Drept & Internet - noutati si opinii

A. Principiile securității informatice - de la stat la privat

Securitatea informatică este o problemă care ne privește pe toți. Dar securitatea informațiilor noastre electronice înseamnă nu doar securitatea statului, ci și securitatea informațiilor personale (ex. date personale, informații private) sau de securitatea informațiilor unei companii (ex. liste de clienți, informații confidențiale de serviciu). Care uneori nu trebuie să fie știute de stat.

De aceea propunem 5 principii pe care propunerea de lege actuală nu le respectă:

1. Trebuie să fie clar cui se aplică legea, nu definiții vagi care bagă toate persoanele juridice în aceiasi oală. Noi credem că subiecții legii trebuie să fie exclusiv infrastructurile naționale de interes public (ca în propunerea de directivă europeană).

2. Sectorul privat are cea mai mare competență în domeniul securității informatice, el trebuie să fie implicat activ dar în același timp respectându-se de stat obligațiile sale de confidențialitate față de clienții săi sau datele personale colectate

3.  Raportarea incidentelor de securitate se va face doar către o singură instituție civilă cu competențe tehnice reale (CERT RO) și doar pentru incidente majore.

4.  Dacă se creează categoria “furnizorilor de servicii de securitate” care trebuie să fie înregistrați undeva, atunci toate detaliile trebuie reglementate prin lege și nu printr-o legislație viitoare secundară și neclară - ei trebuie să aibă obligații clar stipulate prin lege de a-și proteja clienții in primul rând și nu să devină delatori ai statului.

5. Toate celelalte obligații de securitate a informației trebuie incluse în legislația sectorială

Vezi documentul integral cu motivațiile și posibilitatea de a susține aceste principii pe privacy.apti.ro sau pe documentul de pe Google Docs -

B. Efectul legii asupra sectorului privat - birocrația securistică

Mai adaug o chestiune aici ca sa punctez ca noul proiect de lege are de fapt un efect nociv mai mare asupra sectorului privat digital, decat al drepturilor fundamentale - in comparatie cu vechiul proiect.

Astfel- dupa cum cititorii bine informați ai blogului o știu foarte bine - orice serviciu pe Internet (de la o pagina de e-commerce, un site de știri sau serviciu online) intra în categoria “serviciilor societatii informationale)".

Asta inseamna ca toti furnizorii de servicii digitale cel putin vor trebui să:
- notifice orice incident de securitate cibernetică identificat catre o autoritate a statului (art 20 1) b)
- elaborareze și implementeze politici și planuri de securitate cibernetică, cu respectarea cerinţelor minime de securitate - art 18 1) b)
- adopte măsuri tehnice și organizatorice pentru managementul incidentelor de securitate cibernetică; art 18 1) c)

De fapt daca intrepretam in mod cinic definitia de la art 2 o), ar putea sa fie toate infrastucturi critice de interes national (ICIN). Daca vreuna din firme e declarata ICIN, atunci o sa fiti obligati la audit de securitate anual, rapotarea incidentelor de securitate la SRI si angajarea unor furnizori de servicii de securitate acreditati de MCSI.

Daca o interpretam pozitiv, in cel mai rau caz o sa trebuiasca sa treceti prin parcursul birocratic mirific prevazut de art 14-16 din lege (succes sa va dati seama!)

Abia astept sa vad daca trece proiectul de lege in formula asta sa vad cum MCSI o sa se chinuie sa identifice cine sunt furnizorii de servicii ai societatii informationale din Romania si sa le trimite chestionar in care probabil veti regasi intrebarea:

Care este potenţialul impact asupra securităţii infrastructurilor cibernetice prin compromiterea confidenţialităţii, integrităţii, disponibilităţii, autenticităţii sau a non-repudierii datelor, resurselor şi serviciilor dumneavoastra si cum va afecta viaţa şi siguranţa cetăţeanului și încrederii utilizatorilor în serviciile dvs.?

În fabuloasa Romănie digitală care promoveaza antreprenoriatul digital o să fie mai bine să vă faceți firma de IT în Bulgaria sau Moldova, chiar dacă prestați serviciile in Romănia.

Va dorim birocrație securistică placută!

Pentru masochistii ca mine, textul legii e aici.

Articol publicat inițial pe Privacy.apti.ro

Dupa ce 3 luni de zile Senatul a dormit in păpușoi la așa-numita lege a securității cibernetice,s-a activat cu puțin timp inainte de Crăciun. Dupa 9 decembrie, într-o ședința în care au fost invitați doar SRI, MAI și MSI, Comisia de securitate națională a confirmat (cu modificari neesențiale) proiectul de lege al SRI cu privire la securismul cibernetic. (deși am trimis în repetate rânduri criticile textului actual, nici măcar nu le-au publicat pe site, darămite să se la ia în considerare.)

După care astăzi, pe 19 decembrie proiectul a trecut rapid prin Senat și votat cu unanimitate (sunt curios daca oamenii aia stiu pentru ce ridică mâna). Legea este practic adoptată de către Parlament, dar încă nu este în vigoare. Teoretic, parlamentarii Opoziţiei o pot contesta la Curtea Constituţională. Dacă nu va trimisă la CCR, legea va fi trimisă spre promulgare la Cotroceni, acolo unde preşedintele Klaus Johannis are trei variante: o poate promulga, o poate întoarce în Parlament spre reexaminare sau o poate trimite şi el la Curtea Constituţională.

Din punctul nostru de vedere va fi Primul Test adevărat al lui Johannis, care poate decide dacă vrea să creem un stat polițienesc sau unul cetățenesc.

Pe fond, am scris de mai multe ori despre problemele majore ale legii (că de cele minore nu mai are rost să mai zicem ceva):

1. Art 17 -Toți deținătorii de sisteme cibernetice (adică toate persoanele juridice care au un calculator - vezi art. 2) trebuie sa “permita accesul la date” acestor autoritati (SRI, MApN, MAI, ORNISS, SIE, STS, SPP, CERT-RO si ANCOM). Accesul se face la simpla “solicitare motivata". În condițiile în care astăzi orice acces la sistemele informatice unde se află date informatice se face doar cu autorizarea unui judecator, textul actual ne aruncă în haos. De fapt și accesul la date de trafic este de fapt imposibil astăzi, dacă este să respectăm decizia CCR privire la directiva privind păstrarea datelor de trafic. Din punctul nostru de vedere art. 17 este vădit neconstituțional.
2. Art 16 - Toți deținătorii de sisteme cibernetice (adică toate persoanele juridice care au un calculator) vor obligați să aplice politici de securitate cibernetică și să identifice şi să implementeze măsurile tehnice şi organizatorice adecvate pentru a gestiona eficient riscurile de securitate. Asta inseamnă minim 1500 de euro/firma investiți in securitate. Dacă nu - amendă de la 500 la 5000 de RON
3. Art 10 - In vreme ce UE discută ca aceste instituții care se ocupa de domeniul securității cibernetice să fie “organisme civile, care să funcționeze integral pe baza controlului democratic, și nu ar trebui să desfășoare activități în domeniul informațiilor”, noi dam SRI-ul ca cea mai democratica, civila si apropriata de cetateni dintre institutii. Competenta tehnica o avea, dar sub control democratic nu este. Si nici nu cunoaste termeni precum dezbatere publica, acces la informatii publice sau transparenta decizionala.

Poate doar 2015 să ne mai lumineze!

Articol publicat pe blogul Privacy.apti.ro

Trei ONG-uri au cerut saptamina trecuta Autoritatii Electorale Permanente “sa verifice toate listele suplimentare pentru indicii de vot multiplu, inclusiv prin compararea lor cu cele permanente.". De asemenea au declarat ca “decizia Biroului Electoral Central de a ingradi accesul la obtinerea de copii dupa listele electorale organizatiilor neguvernamentale si candidatilor independenti este una restrictiva.”

Practic decizia BEC spune ca doar reprezentantii partidelor politice din birourile de votare ale sectiilor de votare - care au depus in prealabil o cerere scrisa prin care dovedesc ca sunt inscrise ca operatori de date cu caracter personal - au voie sa faca copii dupa aceste liste suplimentare, ca si dupa tabelele electorale permanente in conditiile legii 677/2001.

Interpretarea este una eronata din punctul nostru de vedere. In primul rand ca niciuna din legile invocate de decizia BEC nu precizeaza in mod expres ca cineva ar avea dreptul sa faca copii dupa listele electorale (fie ele normale sau suplimentare). Legea 677/2001 privind protectia datelor cu caracter personal nici nu le-ar da un asemenea drept in lipsa unui scop adecvat si precis, si doar pentru satisfacerea unui drept legitim.

In al doilea rand informatiile cu privire la cine a votat, sau care sunt exact persoanele care au votat pe listele suplimentare sunt deosebit de importante pentru orice partid politic si pot fi folosite in scopuri evident eronate. De exemplu, un partid care a “incurajat participarea la vot” poate sa vada daca anumite persoane de pe lista au votat sau nu - inchipuiti-va ce inseamna asta in cazul unei comune relativ mici. In cazul in care unul din partide ar incuraja “turismul electoral” lista suplimentara poate reprezenta un instrument de santaj pentru acele persoane care se stie ca au votat de 2 ori.

Mai mult, datele personale pot fi folosite in alte scopuri - cum ne arata si postarea anexata de pe Facebook (vezi screenshot in stanga) al unui fost candidat la presedentie intrat in posesia unei astfel de liste si care nu are nicio problema sa posteze online date personale, cu acuze nefondate - in mod vadit ilegal.

In acest conext, opinia noastra este ca regimul listelor electorale si al listelor suplimentare, in contextul aplicarii corecte a legii 677/2001, este ca nimeni nu are voie sa faca copii ale acestor liste, in afara de regimul stabilit prin lege - si anume ca acele informatii se trimit catre Autoritatea electorala permanenta (AEP).

Cu toate acestea, pentru indeplinirea obiectivului unui vot corect si a depistarii infractiunilor legate de votul multiplu, AEP ar putea sa permita accesul tertelor parti (ONG-uri, cetateni interesati, partide, etc.) la aceste date personale, daca prelucrarea este necesară în vederea realizării unui interes legitim al AEP (depistarea votului multiplu) si sunt folosite doar in acest scop. Mai direct spus, legea privind protectia datelor personale nu trebuie sa fie folosita - in mod gresit - pentru a bloca verificari legate de corectitudinea voturilor.

In acest sens AEP ar trebui sa adopte o procedura clara pentru a permite protectia datelor personale in contextului accesului la date, care ar putea fi confirmata de Autoritatea pentru protectia datelor, si care ar putea contine masuri de genul:

Vezi finalul articolului pe http://privacy.apti.ro

La una din ultimele insemnari scriam de pericolul iminent numit legea privind securitatea cibernetica si felul cum Senatul a dat doar 2 zile pentru depunerea unui raport Ei bine, conform site-ului Senatului nu s-a mai intamplat nimic de atunci pe acest proiect.

Nu stiu daca e vorba doar de vacanta electorala, faptul ca s-au temut sa discute acest subiect in plina campanie electorala sau daca, intr-o actiune de nebunie, au inceput sa citeasca deciziile CCR pe subiectul pastrarii datelor de trafic sau al inregistrarii cartelelor pre-pay sau utilizatori WiFi si sa inteleaga ca trebuie sa puna niste garantii, altfel este posibil ca si legea asta sa fie declarata neconstitutionala.

Cert este ca presiunea din partea celor care au propus legea continua, iar argumentele nu conteaza. Articolul intreaba - Cum isi pregateste Romania strategia de securitate informatica? Raspunsul este simplu din textul articolului - doar autoritatile publice o pregatesc. Restul nu au voie - mai ales daca nu sunt de acord cu unele propuneri.

Asa ca mai bine va dau 3 linkuri din recent lansatul nostru blog colaborativ al ApTI pe teme de protectia datelor si privacy (apropo, daca aveti vreun subiect interesant, contactati-ne ca sa va publicam):

• Am mai scris in trecut pe blog cum sunt firme in Romania care iti vand baze de date de email-uri si o numesc e-mail marketing - ba se mai si impauneaza ca e o activitate legala. Ei bine, Autoritatea privind protectia datelor a trebuit sa iasa public cu un comunicat pe site-ul lor ca sa spuna ca daca gasiti pe un site un banner cu “Site verificat de ANSPDCP", acestia doar induc in eroare. Vedeti povestea intreaga.

• V-ati gandit vreodata ca daca va conectati numarul de telefon cu contul de Facebook, acesta ar putea fi folosit pentru a va identifica contul de catre terti, chiar daca ati setat sa nu fie vizibil public? Bogdan A. ne-a scris o lunga explicatie practica legata de cum telefonul asociat contului de Facebook poate deveni o vulnerabilitate de securitate. Facebook zice ca e normal. Noi zicem ca nu e. Oricum, este bine de stiut.

• Au trecut peste 45 de zile de la publicarea motivarii deciziei Curtii Constitutionale pe legea de pastrarea datelor de trafic Cum Parlamentul a dormit in papuci, asta inseamna ca pastrarea tuturor datelor de trafic de catre operatori de telecomunicatii ar fi ilegala (vezi si detalii). In loc de atacuri la adresa Curtii, am propus o modificare concreta si simpla a art 152 din CPP, care ar rezolva accesul la datele retinute oricum de operatori:

  (1) Organele de urmărire penală și cele cu atribuţii în domeniul siguranţei naţionale, cu autorizarea prealabilă a judecătorului de drepturi şi libertăţi, pot solicita unui furnizor de reţele publice de comunicaţii electronice sau unui furnizor de servicii de comunicaţii electronice destinate publicului transmiterea datelor de trafic reţinute, în baza legii speciale privind prelucrarea datelor cu caracter personal si protectia vietii private in sectorul comunicatiilor electronice, în cazul în care există o suspiciune rezonabilă cu privire la săvârşirea unei infracţiuni şi există temeiuri pentru a se crede că datele solicitate constituie probe.

Sa fiti sanatosi!

Doar nu credeati ca o data cu decizia pe pre-pay, onor alesii nostrii si institutiile impingatoare de securism cibernetic au inteles ca textele de lege ar trebui dezbatute serios - mai ales cele care aduc atingere libertatilor fundamentale?

Propunerea de lege prvind securitatea cibernetica a Romaniei n-a mai fos dezbatuta in Camera Deputatilor, ca a trecut prin adoptare tacita pe 17 Septembrie.

De cum a fost trimisa la Senat, a primit termen de 2 (doua) zile (adica maine) pentru a primi raport de la Comisia de aparare (adica Comisia de fond). (desi NU este oficial in procedura de urgenta). Evident, comisia de drepturile omului nu a fost inclusa nici macar pentru aviz.

Dupa cum v-am mai precizat deja, propunerea asta de lege este mult mai naspa decat cea cu pre-pay-ul care un mizilic. Sa va reamintesc cele mai interesante propuneri:

• Toate firmele (ca SRI zice ca utilizatori nu inseamna persoane fizice, eu zic ca inseamna - dar sa nu ne pierdem in detalii) trebuie sa “permita accesul la date” acestor autoritati (SRI, MApN, MAI, ORNISS, SIE, STS, SPP, CERT-RO si ANCOM). Accesul se face la simpla “solicitare motivata". Atentie mare - nu e vorba sa dai datele informatice pe care le ai si care ar putea sa ajute la vreo investigatie, ci “accesul la date", daca n-am fost prea subtil cu diferenta asta.
• Toate firmele care au un laptop, smartphone sau orice alt device trebuie sa adopte politici de securitate cibernetică, ca si să identifice şi să implementeze măsurile tehnice şi organizatorice adecvate pentru a gestiona eficient riscurile de securitate. Asta inseamnă minim 1500 de euro/firma investiți in securitate. (o sa vedeti ce chestii frumoase trebuie sa scrieti in politicile de securitate cibernetica…)

• In vreme ce UE ne cere ca aceste instituții care se ocupa de domeniul securității cibernetice să fie “organisme civile, care să funcționeze integral pe baza controlului democratic, și nu ar trebui să desfășoare activități în domeniul informațiilor", noi dam SRI-ul ca cea mai democratica, civila si apropriata de cetateni dintre institutii. Competenta tehnica o avea, dar sub control democratic nu este. Si nici nu cunoaste termeni precum dezbatere publica, acces la informatii publice sau transparenta decizionala.

Dar va zic - nu va agitati prea mult!

Oricum Senatul nu are timp sa dezbata, iar cele “18 victime/secunda (n.m - asta vine 1.5 mil de victime pe zi) ale Internetului” au nevoie de SRI sa le protejeze. Chiar daca ele nu vor.:roll:

De asemenea, observatiile unora si amendamentele depuse nici macar nu sunt luate in considerare pentru este greu sa judeci cu mintea ta. Daca ne zice SRI ceva, atunci asa este cu siguranta. :roll:

Iar argumentele de drepturile omului sau deciziile CCR nu sunt suficiente pentru nimeni - oricum Romania nu este o democratie. CCR a declat ca accesul la datele de trafic trebuie supus controlului unui judecator, dar cu siguranta va decide altfel daca datele accesate pot fi si date de continut (deci mai mult decat date de trafic).:roll:

Solicitările de acces la datele reţinute în vederea utilizării lor în scopul prevăzut de lege, formulate de către organele de stat cu atribuţii în domeniul securităţii naţionale, nu sunt supuse autorizării sau aprobării instanţei judecătoreşti, lipsind astfel garanţia unei protecţii eficiente a datelor păstrate împotriva riscurilor de abuz precum şi împotriva oricărui acces şi a oricărei utilizări ilicite a acestor date. Această
împrejurare este de natură a constitui o ingerinţă în drepturile fundamentale la viaţă intimă, familială şi privată şi a secretului corespondenţei şi, prin urmare, contravine dispoziţiilor constituţionale care consacră şi protejează aceste drepturi.

Am zis destule. Pentru o completare a imaginii generale cititi si articolul lui Dan Tapalaga - Tara Democratiei cu Epoleti. Iar unul dintre autorii de pe Contributors comenteaza sec situatia de detaliu mai bine decat v-as fi descris-o eu:

Mai există de asemenea în România legi proaste, cu dispoziții neconstituționale, adoptate de parlamentari ce fac exces de zel în clădirea unor relații de bună vecinătate cu alte instituții ale statului, precum și instituții ale statului ce fac exces de zel în criticarea Curții Constituționale pentru că cenzurează excesele de prostie intenționată ale Parlamentului. Toate acestea sub acoperirea unei șarade legate de rezultate deosebite, însă selective (mai nou chiar în sens activ-negativ), în lupta împotriva corupției, precum și sub acoperirea a de acum omniprezentei amenințări externe, în special cibernetice și în special din Orientul Mijlociu. Ar fi rizibil dacă nu ar fi trist pentru că înainte să fie albastru precaut a fost roz imaginat, mai ales înainte ca prietenoasa primăvară rusească să își arate delicat ghioceii la Odessa.

Într-un cuvânt, totul e bine în România, țara este sigură și va fi bine protejată cibernetic de acțiuni de subversiune internă realizate în forță, precum puciul parlamentar anticonstituțional din vara lui 2012, un maxim de stabilitate roz sub umbrela alianței ce e datoare să apere România. Uneori chiar și de ea însăși, nu-i așa? Și în continuare, în România, nimeni nu are absolut nicio problemă.

Noapte buna!

Actul 1: Curtea Constitutionala a Romaniei (CCR) decide ca 2 legi sunt neconstitutionale.

Actul 2: SRI si MAI, adica exact cei care au promovat legile, si alti moguli/securistoizi incep sa scrie in presa ca se creeaza un “vacuum juridic” si ca deciziile sunt “de neexplicat".

Culmea este ca Romania are o institutie specializata pe zona de protectia datelor, dar care nu este intrebata niciodata (sau opinia nu este luata in considerare).

Deci puterea executiva si legislativa se unesc sa spuna ca puterea judecatoareasca da decizii obligatorii proaste.

Actul 3: Pentru ca nici jurnalistii si nici onor “specialistii” din ministere nu sunt in stare sa citeasca decizia motivata si sa foloseasca argumentele de acolo , CCR da un comunicat de presa (!?!) in care reia aceleasi argumente juridice.

Curat murdar, coane Fanica!

Dar nu fiti pacaliti de fum - exista un interes direct al MAI si SRI si al celorlalti: motivarea CCR - cea care va conta extrem de mult in a intelege daca o astfel de lege ar fi posibila in viitor si in ce conditii - se va publica intr-o luna, si deci exista un motiv direct pentru a face presiuni pe fata (si probabil si prin spate).:>

Oricum este impresionanta capacitatea celor care se ocupa de aplicarea legii sa fie peste noapte si experti pe zona de drepturile omului. Sunt sigur ca citatul din Klass vs. Germania (CEDO, 1979) sta la loc de cinste in fiecare birou:

“statele nu pot, în numele luptei împotriva terorismului și spionajului, să adopte orice măsuri pe care acestea le consideră necesare”

PS: pe data retention, revin - problema e nitel mai complicata si nu neaparat in bine. Dar rezolvarea e simpla :-)

O propunere de lege de 5 articole adoptata de Guvernul Romaniei in 30 Aprilie 2014 care cere inregistrarea obligatorie a utilizatorilor de free WiFi si a cartelelor pre-pay a trecut in viteza super-sonica prin Senat, iar in Camera Deputatilor are termene de 2 zile pentru depunere amendamente si raport - ne arata adevarata fata a Romaniei digitale dorita de guvernantii nostri - un spatiu virtual in care sa dai cu subsemnatul pentru orice utilizare a tehnicilor de comuncatie si in care (prin noul proiect de lege privind securitatea cibernetica) datele sa fie accesibile direct si fara mandat de toate serviciile secrete si nesecrete.

Intr-un stil traditional de ne-dezbatere publica (proiectul NU a fost transmis societatii civile si industriei inainte de adoptarea de guvern si niciuna din comisiile Senatului NU a fost interesata de alte opinii) riscam sa fie adoptate niste articole lacunare si care nu au niciun efect practic serios, in afara de limitarea drepturilor cetatenilor.

Dar sa analizam mai in detaliu.

A. Inregistrarea obligatorie a tuturor celor ce acceseaza un WiFi public

Propunerea

Art 73^2 (1) In cazul punctelor de conectare la internet puse gratuit la dispozitia publicului de catre persoane juridice, este obligatorie securizarea accesului pe bază de parolă, precum şi asigurarea procedurilor si echipamentelor necesare stocarii pe o perioada de 6 luni a datelor furnizorului de servicii pentru a identifica utilizatorii conectati in aceste puncte. Utilizatorii acestor puncte au obligatia de a-si comunica datele de identificare la accesarea acestor servicii.

Deci daca avem:

• o conferinta
• o cafenea
• un acces la Internet in parc
• o statie de metrou sau autogara
• un hotel

• mall, magazin, taxi, universitate, liceu, magazin de vinzare produse telefonice, cabinet de stomatologie, etc etc.

acestea vor trebui sa:

• stabileasca o procedura de identificare a utilizatorilor conectati. Legea nu zice nimic detaliat, dar daca vorbim de date de identificare este clar ca vorbim cel putin de o declarare (voluntara?) a unor datele cu caracter personal. Ma intreb cum o sa fie in parc - te duci la paznic sa-i dai buletinul?
• investeasca in echipamente tehnice pentru stocarea datelor intr-un mod sigur (ca sa nu le fure, hackerii, intelegeti ironia?)
• investeasca in echipamente sau soft catre pot sterge toate datele colectate in mod automat si ireversibil in 6 luni

Cetatenii vor trebui sa aiba buletinul la ei si sa isi dea datele (nu se stie care) catre toate institutiile de mai sus daca vor sa acceseze un WiFI. Institutiile trebuie sa le pastreze in cazul in care le cere cineva. Nu se stie cine si cum are voie sa le ceara.

B. Inregistrarea cartelelor pre-pay

Utilizatorii vor trebui sa dea nume, prenume, CNP si numar si serie de buletin la achizitionarea oricarui serviciu de comuncatii electronice. Si pentru cartelele pre-pay va trebui incheiat un contract. Cu font lizibil. Marimea - cel putin 10p (sic!). Toate acestea vor trebui stocate. Probabil pentru un termen nelimitat, ca legea nu prevede altfel.

Atentie - Legea nu spune daca trebuie sa dai datele tale sau ale altuia. Nici nu precizeaza daca cel care colecteaza datele trebuie sa le verifice cu un act de identitate original.

Operatorii de telefonie mobila vor trebui sa investeasca in toate echipamentele necesare pentru a colecta datele personale si contractele. Pentru a respecta legea privind protectia datelor cu caracter personal, vor trebui sa investeasca in noi harduri, fisete cu lacat si altele asemenea pentru a pastra datele in siguranta. Conform aceleiasi legi, cei care colecteaza datele vor trebui instruiti pentru a intelege ce obligatii au la colectare.

Tot operatorii se vor ocupa si de partea cea mai distractiva a legii - notificarea prin mass-media a legii si obligarea la inregistrare a tuturor celor ce au cartele pre-pay acum. Adica vreo 12 milioane de bucati. Totul in 6 luni. Adica aprox. 60 000 de noi inregistrati/zi. Cei care nu se inregistreaza vor avea serviciile de comunicatii taiate.

C. De ce da si de ce nu?

Argumentele pentru un asemenea act normativ ar trebui sa fie in nota de fundamentare a Guvernului. Documentul este plin de informatii factuale eronate (a.k.a minciuni) - cu privire la lipsa impactului asupra mediului de afaceri, consultarea societatii civile si inexistenta unor hotarari ale CJUE pe aceasta tema.

C1. Argumente pro am gasit 2:

1. Elimina discriminarea intre utilizatorii de comunicatii electronice cu contract si pre-pay. Primii sunt inclusi in registrele de abonati, in timp ce a doua categorie nu este.

Asta e pur si simplu ridicola si prosteasca. Inscrierea in registrul de abonati se face numai daca exista consimtamintul abonatului cf legii 506. In plus acesta este un drept al abonatului si nu o obligatie. As rade, daca nu ar fi de plans

2. Face dificila urmarirea penala sau “cunoasterea, prevenirea si contracararea riscurilor ori amenintarilor la adresa securitatii nationale”

Aici exista intr-adevar un simbure de adevar. Faptul ca ai identificat un potential faptuitor pe care nu poti sa-l identifici in mod imediat pare a fi un obstacol in calea urmaririi penale. Cu toate acestea sunt mai multe contra-argumente care se pot aduce acestei teorii (pe linga faptul ca o argumentare serioasa ar fi adus exemple si procente de cazuri nerezolvate din cauza acestei probleme):

• Cazurile Apostu (22 de telefoane cu cartele inter-sanjabile) si Fany (15 cartele folosite) - ambele in care inculpatii au fost trimisi de judecata ne arata ca nu este o problema insumontabila, nici macar daca persoanele ar folosi un numar relativ mare de telefoane mobile pentru a-si ascunde comunicarile. Deci se poate si tehnic si operational (nu vreau sa intram in detalii)
• Daca o asemenea lege ar fi adoptata, cel mai probabil cei care chiar ar dori sa foloseasca telefonul mobil pentru a discuta aspecte legate de infractiuni ar fi avertizati astfel incat s-ar ascunde in a-si da propriile date la cumpararea unei cartele. Probabil ca majoritatea rau-voitorilor s-ar folosi alte metode deja utilizate in alte cazuri - folosirea de date false, CI furate sau intermediari (sageti) care pentru 10 lei ar fi primii ce ar cumpara o cartela pentru altul.

• Sau - si mai rau pentru organele de cercetare penala sau pentru serviciile secrete - ar incepe sa foloseasca pe scara larga unelte care folosesc criptare serioasa ce fac imposibil accesul la convorbiri. (daca vreti detalii puteti participa in weekend la Coliberator unde se anunta mai multe speech-uri pe tema asta - sau aruncati-va o privire pe prism-break). Daca se adopta legea - si poate chiar si daca nu - va promit niste postari detaliate pe tema asta :-)

C2. Argumente contra

Dincolo de cele deja mentionate mai sus, principalul argument contra este legat de faptul ca masura incalca in mod grosolan si ilegal dreptul la viata privata, care este un drept fundamental. In mod normal o analiza exaustiva ar trebui sa analizeze daca masura incalca dreptul la viata privata, dar si daca masura este necesara si proportionala intr-o societate democratica. Daca primul parte nu vad cum ar fi contestata, a doua este sustinuta prin argumentatiile din jurisprudenta Curtii Constitutionale Romane (Decizia nr.1258/2009), CJUE (C-193/12 - Digital Rights Ireland vs EC ) sau CEDO (Marper vs. UK). Am mai discutat subiectul, nu mai insist.

Interesant ar fi si ca, asa cum am mai scris in opiniile ApTI, masura a fost respinsa de Comisia Europeana pentru a fi implementata in toate tarile membre din motive de ineficacitate.

Vezi raportul de evaluare a Comisiei Europene cu privire la directiva privind pastrarea datelor de trafic:

“Ponderea utilizatorilor de telefonie mobilă care folosesc servicii preplătite variază în UE. Unele state membre au susținut că, în special atunci când sunt achiziționate într-un alt stat membru, cartelele SIM preplătite, ai căror posesori nu sunt identificați, ar putea fi, de asemenea, utilizate de persoane implicate în activități infracționale ca mijloc de evitare a identificării în cursul cercetării penale. Șase state membre (Danemarca, Spania, Italia, Grecia, Slovacia și Bulgaria) au adoptat măsuri care necesită înregistrarea cartelor SIM
preplătite. Acestea și alte state membre (Polonia, Cipru, Lituania) au susținut opțiunea
adoptării de măsuri la nivelul UE pentru înregistrarea obligatorie a identității utilizatorilor de servicii preplătite. Eficacitatea acestor măsuri naționale nu a fost dovedită. Au fost evidențiate limitări potențiale, de exemplu, în cazurile de furt de identitate sau atunci când cartela SIM este achiziționată de un terț ori atunci când un utilizator activează serviciul de roaming prin conectarea cu o cartelă cumpărată într-o țară terță. În general, Comisia nu este convinsă de necesitatea de a acționa în acest domeniu la nivelul UE în acest stadiu. ”

De altfel proiectul are si alte lacune - pentru ca nu interzice (si nu poate interzice) vinzarea, schimbul, imprumutul sau orice transfer al unei cartele pre-pay catre o alta persoana - fie ea cunoscuta sau nu. De altfel faptul ca ai datele unei persoane care a cumparat o cartea pre-paid nu inseamna nicicum - dpdv al prezumtiei de nevinovatie - ca el este cel care o foloseste sau ca el este persoana care a vorbit de pe acea cartela.

La fel nu se poate interzice sa vii cu o cartela din afara Romaniei din alta tara unde nu exista aceasta obligatie, iar in contextul iminentei aboliri - in 2 ani ce-i drept - a taxelor de roaming, o astfel masura va deveni probabil absolut banala.

In final - sa vedem ce vor decide Comisiile Camerei Deputatilor si plenul. In cele din urma se pare ca Comisiile au dat un termen mai lung, iar cel putin Comisia de ITC a chemat la dezbateri mai multi actori din zona privata si a societatii civile. Cel mai frustrant este insa ca cei care de fapt au redactat textul (si care sunt anonimi pentru noi, ha!) refuza sa discute public si pe argumente si prefera (a patra oara!) sa impinga prin mijloace bizare un proiect care afecteaza in mod direct drepturile cetatenilor.

Si ca sa facem teoria conspiratiei completa va povestesc maine de alt proiect iesit pe sestache ca adoptat de guvern - un proiect de lege privind securitatea cibernetica care ar da dreptul reprezentantilor “SRI, MApN, MAI, ORNISS, SIE, STS, SPP, CERT-RO si ANCOM, in indeplinirea atributiilor ce le revin acestora si sa permita accesul reprezentantilor desemnati in acest scop la datele detinute, relevante in contextul solicitarii". :p

Update 12 iunie 2014 - a aparut in Monitorul Oficial noul act - OUG 34/2014. Intra in vigoare maine 13 iunie 2014.

Update 5 iunie 2014 - Stimati cititori, v-am mintit! Asta si pentru ca Guvernul Romaniei ne-a mintit pe noi toti. Pe 30 Aprilie ne-a anuntat ca a adoptat un proiect o lege de modificare a legislatiei de protectie a consumatorilor (care modifica inclusiv regulile pentru vinzarile online) si ca nu poate adopta o ordonanta de urgenta. Ulterior si-a modificat continutul din propria pagina web (stergand titlul legii adoptate).

Doar ca de fapt nu a trimis nimic la Parlament, iar pe 5 iunie ne anunta ca ieri a adoptat o Ordonanta de Urgenta cu aceleasi propuneri (care nu-s publice inca). Deci in citeva zile apare in Monitorul Oficial si va dau textul oficial.

In rest, poate mai bine ne apucam de tenis, ca macar acolo regulile pare mai clare. Hai Simona!

Doua noutati din zona de comert electronic:

1. S-a lansat si in 2014 competitia Gpec. Perioada de inscriere a magazinelor online care vor sa participe la competitie se termina pe 23 mai 2014. Dar ascultati la mine cu 8 editii de Gpec vazute in spate - dincolo de avantajele de 3000 de euro ale participarii, ca unul care a vazut si a vorbit cu magazinele participante la editii trecute va spun ca cel mai important (si necuantificabil) este procesul de invatare, dialog si interactionare oferit de cele 2 etape de jurizare si evenimentele organizate.

Evident, la unele evenimente din Gpec puteti sa participati si fara sa treceti prin jurizare (primul este Gpec Summit de pe 26-28 Mai 2014.

Ca noutate de interes si pentru consumatorii obisnuiti, anul asta Gpec propune si un eveniment B2C numit EcomFest in octombrie 2014 de intalnire intre magazine online si clienti.

Timp de o zi, magazinele online vin in offline pentru a da mana cu internautii si pentru a le arata ca ceea ce ce se intampla in spatele unui website de comert electronic nu e ceva “virtual", ci este cat se poate de real si palpabil.

2. Guvernul a adoptat in sedinta din 30 Aprilie 2014 noi reguli privind protectia consumatorilor in contractele încheiate la distanţă (deci inclusiv cele din zona comertului electronic)

Asta ar fi trebui sa fie stirea numarul 1, doar ca textul actului adoptat nu prea este disponibil…

Haideti sa va explic un picut. Deci Uniunea Europeana adopta o directiva privind protectia consumatorilor in 25 octombrie 2011. De fapt e mai mult o consolidare a mai multor acte normative din zona drepturilor consumatorilor. Directiva nu aduce schimbari atit de complicate, ci mai degraba clarificari (am mai vorbit despre subiectul asta). Directiva trebuia implementata pina in Decembrie 2013, iar noile reguli sa se aplica de la 13 iunie 2014. (sunt multe articole in sensul asta in engleza)

Ei bine, desi Guvernul Romaniei (indiferent cine il conduce, ca au trecut mai mult pe acolo din 2011 pina in prezent) avea timp berechet in 2 ani si jumatate sa faca ceva, alege - ca de obicei - sa nu faca nimic. Iar cand incepe Comisia Europeana sa intrebe de sanatate, baga o Ordonanta de Urgenta pe sedinta guvernului, ca doar arde dom’le (adica este “imperios necesar"). Doar ca Guvernul decide sa o transforme in lege si o trimita spre Parlament.

Evident, Guvenul nu a anuntat nicio dezbatere publica asupra legii si nu stiu pe cineva din zona comertului electronic sa i se fi cerut parerea. Pai daca ne cere UE - ce rost are sa mai intrebam, nu?

Tot la fel de evident, textul adoptat nu se gaseste pe site-ul Guvernului. In mod normal ar trebui sa il trimita in citeva zile la Parlament, doar ca nici pe site-ul Parlamentului nu e de gasit dupa 2 saptamani.

Ca sa nu va las insa cu totul cu gura cascata, eu cred ca textul adoptat va fi exact cel anuntat public de ANPC acum vreo 2 ani. Doar ca ANPC nu are drept de intiativa legislativa si a stat la mila Guvernului.

Si uita asa - in loc sa discutam pe fond - ce se schimba, cum sa schimba si cand - tot ce putem anunta este ca se va schimba ceva, fara sa stim detalii…

In practica nu cred insa ca Romania se va indeparta de litera directivei (ca noi copiem, nu implementam directivele), deci puteti sa luati textul de acolo cam aproape exact ce va fi adoptat.

Si uite asa - daca vrei sa fii un magazin online care vrea sa se pregateasca sa respecte legea - nu prea ai cum. Ah, si nu vreti sa aflati si ca - de fapt - directiva ar putea fi invocata si direct dupa 14 iunie 2014 de partile interesate… (in cazul asta consumatorii) :D