DECIZIA nr. 335 din 14 iunie 2023

1.Pe rol se află soluționarea obiecției de neconstituționalitate a Legii pentru aprobarea Ordonanței de urgență a Guvernului nr. 89/2022 privind înființarea, administrarea și dezvoltarea infrastructurilor și serviciilor informatice de tip cloud utilizate de autoritățile și instituțiile publice, obiecție formulată de Înalta Curte de Casație și Justiție – Secțiile Unite. … 2.Obiecția de neconstituționalitate a fost înregistrată la Curtea Constituțională cu nr. 2.319 din 6 aprilie 2023 și constituie obiectul Dosarului nr. 821A/2023. … 3.În motivarea obiecției de neconstituționalitate se arată că aceasta vizează articolul unic din legea criticată, cu referire la art. 3 alin. (2)-(4) și (8), art. 4 alin. (4) și art. 10 alin. (8) din Ordonanța de urgență a Guvernului nr. 89/2022, și că, potrivit jurisprudenței Curții Constituționale, controlul de constituționalitate poate viza însăși ordonanța de urgență, prin intermediul legii de aprobare a acesteia, lege care nu poate acoperi viciul de constituționalitate invocat. Se invocă Decizia nr. 412 din 20 iunie 2019, paragraful 45, și Decizia nr. 55 din 16 februarie 2022, paragraful 138. … 4.Se arată că legea criticată încalcă art. 1 alin. (4) și art. 61 alin. (1) din Constituție, întrucât instituie posibilitatea de reglementare a unor norme de nivel primar – referitoare la stocarea, prelucrarea, accesul, stabilirea categoriilor de date, inclusiv cele cu caracter personal, stabilirea criteriilor generale de asigurare a confidențialității, securității, interoperabilității, migrării acestor date – prin intermediul unei hotărâri a Guvernului, act normativ de nivel secundar, al cărui regim constă în executarea cadrului juridic primar. Se atribuie, astfel, Guvernului competența de a legifera în materii ce intră în sfera de reglementare a legii, iar nu a hotărârii Guvernului. În susținerea acestei critici sunt invocate considerente de principiu din Decizia nr. 62 din 13 februarie 2018, paragrafele 73-75. … 5.Aspectele referitoare la stocarea, prelucrarea sau accesul la datele cu caracter personal trebuie să beneficieze de reglementare la nivel primar. Astfel, „stabilirea categoriilor de date prelucrate în Platformă“, „politica, strategia, criteriile tehnice și operaționale (…) regulile privind migrarea și interconectarea“, „criteriile generale de asigurare a confidențialității, securității și interoperabilității“, aspecte cuprinse în art. 3 alin. (2), (3) și (8) din Ordonanța de urgență a Guvernului nr. 89/2022, au incidență directă și esențială asupra dreptului la viață privată al persoanelor și, astfel, trebuie reglementate prin dispoziții de rang primar. De asemenea, regulile și criteriile privind „accesul la datele autorităților și instituțiilor publice găzduite de Cloudul privat guvernamental“, prevăzute de art. 10 alin. (8) din aceeași ordonanță de urgență, trebuie să beneficieze de o reglementare la nivel primar, urmând ca măsurile subsecvente de punere în aplicare și detaliere a operațiunilor necesare în acest sens să poată fi reglementate prin norme metodologice aprobate prin hotărâre a Guvernului. Se concluzionează că actele de reglementare secundară vor legifera în mod direct materii ce intră în sfera de reglementare a legii în ceea ce privește protecția datelor cu caracter personal și, corolar, respectarea dreptului la viață privată. Această modalitate de reglementare depășește rolul constituțional al hotărârilor Guvernului, de strictă aplicare și detaliere a normei legale, contrar rolului Parlamentului și principiului separației și echilibrului puterilor în stat. Cu privire la regimul constituțional al hotărârilor Guvernului, se invocă Decizia Curții Constituționale nr. 63 din 8 februarie 2017, paragraful 89. … 6.Invocându-se Decizia nr. 440 din 8 iulie 2014, paragrafele 57 și 68, Decizia nr. 62 din 13 februarie 2018, paragraful 51, și Decizia nr. 295 din 18 mai 2022, paragrafele 135 și 138, se ajunge la concluzia că prevederile criticate încalcă art. 1 alin. (3) și (5) și art. 26 din Constituție, câtă vreme legiuitorul omite să reglementeze garanții privind respectarea dreptului la viață privată. Se menționează că, deși legiuitorul instituie în art. 9 din ordonanța de urgență dispoziții referitoare la prelucrarea datelor cu caracter personal și respectarea legislației aplicabile în acest domeniu, acest articol are un simplu caracter declarativ, fără efecte juridice, câtă vreme prevederile concrete legate de stocarea, prelucrarea, accesul și alte asemenea operațiuni cu privire la datele cu caracter personal sunt atribuite spre reglementare, în concret, la nivel infralegal. Or, lipsa de previzibilitate și claritate a noilor reglementări determină imposibilitatea identificării destinatarilor legii, precum și conformarea acestora cu privire la îndeplinirea obligațiilor prevăzute în sarcina lor. Se mai arată că textele criticate nu respectă principiul proporționalității, nu oferă garanții cu privire la confidențialitatea datelor cu caracter personal și aduc atingere înseși esenței dreptului fundamental la viață intimă, familială și privată. … 7.În conformitate cu dispozițiile art. 16 alin. (2) din Legea nr. 47/1992 privind organizarea și funcționarea Curții Constituționale, obiecția de neconstituționalitate a fost comunicată președinților celor două Camere ale Parlamentului și Guvernului pentru a-și exprima punctele de vedere. … 8.Președinții celor două Camere ale Parlamentului și Guvernul nu au comunicat punctele lor de vedere asupra obiecției de neconstituționalitate. … 9.La termenul de judecată fixat pentru data de 17 mai 2023, Curtea a dispus amânarea dezbaterilor asupra cauzei pentru data de 14 iunie 2023, când a pronunțat prezenta decizie. … 
CURTEA,examinând obiecția de neconstituționalitate, raportul întocmit de judecătorul-raportor, dispozițiile legii criticate, raportate la prevederile Constituției, precum și Legea nr. 47/1992, reține următoarele:10.Obiectul controlului de constituționalitate, astfel cum a fost formulat, îl constituie Legea pentru aprobarea Ordonanței de urgență a Guvernului nr. 89/2022 privind înființarea, administrarea și dezvoltarea infrastructurilor și serviciilor informatice de tip cloud utilizate de autoritățile și instituțiile publice. Curtea observă, însă, că dispozițiile criticate în mod punctual sunt cele cuprinse în Ordonanța de urgență a Guvernului nr. 89/2022 privind înființarea, administrarea și dezvoltarea infrastructurilor și serviciilor informatice de tip cloud utilizate de autoritățile și instituțiile publice, publicată în Monitorul Oficial al României, Partea I, nr. 638 din 28 iunie 2022, și anume art. 3 alin. (2)-(4) și (8), art. 4 alin. (4) și art. 10 alin. (8), prin urmare va reține ca obiect al controlului de constituționalitate dispozițiile articolului unic din Legea pentru aprobarea Ordonanței de urgență a Guvernului nr. 89/2022, coroborate cu cele ale art. 3 alin. (2)-(4) și (8), ale art. 4 alin. (4) și ale art. 10 alin. (8) din această ordonanță de urgență. Aceste din urmă dispoziții au următorul cuprins:– Art. 3 alin. (2)-(4) și (8):(2)Cadrul de management și stocare a datelor în Platformă, inclusiv stabilirea categoriilor de date prelucrate în Platformă și găzduite de Cloudul privat guvernamental, cloud privat, cloud public, după caz, se realizează prin hotărâre de Guvern, la propunerea MCID, în termen de maximum 90 de zile de la data intrării în vigoare a hotărârii prevăzute la art. 1 alin. (4).(3)Politica, strategia, criteriile tehnice și operaționale privind implementarea, operarea, mentenanța și dezvoltarea ulterioară a Cloudului privat guvernamental, regulile privind stabilirea nivelului agreat de servicii, precum și cele privind migrarea sau, după caz, interconectarea sistemelor informatice se stabilesc prin hotărâre de Guvern, la propunerea MCID, cu consultarea prealabilă a ADR, STS și SRI, în termen de maximum 90 de zile de la data intrării în vigoare a prezentei ordonanțe de urgență.(4)Planul pentru migrarea și integrarea în Cloudul privat guvernamental a sistemelor informatice și a serviciilor publice electronice ale instituțiilor și autorităților aparținând administrației publice, precum și lista autorităților și instituțiilor publice ale căror sisteme informatice și servicii publice electronice migrează în Cloudul privat guvernamental se stabilesc prin hotărâre de guvern inițiată de MCID, la propunerea ADR, în termen de maximum 90 de zile de la data intrării în vigoare a prezentei ordonanțe de urgență.[…](8)În termen de maximum 90 de zile de la data intrării în vigoare a prezentei ordonanțe de urgență, MCID, la propunerea ADR, cu sprijinul STS și SRI, propune spre adoptare, prin hotărâre de Guvern, criteriile generale de asigurare a confidențialității, securității, interoperabilității, adaptării la standarde tehnice și semantice, respectiv a performanței aplicațiilor de tip SaaS găzduite în Platformă, prin intermediul unui marketplace, inclusiv a aplicațiilor dezvoltate de mediul privat, prin intermediul catalogului definit la art. 2 lit. n).; … – Art. 4 alin. (4): „(4) Migrarea, integrarea și interconectarea în Cloudul privat guvernamental a sistemelor informatice ale autorităților și instituțiilor publice se asigură de către ADR, în conformitate cu hotărârea prevăzută la art. 3 alin. (4), pe baza acordului încheiat de ADR cu fiecare autoritate și instituție publică notificată de către ADR în vederea migrării, inclusiv cele prevăzute la art. 1 alin. (12).“; … – Art. 10 alin. (8): „(8) Normele metodologice privind jurnalizarea evenimentelor și accesului la datele autorităților și instituțiilor publice găzduite în Cloudul privat guvernamental se aprobă prin hotărârea prevăzută la art. 3 alin. (2).“ …  … 11.Textele constituționale invocate în susținerea obiecției de neconstituționalitate sunt cele ale art. 1 alin. (3) privind statul de drept, alin. (4) privind principiul separației și echilibrului puterilor în stat și alin. (5) în componentele sale privind calitatea legii și respectarea Constituției și a supremației sale, ale art. 26 privind viața intimă, familială și privată și ale art. 61 alin. (1) privind rolul Parlamentului. …  + 
(1) 
Admisibilitatea obiecției de neconstituționalitate12.În prealabil examinării obiecției de neconstituționalitate, Curtea are obligația verificării condițiilor de admisibilitate ale acesteia, prin prisma titularului dreptului de sesizare, a termenului în care acesta este îndrituit să sesizeze instanța constituțională, precum și a obiectului controlului de constituționalitate. Dacă primele două condiții se referă la regularitatea sesizării instanței constituționale, din perspectiva legalei sale sesizări, cea de-a treia vizează stabilirea sferei sale de competență, astfel încât urmează să fie cercetate în ordinea antereferită, iar constatarea neîndeplinirii uneia dintre ele are efecte dirimante, făcând inutilă analiza celorlalte condiții (Decizia Curții Constituționale nr. 66 din 21 februarie 2018, publicată în Monitorul Oficial al României, Partea I, nr. 213 din 9 martie 2018, paragraful 38). … 13.Obiecția de neconstituționalitate îndeplinește condițiile prevăzute de art. 146 lit. a) teza întâi din Constituție atât sub aspectul titularilor dreptului de sesizare, întrucât a fost formulată de Înalta Curte de Casație și Justiție – Secțiile Unite, cât și sub aspectul obiectului, fiind vorba despre o lege adoptată, dar nepromulgată încă. … 14.Cu privire la termenul în care poate fi sesizată instanța de contencios constituțional, potrivit art. 15 alin. (2) din Legea nr. 47/1992, acesta este de 5 zile de la data depunerii legii adoptate la secretarii generali ai celor două Camere ale Parlamentului, respectiv de 2 zile, începând de la același moment, dacă legea a fost adoptată în procedură de urgență. Totodată, în temeiul art. 146 lit. a) teza întâi din Legea fundamentală, Curtea Constituțională se pronunță asupra constituționalității legilor înainte de promulgarea acestora, care, potrivit art. 77 alin. (1) teza a doua din Constituție, se face în termen de cel mult 20 de zile de la primirea legii adoptate de Parlament, iar, potrivit art. 77 alin. (3) din Constituție, în termen de cel mult 10 zile de la primirea legii adoptate după reexaminare. … 15.Curtea reține că legea criticată a fost adoptată de Senat, în calitate de primă Cameră sesizată, în procedură de urgență, în data de 19 septembrie 2022, după care a fost trimisă Camerei Deputaților, care a adoptat-o, în calitate de Cameră decizională, în procedură de urgență, la data de 29 martie 2023. La data de 3 aprilie 2023, legea a fost depusă la secretarul general al Senatului și, respectiv, la secretarul general al Camerei Deputaților, în vederea exercitării dreptului de sesizare a Curții Constituționale, iar la data de 5 aprilie 2023, a fost trimisă Președintelui României pentru promulgare. Sesizarea a fost înregistrată la Curtea Constituțională în data de 6 aprilie 2023, așa încât Curtea urmează să constate că obiecția de neconstituționalitate a fost formulată în afara termenului de 2 zile prevăzut de art. 15 alin. (2) din Legea nr. 47/1992, cu mențiunea că legea nu a fost încă promulgată de Președintele României. Această dinamică temporală se încadrează în cea de-a doua ipoteză din paragraful 70 al Deciziei nr. 67 din 21 februarie 2018, publicată în Monitorul Oficial al României, Partea I, nr. 223 din 13 martie 2018, astfel că urmează a se constata că aceasta este admisibilă. … 16.Curtea mai observă că, în cadrul controlului de constituționalitate a priori exercitat asupra legilor de aprobare a ordonanțelor, se poate contesta și, implicit, Curtea poate efectua controlul atât asupra aspectelor de constituționalitate extrinsecă, cât și a celor de constituționalitate intrinsecă privind ordonanța astfel aprobată (Decizia nr. 214 din 9 aprilie 2019, publicată în Monitorul Oficial al României, Partea I, nr. 435 din 3 iunie 2019, paragraful 25). Curtea Constituțională a statuat în mod constant în jurisprudența sa că viciul de constituționalitate al unei ordonanțe simple sau al unei ordonanțe de urgență emise de Guvern nu poate fi acoperit prin aprobarea de către Parlament a ordonanței respective. Legea care aprobă o ordonanță de urgență neconstituțională este ea însăși neconstituțională (a se vedea în acest sens, cu titlu exemplificativ, Decizia nr. 584 din 13 iunie 2007, publicată în Monitorul Oficial al României, Partea I, nr. 457 din 6 iulie 2007, Decizia nr. 421 din 9 mai 2007, publicată în Monitorul Oficial al României, Partea I, nr. 367 din 30 mai 2007, Decizia nr. 1.008 din 7 iulie 2009, publicată în Monitorul Oficial al României, Partea I, nr. 507 din 23 iulie 2009, Decizia nr. 738 din 19 septembrie 2012, publicată în Monitorul Oficial al României, Partea I, nr. 690 din 8 octombrie 2012, sau Decizia nr. 55 din 5 februarie 2014, publicată în Monitorul Oficial al României, Partea I, nr. 136 din 25 februarie 2014). … 17.Prin urmare, pot face obiect al controlului de constituționalitate a priori dispozițiile articolului unic din Legea pentru aprobarea Ordonanței de urgență a Guvernului nr. 89/2022, coroborate cu cele ale art. 3 alin. (2)-(4) și (8), ale art. 4 alin. (4) și ale art. 10 alin. (8) din această ordonanță de urgență. … 18.În consecință, Curtea Constituțională a fost legal sesizată și este competentă, potrivit dispozițiilor art. 146 lit. a) din Constituție, precum și ale art. 1, 10, 15 și 18 din Legea nr. 47/1992, republicată, să soluționeze obiecția de neconstituționalitate. …  + 
(2) 
Analiza obiecției de neconstituționalitate19.În esență, Înalta Curte de Casație și Justiție – Secțiile Unite critică, prin intermediul legii de aprobare, faptul că art. 3 alin. (2)-(4) și (8), art. 4 alin. (4) și art. 10 alin. (8) din Ordonanța de urgență a Guvernului nr. 89/2022 instituie posibilitatea de reglementare a unor norme de nivel primar – referitoare la stocarea, prelucrarea, accesul, stabilirea categoriilor de date, inclusiv cele cu caracter personal, stabilirea criteriilor generale de asigurare a confidențialității, securității, interoperabilității, migrării acestor date – prin intermediul unei hotărâri de Guvern, act normativ de nivel secundar, în condițiile în care activitățile menționate se află în legătură directă cu dreptul la viață intimă, familială și privată. … 20.Cu referire la critica formulată, Curtea constată că art. 1 alin. (1) din ordonanța de urgență examinată reglementează regimul juridic general privind înființarea, administrarea și dezvoltarea, la nivel național, a unei infrastructuri de tip cloud hibrid, Platforma de cloud guvernamental (denumită în continuare Platforma), constituită dintr-o componentă de cloud privat (denumită în continuare Cloudul privat guvernamental) și din resurse și servicii publice certificate din alte tipuri de cloud publice sau private [art. 1 alin. (2)]. … 21.În termen de maximum 90 de zile de la data intrării în vigoare a Ordonanței de urgență a Guvernului nr. 89/2022, prin hotărâre a Guvernului, la propunerea Ministerului Cercetării, Inovării și Digitalizării, denumit în continuare MCID, cu consultarea prealabilă a Autorității pentru Digitalizarea României, denumită în continuare ADR, a Serviciului de Telecomunicații Speciale, denumit în continuare STS, și a Serviciului Român de Informații, denumit în continuare SRI, se aprobă Ghidul de guvernanță a platformei de cloud guvernamental [art. 1 alin. (4)]. … 22.Cloudul privat guvernamental este administrat operațional de ADR și constă într-un ansamblu de resurse informatice, de comunicații și de securitate cibernetică, aflate în proprietatea statului român, interconectat la nivel de servicii cu clouduri publice și/sau cu clouduri private [art. 1 alin. (5) ]. … 23.Datele – definite ca orice reprezentare digitală a unor acte, fapte sau informații și orice compilație a unor astfel de acte, fapte sau informații, inclusiv sub forma unei înregistrări audio, video sau audiovizuale – se stochează în platformă. Cadrul de management și stocare a datelor în Platformă, inclusiv stabilirea categoriilor de date prelucrate în Platformă și găzduite de Cloudul privat guvernamental, cloud privat, cloud public, după caz, se realizează prin hotărâre a Guvernului, la propunerea MCID, în termen de maximum 90 de zile de la data intrării în vigoare a hotărârii de aprobare a Ghidului de guvernanță a platformei de cloud guvernamental [art. 3 alin. (2)]. … 24.Politica, strategia, criteriile tehnice și operaționale privind implementarea, operarea, mentenanța și dezvoltarea ulterioară a Cloudului privat guvernamental, regulile privind stabilirea nivelului agreat de servicii, precum și cele privind migrarea sau, după caz, interconectarea sistemelor informatice se stabilesc prin hotărâre a Guvernului, la propunerea MCID, cu consultarea prealabilă a ADR, STS și SRI, în termen de maximum 90 de zile de la data intrării în vigoare a ordonanței de urgență examinate [art. 3 alin. (3)].  … 25.Planul pentru migrarea și integrarea în Cloudul privat guvernamental a sistemelor informatice și a serviciilor publice electronice ale instituțiilor și autorităților aparținând administrației publice, precum și lista autorităților și instituțiilor publice ale căror sisteme informatice și servicii publice electronice migrează în Cloudul privat guvernamental se stabilesc prin hotărâre a Guvernului inițiată de MCID, la propunerea ADR, în termen de maximum 90 de zile de la data intrării în vigoare a ordonanței de urgență analizate [art. 3 alin. (4)]. … 26.În termen de maximum 90 de zile de la data intrării în vigoare a Ordonanței de urgență a Guvernului nr. 89/2022, MCID, la propunerea ADR, cu sprijinul STS și SRI, propune spre adoptare, prin hotărâre a Guvernului, criteriile generale de asigurare a confidențialității, securității, interoperabilității, adaptării la standarde tehnice și semantice, respectiv a performanței aplicațiilor de tip SaaS găzduite în Platformă, prin intermediul unui marketplace, inclusiv a aplicațiilor dezvoltate de mediul privat, prin intermediul catalogului definit la art. 2 lit. n) [art. 3 alin. (8)]. … 27.Migrarea, integrarea și interconectarea în Cloudul privat guvernamental a sistemelor informatice ale autorităților și instituțiilor publice se asigură de către ADR, pe baza acordului încheiat de ADR cu fiecare autoritate și instituție publică notificată de către ADR în vederea migrării [art. 4 alin. (4)]. … 28.Normele metodologice privind jurnalizarea evenimentelor și accesului la datele autorităților și instituțiilor publice găzduite în Cloudul privat guvernamental se aprobă prin hotărârea prevăzută la art. 3 alin. (2) [art. 10 alin. (8)]. … 29.Toate aceste elemente de conținut ale actelor de reglementare secundară la care face referire ordonanța de urgență menționată au fost cuprinse în Ghidul de guvernanță a platformei de cloud guvernamental, aprobat prin Hotărârea Guvernului nr. 112/2023 privind aprobarea Ghidului de guvernanță a platformei de cloud guvernamental, publicată în Monitorul Oficial al României, Partea I, nr. 118 din 10 februarie 2023. Această hotărâre, potrivit art. 1 alin. (1), are ca obiect stabilirea unor standarde, reguli și obligații necesare activităților operaționale, procedurale și tehnice de organizare și funcționare a infrastructurilor informatice și a serviciilor de tip cloud, respectiv:a)politica, strategia, criteriile tehnice și operaționale privind implementarea, operarea, mentenanța și dezvoltarea ulterioară a Platformei de cloud guvernamental, […], precum și interconectarea sistemelor informatice; … b)cadrul de management și stocare a datelor în Platformă și stabilirea categoriilor de date prelucrate și/sau găzduite în Platformă, inclusiv în componenta de cloud privat guvernamental, […], respectiv resursele publice sau private disponibile în Platformă; … c)planul pentru migrarea și integrarea în Platformă a aplicațiilor informatice și a serviciilor publice electronice ale instituțiilor și autorităților aparținând administrației publice, precum și lista autorităților și instituțiilor publice ale căror sisteme informatice și servicii publice electronice migrează în Platformă; … d)criteriile generale de asigurare a confidențialității, securității, interoperabilității, adaptării la standarde tehnice și semantice, respectiv a performanței aplicațiilor și serviciilor de cloud de tip Iaas, Paas, SaaS găzduite în Platformă, prin intermediul unui marketplace, inclusiv normele metodologice privind jurnalizarea evenimentelor și accesului la datele autorităților și instituțiilor publice găzduite în Platformă; … e)politica cloud first …  … 30.Prin urmare, din perspectiva criticii de neconstituționalitate formulate, se pune problema dacă aspectele reglementate prin Hotărârea Guvernului nr. 112/2023 trebuiau să fie reglementate prin lege. … 31.Curtea reține că, potrivit jurisprudenței sale, competența originară a Guvernului, autoritate executivă, este prevăzută în art. 108 alin. (2) din Constituție și privește organizarea executării legilor – acte de reglementare primară -, prin emiterea de hotărâri, care sunt acte normative de reglementare secundară. Hotărârile Guvernului sunt acte administrative normative sau individuale, emise în scopul bunei administrări a executării cadrului normativ primar, ce reclamă stabilirea de măsuri și reguli subsecvente, care să asigure corecta aplicare a acestuia. Hotărârile se adoptă întotdeauna în baza legii, secundum legem, și asigură aplicarea sau aducerea la îndeplinire a legilor (Decizia nr. 63 din 8 februarie 2017, publicată în Monitorul Oficial al României, Partea I, nr. 145 din 27 februarie 2017, paragraful 89). … 32.Hotărârile Guvernului sunt acte administrative normative sau individuale, expresie a competenței originare a Guvernului, prevăzută în Constituție, tipică pentru rolul acestuia de autoritate publică a puterii executive. Organizarea executării legilor pe calea hotărârilor este un atribut exclusiv al Guvernului, neputând fi, în niciun caz, un atribut al Parlamentului care, de altfel, a adoptat legea/actul normativ principal. Potrivit regimului său constituțional, hotărârea Guvernului intervine atunci când executarea unor prevederi ale legii reclamă stabilirea de măsuri sau reguli subsecvente. Ca urmare, hotărârile Guvernului se adoptă întotdeauna pe baza și în vederea executării legilor, urmărind punerea în aplicare sau ducerea la îndeplinire a acestora. Atunci când o hotărâre a Guvernului încalcă legea sau adaugă la dispozițiile legii, ea poate fi atacată în instanța de contencios administrativ în temeiul art. 52 și al art. 126 alin. (6) din Constituția României, republicată, și al dispozițiilor conținute în legea specială în materie, Legea nr. 554/2004 privind contenciosul administrativ, cu modificările și completările ulterioare (Decizia nr. 457 din 25 iunie 2020, publicată în Monitorul Oficial al României, Partea I, nr. 578 din 1 iulie 2020, paragraful 42). … 33.Relațiile sociale sunt reglementate primar prin legi/ordonanțe de urgență/ordonanțe, în timp ce actele administrative cu caracter normativ pot organiza punerea în executare sau executarea acestora, după caz, fără ca ele însele să fie izvor primar de drept. Reglementarea unor norme primare în corpul unui act de reglementare secundară reprezintă o contradicție în termeni. Astfel, acest din urmă act trebuie să se limiteze strict la organizarea punerii în executare sau la executarea dispozițiilor primare, și nu să reglementeze el însuși astfel de dispoziții. De aceea, actele administrative cu caracter normativ, fie hotărâri ale Guvernului, fie ordine ale miniștrilor, nu pot, prin conținutul lor normativ, să excedeze domeniului organizării executării actelor de reglementare primară [art. 108 alin. (2) din Constituție], respectiv al executării acestora sau a hotărârilor Guvernului (art. 77 din Legea nr. 24/2000 privind normele de tehnică legislativă pentru elaborarea actelor normative, republicată în Monitorul Oficial al României, Partea I, nr. 260 din 21 aprilie 2010), după caz, pentru că, printr-un atare procedeu, s-ar ajunge la modificarea/completarea însăși a legii (Decizia nr. 498 din 17 iulie 2018, publicată în Monitorul Oficial al României, Partea I, nr. 650 din 26 iulie 2018, paragraful 57).  … 34.Autoritatea administrativă emitentă este ținută de aceeași obligație de a nu reglementa norme cu caracter primar prin acte de punere în executare a legilor, indiferent dacă acestea sunt hotărâri ale Guvernului, ordine ale ministrului sau alte categorii de acte. Astfel fiind, trimiterea pe care legea o face la o hotărâre a Guvernului sau un ordin al ministrului nu poate fi echivalată, de plano, cu transformarea acestor acte în izvoare primare de drept (Decizia nr. 16 din 19 ianuarie 2022, publicată în Monitorul Oficial al României, Partea I, nr. 59 din 19 ianuarie 2022, paragraful 19). … 35.Așadar, de principiu, aspectele de detaliu ale reglementării primare se pot stabili prin norme de reglementare secundară, însă nu ține de competența Curții Constituționale verificarea concordanței acestora. Ca atare, aspectele la care fac trimitere reglementările criticate sunt chestiuni de detaliu tehnic și pot fi reglementate prin hotărâre a Guvernului. În schimb, revine instanțelor judecătorești competența să verifice dacă Guvernul, prin actul adoptat, s-a plasat în sfera specifică de reglementare a acestuia. … 36.De asemenea, întrucât, în mod specific, s-a invocat și art. 26 din Constituție în sensul că protecția datelor cu caracter personal trebuie realizată prin lege/ordonanță/ordonanță de urgență, analiza Curții va avea, în continuare, drept premisă art. 9 din ordonanța de urgență, care are ca titlu Prelucrarea datelor cu caracter personal și care prevede:(1)În procesul de dezvoltare, implementare, administrare și asigurare a securității cibernetice a Cloudului privat guvernamental, autoritățile și instituțiile publice prevăzute la art. 1 alin. (6) prelucrează date cu caracter personal, în calitate de operator sau persoană împuternicită de către entitățile găzduite sau interconectate, după caz, în conformitate cu responsabilitățile prevăzute la art. 3-7, cu respectarea reglementărilor legale aplicabile în domeniul protecției datelor cu caracter personal.(2)Prelucrarea datelor cu caracter personal prin intermediul sistemelor informatice găzduite în Platformă se realizează de către reprezentanții autorităților și instituțiilor publice, cu respectarea reglementărilor legale aplicabile în domeniul protecției datelor cu caracter personal.(3)Autoritățile și instituțiile publice prevăzute la alin. (1) și (2) respectă regimurile de acces la date prevăzute la nivel național și european și acordă angajaților și reprezentanților lor drepturile de acces la date prelucrate prin intermediul sistemelor informatice găzduite în Platformă, după caz, în vederea îndeplinirii prevederilor prezentei ordonanțe de urgență, cu respectarea prevederilor Legii nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), cu modificările ulterioare, Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, cu modificările și completările ulterioare, Legii nr. 363/2018 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau al executării pedepselor, măsurilor educative și de siguranță, precum și privind libera circulație a acestor date, precum și ale Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor).(4)Prevederile alin. (3) sunt aplicabile și în ceea ce privește raporturile autorităților și instituțiilor publice prevăzute la alin. (1) și (2) cu părți terțe, în vederea asigurării dezvoltării mentenanței și dezvoltării ulterioare a infrastructurii și serviciilor Platformei.(5)În aplicarea prevederilor alin. (3) și (4), autoritățile și instituțiile publice prevăzute la alin. (1) și (2) au obligația să se asigure că datele prelucrate sunt protejate în mod adecvat împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin măsuri de asigurare a confidențialității, integrității și disponibilității acestora.(6)Prezenta ordonanță de urgență respectă drepturile fundamentale și principiile recunoscute de Carta drepturilor fundamentale a Uniunii Europene, inclusiv dreptul la respectarea vieții private și de familie, dreptul la protecția datelor cu caracter personal, dreptul la proprietate și integrarea persoanelor cu dizabilități, astfel încât nicio prevedere din prezentul act normativ nu trebuie să facă obiectul unei interpretări sau puneri în aplicare care nu este conformă cu Convenția pentru apărarea drepturilor omului și a libertăților fundamentale a Consiliului Europei … 37.Datele personale și procesarea acestor informații țin de viața privată a individului (a se vedea Hotărârea din 4 mai 2000, pronunțată în Cauza Rotaru împotriva României, paragraful 43, sau Hotărârea din 17 iulie 2008, pronunțată în Cauza I. împotriva Finlandei, paragraful 35) și sunt protejate printr-un sistem de legi și acte de drept european, sens în care se rețin: Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), publicată în Monitorul Oficial al României, Partea I, nr. 651 din 26 iulie 2018, cu modificările ulterioare, Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, publicată în Monitorul Oficial al României, Partea I, nr. 1.101 din 25 noiembrie 2004, cu modificările și completările ulterioare, Legea nr. 363/2018 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau al executării pedepselor, măsurilor educative și de siguranță, precum și privind libera circulație a acestor date, publicată în Monitorul Oficial al României, Partea I, nr. 13 din 7 ianuarie 2019, precum și Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), publicat în Jurnalul Oficial al Uniunii Europene, seria L, nr. 119 din 4 mai 2016. … 38.Ca atare, cadrul de bază privind prelucrarea datelor cu caracter personal este reglementat chiar de acte de reglementare primară (naționale), precum și de un Regulament adoptat la nivelul Uniunii Europene. La aceste acte normative face trimitere în mod direct ordonanța de urgență analizată, în sensul că accesul la datele cu caracter personal stocate în Platformă trebuie să respecte standardele și exigențele acestora, ceea ce denotă faptul că are loc o împlinire a conținutului normativ al legii analizate cu prevederile actelor normative la care se face trimitere. … 39.În legătură cu normele de trimitere, Curtea, prin Decizia nr. 82 din 20 septembrie 1995, publicată în Monitorul Oficial al României, Partea I, nr. 58 din 19 martie 1996, sauDecizia nr. 405 din 15 iunie 2016, publicată în Monitorul Oficial al României, Partea I, nr. 517 din 8 iulie 2016, paragraful 87, a statuat că trimiterea de la un text de lege la altul, în cadrul aceluiași act normativ sau din alt act normativ, este un procedeu frecvent utilizat în scopul realizării economiei de mijloace. Pentru a nu se repeta de fiecare dată, legiuitorul poate face trimitere la o altă prevedere legală, în care sunt stabilite expres anumite prescripții normative. Efectul dispoziției de trimitere constă în încorporarea ideală a prevederilor la care se face trimiterea în conținutul normei care face trimitere. Se produce astfel o împlinire a conținutului ideal al normei care face trimiterea cu prescripțiile celuilalt text. În lipsa unei atari operații, legiuitorul ar fi încadrat, evident, acest text în forma scrisă a textului care face trimitere … 40.Reglementarea normativă analizată nu se poate compara cu cea constatată neconstituțională prin Decizia nr. 498 din 17 iulie 2018, precitată, unde întreaga problematică a dosarului electronic de sănătate al pacientului era lăsată la nivelul legislației secundare. Or, în cazul de față, se poate constata că în România orice prelucrare de date cu caracter personal se face cu respectarea cadrului legal menționat la art. 9 alin. (3) din ordonanța de urgență. Este adevărat că fiecare operator care prelucrează date cu caracter personal trebuie să își reglementeze o procedură proprie/aparte care să implementeze și să adapteze principiile, exigențele și obligațiile rezultate din cadrul normativ primar existent la cadrul particular al operatorului. … 41.Potrivit art. 9 alin. (1) coroborat cu art. 1 alin. (6) din ordonanța de urgență, în situația dată, a cloudului guvernamental privat, astfel de operatori sunt Ministerul Cercetării, Inovării și Digitalizării, Autoritatea pentru Digitalizarea României, Serviciul de Telecomunicații Speciale și Serviciul Român de Informații, care, tot potrivit aceluiași text de nivel legal, își desfășoară activitatea „cu respectarea reglementărilor legale aplicabile în domeniul protecției datelor cu caracter personal“. Prin urmare, faptul că textele legale criticate trimit la o hotărâre a Guvernului nu înseamnă decât că aceasta va particulariza și va preciza modul concret și tehnic de desfășurare a activităților specifice acestui cloud, inclusiv în privința prelucrării datelor cu caracter personal. Prin urmare, modul concret de funcționare a Platformei și modul concret de asigurare a confidențialității datelor cu caracter personal cu care această Platformă operează se regăsesc în actul de punere în executare a aplicării legii, care detaliază, specifică și particularizează din punct de vedere tehnic și procedural atât modul concret de funcționare a Platformei, cât și, integrat acestuia, modul de asigurare a confidențialității datelor. … 42.Cu alte cuvinte, dacă s-ar susține că Hotărârea Guvernului nr. 112/2023 încalcă prescripțiile normative ale Ordonanței de urgență a Guvernului nr. 89/2022 sau ale oricărui act de reglementare primară incident din materia prelucrării datelor cu caracter personal (în sensul că omite, modifică, adaugă anumite aspecte care nu sunt cuprinse în legislația primară), aceasta poate forma obiectul controlului judecătoresc pe calea contenciosului administrativ, care constituie remediul juridic specific pentru asigurarea respectării legii; însă o asemenea analiză, a conformității actului de reglementare secundar cu actul de reglementare primară, excedează, astfel cum s-a arătat, competenței Curții Constituționale. … 43.Pentru considerentele arătate, în temeiul art. 146 lit. a) și al art. 147 alin. (4) din Constituție, precum și al art. 11 alin. (1) lit. A.a), al art. 15 alin. (1) și al art. 18 alin. (2) din Legea nr. 47/1992, cu majoritate de voturi, … 
CURTEA CONSTITUȚIONALĂ
În numele legii
DECIDE:Respinge, ca neîntemeiată, obiecția de neconstituționalitate și constată că dispozițiile articolului unic din Legea pentru aprobarea Ordonanței de urgență a Guvernului nr. 89/2022 privind înființarea, administrarea și dezvoltarea infrastructurilor și serviciilor informatice de tip cloud utilizate de autoritățile și instituțiile publice, coroborate cu cele ale art. 3 alin. (2)-(4) și (8), ale art. 4 alin. (4) și ale art. 10 alin. (8) din această ordonanță de urgență, sunt constituționale în raport cu criticile formulate.Definitivă și general obligatorie.Decizia se comunică Președintelui României și se publică în Monitorul Oficial al României, Partea I.Pronunțată în ședința din data de 14 iunie 2023.
PREȘEDINTELE CURȚII CONSTITUȚIONALE
MARIAN ENACHE
Prim-magistrat-asistent,
Benke Károly + 
OPINIE SEPARATĂÎn dezacord cu opinia majoritară, considerăm că sesizarea formulată de Înalta Curte de Casație și Justiție trebuia admisă și constatată neconstituționalitatea dispozițiilor Legii pentru aprobarea Ordonanței de urgență a Guvernului nr. 89/2022 privind înființarea, administrarea și dezvoltarea infrastructurilor și serviciilor informatice de tip cloud utilizate de autoritățile și instituțiile publice pentru motivele de neconstituționalitate expuse în continuare.I.Dreptul la viață intimă, familială și privată este unul din drepturile fundamentale prevăzut în Constituția României, precum și în Convenția pentru apărarea drepturilor omului și a libertăților fundamentale (CEDO) și în Carta drepturilor fundamentale a Uniunii Europene (Carta). Art. 26 din Constituție prevede obligația autorităților publice de a respecta și de a ocroti viața intimă, familială și privată, precum și dreptul persoanei fizice de a dispune de ea însăși, dacă nu încalcă drepturile și libertățile altora, ordinea publică sau bunele moravuri. Art. 8 din CEDO statuează că orice persoană are dreptul la respectarea vieții sale private și de familie, a domiciliului său și a corespondenței sale și că nu este admis amestecul niciunei autorități publice în exercitarea acestui drept decât în măsura în care acest amestec este prevăzut de lege și este o măsură necesară într-o societate democratică pentru apărarea securității naționale, a siguranței publice, pentru apărarea ordinii și prevenirea faptelor penale ori protejarea drepturilor și libertăților altora. Art. 7 din Cartă prevede, de asemenea, că orice persoană are dreptul la respectarea vieții private și de familie, a domiciliului și a secretului comunicațiilor, iar art. 8 statuează că orice persoană are dreptul la protecția datelor cu caracter personal care o privesc, precum și că asemenea date trebuie tratate în mod corect pe baza consimțământului persoanei interesate sau în temeiul unui alt motiv legitim prevăzut de lege.În jurisprudența sa, Curtea Constituțională a statuat că reținerea și păstrarea datelor cu caracter personal constituie în mod evident o limitare a dreptului la protecția datelor cu caracter personal, respectiv a drepturilor fundamentale protejate constituțional referitoare la viață intimă, familială și privată, la secretul corespondenței, precum și libertatea de exprimare. O astfel de limitare poate opera însă în conformitate cu dispozițiile art. 53 din Constituție, care prevăd posibilitatea restrângerii exercițiului unor drepturi sau al unor libertăți numai prin lege și numai dacă se impune, după caz, pentru apărarea securității naționale, a ordinii, a sănătății ori a moralei publice, a drepturilor și a libertăților cetățenilor, pentru desfășurarea instrucției penale, prevenirea consecințelor unei calamități naturale, ale unui dezastru ori ale unui sinistru deosebit de grav. Măsura restrângerii poate fi dispusă numai dacă este necesară într-o societate democratică, trebuie să fie proporțională cu situația care a determinat-o, să fie aplicată în mod nediscriminatoriu și fără a aduce atingere existenței dreptului sau a libertății. Curtea a reținut că instituirea în sarcina unor persoane a obligației de a reține și de a stoca date cu caracter personal impune, în mod corelativ, reglementarea expresă a unor măsuri adecvate, ferme și neechivoce, de natură să asigure încrederea cetățenilor că datele cu vădit caracter personal pe care le pun la dispoziție sunt înregistrate și păstrate în condiții de confidențialitate. Astfel, prin Decizia nr. 62 din 13 februarie 2018, publicată în Monitorul Oficial al României, Partea I, nr. 373 din data de 2 mai 2018, Curtea a reținut că „orice act normativ trebuie să îndeplinească anumite condiții calitative, printre acestea numărându-se previzibilitatea, ceea ce presupune că acesta trebuie să fie suficient de precis și clar pentru a putea fi aplicat (a se vedea în acest sens, spre exemplu, Decizia nr. 189 din 2 martie 2006, publicată în Monitorul Oficial al României, Partea I, nr. 307 din 5 aprilie 2006, Decizia nr. 903 din 6 iulie 2010, publicată în Monitorul Oficial al României, Partea I, nr. 584 din 17 august 2010, sau Decizia nr. 26 din 18 ianuarie 2012, publicată în Monitorul Oficial al României, Partea I, nr. 116 din 15 februarie 2012). În același sens, Curtea Europeană a Drepturilor Omului a statuat că legea trebuie, într-adevăr, să fie accesibilă justițiabilului și previzibilă în ceea ce privește efectele sale. Pentru ca legea să satisfacă cerința de previzibilitate, ea trebuie să precizeze cu suficientă claritate întinderea și modalitățile de exercitare a puterii de apreciere a autorităților în domeniul respectiv, ținând cont de scopul legitim urmărit, pentru a oferi persoanei o protecție adecvată împotriva arbitrarului (a se vedea Hotărârea din 4 mai 2000, pronunțată în Cauza Rotaru împotriva României, paragraful 52, și Hotărârea din 25 ianuarie 2007, pronunțată în Cauza Sissanis împotriva României, paragraful 66). O lege îndeplinește condițiile calitative impuse atât de Constituție, cât și de Convenție, numai dacă norma este enunțată cu suficientă precizie pentru a permite cetățeanului să își adapteze conduita în funcție de aceasta, astfel încât, apelând la nevoie la consiliere de specialitate în materie, el să fie capabil să prevadă, într-o măsură rezonabilă, față de circumstanțele speței, consecințele care ar putea rezulta dintr-o anumită faptă și să își corecteze conduita (în acest sens, Decizia Curții Constituționale nr. 1 din 11 ianuarie 2012, publicată în Monitorul Oficial al României, Partea I, nr. 53 din 23 ianuarie 2012, și Decizia Curții Constituționale nr. 743 din 2 iunie 2011, publicată în Monitorul Oficial al României, Partea I, nr. 579 din 16 august 2011, precum și jurisprudența Curții Europene a Drepturilor Omului cu privire la care se rețin, spre exemplu, Hotărârea din 15 noiembrie 1996, pronunțată în Cauza Cantoni împotriva Franței, paragraful 29, Hotărârea din 25 noiembrie 1996, pronunțată în Cauza Wingrove împotriva Regatului Unit, paragraful 40, Hotărârea din 9 noiembrie 2006, pronunțată în Cauza Leempoel S.A. ED. Cine Revue împotriva Belgiei, paragraful 59).“De asemenea, prin Decizia nr. 440 din 8 iulie 2014, publicată în Monitorul Oficial al României, Partea I, nr. 653 din 4 septembrie 2014, constatând neconstituționalitatea legii supuse controlului, Curtea a reținut că „legea criticată nu cuprinde norme clare și precise cu privire la conținutul și aplicarea măsurii reținerii și utilizării, așa încât persoanele ale căror date au fost păstrate să beneficieze de garanții suficiente care să asigure o protecție eficientă împotriva abuzurilor și a oricărui acces sau utilizări ilicite. Astfel, legea nu prevede criterii obiective care să limiteze la strictul necesar numărul de persoane care au acces și pot utiliza ulterior datele păstrate, că accesul autorităților naționale la datele stocate nu este condiționat, în toate cazurile, de controlul prealabil efectuat de către o instanță sau de o entitate administrativă independentă, care să limiteze acest acces și utilizarea lor la ceea ce este strict necesar pentru realizarea obiectivului urmărit. Garanțiile legale privind utilizarea în concret a datelor reținute nu sunt suficiente și adecvate pentru a îndepărta teama că drepturile personale, de natură intimă, sunt violate, așa încât manifestarea acestora să aibă loc într-o manieră acceptabilă.“ Mai mult, Curtea a constatat că „legea nu prevede un mecanism autentic de control care să asigure acestor instituții o verificare permanentă și efectivă a respectării dispozițiilor legale, astfel încât să poată fi sesizate cu ușurință cazurile în care furnizorii de servicii încalcă dispozițiile legale privitoare la tipul de date reținute, durata în care acestea sunt stocate, distrugerea lor în cazurile prevăzute de lege ori organele și instituțiile cărora li se permite accesul la aceste date. (…) Nereglementarea unui mecanism real de control al activității furnizorilor de rețele publice și de servicii de comunicații electronice de către o autoritate independentă echivalează cu lipsa unor garanții, astfel cum sunt impuse de prevederile art. 26 și art. 28 din Constituție, care să permită o protecție eficientă a datelor păstrate împotriva riscurilor de abuz, precum și a oricărui acces ori utilizări ilicite a acestor date.“Totodată, prin Decizia nr. 295 din 18 mai 2022, publicată în Monitorul Oficial al României, Partea I, nr. 568 din 10 iunie 2022, cu privire la limitarea exercițiului dreptului la viață intimă, familială și privată și la secretul corespondenței, precum și a libertății de exprimare, făcând trimitere la jurisprudența sa constantă, Curtea a stabilit că „aceasta trebuie să aibă loc într-o manieră clară, previzibilă și lipsită de echivoc, astfel încât să fie îndepărtată, pe cât posibil, eventualitatea arbitrarului sau a abuzului autorităților în acest domeniu“, or, „în condițiile în care măsurile adoptate prin legea supusă controlului de constituționalitate nu aveau un caracter precis și previzibil, ingerința statului în exercitarea drepturilor fundamentale protejate constituțional referitoare la viața intimă, familială și privată, la secretul corespondenței, precum și la libertatea de exprimare, deși prevăzută de lege, nu a fost formulată clar, riguros și exhaustiv pentru a oferi încredere cetățenilor, caracterul strict necesar într-o societate democratică nu a fost pe deplin justificat, iar proporționalitatea măsurii nu a fost asigurată prin reglementarea unor garanții corespunzătoare“.Analizând dispozițiile legale criticate în prezenta cauză, reținem că acestea nu respectă dispozițiile constituționale ale art. 1 alin. (3) și (5), precum și ale art. 26 referitor la dreptul la viață privată, câtă vremea legiuitorul omite să reglementeze garanții privind respectarea acestor drepturi. Deși legiuitorul instituie în art. 9 din actul normativ analizat dispoziții referitoare la prelucrarea datelor cu caracter personal și respectarea legislației aplicabile în acest domeniu, acest articol are un simplu caracter declarativ, fără efecte juridice, câtă vreme prevederile concrete legate de stocarea, prelucrarea, accesul și alte asemenea operațiuni cu privire la date cu caracter personal sunt atribuite spre reglementare, în concret, la nivel infralegal. Astfel, „stabilirea categoriilor de date prelucrate în Platformă“, „politica, strategia, criteriile tehnice și operaționale, (…) regulile privind migrarea și interconectare“, „criteriile generale de asigurare a confidențialității, securității, interoperabilității“ prevăzute de dispozițiile art. 3 alin. (2), (3) și (8) din Ordonanța de urgență a Guvernului nr. 89/2022 reprezintă aspecte esențiale, cu incidență directă asupra dreptului la viață privată a persoanelor, care, din această perspectivă, trebuie reglementate prin dispoziții de rang primar. De asemenea, regulile și criteriile privind „accesul la datele autorităților și instituțiilor publice găzduite în Cloudul Privat Guvernamental“ prevăzute de dispozițiile art. 10 alin. (8) din aceeași ordonanță trebuie reglementate la nivel primar, urmând ca doar măsurile subsecvente privind punerea în aplicare și detalierea operațiunilor necesare în acest sens să fie reglementate prin norme metodologice aprobate prin hotărâre a Guvernului. Se constată, astfel, că, sub aspectele menționate, legea se limitează la a evidenția aspectele esențiale ce urmează a fi reglementate pe calea legislației secundare, infralegale, și la a institui măsurile de reținere și stocare a datelor, fără a reglementa dispozițiile legale cu privire la garanțiile pe care statul trebuie să le asigure în exercitarea drepturilor fundamentale ale cetățenilor. Or, cadrul normativ într-un domeniu atât de sensibil trebuie să se realizeze într-o manieră clară, previzibilă și lipsită de confuzie, astfel încât să fie îndepărtată, pe cât posibil, eventualitatea arbitrarului sau a abuzului celor chemați să aplice dispozițiile legale (a se vedea în acest sens Decizia nr. 461 din 16 septembrie 2014, publicată în Monitorul Oficial al României, Partea I, nr. 775 din 24 octombrie 2014, paragraful 41). În condițiile în care măsurile adoptate prin legea supusă controlului de constituționalitate nu au un caracter precis și previzibil, ingerința statului în exercitarea drepturilor mai sus menționate nu este prevăzută de lege, nu este formulată clar, riguros și exhaustiv pentru a oferi încredere cetățenilor, caracterul strict necesar într-o societate democratică nu este pe deplin justificat, iar proporționalitatea măsurii nu este asigurată prin reglementarea unor garanții corespunzătoare. Așadar, limitarea exercițiului acestor drepturi personale în considerarea unor drepturi colective și interese publice rupe justul echilibru care ar trebui să existe între interesele și drepturile individuale, pe de o parte, și cele ale societății, pe de altă parte, legea criticată nereglementând garanții suficiente care să permită asigurarea unei protecții eficiente a datelor față de riscurile de abuz, precum și față de orice accesare și utilizare ilicită a datelor cu caracter personal (Decizia nr. 461 din 16 septembrie 2014, paragrafele 43 și 44). … II.Cu privire la competența Guvernului de a reglementa dispoziții cu caracter normativ pe calea hotărârilor, prin Decizia nr. 62 din 13 februarie 2018, precitată, Curtea a statuat că hotărârile Guvernului sunt acte adoptate în scopul aplicării legii, în sensul reglementării unor modalități concrete și detaliate de aducere la îndeplinire a măsurilor prevăzute de lege, astfel cum impune art. 108 alin. (2) din Constituție, potrivit căruia „Hotărârile se emit pentru organizarea executării legilor“. Prin urmare, dispoziția legală prin care se atribuie Guvernului competența de a legifera în materii ce intră în sfera de reglementare a legii, și nu a hotărârii Guvernului, nu poate avea natura unei simple „soluții tehnice, în concordanță cu atribuțiile Guvernului și cu specificul raporturilor juridice de interes pentru o astfel de reglementare normativă“. Curtea a reținut că, „deși ar avea un aparent temei legal, o asemenea hotărâre a Guvernului depășește rolul său constituțional de strictă aplicare și detaliere a normei legale – de rang superior – deoarece, prin conținutul său, reglementează în mod direct și distinct (…), având, în definitiv, același obiect de reglementare ca și legea examinată în prezenta cauză. Totodată, chiar dacă materia reglementată prin legea examinată intră, prin specificul său, în domeniul de activitate și în sfera raporturilor juridice de interes specifice Guvernului, nu se poate justifica această manieră de reglementare, în sensul atribuirii de competență de legiferare“. Or, regimul constituțional al hotărârilor Guvernului este stabilit de dispozițiile art. 108 din Constituție, potrivit cărora hotărârile Guvernului sunt acte administrative normative sau individuale, emise în scopul bunei administrări a executării cadrului normativ primar, care reclamă stabilirea de măsuri și reguli subsecvente, care să asigure corecta aplicare a acestuia. Hotărârile se adoptă întotdeauna în baza legii, secundum legem, și asigură aplicarea sau aducerea la îndeplinire a legilor. Astfel, norma de reglementare secundară trebuie să fie conformă normei de reglementare primară, în niciun caz nu poate fi contrară și nici nu poate completa sau modifica norma de reglementare primară (a se vedea în acest sens Decizia nr. 63 din 8 februarie 2017, publicată în Monitorul Oficial al României, Partea I, nr. 145 din 27 februarie 2017, paragraful 89).Or, dispozițiile criticate legiferează în mod direct materii ce intră în sfera de reglementare a legii, în ce privește protecția datelor cu caracter personal și, corolar, respectarea dreptului la viață privată. Reținând că aceste norme trebuie să respecte anumite exigențe de stabilitate, previzibilitate și claritate, Curtea ar fi trebuit să constate, în acord cu jurisprudența sa constantă, că delegarea atribuției de a stabili aceste norme către Guvern, prin emiterea unor acte administrative cu caracter normativ, de rang infralegal, determină o stare de incertitudine juridică și încalcă principiul securității raporturilor juridice. Subliniem că, pentru a respecta dispozițiile art. 26 și art. 53 din Constituție, aspectele esențiale referitoare la restrângerea exercițiului dreptului fundamental la viață privată și la protecția datelor cu caracter personal trebuie să fie reglementate numai prin lege. În aceste condiții, dispozițiile Legii pentru aprobarea Ordonanței de urgență a Guvernului nr. 89/2022 privind înființarea, administrarea și dezvoltarea infrastructurilor și serviciilor informatice de tip cloud utilizate de autoritățile și instituțiile publice, prin trimiterea la acte administrative, cu forță juridică inferioară legii, care să reglementeze, în absența unor norme cu forța juridică a legii, ca act de reglementare primară, categoriile de date prelucrate în Platforma de cloud guvernamental, politica și strategia privind implementarea, operarea, mentenanța și dezvoltarea ulterioară a Cloudului privat guvernamental, regulile privind migrarea și interconectarea în Cloudul privat guvernamental a sistemelor informatice și a serviciilor publice electronice ale instituțiilor și autorităților aparținând administrației publice, criteriile generale de asigurare a confidențialității, securității, interoperabilității, precum și accesul la datele autorităților și instituțiilor publice găzduite în Cloudul privat guvernamental încalcă prevederile cuprinse în art. 61 și în art. 108 din Constituție, precum și art. 1 alin. (5) din Constituție, în componenta sa referitoare la previzibilitatea și accesibilitatea legii, întrucât destinatarii legii, pentru a-și conforma conduita, nu se pot raporta decât la prevederile lacunare ale acesteia. Totodată, prin delegarea unei atribuții ce aparține în exclusivitate legiuitorului primar către Guvern, legiuitor secundar, sunt încălcate și dispozițiile art. 1 alin. (4) din Constituție referitor la principiul separației și echilibrului puterilor în stat.În concluzie, în considerarea argumentelor mai sus prezentate, apreciem că legea criticată încalcă prevederile art. 1 alin. (3), (4) și (5), art. 26, art. 53, art. 61, art. 108, precum și ale art. 147 din Constituție. … 
Judecători,
Gheorghe Stan
Cristian Deliorga
Varga Attila–-

	Redacția Lex24 Drept la Sursa!
	Articole Urmărește