Decizia CCR nr. 295/2022Punctul 10

10. O altă prevedere care extinde categoriile de date ce pot face obiectul măsurilor de interceptare dincolo de categoriile prevăzute în Codul de procedură penală este cea introdusă prin art. 10^2 alin. (1) lit. c) referitoare la „informațiile reținute sau stocate referitoare la date de trafic, date de identificare a abonaților sau clienților, modalități de plată și istoricul accesărilor cu momentele de timp aferente, corespunzătoare adresei IP“. În opinia autorilor sesizării, acest text pare a fi o completare a metodelor de supraveghere prevăzute la art. 138 alin. (1) lit. j) din Codul de procedură penală, „obținerea datelor de trafic și de localizare prelucrate de către furnizorii de rețele publice de comunicații electronice ori furnizorii de servicii de comunicații electronice destinate publicului“, și la art. 138 alin. (1) lit. e) , „obținerea datelor privind tranzacțiile financiare ale unei persoane“. Totuși, textul criticat se extinde dincolo de prevederile Codului de procedură penală, cu privire la „istoricul accesărilor cu momentele de timp aferente, corespunzătoare adresei IP“. Or, aceste date sunt mai mult decât simple date de trafic, putând intra în categoria datelor de conținut, pe baza lor putând fi obținute informații cum ar fi orele de lucru sau de somn ale unei persoane, când și unde se deplasează pentru vacanțe sau în scop de serviciu, interese sau alte elemente de personalitate, cine sunt prietenii și multe alte informații cu caracter personal. În mod legal, aceste date nu ar trebuie să fie păstrate mai mult de câteva ore de niciunul dintre furnizorii care sunt subiecții actului normativ criticat. Furnizorii de găzduire nu ar putea să colecteze aceste date decât legat de accesarea unei singure pagini web, pe care aceștia o găzduiesc, întrucât pentru furnizorii de internet există obligația legală, conform art. 4 din Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, de a nu stoca aceste date mai mult decât este absolut necesar: „[aceste date] trebuie să fie șterse ori transformate în date anonime, atunci când nu mai sunt necesare la transmiterea unei comunicări“. Cu alte cuvinte, orice păstrare suplimentară a acestor date ar fi practic o încălcare a obligațiilor de confidențialitate prevăzute de Legea nr. 506/2004 și ar contraveni principiului constituțional al ocrotirii vieții private. ...