ORDONANŢĂ DE URGENŢĂ nr. 13 din 24 aprilie 2012

pentru modificarea şi completarea Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal şi protecţia vieţii private în sectorul comunicaţiilor electronice

EMITENT

GUVERNUL

Publicat în MONITORUL OFICIAL nr. 277 din 26 aprilie 2012

Luând în considerare că, în scrisoarea de punere în întârziere din data de 18 iulie 2011 (Cauza 2011/0939), Comisia Europeană atrage atenţia asupra faptului că autorităţile române nu au transpus în legislaţia naţională prevederile Directivei 2009/136/CE a Parlamentului European şi a Consiliului din 25 noiembrie 2009 de modificare a Directivei 2002/22/CE privind serviciul universal şi drepturile utilizatorilor cu privire la reţelele şi serviciile de comunicaţii electronice, a Directivei 2002/58/CE privind prelucrarea datelor personale şi protejarea confidenţialităţii în sectorul comunicaţiilor publice şi a Regulamentului (CE) nr. 2.006/2004 privind cooperarea dintre autorităţile naţionale însărcinate să asigure aplicarea legislaţiei în materie de protecţie a consumatorului,

ţinând seama de acţiunile demarate la nivelul Comisiei Europene în vederea asigurării transpunerii pachetului de reglementări în domeniul comunicaţiilor electronice,

având în vedere că Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal şi protecţia vieţii private în sectorul comunicaţiilor electronice, cu modificările şi completările ulterioare, a transpus în dreptul intern Directiva 2002/58/CE a Parlamentului European şi a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale şi protejarea confidenţialităţii în sectorul comunicaţiilor publice, modificată prin Directiva 2009/136/CE ,

luând în considerare faptul că neadoptarea unor astfel de măsuri a avut ca efect trimiterea de către Comisia Europeană a unui aviz motivat, cu posibilitatea ca ulterior să se declanşeze deschiderea procedurii contencioase în faţa Curţii de Justiţie a Uniunii Europene, care s-ar putea finaliza în următoarele luni şi ar duce la plata unei amenzi, singura modalitate de a pune capăt procedurilor de încălcare a dreptului comunitar o reprezintă modificarea şi completarea, în regim de urgenţă, a Legii nr. 506/2004, cu modificările şi completările ulterioare.

Ţinând cont că aceste elemente vizează interesul public şi constituie situaţii extraordinare şi de urgenţă, a căror reglementare nu poate fi amânată,

în temeiul art. 115 alin. (4) din Constituţia României, republicată,

Guvernul României adoptă prezenta ordonanţă de urgenţă.

Articolul UNIC

Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal şi protecţia vieţii private în sectorul comunicaţiilor electronice, publicată în Monitorul Oficial al României, Partea I, nr. 1.101 din 25 noiembrie 2004, cu modificările şi completările ulterioare, se modifică şi se completează după cum urmează:

1. La articolul 1, alineatul (2) se modifică şi va avea următorul cuprins:

"(2) Prevederile prezentei legi se aplică prelucrării de date cu caracter personal legate de furnizarea de servicii de comunicaţii electronice destinate publicului prin intermediul reţelelor publice de comunicaţii electronice, inclusiv al reţelelor publice de comunicaţii electronice care presupun dispozitive de colectare a datelor şi de identificare."

2. La articolul 2 alineatul (1), litera c) se modifică şi va avea următorul cuprins:

"c) date de localizare - orice date prelucrate într-o reţea de comunicaţii electronice sau prin intermediul unui serviciu de comunicaţii electronice, care indică poziţia geografică a echipamentului terminal al utilizatorului unui serviciu de comunicaţii electronice destinat publicului;"

3. La articolul 2 alineatul (1), litera e) se abrogă.

4. La articolul 2 alineatul (1), după litera g) se introduce o nouă literă, litera h), cu următorul cuprins:

"h) încălcare a securităţii datelor cu caracter personal - încălcarea securităţii având ca rezultat distrugerea accidentală sau ilicită, pierderea, alterarea, divulgarea neautorizată ori accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate în alt mod în legătură cu furnizarea de servicii de comunicaţii electronice destinate publicului."

5. La articolul 2, alineatul (2) se modifică şi va avea următorul cuprins:

"(2) În cuprinsul prezentei legi sunt, de asemenea, aplicabile definiţiile prevăzute la art. 3 lit. a), b), c) şi i) din Legea nr. 677/2001, cu modificările şi completările ulterioare, la art. 1 pct. 1 şi 8 din Legea nr. 365/2002 privind comerţul electronic, republicată, şi la art. 4 alin. (1) pct. 3, 6, 8, 9, 10 şi 36 din Ordonanţa de urgenţă a Guvernului nr. 111/2011 privind comunicaţiile electronice."

6. Articolul 3 se modifică şi va avea următorul cuprins:

"ARTICOLUL 3

Securitatea prelucrării datelor cu caracter personal

(1) Furnizorul unui serviciu de comunicaţii electronice destinat publicului are obligaţia de a lua măsuri tehnice şi organizatorice adecvate în vederea asigurării securităţii prelucrării datelor cu caracter personal. Dacă este necesar, furnizorul serviciului de comunicaţii electronice destinate publicului va lua aceste măsuri împreună cu furnizorul reţelei publice de comunicaţii electronice. ... (2) Măsurile adoptate potrivit alin. (1) trebuie să asigure un nivel de securitate proporţional cu riscul existent, având în vedere posibilităţile tehnice de ultimă oră şi costurile implementării acestor măsuri. ... (3) Fără a aduce atingere prevederilor Legii nr. 677/2001, cu modificările şi completările ulterioare, măsurile adoptate potrivit alin. (1) trebuie să respecte cel puţin următoarele condiţii: ... a) să garanteze că datele cu caracter personal pot fi accesate numai de persoane autorizate, în scopurile autorizate de lege; ... b) să protejeze datele cu caracter personal stocate sau transmise împotriva distrugerii accidentale ori ilicite, împotriva pierderii sau deteriorării accidentale şi împotriva stocării, prelucrării, accesării ori divulgării ilicite; ... c) să asigure punerea în aplicare a politicii de securitate elaborate de furnizor în ceea ce priveşte prelucrarea datelor cu caracter personal. ... (4) Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal, denumită în continuare ANSPDCP, poate audita măsurile luate de furnizori în conformitate cu alin. (1) şi poate emite recomandări cu privire la cele mai bune practici privind nivelul de securitate care trebuie atins de aceste măsuri. ... (5) În cazul existenţei unui risc determinat de încălcarea securităţii datelor cu caracter personal, furnizorii de servicii de comunicaţii electronice destinate publicului au obligaţia de a informa abonaţii cu privire la existenţa acestui risc, precum şi la posibilele consecinţe ce decurg. În cazul în care acest risc depăşeşte domeniul de aplicare a măsurilor pe care le pot lua furnizorii, aceştia au obligaţia de a informa abonaţii despre remediile posibile, inclusiv prin indicarea costurilor implicate. ... (6) În cazul unei încălcări a securităţii datelor cu caracter personal, furnizorii de servicii de comunicaţii electronice destinate publicului vor notifica ANSPDCP, fără întârziere, la respectiva încălcare. ... (7) Atunci când încălcarea securităţii datelor cu caracter personal ar putea aduce atingere datelor cu caracter personal sau vieţii private a unui abonat ori a unei alte persoane, furnizorul va notifica respectiva încălcare, fără întârziere, abonatului sau persoanei în cauză. ... (8) Notificarea prevăzută la alin. (7) nu este necesară dacă furnizorul a demonstrat ANSPDCP, într-un mod pe care aceasta îl consideră satisfăcător, că a aplicat măsuri tehnologice de protecţie adecvate şi că respectivele măsuri au fost aplicate datelor afectate de încălcarea securităţii. Astfel de măsuri tehnologice de protecţie trebuie să asigure faptul că datele devin neinteligibile persoanelor care nu sunt autorizate să le acceseze. ... (9) Fără a aduce atingere obligaţiei furnizorului de a notifica abonaţilor şi persoanelor în cauză, în cazul în care furnizorul nu a notificat deja abonatului sau persoanei în cauză încălcarea securităţii datelor cu caracter personal, ANSPDCP poate, după analizarea posibilelor efecte negative ale încălcării, să îi solicite să facă acest lucru. ... (10) Notificarea prevăzută la alin. (7) va cuprinde cel puţin o descriere a naturii încălcării securităţii datelor cu caracter personal şi punctele de contact ale furnizorului unde pot fi obţinute mai multe informaţii şi va recomanda măsuri de atenuare a posibilelor efecte negative ale acestei încălcări. Notificarea prevăzută la alin. (6) va conţine şi o descriere a consecinţelor încălcării securităţii datelor cu caracter personal, precum şi a măsurilor propuse sau adoptate de furnizor în vederea remedierii acestora. ... (11) Sub rezerva oricăror măsuri tehnice de punere în aplicare adoptate de Comisia Europeană, ANSPDCP poate să stabilească circumstanţele în care furnizorii sunt obligaţi să notifice încălcări ale securităţii datelor cu caracter personal, formatul unei astfel de notificări şi modalităţile în care se va face notificarea. ... (12) Furnizorii au obligaţia de a păstra o evidenţă a tuturor încălcărilor securităţii datelor cu caracter personal, care trebuie să cuprindă o descriere a situaţiei în care a avut loc încălcarea, a efectelor acesteia şi a măsurilor de remediere întreprinse, astfel încât ANSPDCP să poată verifica dacă au fost respectate obligaţiile ce incumbă furnizorilor potrivit prezentului articol. Evidenţa va include numai informaţiile necesare în acest scop." ...

7. După articolul 3 se introduce un nou articol, articolul 3^1, cu următorul cuprins:

"ARTICOLUL 3^1

Proceduri de accesare

Furnizorii au obligaţia de a stabili proceduri interne pentru a răspunde solicitărilor de accesare a datelor cu caracter personal ale utilizatorilor. La cerere, aceştia oferă ANSPDCP informaţii despre procedurile respective, numărul de solicitări primite, justificarea legală invocată în solicitare şi răspunsul oferit solicitanţilor."

8. La articolul 4, alineatul (5) se modifică şi va avea următorul cuprins:

"(5) Stocarea de informaţii sau obţinerea accesului la informaţia stocată în echipamentul terminal al unui abonat ori utilizator este permisă numai cu îndeplinirea în mod cumulativ a următoarelor condiţii:

a) abonatul sau utilizatorul în cauză şi-a exprimat acordul; ... b) abonatului sau utilizatorului în cauză i s-au furnizat, anterior exprimării acordului, în conformitate cu prevederile art. 12 din Legea nr. 677/2001, cu modificările şi completările ulterioare, informaţii clare şi complete care: ...

(i) să fie expuse într-un limbaj uşor de înţeles şi să fie uşor accesibile abonatului sau utilizatorului;

(îi) să includă menţiuni cu privire la scopul procesării informaţiilor stocate de abonat sau utilizator ori informaţiilor la care acesta are acces.

În cazul în care furnizorul permite unor terţi stocarea sau accesul la informaţii stocate în echipamentul terminal al abonatului ori utilizatorului, informarea în concordanţă cu pct. (i) şi (îi) va include scopul general al procesării acestor informaţii de către terţi şi modul în care abonatul sau utilizatorul poate folosi setările aplicaţiei de navigare pe internet ori alte tehnologii similare pentru a şterge informaţiile stocate sau pentru a refuza accesul terţilor la aceste informaţii."

9. La articolul 4, după alineatul (5) se introduce un nou alineat, alineatul (5^1), cu următorul cuprins:

"(5^1) Acordul prevăzut la alin. (5) lit. a) poate fi dat şi prin utilizarea setărilor aplicaţiei de navigare pe internet sau a altor tehnologii similare prin intermediul cărora se poate considera că abonatul ori utilizatorul şi-a exprimat acordul."

10. La articolul 4, alineatul (6) se modifică şi va avea următorul cuprins:

"(6) Prevederile alin. (5) nu aduc atingere posibilităţii de a efectua stocarea sau accesul tehnic la informaţia stocată în următoarele cazuri:

a) atunci când aceste operaţiuni sunt realizate exclusiv în scopul efectuării transmisiei unei comunicări printr-o reţea de comunicaţii electronice; ... b) atunci când aceste operaţiuni sunt strict necesare în vederea furnizării unui serviciu al societăţii informaţionale, solicitat în mod expres de către abonat sau utilizator." ...

11. La articolul 5, alineatul (6) se modifică şi va avea următorul cuprins:

"(6) Prevederile alin. (1)-(3) şi (5) nu aduc atingere posibilităţii autorităţilor competente de a avea acces la datele de trafic, în condiţiile legii."

12. La articolul 7, alineatul (6) se abrogă.

13. La articolul 9, alineatul (4) se abrogă.

14. La articolul 10, alineatul (2) se abrogă.

15. Articolul 11 se modifică şi va avea următorul cuprins:

"ARTICOLUL 11

Registrele abonaţilor

(1) Abonaţii serviciilor de comunicaţii electronice destinate publicului au dreptul, cu respectarea prevederilor Legii nr. 677/2001, cu modificările şi completările ulterioare, de a le fi incluse datele cu caracter personal în toate registrele publice ale abonaţilor, în formă scrisă sau electronică. ... (2) Persoanele care pun la dispoziţia publicului registre ale abonaţilor în formă scrisă sau electronică ori care furnizează servicii de informaţii privind abonaţii au obligaţia de a informa abonaţii cu privire la scopul întocmirii acestor registre în care pot fi incluse datele lor cu caracter personal, precum şi cu privire la orice posibilităţi ulterioare de utilizare a acestor date, bazate pe funcţii de căutare integrate registrelor în formă electronică. Informarea abonaţilor este gratuită şi se realizează înainte ca aceştia să fie incluşi în registrele respective. ... (3) Ulterior realizării informării prevăzute la alin. (2), furnizorii de servicii de comunicaţii electronice destinate publicului care atribuie numere de telefon abonaţilor au obligaţia de a le acorda acestora un termen de 45 de zile lucrătoare în care se pot opune includerii datelor necesare identificării lor în toate registrele prevăzute la alin. (1). La expirarea celor 45 de zile lucrătoare, în cazul în care abonaţii nu şi-au exprimat voinţa în sens contrar, datele necesare identificării lor sunt incluse. ... (4) Abonaţii ale căror date cu caracter personal nu sunt disponibile furnizorilor prevăzuţi la alin. (3) pot solicita, în mod gratuit, includerea în toate registrele prevăzute la alin. (1). ... (5) Fără a aduce atingere prevederilor alin. (3) şi (4), persoanele prevăzute la alin. (2), precum şi persoanele care furnizează registrele şi serviciile prevăzute la alin. (1) au obligaţia de a asigura abonaţilor, în mod gratuit şi fără întârziere, următoarele posibilităţi: ... a) de a decide dacă datele lor cu caracter personal, precum şi care dintre acestea vor fi sau nu incluse în aceste registre; ... b) de a verifica, rectifica sau elimina datele cu caracter personal incluse în aceste registre. ... (6) Registrele prevăzute la alin. (1) pot fi utilizate în alt scop, în afara simplei căutări a datelor de contact, pe baza numelui şi, dacă este necesar, a unui număr limitat de alţi parametri, numai cu consimţământul expres prealabil al fiecărui abonat care figurează în aceste registre. ... (7) Prevederile prezentului articol se aplică, în mod corespunzător, şi abonaţilor persoane juridice cu privire la datele care permit identificarea acestora. ... (8) Fără a aduce atingere prevederilor alin. (1)-(7), persoanele care furnizează registrele şi serviciile prevăzute la alin. (1) au obligaţia de a pune la dispoziţia publicului informaţii clare, uşor accesibile şi gratuite privind scopul întocmirii registrelor pe care le gestionează, posibilităţile de utilizare a datelor cu caracter personal pe care le deţin, bazate pe funcţii de căutare integrate registrelor în formă electronică, sau exercitarea de către abonaţi a drepturilor prevăzute la alin. (5)." ...

16. La articolul 12, alineatele (1) şi (3) se modifică şi vor avea următorul cuprins:

"(1) Este interzisă efectuarea de comunicări comerciale prin utilizarea unor sisteme automate de apelare şi comunicare care nu necesită intervenţia unui operator uman, prin fax ori prin poştă electronică sau prin orice altă metodă care foloseşte serviciile de comunicaţii electronice destinate publicului, cu excepţia cazului în care abonatul sau utilizatorul vizat şi-a exprimat în prealabil consimţământul expres pentru a primi asemenea comunicări.

..............................................

(3) În toate cazurile este interzisă efectuarea prin poşta electronică de comunicări comerciale în care identitatea reală a persoanei în numele şi pe seama căreia sunt făcute este ascunsă, cu încălcarea art. 5 din Legea nr. 365/2002, republicată, sau în care nu se specifică o adresă valabilă la care destinatarul să poată transmite solicitarea sa referitoare la încetarea efectuării unor asemenea comunicări ori în care sunt încurajaţi destinatarii să viziteze pagini de internet care contravin art. 5 din Legea nr. 365/2002, republicată." ...

17. Articolul 13 se modifică şi va avea următorul cuprins:

"ARTICOLUL 13

Regim sancţionator

(1) Constituie contravenţii următoarele fapte: ... a) neîndeplinirea obligaţiei prevăzute la art. 3 alin. (1), în condiţiile stabilite potrivit art. 3 alin. (2)-(4); ... b) neîndeplinirea obligaţiei de informare prevăzute la art. 3 alin. (5); ... c) neîndeplinirea obligaţiei de informare prevăzute la art. 3 alin. (6); ... d) neîndeplinirea obligaţiei de informare prevăzute la art. 3 alin. (7); ... e) nerespectarea prevederilor art. 3 alin. (10); ... f) nerespectarea măsurilor stabilite de ANSPDCP potrivit prevederilor art. 3 alin. (11); ... g) nerespectarea prevederilor art. 3 alin. (12); ... h) nerespectarea prevederilor art. 4 alin. (2) referitoare la interdicţia interceptării şi supravegherii comunicărilor şi datelor de trafic aferente; ... i) nerespectarea condiţiilor prevăzute la art. 4 alin. (5); ... j) nerespectarea prevederilor art. 5 referitoare la prelucrarea datelor de trafic; ... k) nerespectarea condiţiilor de emitere a facturilor, stabilite potrivit art. 6; ... l) încălcarea obligaţiilor referitoare la disponibilitatea mijloacelor de ascundere a identităţii sau de respingere a apelurilor, precum şi la informarea publicului, prevăzute la art. 7; ... m) nerespectarea prevederilor art. 8 referitoare la prelucrarea datelor de localizare, altele decât datele de trafic; ... n) nerespectarea prevederilor art. 9 referitoare la condiţiile în care se poate deroga de la prevederile art. 7 sau 8; ... o) încălcarea obligaţiilor referitoare la posibilitatea de a bloca redirecţionarea automată a apelurilor, prevăzute la art. 10; ... p) neîndeplinirea obligaţiilor referitoare la întocmirea registrelor abonaţilor, prevăzute la art. 11; ... q) nerespectarea prevederilor art. 12 referitoare la comunicările nesolicitate. ... (2) Contravenţiile prevăzute la alin. (1) lit. a)-l), n), o) şi q) se sancţionează cu amendă de la 5.000 lei la 100.000 lei, iar pentru societăţile comerciale cu o cifră de afaceri de peste 5.000.000 lei, prin derogare de la dispoziţiile Ordonanţei Guvernului nr. 2/2001 privind regimul juridic al contravenţiilor, aprobată cu modificări şi completări prin Legea nr. 180/2002, cu modificările şi completările ulterioare, cu amendă în cuantum de până la 2% din cifra de afaceri. ... (3) Contravenţia prevăzută la alin. (1) lit. p), precum şi contravenţia prevăzută la alin. (1) lit. m), săvârşite prin nerespectarea obligaţiei prevăzute la art. 8 alin. (1) lit. b), se sancţionează cu amendă de la 30.000 lei la 100.000 lei, iar pentru societăţile comerciale cu o cifră de afaceri de peste 5.000.000 lei, prin derogare de la dispoziţiile Ordonanţei Guvernului nr. 2/2001, aprobată cu modificări şi completări prin Legea nr. 180/2002, cu modificările ulterioare, cu amendă în cuantum de până la 2% din cifra de afaceri. ... (4) Contravenţia prevăzută la alin. (1) lit. k) se constată de personalul de control împuternicit în acest scop al Autorităţii Naţionale pentru Administrare şi Reglementare în Comunicaţii, iar sancţiunea se aplică, prin rezoluţie scrisă, de către preşedintele acestei instituţii. ... (5) Constatarea contravenţiilor prevăzute la alin. (1) lit. a)-j) şi l)-q) şi aplicarea sancţiunilor se fac de personalul împuternicit în acest scop al ANSPDCP. ... (6) În măsura în care prin prezenta lege nu se prevede altfel, contravenţiilor prevăzute la alin. (1) li se aplică prevederile Ordonanţei Guvernului nr. 2/2001, aprobată cu modificări şi completări prin Legea nr. 180/2002, cu modificările şi completările ulterioare. ... (7) ANSPDCP poate aplica amenzi cominatorii pe zi de întârziere, în cuantum de până la 5.000 lei, stabilind totodată şi data de la care acestea se calculează, pentru a determina furnizorii să se supună măsurilor luate potrivit prevederilor art. 3 alin. (9). ... (8) Aplicarea amenzilor cominatorii pe zi de întârziere în condiţiile alin. (7) se face prin proces-verbal încheiat de personalul împuternicit în acest scop al ANSPDCP. Procesul-verbal va cuprinde menţiunea cu privire la obligativitatea achitării amenzii la instituţiile abilitate să o încaseze, potrivit legislaţiei în vigoare, precum şi termenul de plată şi constituie titlu executoriu, fără vreo altă formalitate." ...

PRIM-MINISTRU

MIHAI-RĂZVAN UNGUREANU

Contrasemnează:

───────────────

Ministrul comunicaţiilor

şi societăţii informaţionale,

Răzvan Mustea-Şerban

Preşedintele Autorităţii Naţionale

de Supraveghere a Prelucrării Datelor

cu Caracter Personal,

Georgeta Basarabescu

Ministrul afacerilor europene,

Leonard Orban

Bucureşti, 24 aprilie 2012.

Nr. 13.

_________