Decizia CCR nr. 17/2015Paragraful 78

75. În ceea ce priveşte norma prevăzută de art. 20 alin. (1) lit. h) , şi anume obligaţia de a notifica imediat, după caz, CNSC, CERT-RO, ANCOM sau autorităţile desemnate, în condiţiile legii, în domeniul securităţii cibernetice cu privire la riscurile şi incidentele cibernetice, Curtea consideră că aceasta ar trebui să stabilească cu exactitate circumstanţele în care este necesară notificarea, precum şi conţinutul notificării, inclusiv tipurile de date cu caracter personal care ar trebui notificate, şi, dacă este cazul, în ce măsură notificarea şi documentele sale justificative vor include detalii privind datele cu caracter personal afectate de un incident specific de securitate (precum adresele IP). Este important să se ţină seama de faptul că autorităţilor competente în domeniul securităţii reţelelor şi informaţiei ar trebui să li se permită să colecteze şi să prelucreze date cu caracter personal în cadrul unui incident de securitate doar dacă este strict necesar pentru atingerea obiectivelor de interes public urmărite de lege, cu respectarea principiului proporţionalităţii. De asemenea, legea trebuie să prevadă garanţii adecvate pentru a se asigura protecţia efectivă a datelor prelucrate de autorităţile competente privind securitatea cibernetică şi nu trebuie să excludă obligaţia de notificare a cazurilor de încălcare a protecţiei datelor cu caracter personal în temeiul legislaţiei aplicabile în materie, potrivit art. 21 şi 22 din Legea nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date. Analizând, însă, dispoziţiile art. 20 alin. (2) , Curtea constată că legiuitorul deleagă atribuţia sa de legiferare Ministerului pentru Societatea Informaţională, ANCOM sau autorităţilor desemnate, în condiţiile legii, în domeniul securităţii cibernetice, care vor stabili "cerinţele minime de securitate cibernetică, modalitatea de notificare, precum şi datele şi informaţiile care însoţesc în mod obligatoriu notificarea, care se aprobă prin ordine sau decizii emise în termen de 90 de zile de la intrarea în vigoare a legii, de conducătorii autorităţilor sau instituţiilor publice respective, publicate în Monitorul Oficial al României, Partea I". Trimiterea la acte administrative, cu o forţă juridică inferioară legii, într-un domeniu critic pentru securitatea naţională, cu impact asupra drepturilor şi libertăţilor fundamentale ale cetăţenilor, încalcă prevederile constituţionale cuprinse în art. 1 alin. (5) referitoare la principiul legalităţii. O dispoziţie legală trebuie să fie precisă, neechivocă, să instituie norme clare, previzibile, a căror aplicare să nu permită arbitrariul sau abuzul. De asemenea, norma trebuie să reglementeze în mod unitar, uniform, să stabilească cerinţe minimale aplicabile tuturor destinatarilor săi. Or, atâta vreme cât ordinele sau deciziile sunt emise de conducătorii autorităţilor sau instituţiilor publice desemnate de lege, apare cu evidenţă că legea relativizează în mod nepermis reglementarea acestui domeniu, lăsând la latitudinea fiecărei entităţi stabilirea, în mod diferenţiat, a unor măsuri esenţiale, precum cerinţele minime de securitate cibernetică, modalitatea de notificare, precum şi datele şi informaţiile care însoţesc notificarea. Pe de altă parte, enumerând autorităţile care stabilesc aceste aspecte, legiuitorul omite chiar Consiliul Suprem de Apărare a Ţării, care potrivit art. 9 alin. (1) lit. f) din lege, aprobă propunerile COSC privind cerinţele minime de securitate cibernetică şi politici de securitate cibernetică pentru autorităţile şi instituţiile publice prevăzute la art. 10 alin. (1) şi (2) din lege.