Decizia CCR nr. 17/2015Paragraful 31

28. În propunerea de Directivă NIS nu se prevede dreptul autorităţilor desemnate de a accesa, la solicitarea motivată, datele stocate în reţelele şi sistemele informatice, aşa cum prevede art. 17 alin. (1) lit. a) din legea supusă controlului de constituţionalitate, ci doar obligaţia de notificare a riscurilor şi incidentelor cibernetice (art. 14) şi de a se supune auditării pentru deţinătorii de infrastructuri critice (art. 15). Astfel, în cazurile în care notificările conţin date cu caracter personal, acestea sunt comunicate doar destinatarilor din cadrul autorităţilor competente care trebuie să prelucreze aceste date pentru a-şi îndeplini sarcinile în conformitate cu un temei juridic adecvat, iar datele comunicate se limitează la ceea ce este necesar pentru îndeplinirea sarcinilor acestor destinatari - art. 14 alin. (2a), în vreme ce autorităţile competente sunt împuternicite să solicite operatorilor de piaţă furnizarea de "dovezi privind aplicarea efectivă a politicilor de securitate, precum rezultatele auditului de securitate efectuat de auditori interni, de un organism calificat independent sau de o autoritate naţională şi să transmită dovezile autorităţii competente sau punctului unic de contact" - art. 15 alin. (2) din directivă.