Decizia ÎCCJ nr. 68/2021 (HP)Punctul VI

VI. Opinia specialiștilor consultați asupra chestiunii de drept ce formează obiectul sesizării În conformitate cu dispozițiile art. 476 alin. (10) raportate la cele ale art. 473 alin. (5) din Codul de procedură penală, a fost solicitată specialiștilor în drept penal opinia asupra problemei supuse examinării. Centrul de cercetări în Științe penale din cadrul Facultății de Drept a Universității de Vest din Timișoara a opinat, sub aspect formal, că, deși sesizarea este deficitar formulată, sunt îndeplinite condițiile de admisibilitate ale acesteia, prevăzute de art. 475 din Codul de procedură penală, putând fi decelată finalitatea demersului realizat, iar, în ceea ce privește fondul chestiunii de drept supuse examinării, că, în interpretarea dispozițiilor art. 360 alin. (1) din Codul penal privind accesul ilegal la un sistem informatic, în cazul persoanelor care pot interoga oricând o bază de date conținând informații nepublice, o asemenea interogare fără efectuarea ulterioară a unor acte specifice exercitării atribuțiilor de serviciu în legătură cu interogarea realizată nu reprezintă o depășire a limitelor autorizării decât dacă interogarea s-a făcut cu neobservarea cadrului legal privind efectuarea acesteia, inclusiv neurmarea procedurilor prealabile privind autorizarea și legitimarea specifică în vederea realizării unei atari interogări. În argumentarea acestei opinii, după prezentarea unor considerații de natură teoretică cu privire la conținutul normei de incriminare a faptei de acces fără drept la un sistem informatic, s-a arătat, în esență, că interpretarea textului art. 360 alin. (1) din Codul penal în sensul rezolvării chestiunii de drept cu care Înalta Curte de Casație și Justiție a fost sesizată impune o structurare a analizei pe două elemente, și anume observarea standardului protecției datelor cu caracter personal care ar fi lezat prin comiterea respectivei fapte, ce trebuie avut în vedere și prin raportare la speța în care a fost formulată întrebarea prealabilă, și înțelesul noțiunii de „autorizare/depășirea limitelor autorizării“ prin prisma prevederilor legale care guvernează activitatea funcționarului care a fost deferit judecății în cauza aflată pe rolul instanței de trimitere. Astfel, cu privire la primul element, s-a făcut o amplă referire la cuprinsul dispozițiilor legale incidente în materie, cu trimitere la art. 34 și art. 35 alin. (2) din Legea nr. 161/2003 privind unele măsuri pentru asigurarea transparenței în exercitarea demnităților publice, a funcțiilor publice și în mediul de afaceri, prevenirea și sancționarea corupției, la art. 2 lit. d) din Directiva 2013/40/UE a Parlamentului European și a Consiliului din 12 august 2013 privind atacurile împotriva sistemelor informatice și de înlocuire a Deciziei-cadru 2005/222/JAI a Consiliului, la pct. 17 din preambulul aceleiași directive, la art. 10 din Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date și la art. 1, 4 și 5 din Legea nr. 238/2009 privind reglementarea prelucrării datelor cu caracter personal de către structurile/unitățile Ministerului Administrației și Internelor în activitățile de prevenire, cercetare și combatere a infracțiunilor, precum și de menținere și asigurare a ordinii publice, în vigoare la momentul comiterii faptelor, dar în prezent ambele abrogate (prin Legea nr. 129/2018 și, respectiv, prin Legea nr. 363/2018), precum și la art. 1 alin. (1) și (2) și art. 2 din Legea nr. 363/2018 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau al executării pedepselor, măsurilor educative și de siguranță, precum și privind libera circulație a acestor date, concluzionându-se, pe baza acestora, că protecția datelor cu caracter personal reprezintă un suprastandard ce este prevăzut pentru exercitarea oricărui tip de activitate, excepțiile fiind limitativ și restrictiv prevăzute de lege. În acest context s-a subliniat că orice prelucrare a datelor cu caracter personal, chiar dacă este realizată de către agenți care au recunoscute astfel de atribuții, trebuie să se desfășoare potrivit unor proceduri legale, în îndeplinirea competențelor prevăzute de actele normative, fără abuzuri sau derapaje. Astfel, motivul instituirii la nivel european și național a unui asemenea standard este strâns legat de protejarea drepturilor omului, iar orice excepție trebuie să aibă prevăzute garanții suficiente de care persoanele ale căror libertăți ar putea fi încălcate să poată să uzeze în apărarea drepturilor lor. Referitor la cel de-al doilea element de analiză, legat de înțelesul noțiunii de „autorizare/depășirea limitelor autorizării“, dată fiind calitatea subiectului activ din cauza în care a fost formulată întrebarea prealabilă, s-a făcut trimitere la conținutul textelor legale care guvernează activitatea polițistului [art. 41-43 din Legea nr. 360/2002 privind Statutul polițistului; art. 17 alin. (2) , art. 19 alin. (3) și art. 22 din Hotărârea Guvernului nr. 991/2005 pentru aprobarea Codului de etică și deontologie al polițistului; art. 4 din anexa la Dispoziția Inspectoratului General al Poliției Române nr. 101 din 13 decembrie 2007], concluzionându-se că, potrivit reglementărilor în materie, agentul de poliție are obligația verificării și respectării permanente a cadrului legal în ceea ce privește desfășurarea activității sale. De asemenea, pornindu-se de la înțelesul dat noțiunii de „acces la un sistem informatic“ în cuprinsul Raportului explicativ al Convenției Consiliului Europei asupra criminalității informatice (Budapesta, 2001) și al art. 138 alin. (3) din Codul de procedură penală, s-a arătat că, în situația în care un astfel de sistem este protejat prin măsuri de securitate, accesul se face de către făptuitor pe baza unor credențiale (instrumente de autentificare) cunoscute anterior. Totodată, s-a subliniat că atât timp cât utilizarea credențialelor și accesarea sistemului/bazei de date informatice se pot realiza doar în condițiile prevăzute de lege și doar cu parcurgerea unei proceduri specifice ce presupune efectuarea anterioară a unor acte proprii exercitării atribuțiilor de serviciu în legătură cu accesarea/interogarea efectuată, neîndeplinirea acestora excedează accesării legale a sistemului. Astfel, accesarea „cu drept“ presupune nu numai existența posibilității generale recunoscute de lege de a accesa sistemul în baza credențialelor primite în vederea îndeplinirii atribuțiilor de serviciu, ci și a procedurilor specifice referitoare la exercitarea acestor atribuții în concret. Ca atare, s-a apreciat că legalitatea accesării trebuie analizată strict, atât prin prisma competențelor și atribuțiilor de serviciu prevăzute de lege, cât și prin prisma procedurilor instituite de lege privind îndeplinirea concretă a acestor atribuții și îndatoriri de serviciu. Dacă, însă, s-a parcurs procedura specifică prevăzută de legislația specială (de exemplu, informarea prealabilă prevăzută de art. 4 din Legea nr. 238/2009 ori sesizarea șefului ierarhic privind comiterea unor fapte de corupție de către colegii de serviciu), faptul că, ulterior accesării, informațiile obținute nu sunt utilizate, nefiind importante pentru îndeplinirea atribuțiilor de serviciu, nu are relevanță, fapta de a accesa baza de date în temeiul credențialelor obținute neconstituind în acest caz infracțiunea de acces ilegal la un sistem informatic. ...