Decizia CCR nr. 335/2023Punctul I

I. Dreptul la viață intimă, familială și privată este unul din drepturile fundamentale prevăzut în Constituția României, precum și în Convenția pentru apărarea drepturilor omului și a libertăților fundamentale (CEDO) și în Carta drepturilor fundamentale a Uniunii Europene (Carta). Art. 26 din Constituție prevede obligația autorităților publice de a respecta și de a ocroti viața intimă, familială și privată, precum și dreptul persoanei fizice de a dispune de ea însăși, dacă nu încalcă drepturile și libertățile altora, ordinea publică sau bunele moravuri. Art. 8 din CEDO statuează că orice persoană are dreptul la respectarea vieții sale private și de familie, a domiciliului său și a corespondenței sale și că nu este admis amestecul niciunei autorități publice în exercitarea acestui drept decât în măsura în care acest amestec este prevăzut de lege și este o măsură necesară într-o societate democratică pentru apărarea securității naționale, a siguranței publice, pentru apărarea ordinii și prevenirea faptelor penale ori protejarea drepturilor și libertăților altora. Art. 7 din Cartă prevede, de asemenea, că orice persoană are dreptul la respectarea vieții private și de familie, a domiciliului și a secretului comunicațiilor, iar art. 8 statuează că orice persoană are dreptul la protecția datelor cu caracter personal care o privesc, precum și că asemenea date trebuie tratate în mod corect pe baza consimțământului persoanei interesate sau în temeiul unui alt motiv legitim prevăzut de lege. În jurisprudența sa, Curtea Constituțională a statuat că reținerea și păstrarea datelor cu caracter personal constituie în mod evident o limitare a dreptului la protecția datelor cu caracter personal, respectiv a drepturilor fundamentale protejate constituțional referitoare la viață intimă, familială și privată, la secretul corespondenței, precum și libertatea de exprimare. O astfel de limitare poate opera însă în conformitate cu dispozițiile art. 53 din Constituție, care prevăd posibilitatea restrângerii exercițiului unor drepturi sau al unor libertăți numai prin lege și numai dacă se impune, după caz, pentru apărarea securității naționale, a ordinii, a sănătății ori a moralei publice, a drepturilor și a libertăților cetățenilor, pentru desfășurarea instrucției penale, prevenirea consecințelor unei calamități naturale, ale unui dezastru ori ale unui sinistru deosebit de grav. Măsura restrângerii poate fi dispusă numai dacă este necesară într-o societate democratică, trebuie să fie proporțională cu situația care a determinat-o, să fie aplicată în mod nediscriminatoriu și fără a aduce atingere existenței dreptului sau a libertății. Curtea a reținut că instituirea în sarcina unor persoane a obligației de a reține și de a stoca date cu caracter personal impune, în mod corelativ, reglementarea expresă a unor măsuri adecvate, ferme și neechivoce, de natură să asigure încrederea cetățenilor că datele cu vădit caracter personal pe care le pun la dispoziție sunt înregistrate și păstrate în condiții de confidențialitate. Astfel, prin Decizia nr. 62 din 13 februarie 2018, publicată în Monitorul Oficial al României, Partea I, nr. 373 din data de 2 mai 2018, Curtea a reținut că „orice act normativ trebuie să îndeplinească anumite condiții calitative, printre acestea numărându-se previzibilitatea, ceea ce presupune că acesta trebuie să fie suficient de precis și clar pentru a putea fi aplicat (a se vedea în acest sens, spre exemplu, Decizia nr. 189 din 2 martie 2006, publicată în Monitorul Oficial al României, Partea I, nr. 307 din 5 aprilie 2006, Decizia nr. 903 din 6 iulie 2010, publicată în Monitorul Oficial al României, Partea I, nr. 584 din 17 august 2010, sau Decizia nr. 26 din 18 ianuarie 2012, publicată în Monitorul Oficial al României, Partea I, nr. 116 din 15 februarie 2012). În același sens, Curtea Europeană a Drepturilor Omului a statuat că legea trebuie, într-adevăr, să fie accesibilă justițiabilului și previzibilă în ceea ce privește efectele sale. Pentru ca legea să satisfacă cerința de previzibilitate, ea trebuie să precizeze cu suficientă claritate întinderea și modalitățile de exercitare a puterii de apreciere a autorităților în domeniul respectiv, ținând cont de scopul legitim urmărit, pentru a oferi persoanei o protecție adecvată împotriva arbitrarului (a se vedea Hotărârea din 4 mai 2000, pronunțată în Cauza Rotaru împotriva României, paragraful 52, și Hotărârea din 25 ianuarie 2007, pronunțată în Cauza Sissanis împotriva României, paragraful 66). O lege îndeplinește condițiile calitative impuse atât de Constituție, cât și de Convenție, numai dacă norma este enunțată cu suficientă precizie pentru a permite cetățeanului să își adapteze conduita în funcție de aceasta, astfel încât, apelând la nevoie la consiliere de specialitate în materie, el să fie capabil să prevadă, într-o măsură rezonabilă, față de circumstanțele speței, consecințele care ar putea rezulta dintr-o anumită faptă și să își corecteze conduita (în acest sens, Decizia Curții Constituționale nr. 1 din 11 ianuarie 2012, publicată în Monitorul Oficial al României, Partea I, nr. 53 din 23 ianuarie 2012, și Decizia Curții Constituționale nr. 743 din 2 iunie 2011, publicată în Monitorul Oficial al României, Partea I, nr. 579 din 16 august 2011, precum și jurisprudența Curții Europene a Drepturilor Omului cu privire la care se rețin, spre exemplu, Hotărârea din 15 noiembrie 1996, pronunțată în Cauza Cantoni împotriva Franței, paragraful 29, Hotărârea din 25 noiembrie 1996, pronunțată în Cauza Wingrove împotriva Regatului Unit, paragraful 40, Hotărârea din 9 noiembrie 2006, pronunțată în Cauza Leempoel S.A. ED. Cine Revue împotriva Belgiei, paragraful 59).“ De asemenea, prin Decizia nr. 440 din 8 iulie 2014, publicată în Monitorul Oficial al României, Partea I, nr. 653 din 4 septembrie 2014, constatând neconstituționalitatea legii supuse controlului, Curtea a reținut că „legea criticată nu cuprinde norme clare și precise cu privire la conținutul și aplicarea măsurii reținerii și utilizării, așa încât persoanele ale căror date au fost păstrate să beneficieze de garanții suficiente care să asigure o protecție eficientă împotriva abuzurilor și a oricărui acces sau utilizări ilicite. Astfel, legea nu prevede criterii obiective care să limiteze la strictul necesar numărul de persoane care au acces și pot utiliza ulterior datele păstrate, că accesul autorităților naționale la datele stocate nu este condiționat, în toate cazurile, de controlul prealabil efectuat de către o instanță sau de o entitate administrativă independentă, care să limiteze acest acces și utilizarea lor la ceea ce este strict necesar pentru realizarea obiectivului urmărit. Garanțiile legale privind utilizarea în concret a datelor reținute nu sunt suficiente și adecvate pentru a îndepărta teama că drepturile personale, de natură intimă, sunt violate, așa încât manifestarea acestora să aibă loc într-o manieră acceptabilă.“ Mai mult, Curtea a constatat că „legea nu prevede un mecanism autentic de control care să asigure acestor instituții o verificare permanentă și efectivă a respectării dispozițiilor legale, astfel încât să poată fi sesizate cu ușurință cazurile în care furnizorii de servicii încalcă dispozițiile legale privitoare la tipul de date reținute, durata în care acestea sunt stocate, distrugerea lor în cazurile prevăzute de lege ori organele și instituțiile cărora li se permite accesul la aceste date. (...) Nereglementarea unui mecanism real de control al activității furnizorilor de rețele publice și de servicii de comunicații electronice de către o autoritate independentă echivalează cu lipsa unor garanții, astfel cum sunt impuse de prevederile art. 26 și art. 28 din Constituție, care să permită o protecție eficientă a datelor păstrate împotriva riscurilor de abuz, precum și a oricărui acces ori utilizări ilicite a acestor date.“ Totodată, prin Decizia nr. 295 din 18 mai 2022, publicată în Monitorul Oficial al României, Partea I, nr. 568 din 10 iunie 2022, cu privire la limitarea exercițiului dreptului la viață intimă, familială și privată și la secretul corespondenței, precum și a libertății de exprimare, făcând trimitere la jurisprudența sa constantă, Curtea a stabilit că „aceasta trebuie să aibă loc într-o manieră clară, previzibilă și lipsită de echivoc, astfel încât să fie îndepărtată, pe cât posibil, eventualitatea arbitrarului sau a abuzului autorităților în acest domeniu“, or, „în condițiile în care măsurile adoptate prin legea supusă controlului de constituționalitate nu aveau un caracter precis și previzibil, ingerința statului în exercitarea drepturilor fundamentale protejate constituțional referitoare la viața intimă, familială și privată, la secretul corespondenței, precum și la libertatea de exprimare, deși prevăzută de lege, nu a fost formulată clar, riguros și exhaustiv pentru a oferi încredere cetățenilor, caracterul strict necesar într-o societate democratică nu a fost pe deplin justificat, iar proporționalitatea măsurii nu a fost asigurată prin reglementarea unor garanții corespunzătoare“. Analizând dispozițiile legale criticate în prezenta cauză, reținem că acestea nu respectă dispozițiile constituționale ale art. 1 alin. (3) și (5) , precum și ale art. 26 referitor la dreptul la viață privată, câtă vremea legiuitorul omite să reglementeze garanții privind respectarea acestor drepturi. Deși legiuitorul instituie în art. 9 din actul normativ analizat dispoziții referitoare la prelucrarea datelor cu caracter personal și respectarea legislației aplicabile în acest domeniu, acest articol are un simplu caracter declarativ, fără efecte juridice, câtă vreme prevederile concrete legate de stocarea, prelucrarea, accesul și alte asemenea operațiuni cu privire la date cu caracter personal sunt atribuite spre reglementare, în concret, la nivel infralegal. Astfel, „stabilirea categoriilor de date prelucrate în Platformă“, „politica, strategia, criteriile tehnice și operaționale, (...) regulile privind migrarea și interconectare“, „criteriile generale de asigurare a confidențialității, securității, interoperabilității“ prevăzute de dispozițiile art. 3 alin. (2) , (3) și (8) din Ordonanța de urgență a Guvernului nr. 89/2022 reprezintă aspecte esențiale, cu incidență directă asupra dreptului la viață privată a persoanelor, care, din această perspectivă, trebuie reglementate prin dispoziții de rang primar. De asemenea, regulile și criteriile privind „accesul la datele autorităților și instituțiilor publice găzduite în Cloudul Privat Guvernamental“ prevăzute de dispozițiile art. 10 alin. (8) din aceeași ordonanță trebuie reglementate la nivel primar, urmând ca doar măsurile subsecvente privind punerea în aplicare și detalierea operațiunilor necesare în acest sens să fie reglementate prin norme metodologice aprobate prin hotărâre a Guvernului. Se constată, astfel, că, sub aspectele menționate, legea se limitează la a evidenția aspectele esențiale ce urmează a fi reglementate pe calea legislației secundare, infralegale, și la a institui măsurile de reținere și stocare a datelor, fără a reglementa dispozițiile legale cu privire la garanțiile pe care statul trebuie să le asigure în exercitarea drepturilor fundamentale ale cetățenilor. Or, cadrul normativ într-un domeniu atât de sensibil trebuie să se realizeze într-o manieră clară, previzibilă și lipsită de confuzie, astfel încât să fie îndepărtată, pe cât posibil, eventualitatea arbitrarului sau a abuzului celor chemați să aplice dispozițiile legale (a se vedea în acest sens Decizia nr. 461 din 16 septembrie 2014, publicată în Monitorul Oficial al României, Partea I, nr. 775 din 24 octombrie 2014, paragraful 41). În condițiile în care măsurile adoptate prin legea supusă controlului de constituționalitate nu au un caracter precis și previzibil, ingerința statului în exercitarea drepturilor mai sus menționate nu este prevăzută de lege, nu este formulată clar, riguros și exhaustiv pentru a oferi încredere cetățenilor, caracterul strict necesar într-o societate democratică nu este pe deplin justificat, iar proporționalitatea măsurii nu este asigurată prin reglementarea unor garanții corespunzătoare. Așadar, limitarea exercițiului acestor drepturi personale în considerarea unor drepturi colective și interese publice rupe justul echilibru care ar trebui să existe între interesele și drepturile individuale, pe de o parte, și cele ale societății, pe de altă parte, legea criticată nereglementând garanții suficiente care să permită asigurarea unei protecții eficiente a datelor față de riscurile de abuz, precum și față de orice accesare și utilizare ilicită a datelor cu caracter personal (Decizia nr. 461 din 16 septembrie 2014, paragrafele 43 și 44). ...