Curtea Constituțională a dat o lovitură devastatoare Serviciului Român de Informații. O lovitură despre care nu s-a vorbit foarte mult pe scena publică, prinsă sub avalanșa ultimelor evenimente anticorupție. În motivarea CCR referitoare la decizia de neconstituționalitate a Legii securității cibernetice există însă un paragraf care limitează drastic puterile SRI în acest domeniu.
Este vorba de paragraful în baza căruia Centrul Național de Securitate Cibernetică (CNSC), o structură internă a SRI, nu va putea fi coordonatorul acestui domeniu. Această atribuţie va reveni unui organism civil.
Practic, de acum încolo, SRI nu va mai putea accesa, în baza unui mandat judecătoresc, datele de trafic ale unor persoane fizice sau juridice, suspecte că sunt parte a unor rețele de corupție sau teroriste. Acest drept va reveni unui organism civil, care va decide ce fel de informații vor fi puse la dispoziția autorităților și care vor instituțiile beneficiare.
Viitoarea lege a securității cibernetice va trebui să prevadă înființarea acestei structuri civile, deoarece decizia Curții este obligatorie. Paragraful din motivarea CCR este următorul: ”Curtea apreciază că, pentru asigurarea unui climat de ordine, guvernat de principiile unui stat de drept, democratic, înfiinţarea sau identificarea unui organism responsabil cu coordonarea problemelor de securitate a sistemelor şi reţelelor cibernetice, precum și a informaţiei(...) trebuie să vizeze un organism civil, care să funcţioneze integral pe baza controlului democratic, iar nu o autoritate care desfășoară activităţi în domeniul informaţiilor, al aplicării legii sau al apărării ori care să reprezinte o structura a vreunui organism care activează în aceste domenii.”
Judecătorii constituționali au apreciat că un organism civil va elimina riscul ca scopul Legii securităţii cibernetice să fie deturnat. Ei cred că, prin acest filtru civil, SRI va fi împiedicat să obţină informaţii și date prin încălcarea ”drepturilor constituţionale la viaţă intimă, familială şi privată şi la secretul corespondenţei.” În opinia CCR, un astfel de control nu ar fi fost posibil dacă domeniul securității cibernetice ar fi fost gestionat de CNSC, structură militară cu activitate secretă în domeniul informaţiilor, care ”nu funcţionează sub un control democratic.”
Magistrații CCR au argumente forte pe care-și bazează decizia. Unul dintre ele este acela că Directiva europeană NIS (Network and Information Security), în formă modificată de Parlamentul European, conţine mai multe dispoziţii cu caracter obligatoriu pentru state, inclusiv cea referitoare la faptul că ”autorităţile competenţe” în domeniul securităţii rețelelor și a sistemelor informatice ”ar trebui să fie organisme civile”.
”Astfel, dispoziţiile art.6 din Directivă, în formă modificată de PE, prevăd că <<(1) Fiecare stat membru desemnează una sau mai multe autorităţi naţionale civile competente în domeniul securităţii reţelelor și a sistemelor informatice>>”, se arată în motivare.
Mai mult, Curtea reproșează voalat Guvernului că legea românească a securității cibernetice a ”tradus” în mod eronat prevederile directivei europene, în care ”nu se prevede dreptul autorităţilor desemnate de a accesa, la solicitarea motivată, datele stocate în reţelele și sistemele informatice”. Judecătorii punctează că Directiva NIS vorbește doar de ”obligaţia de notificare a riscurilor și incidentelor cibernetice şi de a se supune auditării pentru deţinătorii de infrastructuri critice.”
Nu în ultimul rând, Curtea Constituțională explică faptul că, dacă România ar avea un organism militar în domeniul securității cibernetice, iar în celelalte state UE ar fi organisme civile, cooperarea efectivă între aceste structuri ar avea de suferit.