţionalitate şi a constatat că dispoziţiile Legii nr.82/2012 privind reţinerea datelor sunt neconstituţionale.

– Însăși Directiva europeană privind retenția datelor a fost invalidată în luna aprilie 2014, de Curtea de Justiție Europeană. Aceasta a deschis calea statelor europene care implementaseră directiva să-și abroge legile naționale.

– În loc să profite și să abroge Legea 82/2012, Parlamentul României a plusat, adoptând în regim de urgență Legea privind aprobarea Ordonanței guvernului 111/2011, prin care mai instituie o măsură abuzivă: înregistrarea utilizatorilor de cartele Pre-Pay și a utilizatorilor de rețele Wi-Fi. Aceasta a fost declarată neconstituțională în septembrie 2014.

– Aceeași celeritate din partea legiuitorului a fost manifestată și în privința Legii securității cibernetice, adoptată tacit de Camera Deputaților și unanim de Senat în decembrie 2014.

***

Istoricul legii securității cibernetice:

Amintim că la 19 decembrie 2014, Legea securității cibernetice a fost votată în unanimitate, într-o procedură total netransparentă în Senat, după ce fusese adoptată tacit de Camera Deputaților. După ședință, unii senatori au susținut că nu ai știut ce au votat.

Mai multe organizații ale societății civile au ieșit în stradă și au făcut imediat un apel către Grupurile parlamentare, Înalta Curte de Casație și Justiție, Avocatul Poporului și către președintele României, ca să întreprindă fiecare demersurile constituționale pe care le au la îndemână pentru a repara gafa senatorilor.

Decizia de azi a CCR vine ca urmare a sesizării depusă de Grupul parlamentar al Partidului Național Liberal, imediat după votarea legii în Senat.

Pentru semnatari,

Bogdan Manolea Maria-Nicoleta Andreescu

Director executiv Director executiv

Asociația pentru Tehnologie și Internet APADOR-CH

Organizațiile societății civile care au contestat constituționalitatea Legii securității cibernetice:

Mircea Toma, Președinte, ActiveWatch

Ștefan Cândea, Centrul Român pentru Jurnalism de Investigație

Mihail Bumbeș, Președinte, Asociația Miliția Spirituală

Laura Ștefan, Expert anticorupție, Expert Forum

Violeta Alexandru, Director, Institutul pentru Politici Publice

Tiberiu-Constantin Turbureanu, Președinte, Fundația Ceata

Gabriel Petrescu, Director executiv, Fundația pentru o societate deschisă

Claudiu Marginean, Președinte, Asociatia Copyratul Roman

Vasile Crăciunescu, Președinte, Asociatia Geo-Spatial.org

Elena Calistru, Președinte, Asociația Funky Citizens

Oana Preda, Director Executiv CeRe, Centrul de Resurse pentru Participare Publică

Cătălin Hegheș, director executiv Asociația Pentru Minți Pertinente AMPER

Cristian Ghinea, director Centrul Român pentru Politici Europene CRPE

Ioana Avădani, director executiv Centrul pentru Jurnalism Independent CJI

Ionuț Oprea, Președinte al Asociației Interactive Advertising Bureau România (IAB România)

Salutăm demersul deputaților liberali de a ataca Legea securității cibernetice și îl susținem cu un amicus curiae la CCR

23/12/2014/în Comunicate /de Rasista

APADOR-CH și ApTI salută decizia deputaților liberali de a sesiza Curtea Constituțională cu privire la neconstituționalitatea Legii securității cibernetice și anunță că vor depune, în sprijinul acestei inițiative, o sesizare „amicus curiae” la CCR.

Amintim că alături de alte 11 organizații, APADOR-CH și ApTI au solicitat, imediat după adoptarea actului în Senat, ca legea să nu fie promulgată de președinte, ci întoarsă în Parlament pentru dezbateri reale. De asemenea organizațiile societății civile au mai sesizat liderii grupurilor parlamentare, pe Avocatul Poporului și Înalta Curte de Casație și Justiție (ICCJ), pentru a le cere să atace legea la CCR, în cadrul controlului de constituționalitate anterior promulgării.

Astăzi, în ultima zi prevăzută de lege ca termen pentru o astfel de sesizare, prim vicepreședintele PNL Ludovic Orban a anunțat că 69 de deputați liberali au făcut acest demers.

Dintre celelalte entități sesizate, doar ICCJ a dat un răspun (Raspuns ICCJ legea securitatii cibernetice) prin care a explicat că nu poate, în mod obiectiv, să răspundă solicitării noastre, deoarece nu a avut la dispoziție decât o zi (în loc de cinci) pentru a realiza o procedură ce implică convocarea secțiilor unite, o ședință de judecată și redactarea unei sesizări.

Organizațiile semnatare anunță că vor depune un amicus curiae la Curtea Constituțională, așa cum s-a procedat și în cazul legii cartelelor pre-pay, opțiune pe care societatea civilă nu o poate folosi decât în cazul în care legea este deja atacată la Curte de una dintre instituțiile abilitate prin lege să o facă.

Întrucât legea securității cibernetice face parte din aceeași serie de acte care încalcă grav dreptul la viață privată al cetățenilor, cu Legea Big Brother și Legea cartelelor pre-pay, ne exprimăm speranța că măcar din această a treia încercare (sperăm tot nereușită) parlamentarii români să înțeleagă că astfel de demersuri trebuie dezbătute public și gândite bine înainte, iar nu adoptate pe genunchi.

Semnatari:

Maria-Nicoleta Andreescu, Asociația pentru Apărarea Drepturilor Omului în România – Comitetul Helsinki (APADOR-CH)

Bogdan Manolea, Asociaţia pentru Tehnologie şi Internet (ApTI)

Apelul societății civile pentru declararea neconstituționalității Legii securității cibernetice

21/12/2014/în Comunicate, Slider /de Rasista

Treisprezece organizatii neguvernamentale consideră că Legea securității cibernetice, în forma aprobată de Parlament, încalcă garanțiile constituționale privind viața privată și cer ca legea să fie analizată de Curtea Constituțională a României înainte de promulgarea ei.

Pentru că nu au competența legală de a sesiza CCR, organizațiile semnatare s-au adresat azi, 21 decembrie, la 25 de ani de la abolirea regimului opresiv și securistic, acelor instituții care au această cădere, după cum urmează:
1. Parlamentului României, expresia cea mai înaltă a voinței populare. Legea a fost adoptată fără nicio dezbatere în Camera Deputaților, iar Senatul a ignorat orice punct de vedere venit din partea societății civile. Fie și în al doisprezecelea ceas, Parlamentul trebuie să se asigure că votul său, transpus în lege, asigură respectarea drepturilor omului consființite prin Constituție. (citiți scrisoarea adresată liderilor grupurilor parlamentare)

2. Înaltei Curți de Casație și Justiție, instanța supremă în România. Ne exprimăm speranța că ÎCCJ va fi la înălțimea așteptărilor cetățenilor și se va constitui în garant al primatului legii și al statului de drept. (citiți scrisoarea adresată președintelui ICCJ)

3. Avocatului Poporului, care prin lege are ca scop apărarea drepturilor și libertăților persoanelor în raport cu autoritățile statului. Avocatul Poporului a intervenit într-o manieră asemănătoare în cazul unor legi de aceeași factură (cum ar fi legea cartelelor prepay) și sperăm că va rămâne consecvent acțiunilor sale în ceea ce privește respectarea dreptului la viață privată. (citiți scrisoarea adresată Avocatului poporului)
4. Președintelui Klaus Iohannis, cel în măsură să respingă promulgarea. Încă din prima zi de mandat, Președintele este în situația de a face dovada atașamentului său față de respectarea drepturilor omului în România. O eventuală promulgare a legii securismului cibernetic poate da tonul relației dintre cetățean și stat pentru următorii cinci ani. (citiți scrisoarea adresată președintelui României)

Principalele critici ale organizațiilor semnatare la adresa Legii securității cibernetice sunt:

1. Problema: Access la date informatice într-un mod extrem de vag pentru foarte multe instituții.

– Soluție: Accesul la datele informatice se poate face doar în condițiile Codului de Procedură Penală (art 138 și 140)

2. Problema: Legea se aplică tuturor persoanelor de drept public și privat, deci o arie extrem de largă.

– Soluție: Legea trebuie să se aplice doar persoanelor de drept public și privat identificate ca Infrastructuri Critice. Lista acestora trebuie să fie în lege. (la fel ca în propunerea de Directivă NIS)

3. Problema: Legea acordă SRI competențe principale în domeniul securității cibernetice.

– Soluția: Conform propunerii de directivă NIS, aceasta ar trebui să fie „organisme civile, care să funcționeze integral pe baza controlului democratic, și nu ar trebui să desfășoare activități în domeniul informațiilor”.

Contraargumente la explicațiile date post vot de Senat:

1. Accesul la datele informatice.

Art 17 este, în forma actuală, astfel:

a) Să acorde sprijinul necesar, la solicitarea motivată a Serviciului Român de Informaţii, Ministerului Apărării Naţionale, Ministerului Afacerilor Interne, Oficiului Registrului Naţional al Informaţiilor Secrete de Stat, Serviciului de Informaţii Externe, Serviciului de Telecomunicaţii Speciale, Serviciului de Protecţie şi Pază, CERT-RO şi ANCOM, în îndeplinirea atribuţiilor ce le revin acestora şi să permită

accesul reprezentanţilor desemnaţi în acest scop la datele deţinute, relevante în contextul solicitării.

Asta înseamnă că oricare din aceste instituții, dacă are o solicitare motivată ar trebui să fie lăsată să aibă acces la datele deținute. Cine stabilește dacă această solicitare este suficient de motivată și dacă datele sunt relevante? De ce nu un judecător, așa cum prevede acum Codul de procedură penală (art 138 și 140).

2. Legea nu se aplică calculatoarelor persoanelor fizice.

Nu direct, dar indirect da. Din 2 motive:

– Definiția de la art.2 este extrem de largă: „persoanelor juridice de drept public sau privat, care au calitatea de proprietari, administratori, operatori sau utilizatori de infrastructuri cibernetice”. Faptul că nu depinde cine este proprietarul calculatorului respectiv, ci doar dacă el este administrat, operat sau utilizat de către o persoană de drept public sau privat înseamnă că dacă vii cu calculatorul la serviciu sau îți folosești smartphone-ul și în scop de serviciu, poate însemna că el este utilizat de către persoana juridică de drept privat.

– Nici nu trebuie să se aplice direct persoanelor fizice. Toate datele de trafic de Internet ale persoanelor fizice se află în mâna unor furnizori privați. În plus operatorii de site-uri și de rețele de publicitate strâng enorm de multe date care pot fi ușor legate de către aceste instituții de un simplu IP.

3. Dacă nu e nimic grav în prevederile legii, așa cum pretind senatorii, de ce au refuzat în mod constant să dezbată subiectele? De ce chestiunile clare din propunerea de directivă NIS sunt pur și simplu ignorate în legea noastră?

Semnatari:

Maria-Nicoleta Andreescu, Asociația pentru Apărarea Drepturilor Omului în România – Comitetul Helsinki (APADOR-CH)

Bogdan Manolea, Asociaţia pentru Tehnologie şi Internet (ApTI)

Mircea Toma, ActiveWatch

Ioana Avădani, Centrul pentru Jurnalism Independent (CJI)

Ștefan Cândea, Centrul Român pentru Jurnalism de Investigație (CRJI)

Vasile Crăciunescu, Geo-spatial.org

Tiberiu Turbureanu, Fundația Ceata

Oana Preda, Centrul de Resurse pentru Participare Publică

Mihail Bumbeș, Miliția Spirituală

Toma Pătrașcu, Asociația Secular Umanistă din România (ASUR)

Gabriel Petrescu, Director Executiv, Fundația pentru o Societate Deschisă

Cătălin Hegheș, Director Executiv – Asociația Pentru Minți Pertinente AMPER

Ionuț Oprea, Asociația IAB România (Interactive Advertising Bureau)

Apelul către liderii de grupuri parlamentare pentru declararea neconstituționalității Legii securității cibernetice

21/12/2014/în Buna guvernare /de Rasista

Către:

Domnul Marian Neacșu, Liderul Grupului Parlamentar al Partidului Social Democrat din Camera Deputaților

Domnul Adrian Scutaru, Liderul Grupului Parlamentar al Partidului Național Liberal din Camera Deputaților

Domnul Gheorghe Tinel, Liderul Grupului Parlamentar al Partidului Democrat Liberal din Camera Deputaților

Domnul Dumitru Niculescu, Liderul Grupului Parlamentar al Partidului Poporului din Camera Deputaților

Domnul Mate Andras-Levente, Liderul Grupului Parlamentar al Uniunii Democrate Maghiare din România din Camera Deputaților

Domnul Varujan Pambuccian, Liderul Grupului Parlamentar al minorităților naționale din Camera Deputaților

Domnul Bogdan Ciucă, Liderul Grupului Parlamentar Liberal Conservator din Camera Deputaților

Către Domnul Ilie Sârbu, Liderul Grupului Parlamentar al Partidului Social Democrat din Senat

Domnul Puiu Hașotti, Liderul Grupului Parlamentar al Partidului Național din Senat

Domnul Dumitru Oprea, Liderul Grupului Parlamentar al Partidului Democrat-Liberal din Senat

Domnul Dumitru Pelican, Liderul Grupului Parlamentar Liberal Conservator din Senat

Domnul Marko BeIa, Liderul Grupului Parlamentar al Uniunii Democrate Maghiare din România din Senat

Stimați domni,

Mai multe organizații ale societății civile vă solicită ca, în calitatea dumneavoastră de lider de grup parlamentar, să întreprindeți toate demersurie pentru a sesiza Curtea Constituțională a României cu privire la Legea privind securitatea cibernetică a României (număr de înregistrare la Senat L580/2014), întrucât aceasta are probleme fundamentale de concepție, propunând o serie de măsuri cu efect limitativ asupra dreptului la viață privată în zona digitală și încalcă în mod evident reglementările europene discutate astăzi pe subiectul securității informației.

Legea contravine din multe puncte de vedere și propunerii de Directivă NIS (Network & Information Security) care pornește de la scopul protecției datelor personale ale cetățenilor și nu de la crearea de noi atribuții pentru serviciile secrete.

În timp ce Directiva NIS are drept scop protejarea sistemelor informatice și a datelor informatice ale cetățenilor, Legea, în forma adoptată, reprezintă un cec în alb care poate fi folosit de serviciile de informații pentru a controla orice persoană de drept privat (SRL, SA, PFA, ONG) care deține un sistem informatic (adică orice calculator sau smartphone). Potențialul pentru abuzuri este, astfel, enorm. Acesta decurge din nenumăratele ambiguități prezente în lege, începând de la definirea vagă a „deținătorilor de sisteme informatice” și continuând cu obligațiile ce le revin celor care cad sub incidența legii.

În ordinea gravității/neconstituționalității lor, vă enumerăm câteva articole din legea securității cibernetice, articole care subminează grav dreptul la viață privată al cetățenilor:

Articolul 17 – Toți deținătorii de sisteme cibernetice (adică toate persoanele juridice care au un calculator (vezi subiecții legii în art 2) trebuie să „permită accesul la date” autorităților stipulate în lege (SRI, MApN, MAI, ORNISS, SIE, STS, SPP, CERT-RO și ANCOM). Accesul se face la simpla „solicitare motivată”, în condițiile în care astăzi, conform Codului de procedură penală, orice acces la sistemele informatice (unde sunt stocate datele informatice) se poate face doar cu autorizarea unui judecător. Mai mult, accesul la datele de trafic este momentan imposibil pentru organele legal abilitate tocmai deoarece Curtea Constituțională a considerat, prin decizia 440/2014, că un atare acces nu respectă principiile respectării vieții private. Astfel, considerăm că articolul 17 este vădit neconstituțional.
Articolul 16 – Toți deținătorii de sisteme cibernetice, indiferent de mărime, tipul de date colectate sau importanța lor pentru ecosistemul cibernetic, vor fi obligați să aplice politici de securitate cibernetică, să identifice şi să implementeze măsurile tehnice şi organizatorice adecvate pentru a gestiona eficient riscurile de securitate. Aceasta înseamnă cheltuieli de audituri de securitate estimate la minim 1500 de euro/an investiți în securitate informatică pentru orice persoană de drept privat.
Articolul 10 – Serviciul Român de Informații este desemnat autoritate națională în domeniul securității cibernetice, calitate în care asigură coordonarea tehnică, organizarea și executarea activităților ce privesc securitatea cibernetică a României. În vreme ce Uniunea Europeană propune în directiva NIS ca instituțiile care se ocupă de domeniul securității cibernetice să fie „organisme civile, care să funcționeze integral pe baza controlului democratic, și nu ar trebui să desfășoare activități în domeniul informațiilor”, Parlamentul României acordă acces nelimitat și nesupravegheat la toate datele informatice deținute de persoane de drept public și privat unei institutii – SRI – care nu îndeplinește niciuna din condițiile de mai sus.

Proiectul de lege privind securitatea cibernetică a fost discutat superficial în vara acestui an, moment în care organizațiile semnatare au propus o serie de modificări la articolele ce încalcă flagrant drepturile fundamentale ale omului.

În pofida acestor puncte de vedere, legea a fost adoptată tacit (deci fără niciun fel de dezbatere) de Camera Deputaților în luna septembrie, iar vineri, 19 decembrie, a fost aprobată și de Senat, într-o procedură suspect de rapidă, după ce, cu două zile înainte, Comisia de apărare audiase exclusiv punctele de vedere ale serviciilor de informații.

Punctele de vedere ale societății civile nu au fost luate în seamă, ele nefigurând nici măcar pe site-ul Senatului, la secțiunea dedicată opiniilor cu privire la lege, deși au fost trimise în termenul legal. Există soluții legislative simple (de ex. accesul la datele informatice să se facă doar în condițiile Codului de procedură penală și obligațiile de audit informatic să fie doar către Infrastructurile Cibernetice de Interes Național) pentru cei care doresc o reală securitate informatică în România și nu un regim de control absolut de tip securistic.

Organizațiile semnatare vă cer să sesizați Curtea Constituțională privind neconstituționalitatea Legii securității cibernetice a României.

Vă amintim că, în 2014, Curtea Constituțională a României a mai constatat neconstituționalitatea Legii Big Brother și a Legii cartelelor prepay și a Wi-Fi-ului cu buletinul. Acestea erau acte normative în ton cu recent adoptata lege a securității cibernetice și care încălcau grav dreptul la viață privată și protecția datelor personale, instituind un regim de supraveghere informatică total nedemocratic, sub pretextul protejării securității naționale.

Faptul că în această vară Curtea Constituțională a declarat neconstituționale două legi care, în esență, încălcau aceleași drepturi ca și legea la care ne referim, constitutie un motiv suplimentar serios pentru o dezbatere reală a implicațiilor Legii securității cibernetice și, într-un cadru mai larg, a echilibrului dintre drepturile individuale și securitatea națională pe care România trebuie sa îl asigure prin sistemul său de legi.

Semnatari:

Maria-Nicoleta Andreescu, Asociația pentru Apărarea Drepturilor Omului în România – Comitetul Helsinki (APADOR-CH)

Bogdan Manolea, Asociaţia pentru Tehnologie şi Internet (ApTI)

Mircea Toma, ActiveWatch

Ioana Avădani, Centrul pentru Jurnalism Independent (CJI)

Ștefan Cândea, Centrul Român pentru Jurnalism de Investigație (CRJI)

Vasile Crăciunescu, Geo-spatial.org

Tiberiu Turbureanu, Fundația Ceata

Oana Preda, Centrul de Resurse pentru Participare Publică

Mihail Bumbeș, Miliția Spirituală

Toma Pătrașcu, Asociația Secular Umanistă din România (ASUR)

Gabriel Petrescu, Director Executiv, Fundația pentru o Societate Deschisă

Cătălin Hegheș, Director Executiv – Asociația Pentru Minți Pertinente AMPER

Ionuț Oprea, Asociația IAB România (Interactive Advertising Bureau)

Apelul către președinte pentru declararea neconstituționalității Legii securității cibernetice

21/12/2014/în Buna guvernare /de Rasista

Către domnul Klaus Iohannis, Președintele României

Stimate domnule președinte,

Mai multe organizații ale societății civile vă solicită să vă aplecați asupra Legii privind securitatea cibernetică a României, adoptată de Parlamentul României vineri, 19 decembrie 2014 (număr de înregistrare la Senat L580/2014). Legea, în forma adoptată, are probleme fundamentale de concepție, propunând o serie de măsuri cu efect limitativ asupra dreptului la viață privată în zona digitală și încalcă în mod evident reglementările europene discutate astăzi pe subiectul securității informației. Facem precizarea că, înainte să ne adresăm domniei voastre am solicitat tuturor instutuțiilor abilitate (grupurilor parlamentare, Înaltei Curți de Casație și Justiție, Avocatului Poporului) să își exercite atribuțiile legale cu privire la controlul de constituționalitate a priori sesizând Curtea Constituțională a României în acest caz. Dacă instituțiile enumerate nu vor sesiza Curtea Constituțională vă rugăm să nu promulgați Legea securității cibernetice și să sesizați Curtea Constituțională privind neconstituționalitatea acesteia sau să o trimiteți înapoi Parlamentului pentru o reexaminare.

Vă prezentăm în cele ce urmează motivele solicitării noastre.

Legea contravine din multe puncte de vedere și propunerii de Directivă NIS (Network & Information Security) care pornește de la scopul protecției datelor personale ale cetățenilor și nu de la crearea de noi atribuții pentru serviciile secrete.

În timp ce Directiva NIS are drept scop protejarea sistemelor informatice și a datelor informatice ale cetățenilor, Legea, în forma adoptată, reprezintă un cec în alb care poate fi folosit de serviciile de informații pentru a controla orice persoană de drept privat (SRL, SA, PFA, ONG) care deține un sistem informatic (adica orice calculator sau smartphone). Potențialul pentru abuzuri este, astfel, enorm. Acesta decurge din nenumăratele ambiguități prezente în lege, începând de la definirea vagă a „deținătorilor de sisteme informatice” și continuând cu obligațiile ce le revin celor care cad sub incidența legii.

În ordinea gravității/neconstituționalității lor, vă enumerăm câteva articole din legea securității cibernetice, articole care subminează grav dreptul la viață privată al cetățenilor:

Articolul 17 – Toți deținătorii de sisteme cibernetice (adică toate persoanele juridice care au un calculator (vezi subiecții legii în art 2) trebuie să „permită accesul la date” autorităților stipulate în lege (SRI, MApN, MAI, ORNISS, SIE, STS, SPP, CERT-RO și ANCOM). Accesul se face la simpla „solicitare motivată”, în condițiile în care astăzi, conform Codului de procedură penală, orice acces la sistemele informatice (unde sunt stocate datele informatice) se poate face doar cu autorizarea unui judecător. Mai mult, accesul la datele de trafic este momentan imposibil pentru organele legal abilitate tocmai deoarece Curtea Constituțională a considerat, prin decizia 440/2014, că un atare acces nu respectă principiile respectării vieții private. Astfel, considerăm că articolul 17 este vădit neconstituțional.
Articolul 16 – Toți deținătorii de sisteme cibernetice, indiferent de mărime, tipul de date colectate sau importanța lor pentru ecosistemul cibernetic, vor fi obligați să aplice politici de securitate cibernetică, să identifice şi să implementeze măsurile tehnice şi organizatorice adecvate pentru a gestiona eficient riscurile de securitate. Aceasta înseamnă cheltuieli cu audituri de securitate estimate la minim 1500 de euro/an investiți în securitate informatică pentru orice persoană de drept privat.
Articolul 10 – Serviciul Român de Informații este desemnat autoritate națională în domeniul securității cibernetice, calitate în care asigură coordonarea tehnică, organizarea și executarea activităților ce privesc securitatea cibernetică a României. În vreme ce Uniunea Europeană propune în directiva NIS ca instituțiile care se ocupă de domeniul securității cibernetice să fie „organisme civile, care să funcționeze integral pe baza controlului democratic, și nu ar trebui să desfășoare activități în domeniul informațiilor”, Parlamentul României acordă acces nelimitat și nesupravegheat la toate datele informatice deținute de persoane de drept public și privat unei institutii – SRI – care nu îndeplinește niciuna din condițiile de mai sus.

Proiectul de lege privind securitatea cibernetică a fost discutat superficial în vara acestui an, moment în care organizațiile semnatare au propus o serie de modificări la articolele ce încalcă flagrant drepturile fundamentale ale omului.

În pofida acestor puncte de vedere, legea a fost adoptată tacit (deci fără niciun fel de dezbatere) de Camera Deputaților în luna septembrie, iar vineri, 19 decembrie, a fost aprobată și de Senat, într-o procedură suspect de rapidă, după ce, cu două zile înainte, Comisia de apărare audiase exclusiv punctele de vedere ale serviciilor de informații.

Punctele de vedere ale societății civile nu au fost luate în seamă, ele nefigurând nici măcar pe site-ul Senatului, la secțiunea dedicată opiniilor cu privire la lege, deși au fost trimise în termenul legal. Există soluții legislative simple (de ex. accesul la datele informatice să se facă doar în condițiile Codului de procedură penală și obligațiile de audit informatic să fie doar către Infrastructurile Cibernetice de Interes Național) pentru cei care doresc o reală securitate informatică în România și nu un regim de control absolut de tip securistic.

Organizațiile semnatare vă cer, Domnule Președinte, să nu promulgați Legea securității cibernetice și să sesizați Curtea Constituțională privind neconstituționalitatea acesteia sau să o trimiteți înapoi Parlamentului pentru o dezbatere reală.

Vă amintim că, în 2014, Curtea Constituțională a României a mai constatat neconstituționalitatea Legii Big Brother și a Legii cartelelor prepay și Wi-Fi cu buletinul. Acestea erau acte normative în ton cu recent adoptata lege a securității cibernetice și care încălcau grav dreptul la viață privată și protecția datelor personale, instituind un regim de supraveghere informatică total nedemocratic, sub pretextul protejării securității naționale.

Faptul că în această vară Curtea Constituțională a declarat neconstituționale două legi care, în esență, încălcau aceleași drepturi ca și legea ce v-a fost trimisă spre promulgare, constitutie un motiv suplimentar serios pentru o dezbatere reală a implicațiilor Legii securității cibernetice și, într-un cadru mai larg, a echilibrului dintre drepturile individuale și securitatea națională pe care România trebuie sa îl asigure prin sistemul său de legi.

Semnatari:

Maria-Nicoleta Andreescu, Asociația pentru Apărarea Drepturilor Omului în România – Comitetul Helsinki (APADOR-CH)

Bogdan Manolea, Asociaţia pentru Tehnologie şi Internet (ApTI)

Mircea Toma, ActiveWatch

Ioana Avădani, Centrul pentru Jurnalism Independent (CJI)

Ștefan Cândea, Centrul Român pentru Jurnalism de Investigație (CRJI)

Vasile Crăciunescu, Geo-spatial.org

Tiberiu Turbureanu, Fundația Ceata

Oana Preda, Centrul de Resurse pentru Participare Publică

Mihail Bumbeș, Miliția Spirituală

Toma Pătrașcu, Asociația Secular Umanistă din România (ASUR)

Gabriel Petrescu, Director Executiv, Fundația pentru o Societate Deschisă

Cătălin Hegheș, Director Executiv – Asociația Pentru Minți Pertinente AMPER

Ionuț Oprea, Asociația IAB România (Interactive Advertising Bureau)

Apelul către ICCJ pentru declararea neconstituționalității Legii securității cibernetice

21/12/2014/în Buna guvernare /de Rasista

Către doamna Livia Stanciu, Președintele Înaltei Curți de Casație și Justiție

Stimată doamnă,

Mai multe organizații ale societății civile vă solicită să sesizați Curtea Constituțională a României cu privire la Legea privind securitatea cibernetică a României (număr de înregistrare la Senat L580/2014), întrucât aceasta are probleme fundamentale de concepție, propunând o serie de măsuri cu efect limitativ asupra dreptului la viață privată în zona digitală și încalcă în mod evident reglementările europene discutate astăzi pe subiectul securității informației.

Legea contravine din multe puncte de vedere și propunerii de Directivă NIS (Network & Information Security) care are pornește de la scopul protecției datelor personale ale cetățenilor și nu de la crearea de noi atribuții pentru serviciile secrete.

În timp ce Directiva NIS are drept scop protejarea sistemelor informatice și a datelor informatice ale cetățenilor, Legea, în forma adoptată, reprezintă un cec în alb care poate fi folosit de serviciile de informații pentru a controla orice persoană de drept privat (SRL, SA, PFA, ONG) care deține un sistem informatic (adică orice calculator sau smartphone). Potențialul pentru abuzuri este, astfel, enorm. Acesta decurge din nenumăratele ambiguități prezente în lege, începând de la definirea vagă a „deținătorilor de sisteme informatice” și continuând cu obligațiile ce le revin celor care cad sub incidența legii.

În ordinea gravității/neconstituționalității lor, vă enumerăm câteva articole din legea securității cibernetice, articole care subminează grav dreptul la viață privată al cetățenilor:

Articolul 17 – Toți deținătorii de sisteme cibernetice (adică toate persoanele juridice care au un calculator (vezi subiecții legii în art 2) trebuie să „permită accesul la date” autorităților stipulate în lege (SRI, MApN, MAI, ORNISS, SIE, STS, SPP, CERT-RO și ANCOM). Accesul se face la simpla „solicitare motivată”, în condițiile în care astăzi, conform Codului de procedură penală, orice acces la sistemele informatice (unde sunt stocate datele informatice) se poate face doar cu autorizarea unui judecător. Mai mult, accesul la datele de trafic este momentan imposibil pentru organele legal abilitate tocmai deoarece Curtea Constituțională a considerat, prin decizia 440/2014, că un atare acces nu respectă principiile respectării vieții private. Astfel, considerăm că articolul 17 este vădit neconstituțional.
Articolul 16 – Toți deținătorii de sisteme cibernetice, indiferent de mărime, tipul de date colectate sau importanța lor pentru ecosistemul cibernetic, vor fi obligați să aplice politici de securitate cibernetică, să identifice şi să implementeze măsurile tehnice şi organizatorice adecvate pentru a gestiona eficient riscurile de securitate. Aceasta înseamnă cheltuieli de audituri de securitate estimate la minim 1500 de euro/an investiți în securitate informatică pentru orice persoană de drept privat.
Articolul 10 – Serviciul Român de Informații este desemnat autoritate națională în domeniul securității cibernetice, calitate în care asigură coordonarea tehnică, organizarea și executarea activităților ce privesc securitatea cibernetică a României. În vreme ce Uniunea Europeană propune în directiva NIS ca instituțiile care se ocupă de domeniul securității cibernetice să fie „organisme civile, care să funcționeze integral pe baza controlului democratic, și nu ar trebui să desfășoare activități în domeniul informațiilor”, Parlamentul României acordă acces nelimitat și nesupravegheat la toate datele informatice deținute de persoane de drept public și privat unei institutii – SRI – care nu îndeplinește niciuna din condițiile de mai sus.

Proiectul de lege privind securitatea cibernetică a fost discutat superficial în vara acestui an, moment în care organizațiile semnatare au propus o serie de modificări la articolele ce încalcă flagrant drepturile fundamentale ale omului.

În pofida acestor puncte de vedere, legea a fost adoptată tacit (deci fără niciun fel de dezbatere) de Camera Deputaților în luna septembrie, iar vineri, 19 decembrie, a fost aprobată și de Senat, într-o procedură suspect de rapidă, după ce, cu două zile înainte, Comisia de apărare audiase exclusiv punctele de vedere ale serviciilor de informații.

Punctele de vedere ale societății civile nu au fost luate în seamă, ele nefigurând nici măcar pe site-ul Senatului, la secțiunea dedicată opiniilor cu privire la lege, deși au fost trimise în termenul legal. Există soluții legislative simple (de ex. accesul la datele informatice să se facă doar în condițiile Codului de procedură penală și obligațiile de audit informatic să fie doar către Infrastructurile Cibernetice de Interes Național) pentru cei care doresc o reală securitate informatică în România și nu un regim de control absolut de tip securistic.

Organizațiile semnatare vă cer să sesizați Curtea Constituțională privind neconstituționalitatea Legii securității cibernetice a României.

Vă amintim că, în 2014, Curtea Constituțională a României a mai constatat neconstituționalitatea Legii Big Brother și a Legii cartelelor prepay și a Wi-Fi-ului cu buletinul. Acestea erau acte normative în ton cu recent adoptata lege a securității cibernetice și care încălcau grav dreptul la viață privată și protecția datelor personale, instituind un regim de supraveghere informatică total nedemocratic, sub pretextul protejării securității naționale.

Faptul că în această vară Curtea Constituțională a declarat neconstituționale două legi care, în esență, încălcau aceleași drepturi ca și legea la care ne referim, constitutie un motiv suplimentar serios pentru o dezbatere reală a implicațiilor Legii securității cibernetice și, într-un cadru mai larg, a echilibrului dintre drepturile individuale și securitatea națională pe care România trebuie sa îl asigure prin sistemul său de legi.

Cu respect,

Semnatari:

Maria-Nicoleta Andreescu, Asociația pentru Apărarea Drepturilor Omului în România – Comitetul Helsinki (APADOR-CH)

Bogdan Manolea, Asociaţia pentru Tehnologie şi Internet (ApTI)

Mircea Toma, ActiveWatch

Ioana Avădani, Centrul pentru Jurnalism Independent (CJI)

Ștefan Cândea, Centrul Român pentru Jurnalism de Investigație (CRJI)

Vasile Crăciunescu, Geo-spatial.org

Tiberiu Turbureanu, Fundația Ceata

Oana Preda, Centrul de Resurse pentru Participare Publică

Mihail Bumbeș, Miliția Spirituală

Toma Pătrașcu, Asociația Secular Umanistă din România (ASUR)

Gabriel Petrescu, Director Executiv, Fundația pentru o Societate Deschisă

Cătălin Hegheș, Director Executiv – Asociația Pentru Minți Pertinente AMPER

Ionuț Oprea, Asociația IAB România (Interactive Advertising Bureau)

Articole

1Pe cine vizează legea? Pe noi toți

2

Ce înseamnă incident de securitate cibernetică? Se notifică sau se comunică?

3

Ce presupune notificarea?

4

E mai ieftin să mergi pe contrasens pe autostradă decât să ai un laptop virusat și să nu anunți „organul”

5

Opiniile contrare se bagă la pușcărie

Domnule Prim Ministru Dacian Cioloș,