Decizia CCR nr. 295/2022Punctul I

I. Analiza dispozițiilor art. 2 pct. 27 din Legea pentru modificarea și completarea unor acte normative în domeniul comunicațiilor electronice pentru stabilirea unor măsuri de facilitare a dezvoltării rețelelor de comunicații electronice prin care se introduce un nou articol, art. 10^2, în Ordonanța de urgență a Guvernului nr. 111/2011 privind comunicațiile electronice 103. O primă critică raportată la dispozițiile art. 1 alin. (5) din Constituție vizează sintagma „organele de aplicare a legii“ utilizată în cuprinsul alin. (1) al art. 10^2 din Ordonanța de urgență a Guvernului nr. 111/2011, apreciată ca fiind neclară și susceptibilă de a crea posibilitatea ca organe ale statului „insuficient precizate“ să efectueze activități specifice de culegere de informații, în mod arbitrar, cu depășirea cadrului legal. ... 104. Cu titlu preliminar, Curtea reține că dispozițiile art. 10^2 alin. (1) din Ordonanța de urgență a Guvernului nr. 111/2011 reglementează o serie de obligații ale furnizorilor de servicii de găzduire electronică cu resurse IP de a sprijini organele de aplicare a legii și organele cu atribuții în domeniul securității naționale, în limitele competențelor acestora, pentru punerea în executare a metodelor de supraveghere tehnică ori a actelor de autorizare, dispuse în conformitate cu dispozițiile Legii nr. 135/2010 privind Codul de procedură penală, cu modificările și completările ulterioare, și ale Legii nr. 51/1991 privind securitatea națională a României, republicată, cu completările ulterioare. Astfel, norma stabilește destinatarii săi: pe de o parte, persoanele cărora le incumbă obligațiile prescrise (furnizorii de servicii de găzduire electronică cu resurse IP) și, pe de altă parte, beneficiarii îndeplinirii acestor obligații (organele de aplicare a legii și organele cu atribuții în domeniul securității naționale), precum și scopul său: sprijinirea activității de punere în executare a metodelor de supraveghere tehnică ori a actelor de autorizare. Cu privire la metodele de supraveghere tehnică și la actele de autorizare, norma precizează expres că acestea sunt cele dispuse în conformitate cu dispozițiile Codului de procedură penală sau ale Legii nr. 51/1991. ... 105. În ceea ce privește modul de autorizare a mandatelor din care pot rezulta înregistrări, Curtea reține că, în jurisprudența sa (Decizia nr. 55 din 4 februarie 2020, publicată în Monitorul Oficial al României, Partea I, nr. 517 din 17 iunie 2020, sau Decizia nr. 91 din 28 februarie 2018, publicată în Monitorul Oficial al României, Partea I, nr. 348 din 20 aprilie 2018), a constatat că legislația în vigoare normează două sisteme diferite, și anume sistemul reglementat de Codul de procedură penală și sistemul reglementat de Legea nr. 51/1991 privind securitatea națională a României. Așadar, Curtea a reținut că se poate distinge între înregistrările realizate ca urmare a punerii în executare a unui mandat de supraveghere tehnică dispus potrivit Codului de procedură penală și înregistrările rezultate din activități specifice culegerii de informații care presupun restrângerea exercițiului unor drepturi sau al unor libertăți fundamentale ale omului, autorizate potrivit Legii nr. 51/1991, în cadru extraprocesual penal, Curtea subliniind diferențele ce decurg din reglementarea separată a acestor două sisteme. Acestea vizează atât activitățile derulate de organele de urmărire penală și de organele de stat cu atribuții în domeniul securității naționale: pe de o parte, constatarea existenței sau inexistenței unei infracțiuni, identificarea persoanei care a săvârșit-o, cunoașterea împrejurărilor care contribuie la aflarea adevărului în procesul penal, necesare pentru justa soluționare a cauzei, având ca scop tragerea la răspundere penală a persoanei vinovate, și, pe de altă parte, obținerea de informații care să asigure cunoașterea, prevenirea și înlăturarea amenințărilor interne sau externe cu privire la securitatea națională, cât și scopul pentru care este dispusă autorizarea mandatelor din care pot rezulta înregistrări: primele au ca scop tragerea la răspundere penală a persoanelor care au săvârșit infracțiuni, iar celelalte au ca scop securitatea națională. ... 106. În ceea ce privește autoritățile competente să pună în executare mandate din care pot rezulta înregistrări, Curtea a reținut că activitatea de punere în executare a mandatului de supraveghere tehnică prevăzută la art. 142 alin. (1) din Codul de procedură penală este realizată prin acte procesuale/ procedurale. Întrucât actele îndeplinite de organele prevăzute la art. 142 alin. (1) teza a doua din Codul de procedură penală reprezintă procedee probatorii care stau la baza procesuluiverbal de consemnare a activității de supraveghere tehnică, ce constituie un mijloc de probă, organele care pot participa la realizarea acestora sunt numai organele de urmărire penală. Acestea din urmă sunt cele enumerate la art. 55 alin. (1) din Codul de procedură penală, respectiv procurorul, organele de cercetare penală ale poliției judiciare și organele de cercetare penală speciale (Decizia nr. 51 din 16 februarie 2016, publicată în Monitorul Oficial al României, Partea I, nr. 190 din 14 martie 2016, paragrafele 33 și 34). Cu alte cuvinte, art. 142 alin. (1) din Codul de procedură penală nu vizează activitățile tehnice, acestea fiind prevăzute la art. 142 alin. (2) din același cod, care face referire la persoanele obligate să colaboreze cu organele de urmărire penală pentru punerea în executare a mandatului de supraveghere tehnică, respectiv la furnizorii de rețele publice de comunicații electronice sau furnizorii de servicii de comunicații electronice destinate publicului sau de orice tip de comunicare ori de servicii financiare. ... 107. De asemenea, Curtea reamintește că, prin Decizia nr. 55 din 16 februarie 2022, publicată în Monitorul Oficial al României, Partea I, nr. 358 din 11 aprilie 2022, a stabilit în mod ferm că în această categorie nu intră organele statului cu atribuții care, potrivit legislației în vigoare, se exercită în domenii care nu țin de prevenirea și descoperirea infracțiunilor și de tragerea la răspundere a persoanelor care au săvârșit infracțiuni, atribuirea calității de organ de cercetare penală specială unui organ cu atribuții în domeniul securității naționale încălcând prevederile art. 1 alin. (5) , ale art. 26 și ale art. 28 din Constituție. ... 108. În ceea ce privește organele cu atribuții în domeniul securității naționale, Curtea reține că acestea sunt expres enumerate de art. 6 alin. (1) din Legea nr. 51/1991, respectiv: Serviciul Român de Informații, Serviciul de Informații Externe, Serviciul de Protecție și Pază, precum și Ministerul Apărării Naționale, Ministerul Afacerilor Interne și Ministerul Justiției, prin structuri interne specializate, activitatea pentru realizarea securității naționale fiind organizată și coordonată de către Consiliul Suprem de Apărare a Țării. ... 109. În acest context legal și jurisprudențial, autorii sesizării de neconstituționalitate susțin că, spre deosebire de sintagma „organele cu atribuții în domeniul securității naționale“, care este definită precis, prin enumerare limitativă, la art. 6 alin. (1) din Legea nr. 51/1991, sintagma „organele de aplicare a legii“ utilizată în cuprinsul alin. (1) al art. 10^2, nou-introdus în Ordonanța de urgență a Guvernului nr. 111/2011, este lipsită de precizie și claritate. Or, pornind tocmai de la dihotomia menționată de norma criticată cu privire la modalitățile de autorizare și punere în executare a mandatelor din care pot rezulta înregistrări, care reiese din sintagma „dispuse în conformitate cu dispozițiile Legii nr. 135/2010 privind Codul de procedură penală [...] și ale Legii nr. 51/1991“, care reflectă, așa cum s-a arătat mai sus, cadrul normativ în vigoare, Curtea observă că sintagma criticată nu poate avea un alt înțeles decât cel prevăzut de Codul de procedură de penală, care enumeră la art. 55 alin. (1) organele de urmărire penală, respectiv procurorul, organele de cercetare penală ale poliției judiciare și organele de cercetare penală speciale. Așadar, Curtea constată că „organele de aplicare a legii“ competente cu punerea în executare a metodelor de supraveghere tehnică, dispuse în conformitate cu dispozițiile Legii nr. 135/2010 privind Codul de procedură penală, sunt organele de urmărire penală, enumerate limitativ de art. 55 alin. (1) din Codul de procedură penală. ... 110. Pentru aceste argumente, Curtea constată că sintagma „organele de aplicare a legii“ utilizată în cuprinsul alin. (1) al art. 10^2 din Ordonanța de urgență a Guvernului nr. 111/2011 are un înțeles clar și determinabil, astfel că este neîntemeiată critica având un atare obiect. ... 111. O altă critică de neconstituționalitate raportată la dispozițiile art. 1 alin. (5) din Constituție vizează sintagma „să acorde [...] conținutul criptat“ din cuprinsul art. 10^2 alin. (1) lit. b) din Ordonanța de urgență a Guvernului nr. 111/2011, considerată de autorii sesizării ca fiind „improprie uzanțelor de folosire corectă a limbii române, în general, și limbajului normativ, în special“, ce are ca rezultat lipsa de claritate, precizie și previzibilitate a normei. ... 112. Potrivit Dicționarului explicativ al limbii române, criptarea este procesul de codificare a informației astfel încât să poată fi înțeleasă doar de persoanele autorizate. În materia informațiilor electronice, criptarea are ca scop păstrarea confidențialității și protejarea acestor informații, fiind o metodă de implementare tehnologică a criptografiei: informațiile sunt transformate într-o formă neinteligibilă (sunt codificate), astfel încât să poată fi traduse într-o formă inteligibilă (decodate) numai cu ajutorul unei chei. Pentru a coda și a decoda informații, criptarea se bazează pe matematică. Astfel, în cazul criptării unui dispozitiv, codul este descifrat cu ajutorul unui cod PIN (Personal Identification Number), care decodifică informațiile, sau al unui algoritm complex care primește instrucțiuni clare de la un program sau de la un dispozitiv. ... 113. Dacă inițial criptarea a fost utilizată numai pentru transferul de informații confidențiale, ulterior informațiile au fost criptate și în scopul stocării lor în surse nesigure, evitând astfel necesitatea stocării protejate fizic. În prezent, criptarea este utilizată în protejarea unei mari varietăți de sisteme, precum ecomerț, rețele de telefonie mobilă și ATM-urile băncilor. Astfel, criptarea este necesară pentru a stoca informații importante în surse nesigure și a le transfera prin canale de comunicare neprotejate. Acest transfer de date presupune două procese reciproc inverse: primul este criptarea datelor, care se realizează înainte de a trimite date prin linia de comunicație sau înainte ca acestea să fie depozitate, și cel de-al doilea este decriptarea, respectiv restaurarea datelor originale supuse criptării. ... 114. Analizând textul de lege criticat, Curtea reține că art. 10^2 alin. (1) lit. b) din Ordonanța de urgență a Guvernului nr. 111/2011 instituie obligația furnizorilor de servicii de găzduire electronică cu resurse IP, precum și a tuturor furnizorilor de rețele sau servicii de comunicații electronice, în general, să acorde conținutul criptat al comunicațiilor tranzitate în rețelele proprii. Așadar, norma prevede obligația expresă de a pune la dispoziția organelor de aplicare a legii și organelor cu atribuții în domeniul securității naționale conținutul comunicațiilor criptate, obligație care se circumscrie dispozițiilor art. 138 alin. (1) lit. a) din Codul de procedură penală, care prevăd „interceptarea comunicațiilor ori a oricărui tip de comunicare la distanță“, precum și dispozițiilor art. 14 alin. (2) lit. a) din Legea nr. 51/1991, care prevăd că activitățile specifice culegerii de informații care presupun restrângerea exercițiului unor drepturi sau al unor libertăți fundamentale ale omului pot consta în „interceptarea și înregistrarea comunicațiilor electronice, efectuate sub orice formă“. Prin interceptarea oricărui tip de comunicare la distanță, respectiv prin interceptarea comunicațiilor electronice, efectuate sub orice formă, norma procedural penală și norma din legea privind securitatea națională permit accesul la conținutul de date asociat unui utilizator, independent de conținutul criptat sau necriptat, nefăcând distincție între cele două tehnologii de trafic. Având în vedere evoluția tehnologică și procesul continuu de extindere a criptării informațiilor care tranzitează rețelele de comunicații, Curtea constată că legiuitorul, prin norma criticată, vine să accentueze obligația persoanelor identificate în ipoteza sa de incidență de a permite accesul organelor prevăzute de lege la conținutul criptat al comunicațiilor care tranzitează rețelele de comunicații. Mai mult, în această interpretare este evident că art. 102 alin. (1) lit. b) din Ordonanța de urgență a Guvernului nr. 111/2011, care se referă la punerea la dispoziția organelor prevăzute de lege a conținutului criptat al comunicațiilor care fac obiectul actelor de autorizare, nu exclude, așa cum susțin autorii sesizării, accesul la conținutul necriptat al comunicațiilor, care este asigurat în condițiile art. 10^2 alin. (1) lit. a) din Ordonanța de urgență a Guvernului nr. 111/2011, dar și în baza cadrului normativ în vigoare. ... 115. Tot prin raportare la dispozițiile art. 1 alin. (5) din Constituție, autorii sesizării critică sintagma „accesul la propriile sisteme informatice, în vederea copierii sau extragerii“ din cuprinsul art. 10^2 alin. (1) lit. d) din Ordonanța de urgență a Guvernului nr. 111/2011 pe motiv că folosește o terminologie diferită de Codul de procedură penală, de natură să pună la îndoială posibilitatea utilizării acelor date în mod legal în cadrul unui proces penal. ... 116. Analizând dispozițiile criticate, Curtea observă că acestea instituie obligația furnizorilor de servicii de găzduire electronică cu resurse IP și a furnizorilor de rețele sau servicii de comunicații electronice, în general, să acorde accesul organelor de aplicare a legii și organelor cu atribuții în domeniul securității naționale la sistemele informatice proprii, în vederea copierii sau extragerii exclusiv a datelor care fac obiectul actelor de autorizare. ... 117. Curtea reține că art. 138 alin. (1) lit. b) din Codul de procedură penală prevede „accesul la un sistem informatic“ ca metodă specială de supraveghere sau cercetare, iar la alin. (3) îl definește ca fiind „pătrunderea într-un sistem informatic sau mijloc de stocare a datelor informatice fie direct, fie de la distanță, prin intermediul unor programe specializate ori prin intermediul unei rețele, în scopul de a identifica probe“. Codul de procedură penală prevede la art. 141 alin. (5) că procurorul poate dispune, prin ordonanță, „realizarea și conservarea unei copii“ a datelor informatice identificate prin accesul la un sistem informatic și/sau „suprimarea accesării sau îndepărtarea acestor date informatice din sistemul informatic“, copiile realizându-se „cu mijloace tehnice și proceduri adecvate, de natură să asigure integritatea informațiilor conținute de acestea“. ... 118. De asemenea, dispozițiile art. 14 alin. (2) lit. c) din Legea nr. 51/1991 prevăd că activitățile specifice culegerii de informații pot consta în „ridicarea și repunerea la loc a unui obiect sau document, examinarea lui, extragerea informațiilor pe care acesta le conține, precum și înregistrarea, copierea sau obținerea de extrase prin orice procedee“. ... 119. Așa fiind, copierea sau extragerea datelor necesare cercetării penale sau activității specifice de culegere de informații, după caz, reprezintă operațiuni tehnice care au ca scop prezervarea informațiilor obținute ca urmare a punerii în executare a metodelor de supraveghere tehnică ori a actelor de autorizare dispuse conform legii. Împrejurarea că norma criticată enumeră expres aceste operațiuni tehnice, așa cum face legea privind securitatea națională, nu este de natură a crea incertitudine cu privire la utilizarea acestor date în mod legal în cadrul unui proces penal, operațiunile menționate fiind circumscrise terminologiei utilizate de norma procesual penală, respectiv metodei speciale de supraveghere sau cercetare privind accesul la un sistem informatic. De altfel, chiar normele procesual penale menționează posibilitatea realizării unor copii ale datelor informatice, cu mijloace tehnice și proceduri adecvate, de natură să asigure integritatea informațiilor. ... 120. Mai mult, reglementând expres că datele supuse operațiunii de copiere sau extragere sunt exclusiv cele care fac obiectul actelor de autorizare dispuse în conformitate cu dispozițiile Codului de procedură penală, respectiv ale Legii nr. 51/1991, Curtea reține că textul de lege criticat este suficient de clar și previzibil, astfel încât organele de aplicare a legii să poată determina posibilitatea utilizării respectivelor date în cadrul unui proces penal. ... 121. Analizând criticile de neconstituționalitate raportate la art. 26 din Constituție, Curtea reține că o primă critică de neconstituționalitate vizează încălcarea dreptului la viață intimă, familială și privată al persoanei prin (i) extinderea categoriilor de furnizori care dobândesc obligațiile prevăzute în Codul de procedură penală, (ii) extinderea metodelor folosite pentru implementarea acestor măsuri, respectiv prin (iii) extinderea categoriilor de date care urmează să constituie obiectul acestor măsuri. ... 122. Cu privire la (i) extinderea categoriilor de furnizori care dobândesc obligațiile prevăzute în Codul de procedură penală, autorii sesizării susțin că sintagma „furnizorii de servicii de găzduire electronică cu resurse IP“ nu are niciun corespondent în legislația europeană și ridică multiple probleme practice de identificare a subiecților obligațiilor instituite de noua reglementare. ... 123. Analizând critica formulată, Curtea reține că art. 2 pct. 7 din legea analizată, referitor la pct. 9^5 al art. 4 alin. (1) din Ordonanța de urgență a Guvernului nr. 111/2011, definește furnizorul de servicii de găzduire electronică cu resurse IP ca fiind „persoana care, pe teritoriul României, oferă servicii de stocare, distribuire a conținutului și asigurare a accesului la acesta, pe servere deținute sau închiriate, prin gestionarea unui set de adrese IP în internet“. Internet Protocol (IP) este un protocol care asigură un serviciu de transmitere a datelor, fără conexiune permanentă. Acesta identifică fiecare interfață logică a echipamentelor conectate printr-un număr numit „adresă IP“. Așadar, potrivit normei analizate, furnizor de servicii de găzduire electronică cu resurse IP poate fi persoana care oferă cumulat servicii de stocare, distribuire și acces la informații pe baza unui set de adrese IP. Având în vedere, pe de o parte, serviciile oferite și, pe de altă parte, obligațiile stabilite de lege în sarcina lor, chiar dacă legiuitorul a distins această categorie de persoane în cadrul art. 10^2 alin. (1) din Ordonanța de urgență a Guvernului nr. 111/2011, Curtea reține că furnizorii de servicii de găzduire electronică cu resurse IP pot fi asimilați furnizorilor de servicii de comunicații electronice. Astfel, potrivit art. 2 pct. 7 din legea criticată, referitor la pct. 9^4 al art. 4 alin. (1) din Ordonanța de urgență a Guvernului nr. 111/2011, furnizorul de servicii de comunicații electronice este persoana a cărei activitate constă, în tot sau în parte, în furnizarea unui serviciu de comunicații electronice, care este definit la pct. 9 ca fiind un serviciu furnizat, de regulă, contra cost, prin intermediul rețelelor de comunicații electronice care include următoarele tipuri de servicii: serviciul de acces la internet, serviciul de comunicații interpersonale și orice alte servicii care constau, în întregime sau în principal, în transportul de semnale prin rețelele de comunicații electronice. Or, de vreme ce serviciile oferite de furnizorii de găzduire electronică cu resurse IP se realizează prin gestionarea unui set de adrese IP în internet, activitatea acestora se circumscrie serviciilor de comunicații electronice, astfel cum acestea sunt definite de lege, furnizorii unor astfel de servicii fiind de fapt furnizori de servicii de comunicații electronice. La această concluzie converge și interpretarea coroborată a dispozițiilor art. 10^2 alin. (1) cu cele ale alin. (2) , care prevede că obligațiile instituite furnizorilor de servicii de găzduire electronică cu resurse IP „se aplică în mod corespunzător tuturor furnizorilor de rețele sau servicii de comunicații electronice“, ceea ce demonstrează apartenența celor dintâi la categoria generală a furnizorilor de rețele sau servicii de comunicații electronice, norma creând un raport parte/întreg. Așa fiind, Curtea constată că, reglementând în sarcina furnizorilor de servicii de găzduire electronică cu resurse IP obligații similare celorlalți furnizori de servicii de comunicații electronice, legea nu extinde sfera categoriilor de furnizori care cad sub incidența obligațiilor prevăzute în Codul de procedură penală, ci reiterează aceste obligații într-o formă unitară în cadrul Ordonanței de urgență a Guvernului nr. 111/2011 privind comunicațiile electronice. ... 124. Cu privire la obligația acestor furnizori de a notifica Autoritatea Națională pentru Administrare și Reglementare în Comunicații (ANCOM) înainte de începerea furnizării serviciilor, Curtea reține că serviciile de găzduire electronică cu resurse IP nu se regăsesc în ipoteza art. 2 pct. 6 din legea criticată, care prevede în mod expres care nu sunt serviciile de comunicații electronice: „Nu sunt servicii prin care se furnizează conținutul informației transmise prin intermediul rețelelor ori serviciilor de comunicații electronice sau se exercită controlul editorial asupra acestui conținut și serviciile societății informaționale, definite la art. 1 pct. 1 din Legea nr. 365/2002 privind comerțul electronic, republicată, cu modificările ulterioare, care nu constau, în întregime sau în principal, în transmiterea semnalelor prin rețelele de comunicații electronice“. În mod contrar celor susținute de autorii sesizării, serviciile de găzduire electronică cu resurse IP nu intră în categoria „serviciilor societății informaționale“, reglementate în mod distinct prin Directiva eCommerce 2000/31/CE a Parlamentului European și a Consiliului din 8 iunie 2000 privind anumite aspecte juridice ale serviciilor societății informaționale, în special ale comerțului electronic, pe piața internă (directiva privind comerțul electronic), publicată în Jurnalul Oficial al Uniunii Europene, seria L, nr. 178 din 17 iulie 2000, transpusă în România prin Legea nr. 365/2002 privind comerțul electronic, întrucât, potrivit art. 1 pct. 1 din această lege, serviciu al societății informaționale este acel serviciu care se efectuează utilizându-se mijloace electronice și prezintă următoarele caracteristici: este efectuat în considerarea unui folos patrimonial procurat ofertantului în mod obișnuit de către destinatar, nu este necesar ca ofertantul și destinatarul să fie fizic prezenți simultan în același loc, este efectuat prin transmiterea informației la cererea individuală a destinatarului. Aceste caracteristici sunt inerente actelor de comerț electronic, care presupun comercializarea pe piață a unor produse sau a unor servicii, iar nu activității care implică stocarea, distribuirea și asigurarea accesului la conținutul informațiilor electronice, pe servere deținute sau închiriate de furnizorii acestor servicii, prin gestionarea unui set de adrese IP în internet. Întrucât serviciile prestate de furnizorii de găzduire electronică cu resurse IP nu se circumscriu „serviciilor societății informaționale“, acestea nu sunt supuse dispozițiilor Legii nr. 365/2002, care în art. 4 alin. (1) prevede că „furnizarea de servicii ale societății informaționale de către persoanele fizice sau juridice nu este supusă niciunei autorizări prealabile și se desfășoară în concordanță cu principiile concurenței libere și loiale, cu respectarea dispozițiilor legale în vigoare“. Prin urmare, este lipsită de fundament critica autorilor sesizării raportată la dispozițiile art. 11, 20 și 148 din Constituție, critică potrivit căreia noua reglementare, care instituie obligația furnizorilor de servicii de găzduire electronică cu resurse IP ca, în termen de 60 de zile de la data începerii furnizării serviciilor, să transmită o informare în acest sens ANCOM, ar încălca interdicția legală a obținerii autorizării prealabile în cazul furnizării serviciilor societății informaționale. ... 125. Având în vedere argumentele prezentate, Curtea nu poate reține critica referitoare la extinderea categoriilor de furnizori care dobândesc obligațiile prevăzute în Codul de procedură penală, obiecția raportată la art. 26 din Constituție fiind, sub acest aspect, neîntemeiată. ... 126. Cu privire la (ii) extinderea metodelor folosite pentru implementarea măsurilor de interceptare, autorii obiecției de neconstituționalitate arată că, potrivit art. 10^2 alin. (1) lit. a) și alin. (2) din Ordonanța de urgență a Guvernului nr. 111/2011, atât furnizorii de găzduire, cât și furnizorii de rețele sau de servicii de comunicații electronice au obligația „să permită interceptarea legală a comunicațiilor, inclusiv să suporte costurile aferente“, astfel că furnizorii trebuie să își creeze o infrastructură tehnică specifică pentru a permite interceptarea legală, uneori direct de către organele competente, fără înștiințarea furnizorului, ceea ce ridică problema inexistenței unor garanții suficiente pentru ocrotirea dreptului la viață privată, pe de o parte, și creează o sarcină administrativă cu impact economic semnificativ asupra acestora, pe de altă parte. ... 127. Cu titlu preliminar, Curtea reține că, potrivit dispozițiilor art. 142 alin. (2) din Codul de procedură penală, „furnizorii de rețele publice de comunicații electronice sau furnizorii de servicii de comunicații electronice destinate publicului sau de orice tip de comunicare sunt obligați să colaboreze cu procurorul, organele de cercetare penală sau lucrătorii specializați din cadrul poliției, în limitele competențelor acestora, pentru punerea în executare a mandatului de supraveghere tehnică“. De asemenea, art. 24 lit. a) din Legea nr. 51/1991 prevede obligația ministerelor, a tuturor celorlalte organe ale statului, a organizațiilor din sectorul public sau privat de a acorda „sprijinul necesar la cererea organelor cu atribuții în domeniul securității naționale în îndeplinirea atribuțiilor ce le revin și să permită accesul acestora la datele deținute, care pot furniza informații privitoare la securitatea națională“. Din analiza cadrului normativ existent rezultă că noua reglementare nu extinde metodele folosite pentru implementarea măsurilor de interceptare, ci consacră la nivelul actului normativ privind comunicațiile electronice, Ordonanța de urgență a Guvernului nr. 111/2011, obligația tuturor furnizorilor de servicii de comunicații de a sprijini organele de urmărire penală și organele cu atribuții în domeniul securității naționale în activitatea de punere în executare a mandatelor de supraveghere tehnică ori a actelor de autorizare a interceptărilor în domeniul siguranței naționale. ... 128. În acest context, Curtea amintește că, potrivit art. 15 din Directiva 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice), publicată în Jurnalul Oficial al Uniunii Europene, seria L, nr. 201 din 31 iulie 2002, sfera drepturilor și a obligațiilor poate fi restrânsă prin măsuri legislative naționale numai în cazul în care restrângerea respectivă constituie o măsură necesară, corespunzătoare și proporțională în cadrul unei societăți democratice pentru protejarea anumitor interese publice, cum ar fi pentru a permite desfășurarea cercetărilor penale sau pentru a proteja securitatea națională, apărarea sau siguranța publică. ... 129. În ceea ce privește primul aspect criticat, analizând textul de lege supus controlului, Curtea reține că obligația instituită de dispozițiile art. 10^2 alin. (1) lit. a) din Ordonanța de urgență a Guvernului nr. 111/2011 este aceea ca toți furnizorii de rețele sau servicii de comunicații electronice, inclusiv furnizorii de servicii de găzduire electronică cu resurse IP, să permită interceptarea legală a comunicațiilor pe durata și în condițiile menționate în actele de autorizare. Îndeplinirea acestei obligații legale presupune aducerea la cunoștința furnizorilor a actelor de autorizare dispuse în conformitate cu dispozițiile Codului de procedură penală și ale Legii nr. 51/1991, a duratei și a condițiilor menționate în acestea. Permiterea accesului presupune astfel o conduită activă a furnizorilor, prin care aceștia își manifestă acordul cu privire la solicitarea organelor de aplicare a legii sau a organelor cu atribuții în domeniul securității naționale, în limitele competențelor acestora, privind sprijinul pentru punerea în executare a metodelor de supraveghere tehnică ori a actelor de autorizare. Așa fiind, interceptarea comunicațiilor nu se poate realiza decât în baza mandatului de supraveghere tehnică, emis de judecătorul de drepturi și libertăți, la cererea procurorului, sau de procuror, în cazurile expres prevăzute de lege, respectiv în baza mandatului de siguranță națională, emis de unul dintre judecătorii anume desemnați de președintele Înaltei Curți de Casație și Justiție, la solicitarea procurorului general al Parchetului de pe lângă Înalta Curte de Casație și Justiție, după înștiințarea furnizorului de servicii de comunicații electronice. Având în vedere cadrul normativ existent, Curtea reține că dispoziția legală criticată, coroborată cu dispozițiile Codului de procedură penală referitoare la procedura de emitere a mandatului de supraveghere tehnică, respectiv cu dispozițiile Legii nr. 51/1991 privind autorizarea unor activități specifice culegerii de informații care presupun restrângerea exercițiului unor drepturi sau al unor libertăți fundamentale ale omului, prevede suficiente garanții cu privire la ocrotirea dreptului la viață privată, garantat de art. 26 din Constituție. ... 130. Referitor la costurile aferente operațiunilor de interceptare a comunicațiilor, Curtea reține că norma criticată prevede că acestea urmează a fi suportate de către furnizorii de rețele sau servicii de comunicații electronice. Curtea observă că obligațiile prevăzute de lege în sarcina acestora, care implică achiziționarea din resurse proprii a echipamentele necesare interceptării, iau naștere la data intrării în vigoare a actului normativ, fapt care poate genera o sarcină administrativă cu impact economic semnificativ. Curtea observă că legiuitorul nu a prevăzut o normă tranzitorie prin care să reglementeze o perioadă de grație, în care să fie permisă furnizorilor de servicii de comunicații electronice conformarea la noile prevederi. Având în vedere că textul de lege criticat este de aplicare imediată, respectiv în termen de trei zile de la publicarea în Monitorul Oficial al României, Partea I, Curtea constată că legea impune o sarcină administrativă, tehnică și financiară, excesivă prin raportare la termenul scurt de implementare a soluției legislative de către furnizorii de rețele sau de servicii de comunicații electronice și, respectiv, de servicii de găzduire electronică, astfel că, pentru respectarea caracterului predictibil al normelor juridice, recomandă legiuitorului reglementarea unui termen de implementare a obligațiilor legale impuse destinatarilor legii. ... 131. În ceea ce privește (iii) extinderea categoriilor de date ce fac obiectul măsurilor de interceptare, critica de neconstituționalitate vizează art. 10^2 alin. (1) lit. b) din Ordonanța de urgență a Guvernului nr. 111/2011, care prevede obligația tuturor furnizorilor de rețele sau servicii de comunicații electronice „să acorde, la solicitarea organelor autorizate, conținutul criptat al comunicațiilor tranzitate în rețele proprii“ și care, în opinia autorilor sesizării, conține „o neclaritate tehnică pentru că furnizorul de găzduire nu tranzitează trafic prin propria rețea, ci este destinatarul traficului de internet“. Dincolo de faptul că norma criticată nu extinde în niciun fel categoriile de date ce fac obiectul măsurilor de interceptare, astfel cum a fost constatat în analiza criticilor de neconstituționalitate privind acest text de lege prin raportare la prevederile art. 1 alin. (5) din Constituție, Curtea reține că „neclaritatea tehnică“ invocată de autorii sesizării se întemeiază pe două argumente lipsite de logică: primul, potrivit căruia furnizorul serviciilor de găzduire electronică cu resurse IP „nu tranzitează trafic prin propria rețea“, și cel de-al doilea, potrivit căruia el „este destinatarul traficului de internet“. Or, potrivit normei criticate, ceea ce tranzitează rețelele proprii ale furnizorilor de servicii electronice sunt comunicațiile, care, în cazul furnizorilor serviciilor de găzduire electronică cu resurse IP, sunt stocate, distribuite și accesate de pe servere deținute sau închiriate, prin gestionarea unui set de adrese IP în internet. Mai mult, furnizorul serviciului de găzduire electronică nu poate fi „destinatarul traficului de internet“, el este un prestator de servicii care deține sau închiriază servere în scopul stocării, distribuirii și accesării informațiilor electronice de către persoane fizice sau juridice. Așa fiind, Curtea constată că critica cu un atare obiect este neîntemeiată. ... 132. O altă prevedere care, în opinia autorilor sesizării, extinde categoriile de date ce pot face obiectul măsurilor de interceptare dincolo de categoriile prevăzute în Codul de procedură penală este cea introdusă prin art. 10^2 alin. (1) lit. c) din Ordonanța de urgență a Guvernului nr. 111/2011 privind „informațiile reținute sau stocate referitoare la date de trafic, date de identificare a abonaților sau clienților, modalități de plată și istoricul accesărilor cu momentele de timp aferente, corespunzătoare adresei IP“. ... 133. Curtea reține că informațiile care fac obiectul obligației prevăzute de art. 10^2 alin. (1) lit. c) sunt cele referitoare la datele de trafic, la datele de identificare a abonaților sau clienților, la modalitățile de plată și la istoricul accesărilor cu momentele de timp aferente, corespunzătoare adresei IP identificate în actele de autorizare. Noua reglementare pare a fi o reiterare a metodelor de supraveghere prevăzute la art. 138 alin. (1) lit. a) din Codul de procedură penală, respectiv interceptarea comunicațiilor, care implică datele de identificare a abonaților sau clienților, la art. 138 alin. (1) lit. j) din Cod, respectiv „obținerea datelor de trafic și de localizare prelucrate de către furnizorii de rețele publice de comunicații electronice ori furnizorii de servicii de comunicații electronice destinate publicului“, și la art. 138 alin. (1) lit. e) , respectiv „obținerea datelor privind tranzacțiile financiare ale unei persoane“, dar și o extindere a metodelor de supraveghere cu privire la „istoricul accesărilor cu momentele de timp aferente“, corespunzătoare adresei IP a utilizatorului. Toate aceste informații, care au fost reținute sau stocate de furnizorii de rețele sau servicii de comunicații electronice, inclusiv de furnizorii de servicii de găzduire electronică cu resurse IP, urmează a fi furnizate organelor de urmărire penală sau organelor cu atribuții în domeniul securității naționale, după caz, pentru punerea în executare a metodelor de supraveghere tehnică ori a actelor de autorizare dispuse în conformitate cu dispozițiile Codului de procedură penală sau ale Legii nr. 51/1991. ... 134. Deși legea criticată are ca obiect de reglementare modificarea cadrului normativ general cu privire la comunicațiile electronice, din examinarea modificărilor operate prin dispozițiile legii rezultă că actul normativ completează și cadrul legislativ privind reținerea datelor generate sau prelucrate de furnizorii de rețele publice de comunicații electronice și de furnizorii de servicii de comunicații electronice destinate publicului. Potrivit art. 4 alin. (2) lit. c) din Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, „Ascultarea, înregistrarea, stocarea și orice altă formă de interceptare ori supraveghere a comunicărilor și a datelor de trafic aferente sunt interzise, cu excepția cazurilor următoare: [...] c) se realizează de autoritățile competente, în condițiile legii“, iar, în temeiul art. 5 alin. (6) din același act normativ, prevederile referitoare la ștergerea ori transformarea în date anonime a datelor de trafic referitoare la abonați și la utilizatori, prelucrate și stocate de către furnizorul unei rețele publice de comunicații electronice sau de către furnizorul unui serviciu de comunicații electronice destinat publicului, atunci când nu mai sunt necesare la transmiterea unei comunicări, „nu aduc atingere posibilității autorităților competente de a avea acces la datele de trafic, în condițiile legii“. ... 135. Cu privire la limitarea exercițiului dreptului la viață intimă, familială și privată și la secretul corespondenței, precum și a libertății de exprimare, în jurisprudența sa (Decizia nr. 440 din 8 iulie 2014, publicată în Monitorul Oficial al României, Partea I, nr. 653 din 4 septembrie 2014, Decizia nr. 461 din 16 septembrie 2014, publicată în Monitorul Oficial al României, Partea I, nr. 775 din 24 octombrie 2014, Decizia nr. 83 din 18 februarie 2020, publicată în Monitorul Oficial al României, Partea I, nr. 204 din 13 martie 2020), Curtea a stabilit că aceasta trebuie să aibă loc într-o manieră clară, previzibilă și lipsită de echivoc, astfel încât să fie îndepărtată, pe cât posibil, eventualitatea arbitrarului sau a abuzului autorităților în acest domeniu. ... 136. Analizând mecanismul reținerii datelor generate sau prelucrate de furnizorii de rețele publice de comunicații electronice și de furnizorii de servicii de comunicații electronice destinate publicului, reglementat prin Legea nr. 82/2012 privind reținerea datelor generate sau prelucrate de furnizorii de rețele publice de comunicații electronice și de furnizorii de servicii de comunicații electronice destinate publicului, precum și pentru modificarea și completarea Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, prin Decizia nr. 440 din 8 iulie 2014, precitată, Curtea a reținut că această lege prevedea, pe de o parte, reținerea și stocarea datelor, obligație care revenea furnizorilor de rețele publice și de servicii de comunicații electronice destinate publicului, și, pe de altă parte, accesul la datele stocate și utilizarea acestora de către organele judiciare și celelalte organe de stat cu atribuții în domeniul siguranței naționale. Prin urmare, Curtea a distins două etape, prima fiind aceea a reținerii și stocării datelor, iar cea de-a doua, aceea a accesului la aceste date și a folosirii lor. Cu privire la prima etapă, Curtea a apreciat că operațiunea de reținere și stocare a datelor „este una tehnică, fiind realizată automat în baza unor programe informatice atât timp cât legea prevede obligația furnizorilor desemnați de lege de a reține respectivele date“. Așa fiind, Curtea a observat că „datele care fac obiectul reglementării, deși au un caracter predominant tehnic, sunt reținute în scopul furnizării informațiilor cu privire la persoana și viața sa privată. Chiar dacă, potrivit art. 1 alin. (3) din lege, aceasta nu se aplică și conținutului comunicării sau informațiilor consultate în timpul utilizării unei rețele de comunicații electronice, celelalte date reținute, având ca scop identificarea apelantului și a apelatului, respectiv a utilizatorului și a destinatarului unei informații comunicate pe cale electronică, a sursei, destinației, datei, orei și duratei unei comunicări, a tipului de comunicare, a echipamentului de comunicație sau a dispozitivelor folosite de utilizator, a locației echipamentului de comunicații mobile, precum și a altor «date necesare» - nedefinite în lege -, sunt de natură să prejudicieze manifestarea liberă a dreptului la comunicare sau la exprimare. În concret, datele avute în vedere conduc la concluzii foarte precise privind viața privată a persoanelor ale căror date au fost păstrate, concluzii ce pot viza obiceiurile din viața cotidiană, locurile de ședere permanentă sau temporară, deplasările zilnice sau alte deplasări, activitățile desfășurate, relațiile sociale ale acestor persoane și mediile sociale frecventate de ele. Or, o atare limitare a exercițiului dreptului la viață intimă, familială și privată și la secretul corespondenței, precum și a libertății de exprimare trebuie să aibă loc într-o manieră clară, previzibilă și lipsită de echivoc, astfel încât să fie îndepărtată, pe cât posibil, eventualitatea arbitrarului sau a abuzului autorităților în acest domeniu“ (paragraful 56). Curtea a constatat că, întrucât „scopul reținerii și stocării este unul general, urmărindu-se garantarea siguranței naționale, a apărării, precum și prevenirea, cercetarea, detectarea și urmărirea penală a infracțiunilor grave, reținerea și stocarea nefiind legate și determinate de un caz concret, apare ca evident caracterul continuu al obligației furnizorilor de rețele publice de comunicații electronice și a furnizorilor de servicii electronice de a reține aceste date pe întreaga perioadă prevăzută expres de cadrul normativ în vigoare“. Cu toate acestea, „în această etapă, fiind vorba exclusiv de reținerea și stocarea unei mase de informații, identificarea ori localizarea celor care sunt subiecții unei comunicații electronice nu se realizează în concret, aceasta urmând a avea loc abia în a doua etapă, după ce este permis accesul la date și utilizarea acestora“ (paragraful 59). Curtea a apreciat că „tocmai datorită naturii și specificului primei etape, din moment ce legiuitorul consideră necesară reținerea și stocarea datelor, prin ea însăși doar această operațiune nu contravine dreptului la viață intimă, familială și privată, ori secretului corespondenței. Nici Constituția și nici jurisprudența Curții Constituționale nu interzic stocarea preventivă, fără o ocazie anume, a datelor de trafic și de localizare, cu condiția însă ca accesul la aceste date și utilizarea lor să fie însoțite de garanții și să respecte principiul proporționalității“. Prin urmare, Curtea a apreciat că „abia raportat la cea de-a doua etapă, aceea a accesului și a utilizării acestor date, se ridică problema conformității reglementărilor legale criticate cu dispozițiile constituționale“ (paragrafele 60 și 61). ... 137. Astfel, cu privire la cea de-a doua etapă a mecanismului reținerii datelor generate sau prelucrate de furnizorii de rețele publice de comunicații electronice și de furnizorii de servicii de comunicații electronice destinate publicului, respectiv accesul la aceste date și folosirea lor, examinând dispozițiile Legii nr. 82/2012 care prevedeau accesul organelor judiciare și al organelor de stat cu atribuții în domeniul siguranței naționale la datele stocate, prin aceeași Decizie nr. 440 din 8 iulie 2014, Curtea a constatat că „legea nu oferă garanțiile necesare protecției dreptului la viață intimă, familială și privată, a secretului corespondenței și a libertății de exprimare ale persoanelor ale căror date stocate sunt accesate“, întrucât „doar solicitarea adresată de organele de urmărire penală furnizorilor de rețele publice de comunicații electronice și furnizorilor de servicii de comunicații electronice destinate publicului de transmitere a datelor reținute este supusă autorizării prealabile a judecătorului de drepturi și libertăți“. În ceea ce privește solicitările de acces la datele reținute în vederea utilizării lor în scopul prevăzut de lege, formulate de către organele de stat cu atribuții în domeniul securității naționale, acestea „nu sunt supuse autorizării sau aprobării instanței judecătorești, lipsind astfel garanția unei protecții eficiente a datelor păstrate împotriva riscurilor de abuz precum și împotriva oricărui acces și a oricărei utilizări ilicite a acestor date. Această împrejurare este de natură a constitui o ingerință în drepturile fundamentale la viață intimă, familială și privată și a secretului corespondenței și, prin urmare, contravine dispozițiilor constituționale care consacră și protejează aceste drepturi. [...] Or, lipsa unor astfel de autorizări a fost criticată, printre altele, și de către Curtea de Justiție a Uniunii Europene prin Hotărârea din 8 aprilie 2014, această lipsă echivalând cu insuficiența garanțiilor procesuale necesare ocrotirii dreptului la viața privată și a celorlalte drepturi consacrate de art. 7 din Carta drepturilor și libertăților fundamentale și a dreptului fundamental la protecția datelor cu caracter personal, consacrat de art. 8 din Cartă.“ ... 138. Ulterior, referitor la prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, respectiv în serviciile de telefonie destinate publicului la puncte mobile, pentru care plata se face în avans, Curtea s-a pronunțat prin Decizia nr. 461 din 16 septembrie 2014, precitată, prilej cu care a constatat neconstituționalitatea Legii pentru modificarea și completarea Ordonanței de urgență a Guvernului nr. 111/2011 privind comunicațiile electronice prin care se introduceau o serie de reglementări în domeniul respectiv. Curtea a reținut că, în condițiile în care măsurile adoptate prin legea supusă controlului de constituționalitate nu aveau un caracter precis și previzibil, ingerința statului în exercitarea drepturilor fundamentale protejate constituțional referitoare la viața intimă, familială și privată, la secretul corespondenței, precum și la libertatea de exprimare, deși prevăzută de lege, nu a fost formulată clar, riguros și exhaustiv pentru a oferi încredere cetățenilor, caracterul strict necesar întro societate democratică nu a fost pe deplin justificat, iar proporționalitatea măsurii nu a fost asigurată prin reglementarea unor garanții corespunzătoare. Apreciind incidente considerentele Deciziei nr. 440 din 8 iulie 2014, Curtea a constatat că dispozițiile legii criticate încălcau prevederile art. 1 alin. (5) , art. 26, 28, 30 și 53 din Constituție. ... 139. Având în vedere modificările propuse prin legea supusă controlului de constituționalitate, argumentele reținute de Curte în fundamentarea soluțiilor de neconstituționalitate pronunțate în deciziile sale anterioare, precum și faptul că, în ceea ce privește mecanismul de reținere și prelucrare a datelor, autorii obiecției de neconstituționalitate formulează critici cu privire la ambele etape ale acestuia, susținând că textul de lege criticat este lipsit de claritate și previzibilitate, nu respectă condițiile impuse de principiul proporționalității și nu oferă garanții care să asigure confidențialitatea datelor cu caracter personal, aducând atingere însăși esenței dreptului fundamental la viață intimă, familială și privată, Curtea urmează a analiza în ce măsură considerentele reținute în jurisprudența sa sunt incidente și în prezenta cauză. Curtea pornește de la constatarea că noua reglementare stabilește obligația în sarcina tuturor furnizorilor de rețele sau servicii de comunicații electronice de a furniza informațiile reținute sau stocate referitoare la date de trafic, date de identificare a abonaților sau clienților, modalități de plată și istoricul accesărilor cu momentele de timp aferente, corespunzătoare unei adrese IP, astfel că va analiza dacă dispozițiile art. 10^2 alin. (1) lit. c) din Ordonanța de urgență a Guvernului nr. 111/2011 prevăd garanții suficiente și adecvate pentru a îndepărta teama că drepturile personale, de natură intimă, sunt violate, așa încât manifestarea acestora să aibă loc într-o manieră acceptabilă. ... 140. Curtea reține că scopul obligației instituite de lege este acela de a sprijini, pe de o parte, organele de urmărire penală pentru punerea în executare a metodelor de supraveghere tehnică dispuse în conformitate cu dispozițiile Codului de procedură penală și, pe de altă parte, organele cu atribuții în domeniul securității naționale pentru punerea în executare a actelor de autorizare dispuse în conformitate cu dispozițiile Legii nr. 51/1991 privind securitatea națională. Norma criticată conferă o eficiență suplimentară cadrului normativ existent care reglementează competența organelor de urmărire penală și a organelor cu atribuții în domeniul securității naționale în punerea în executare a mandatelor prin care se autorizează accesul la informațiile electronice și utilizarea acestora pentru realizarea obiectivelor urmărite (cercetarea penală, respectiv realizarea securității naționale), stabilind obligația tuturor furnizorilor de rețele sau servicii de comunicații electronice de a sprijini această activitate, scopul astfel reglementat de lege fiind nu numai legitim, dar și necesar. ... 141. Curtea constată că punerea în executare a actelor de autorizare a interceptărilor comunicațiilor nu se poate realiza decât cu colaborarea entităților menționate de lege, iar această colaborare trebuie să se desfășoare într-un cadru reglementat, clar și previzibil, care să înlăture orice suspiciune de abuz sau arbitrariu în exercitarea obligațiilor legale ale fiecărei părți colaboratoare. Astfel, Curtea observă că, sub aspectul titularilor dreptului de a accesa și utiliza informațiile electronice, legea își limitează incidența la categoria organelor de urmărire penală și a celor cu atribuții în domeniul securității naționale, cărora furnizorii de rețele sau servicii de comunicații electronice trebuie să le ofere sprijin în limitele competențelor acestora. Apoi, Curtea constată că activitatea de sprijinire a acestor organe în îndeplinirea atribuțiilor lor se întemeiază pe actele de autorizare dispuse în conformitate cu dispozițiile Codului de procedură penală sau ale Legii nr. 51/1991, care sunt aduse la cunoștința furnizorilor de rețele sau servicii de comunicații electronice. Având în vedere cadrul normativ existent, Curtea reține că dispozițiile legale criticate, coroborate cu dispozițiile Codului de procedură penală referitoare la procedura de emitere a mandatului de supraveghere tehnică, respectiv cu dispozițiile Legii nr. 51/1991 privind autorizarea unor activități specifice culegerii de informații care presupun restrângerea exercițiului unor drepturi sau al unor libertăți fundamentale ale omului, permit accesul persoanelor autorizate la informațiile electronice, în limitele competențelor acestora, după parcurgerea unei proceduri legale și numai cu aprobarea unui judecător, respectiv judecătorul de drepturi și libertăți sau judecătorul desemnat să emită mandatele de siguranță națională. ... 142. În continuare, cu privire la categoriile de informații electronice care pot fi accesate de organele abilitate, Curtea observă că legea face vorbire despre „date de trafic, date de identificare a abonaților sau clienților, modalități de plată și istoricul accesărilor cu momentele de timp aferente, corespunzătoare adresei IP identificate în actele de autorizare“. Așadar, Curtea constată că, deși obligația de a furniza informații vizează o gamă variată de informații, datele care urmează a fi accesate de organele de urmărire penală sau organele cu atribuții în domeniul securității naționale sunt exclusiv cele care fac obiectul actelor de autorizare, pe durata și în condițiile menționate în aceste acte, și doar cu privire la adresa IP menționată în actul de autorizare. Cu alte cuvinte, în cadrul procedurii de emitere a mandatului de supraveghere tehnică, judecătorul abilitat de lege trebuie să stabilească în concret informațiile electronice care urmează a fi accesate corespunzătoare adresei IP identificate, durata pentru care este dispusă măsura tehnică de supraveghere, precum și condițiile în care aceasta urmează a fi pusă în aplicare. ... 143. Având în vedere argumentele expuse, Curtea constată că legea prevede garanții clare care limitează la strictul necesar numărul de persoane care au acces și pot utiliza informațiile electronice, stabilește că accesul organelor competente la informațiile electronice este condiționat de existența unui act de autorizare, emis în urma unui control prealabil efectuat de către un judecător, și prevede că actul de autorizare limitează accesul și utilizarea datelor la ceea ce este strict necesar pentru realizarea obiectivului urmărit. Curtea constată că reglementarea conține măsuri necesare, adecvate și proporționale cu scopul legitim urmărit, care fac posibilă menținerea unui just echilibru între interese divergente: respectarea drepturilor fundamentale ale persoanei vizând viața intimă, familială și privată și secretul corespondenței și manifestarea lor liberă, pe de o parte, și interesul general al societății în apărarea ordinii de drept și a securității naționale, pe de altă parte. ... 144. Curtea observă că garanțiile menționate vizează etapa accesului și folosirii informațiilor reținute sau stocate referitoare la date de trafic, date de identificare a abonaților sau clienților, modalități de plată și istoricul accesărilor cu momentele de timp aferente, corespunzătoare adresei IP, și sunt menite să îndepărteze teama că drepturile personale, de natură intimă, sunt violate, astfel că persoanele beneficiază de o protecție suficientă împotriva abuzurilor și a oricărui acces ilicit sau a oricărei utilizări ilicite. ... 145. Cu privire la prima etapă a mecanismului de reținere și prelucrare a datelor, respectiv etapa reținerii și stocării informațiilor, care în mod firesc este prima operațiune din punct de vedere cronologic și fără de care etapa accesului și folosirii informațiilor nu este posibilă, Curtea observă că legiuitorul omite să o reglementeze, limitându-se doar la o mențiune vagă și implicită în textul de lege criticat. Astfel, folosind sintagma „informațiile reținute sau stocate“ în cuprinsul dispozițiilor art. 10^2 alin. (1) lit. c) din Ordonanța de urgență a Guvernului nr. 111/2011, cu privire la care este reglementată obligația furnizorilor de rețele sau servicii de comunicații electronice de a le furniza organelor de urmărire penală sau organelor cu atribuții în domeniul securității naționale, legiuitorul creează doar aparența unei reglementări a mecanismului de retenție a informațiilor electronice. În fapt, analizând obligațiile care cad în sarcina furnizorilor de rețele sau servicii de comunicații electronice, potrivit art. 10^2 alin. (1) din ordonanța de urgență, Curtea constată că în enumerarea prevăzută de textul de lege nu se regăsește obligația reținerii și a stocării informațiilor și, implicit, nu se regăsesc nici garanțiile aferente acestei obligații. ... 146. Mai mult, analizând cadrul normativ referitor la retenția datelor generate sau prelucrate ca urmare a unei comunicații ori a unui serviciu de comunicații, Curtea observă că, prin Decizia nr. 440 din 8 iulie 2014, în urma admiterii excepției de neconstituționalitate, a constatat neconstituționalitatea Legii nr. 82/2012 privind reținerea datelor generate sau prelucrate de furnizorii de rețele publice de comunicații electronice și de furnizorii de servicii de comunicații electronice destinate publicului, precum și pentru modificarea și completarea Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice. Legea constituia a doua transpunere în dreptul național a Directivei 2006/24/CE a Parlamentului European și a Consiliului din 15 martie 2006 privind păstrarea datelor generate sau prelucrate în legătură cu furnizarea serviciilor de comunicații electronice accesibile publicului sau de rețele de comunicații publice și de modificare a Directivei 2002/58/CE, publicată în Jurnalul Oficial al Uniunii Europene, seria L, nr. 105 din 13 aprilie 2006. Cadrul legal reglementat de această directivă prevedea că „statele membre se asigură că toate categoriile de date specificate la articolul 5 se păstrează pe perioade de cel puțin șase luni și nu mai mult de doi ani de la data efectuării comunicației“ (art. 6) și se referea numai la acele date generate sau prelucrate ca urmare a unei comunicații sau a unui serviciu de comunicații (sursa, destinația, data, ora, durata comunicației, echipamentul de comunicație și locația acestuia), iar nu și la date care să reprezinte conținutul acestor comunicații (pct. 13 din preambul, art. 5 din directivă). Prima transpunere în dreptul național a directivei, Legea nr. 298/2008 privind reținerea datelor generate sau prelucrate de furnizorii de servicii de comunicații electronice destinate publicului sau de rețele publice de comunicații, precum și pentru modificarea Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, publicată în Monitorul Oficial al României, Partea I, nr. 780 din 21 noiembrie 2008, fusese anterior declarată neconstituțională, în integralitatea sa, prin Decizia nr. 1.258 din 8 octombrie 2009, publicată în Monitorul Oficial al României, Partea I, nr. 798 din 23 noiembrie 2009. ... 147. Legea nr. 82/2012 stabilea obligația furnizorilor de rețele publice de comunicații electronice și a furnizorilor de servicii de comunicații electronice destinate publicului de a reține anumite date generate sau prelucrate ca urmare a unei comunicații ori a unui serviciu de comunicații (datele de trafic și de localizare a persoanelor fizice și a persoanelor juridice, precum și datele necesare pentru identificarea unui abonat sau a unui utilizator înregistrat) pentru punerea acestora la dispoziția organelor de urmărire penală, a instanțelor de judecată și a organelor de stat cu atribuții în domeniul siguranței naționale în scopul utilizării lor în cadrul activităților de prevenire, de cercetare, de descoperire și de urmărire penală a infracțiunilor grave sau pentru rezolvarea cauzelor cu persoane dispărute ori pentru punerea în executare a unui mandat de arestare sau de executare a pedepsei [art. 1 alin. (1) și (2) ]. Legea prevedea că nu se aplică „în ceea ce privește conținutul comunicării sau informațiilor consultate în timpul utilizării unei rețele de comunicații electronice“ [art. 1 alin. (3) ]. Potrivit dispozițiilor art. 3 din lege, furnizorii de rețele publice de comunicații electronice și furnizorii de servicii de comunicații electronice destinate publicului aveau obligația de a asigura, pe cheltuială proprie, crearea și administrarea unor baze de date în format electronic, în vederea reținerii mai multor categorii de date, generate sau prelucrate de aceștia, enumerate în alin. (1) , aceste date reținându-se și păstrându-se, în temeiul alin. (2) , „timp de 6 luni de la data efectuării comunicării“. ... 148. Luând act de faptul că Directiva 2006/24/CE a fost declarată nevalidă prin Hotărârea din 8 aprilie 2014 a Curții de Justiție a Uniunii Europene și că, în urma controlului de constituționalitate, Legea nr. 82/2012 a fost declarată neconstituțională în integralitatea sa, prin Decizia nr. 440 din 8 iulie 2014, Curtea a constatat că activitatea de reținere și folosire a datelor generate sau prelucrate în legătură cu furnizarea serviciilor de comunicații electronice accesibile publicului sau de rețelele de comunicații publice „devine lipsită de temei juridic, atât din punct de vedere al dreptului european, cât și al celui național“ (paragraful 78). ... 149. Prin aceeași decizie, cu privire la critica de neconstituționalitate având ca obiect dispozițiile art. 152 din Codul de procedură penală, care prevedeau, la data efectuării controlului, posibilitatea organelor de urmărire penală, cu autorizarea prealabilă a judecătorului de drepturi și libertăți, de a solicita unui furnizor de rețele publice de comunicații electronice sau unui furnizor de servicii de comunicații electronice destinate publicului „transmiterea datelor reținute, în baza legii speciale privind reținerea datelor generate sau prelucrate de furnizorii de rețele publice de comunicații electronice și de furnizorii de servicii de comunicații electronice destinate publicului, altele decât conținutul comunicațiilor“, Curtea a reținut că, „în condițiile inexistenței unei legi care să reglementeze procedura reținerii și stocării datelor, art. 152 din Codul de procedură penală rămâne fără aplicabilitate practică, dar această împrejurare nu se constituie într-un viciu de neconstituționalitate, textul urmând a deveni incident imediat ce este adoptată o nouă lege referitoare la reținerea datelor“. ... 150. În condițiile în care nu a fost adoptată o altă lege privind reținerea datelor generate sau prelucrate de furnizorii de rețele publice de comunicații electronice și de furnizorii de servicii de comunicații electronice destinate publicului, art. 152 din Codul de procedură penală a fost modificat prin articolul unic pct. 2 din Legea nr. 75/2016 privind aprobarea Ordonanței de urgență a Guvernului nr. 82/2014 pentru modificarea și completarea Legii nr. 135/2010 privind Codul de procedură penală, publicată în Monitorul Oficial al României, Partea I, nr. 334 din 29 aprilie 2016, astfel că dispozițiile procesual penale în vigoare nu mai fac referire la o lege specială privind reținerea datelor. ... 151. Curtea constată că, nici până în prezent, legiuitorul nu a reglementat o nouă lege referitoare la reținerea datelor generate sau prelucrate de furnizorii de rețele publice de comunicații electronice și de furnizorii de servicii de comunicații electronice destinate publicului. „Concret, aceasta înseamnă că de la publicarea deciziei Curții Constituționale a României, furnizorii de rețele publice de comunicații electronice și furnizorii de servicii de comunicații electronice destinate publicului nu mai au nici obligația, dar nici posibilitatea legală de a reține anumite date generate sau prelucrate în cadrul activității lor și de a le pune la dispoziția organelor judiciare și a celor cu atribuții în domeniul siguranței naționale“ (Decizia nr. 440 din 8 iulie 2014, paragraful 78). Cu titlu de excepție, Curtea a statuat că „pot fi reținute de către acești furnizori doar datele necesare pentru facturare sau plăți pentru interconectare ori alte date prelucrate în scopuri de comercializare doar cu consimțământul prealabil al persoanei ale cărei date sunt prelucrate, așa cum prevede Directiva 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice), în vigoare“. Însă, cu privire la aceste date, având în vedere caracterul, natura și scopul lor diferit, așa cum este prevăzut de Directiva 2002/58/CE și de Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, Curtea a constatat că organele judiciare și cele cu atribuții în domeniul siguranței naționale nu au temei legal și constituțional pentru accesarea și utilizarea acestora „în cadrul activităților de prevenire, de cercetare, de descoperire și de urmărire penală a infracțiunilor grave sau pentru rezolvarea cauzelor cu persoane dispărute ori pentru punerea în executare a unui mandat de arestare sau de executare a pedepsei“ (Decizia nr. 440 din 8 iulie 2014, paragraful 79). ... 152. În acest context, Curtea reiterează faptul că, în cazul reținerii și stocării informațiilor electronice, ingerința în drepturile fundamentale privind viața intimă, familială și privată, secretul corespondenței și libertatea de exprimare este de amploare și trebuie considerată ca fiind deosebit de gravă, iar împrejurarea că păstrarea datelor și utilizarea lor ulterioară sunt efectuate fără ca abonatul sau utilizatorul înregistrat să fie informat cu privire la aceasta este susceptibilă să imprime în conștiința persoanelor vizate sentimentul că viața lor privată face obiectul unei supravegheri constante. De asemenea, Curtea subliniază încă o dată că informațiile care pot fi reținute sau stocate de furnizorii de rețele sau servicii de comunicații electronice, deși au un caracter predominant tehnic, sunt susceptibile de a furniza informații relevante cu privire la persoana și viața sa privată. Acestea vizează identificarea abonaților sau clienților, respectiv a utilizatorului și a destinatarului unei informații comunicate pe cale electronică, a sursei, destinației, datei, orei și duratei unei comunicări, a tipului de comunicare, a echipamentului de comunicație sau a dispozitivelor folosite de utilizator, a locației echipamentului de comunicații mobile, a modalităților de plată folosite de utilizatori, precum și a istoricului accesărilor cu momentele de timp aferente, corespunzătoare unei adrese IP, și sunt de natură să afecteze manifestarea liberă a dreptului la corespondență sau la exprimare, precum și la viață intimă, familială și privată a persoanei. „În concret, datele avute în vedere conduc la concluzii foarte precise privind viața privată a persoanelor ale căror date au fost păstrate, concluzii ce pot viza obiceiurile din viața cotidiană, locurile de ședere permanentă sau temporară, deplasările zilnice sau alte deplasări, activitățile desfășurate, interesele personale, relațiile sociale ale acestor persoane și mediile sociale frecventate de ele“ (Decizia nr. 440 din 8 iulie 2014, paragraful 56). ... 153. Deși, în jurisprudența sa, Curtea nu a negat scopul în sine avut în vedere de legiuitor, în sensul că este absolut necesară asigurarea unor mijloace legale adecvate și eficiente, compatibile cu procesul continuu de modernizare și tehnologizare a mijloacelor de comunicare, astfel încât fenomenul infracțional să poată fi controlat și contracarat, stabilind că tocmai de aceea drepturile individuale nu pot fi exercitate in absurdum, ci pot constitui obiectul unor restrângeri care sunt justificate în funcție de scopul urmărit, tot Curtea a statuat că limitarea exercițiului unor drepturi personale, în considerarea unor drepturi colective și interese publice, ce vizează siguranța națională, ordinea publică sau prevenția penală, trebuie să constituie în permanență „o operațiune sensibilă sub aspectul reglementării, fiind necesară menținerea unui just echilibru între interesele și drepturile individuale, pe de o parte, și cele ale societății, pe de altă parte“ (Decizia nr. 1.258 din 8 octombrie 2009, precitată). Curtea a mai reținut că în materia drepturilor personale, precum și a prelucrării datelor cu caracter personal, „regula unanim recunoscută este aceea a garantării și respectării acestor drepturi, respectiv a confidențialității lor, statul având în acest sens obligații majoritar negative, de abținere, prin care să fie evitată, pe cât posibil, ingerința sa în exercițiul dreptului sau al libertății“, excepțiile fiind permise limitativ, în condițiile expres prevăzute de Constituție. ... 154. Or, lipsa unei reglementări legale care să stabilească obligația reținerii și a stocării informațiilor de către furnizorii de rețele sau servicii de comunicații electronice și, implicit, lipsa garanțiilor aferente acestei obligații deschid posibilitatea unor abuzuri în activitatea de reținere și stocare a datelor, cu riscul afectării dreptului la viață intimă, familială și privată al persoanei, la secretul corespondenței și la libertatea de exprimare. Curtea reține că obligația instituită prin legea criticată în sarcina furnizorilor de rețele sau servicii de comunicații electronice de a furniza „informațiile reținute sau stocate“ organelor de urmărire penală sau organelor cu atribuții în domeniul securității naționale nu are caracter previzibil, iar proporționalitatea măsurii nu este asigurată prin reglementarea unor garanții corespunzătoare, cu respectarea prevederilor art. 1 alin. (5) din Constituție, astfel că ingerința statului în exercitarea drepturilor constituționale menționate nu este formulată într-o manieră susceptibilă să ofere încredere cetățenilor în caracterul său strict necesar întro societate democratică. ... 155. În concluzie, Curtea reține că, în condițiile în care legiuitorul nu a adoptat un act normativ prin care să reglementeze procedura reținerii și stocării informațiilor referitoare la date de trafic, date de identificare a abonaților sau clienților, modalități de plată și istoricul accesărilor cu momentele de timp aferente, corespunzătoare unei adrese IP, de către furnizorii de servicii de comunicații electronice destinate publicului sau de rețele publice de comunicații, dispozițiile art. 10^2 alin. (1) lit. c) din Ordonanța de urgență a Guvernului nr. 111/2011 sunt lipsite de efecte juridice, reglementând o obligație ulterioară, dar aflată într-un raport de necesitate sine qua non cu o obligație anterioară, aceea a reținerii și stocării informațiilor, pe care legiuitorul omite să o reglementeze. Chiar dacă norma prevede garanțiile necesare accesului și folosirii informațiilor reținute sau stocate (a doua etapă a mecanismului retenției datelor), prin modul defectuos/ ambiguu de redactare, lipsit de precizie și predictibilitate, Curtea constată că aceleași dispoziții sunt susceptibile de a crea aparența de legalitate cu privire la activitatea de reținere și stocare a informațiilor electronice (prima etapă a mecanismului retenției datelor), lăsând posibilitatea interpretării acestora în sensul că obligația reținerii și stocării informațiilor electronice poate fi reglementată prin acte normative infralegale, adoptate de autorități publice administrative cu competențe în materia comunicațiilor electronice. Or, o atare concluzie este incompatibilă cu drepturile fundamentale a căror protecție este consacrată constituțional, astfel că dispozițiile art. 2 pct. 27 din Legea pentru modificarea și completarea unor acte normative în domeniul comunicațiilor electronice pentru stabilirea unor măsuri de facilitare a dezvoltării rețelelor de comunicații electronice prin care se introduce art. 10^2 alin. (1) lit. c) în Ordonanța de urgență a Guvernului nr. 111/2011 urmează a fi declarate neconstituționale prin raportare la art. 1 alin. (5) , art. 26, 28 și 30 din Constituție. ... 156. Pentru motivele expuse mai sus, Curtea reține că este întemeiată și critica formulată prin raportare la prevederile art. 147 alin. (4) din Constituție, calificată eronat drept o critică de neconstituționalitate extrinsecă, și constată că prevederile art. 2 pct. 27 din legea criticată, cu referire la introducerea art. 10^2 alin. (1) lit. c) în Ordonanța de urgență a Guvernului nr. 111/2011 privind comunicațiile electronice, conservă și perpetuează viciul de neconstituționalitate al soluțiilor legislative anterioare a căror neconstituționalitate a fost constatată prin deciziile Curții Constituționale nr. 440 din 8 iulie 2014 și nr. 461 din 16 septembrie 2014. ... ...