Instituţiile şi legile statului cu privire la cardurile biometrice de identitate şi de sănătate, partea II. Direcţia Generală a Paşapoartelor şi protecţia datelor cu caracter personal

Acest articol este o continuare directă a acestuia şi are legătură cu acesta, cu acesta şi cu acesta.

Date generale

Direcţia Generală de Paşapoarte (DGP) este instituţia din cadrul Ministerului Administraţiei şi Internelor (MAI) care are un rol foarte important, întrucât aici se personalizează efectiv cărţile de identitate electronice şi cardurile naţionale de sănătate. Am adresat două cereri şi am primit trei răspunsuri foarte detaliate, în termenul prevăzut de lege. Consider că această instituţie a comunicat acceptabil de transparent informaţiile şi suficient de prompt.

În data de 31 decembrie 2013, am trimis prin e-mail la adresa dgp.relatiipublice[at]mai[punct]gov.ro două solicitări iniţiale, una privind datele cu caracter personal, cealaltă privind informaţiile de interes public. Site-ul oficial: www.pasapoarte.mai.gov.ro/‎

Sediul oficial al Direcţiei Generale de Paşapoarte, conform informţiilor de pe site-ul lor, este Str. Nicolae Iorga nr 29, sector 1, Bucureşti.

Schepsisul

Pe scurt, DGP personalizează fizic cardurile naţionale de sănătate, dar o face cu datele pe care le deţine Casa Naţională de Asigurări de Sănătate (CNAS). Deci, oficial, datele personale cu care sunt personalizate cardurile de sănătate nu aparţin şi nu sunt gestionate de către DGP. Asta poate părea mai greu de conceput, dar poziţia oficială a DGP este de executant, pentru că instituţia susţine că nici nu se atinge de datele personale cu care personalizează cardurile. Cu alte cuvinte, DGP nu poate face nicio schimbare nici dacă ar vrea.

În schimb, cu privire la datele personale pe care le gestionează ca parte a bazelor de date pe care le deţin şi le administrează, am primit un răspuns foarte complet şi elaborat, pe care îl detaliez în continuare. După acest subiect, detaliez şi partea care ţine de cardurile biometrice.

Datele cu caracter personal deţinute şi operate de DGP

DGP este Operator de date cu caracter personal nr. 10986, în conformitate cu atribuţiile principale stabilite prin Ordonanţa nr. 83/2001 privind infiinţarea, organizarea şi funcţionarea serviciilor publice comunitare pentru eliberarea şi evidenţa paşapoartelor simple şi serviciilor publice comunitare regim permise de conducere şi inmatriculare a vehiculelor, aprobată cu modtficări şi completări prin Legea nr. 362/2002 cu modificările şi completările ulterioare (inclusiv OG 28/2010), DGP a notificat Autorititii Nationale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) activitatea de prelucrare a datelor cu caracter personal in scop de ,,Constituire şi gestionare a Registrului national de evidenţă a paşapoartelor simple, corelat cu gestionarea sistemului saţional informatic de evidenţă a paşapoartelor simple, personalizarea paşapoartelor simple, electronice şi a paşapoartelor simple temporare, aplicarea dispoziţiilor Legii 248/2005 privind regimul liberei circulaţii a cetatenilor români in străinătate şi a normelor de aplicare a acesteia, cu modificările şi completările ulterioare”.

Solicitarea mea privind datele cu caracter personal a fost înregistrată cu nr. 1816701/ in 06.01.2014. Am primit un răspuns detaliat semnat de chestorul de poliţie dl. director general dr. Aurel Vasile Sime. Nu am fost mulţumit de răspunsul iniţial, prin urmare am reiterat cererile mele şi am primit un răspuns, înregistrat ca ex. 1/Nr. 1816702 din 15.01.2014.

Datele pe care le deţin şi operează cei de la DGP despre persoana mea au fost nominalizate concret. Categoriile de informaţii personale pe care le deţin despre mine sunt: nume, prenume, CNP, locul naşterii, prenume părinţi, seria şi numărul paşapoartelor (cel actual şi cel expirat), datele şi locurile depunerii cererilor de eliberare a paşapoartelor, domiciliul.

În scopul identificării persoanelor, conform competenţelor legale, personalul autorizat/desemnat din cadrul Direcţiei Generale de Paşapoarte are acces la datele de identificare ale persoanelor, la datele privind documentele emise şi la notificările cuprinse în bazele de date privind evidenţa persoanelor, aflate în administrarea Direcţiei pentru Evidenţa Persoanelor şi Administrarea Bazelor de Date (DEPABD).

Comunicarea datelor cu caracter personal deţinute de către DGP se efectuează cu respectarea cerinţelor L. 677/2001 actualizată, în condiţiile prevăzute de legislaţia incidentă (Legea nr. 238/2009 privind reglementarea prelucrării datelor cu caracter personal de către structurile/unităţile Ministerului Administrafiei şi Internelor (MAI) în activităţile de prevenire, cercetare şi combatere a infracţiunilor, precum şi de menţinere şi asigurare a ordinii publice, instrucţiunile MAI nr. 27/2010 privind măsurile de natură organizatorică şi tehnică pentru asigurarea securităţii prelucrărilor de date cu caracter personal efectuate de către structurile/unităţile MAI şi numai pentru îndeplinirea atribuţiilor legale a operatorului sau a autorităţilor competente către care sunt furnizate datele.

Cu cine împărtăşeşte DGP datele cu caracter personal ale cetăţenilor şi de la cine le primeşte

(continuă să citești după media ↓)

Datele personale gestionate de către DGP se comunica la cererea persoanei vizate sau a imputerncitilor acesteia, la solicitarea instituţiilor cu atribuţii în domeniul apărării, ordinii publice şi siguranţei naţionale, precum şi a altor persoane juridice în condiţiile legii şi cu respectarea strictă a principiului conform căruia scopul prelucrãrii ulterioare (în acest caz prelucrarea în scopul comunicării) trebuie să fie compatibil cu scopul pentru care datele personale au fost colectate iniţial.

Protocoalele de colaborare între instituţii având ca obiect transmiterea datelor cu caracter personal se elaborează în temeiul prevederilor L. 677/2001 actualizată, a Instrucţiunilor MAI nr. 27/2010, precum şi a actelor normative ce reglementează activitatea fiecărei instituţii.

Categorii de destinatari persoane juridice ai datelor cu caracter personal prelucrate de către DGP pe baza protocoalelor de colaborare, în îndeplinirea atribuţiilor legale:

În calitate de împuternicit, pe baza actelor normative in vigoare şi in condiţiile contractului de împuternicire incheiat cu operatorul şi a metodologiei de lucru puse la dispozitie de acesta, Directia Generală de Paşapoarte (prin Centrul National Unic de Personalizare a Paşapoartelor Electronice – CNUPPE) prelucrează datele cu caracter personal transmise de următorii operatori:

Inspectoratul General pentru Imigrări (IGI), în scopul personalizăirii documentelor care se eliberează străinilor,
Casa Naţională de Asigurări de Sănătate (CNAS), în scopul personalizării cardurilor naționale de Asigurări Sociale de Sănătate,
Ministerul Afacerilor Externe – Departamentul Consular, în scopul personalizăirii permisului de mic trafic de frontieră şi în scopul personalizăirii paşapoartelor diplomatice şi de serviciu.

DGP acordă drepturile necesare de acces la datele privind detinătorii de paşapoarte şi paşapoartele emise, in vederea constituirii unei copii a acesteia la sediul Directiei pentru Evidenta Persoanelor şi Administrarea Bazelor de Date (DEPABD), conform legii. Hotărârea nr. 1367/2009 privind infiinţarea, organizarea şi funcţionarea Direcţiei pentru Evidenţa Persoanelor şi Administrarea Bazelor de Date, stabileşte in atributiile DEPABD ,,gestionarea şi administrarea la nivel national a bazelor de date privind evidenta (…) paşapoartelor (. . .)”. DEPABD poate acorda accesul altor structuri din cadrul Ministerului Afacerilor Inteme sau din afara acestuia, prin aplicatii informatice specifice la datele continute in copia bazei de date de paşapoarte simple sau poate fumiza informatii extrase din aceasta, cu respectarea strictă a dispozitiilor legale in vigoare cu incidenţă in domeniul protectiei datelor cu caracter personal, prin incheierea de protocoale specifice.

DGP nu a comunicat până la data solicitării mele către nicio instituţie sau persoană juridică, din România sau din străinătate (nici din cele abilitate) datele mele personale pe care le deţin în baza lor de date, pe care o gestionează. Aceste date personale au fost colectate în momentul în care am depus cererile de eliberare a paşapoartelor la Serviciul public comunitar pentru eliberarea şi evidenţa paşapoartelor simple.

DGP nu are atributii care să determine transferul de date in străinătate, deci nu poate face astfel de operatiuni decât cu consimţământul explicit al persoanei vizate sau când este necesar pentru a proteja viata, integritatea fizică sau sănătatea persoanei vizate.

DGP stochează datele personale doar în legătură strictă cu paşapoartele

Conform celor prezentate mai sus, DGP are obligaţia legală de a tine evidenta paşapoartelor eliberate, iar in acest sens stochează datele personale colectate de la fiecare cetăţean în parte în scopul strict al emiterii paşaportului, in termenele prevăzute de lege.

În cazul paşaportului simplu electronic, care se eliberează incepând cu anul 2009, impresiunile digitale stocate in cipul paşaportului se şterg din bazele de productie prin procedură automată, imediat după ce paşaportul a fost livrat posesorului.

DGP colectează datele cu caracter personal numai pentru indeplinirea obligaţiilor legale, in acest sens respectând dispozitiile legale exprese privind prelucrarea datelor personale cu functie de identificare. Această activitate şi sistemul informatic de evidentă gestionat de către DGP au fost supuse, conform legii, unor investigatii repetate din partea Autorităţii Nationale de Supraveghere pentru a asigura astfel indeplinirea de către operator a obligatiilor legale ce-i revin conform Legii nr. 677/2001, precum şi in scopul protejării drepturilor persoanelor vizate (mai ales având in vedere categoriile speciale de date care sunt prelucrate in scopul emiterii paşaportului electronic).

În vederea aplicării măsurilor tehnice şi organizatorice adecvate pentru protejarea datelor personale prelucrate şi asigurării securtităţii acestor date, DGP a elaborat şi respectă politici şi proceduri corespunzătoare. Pe pagina oficială a autorităţii de supraveghere poate fi accesat Registrul on-line al notificărilor, astfel încât orice persoană interesată poate consulta informaţiile privind activitatea de prelucrare a datelor personale (categorii de date prelucrate, destinatarii datelor, măsurile de securitate implementate etc.).

Transparenţa şi dreptul de acces asupra datelor cu caracter personal deţinute de către DGP

Prelucrarea datelor cu caracter personal se realizează după obtinerea consimţământului persoanei vizate, inscris in formularul tipizat de cerere, sau fară consimţământul persoanei in situatiile strict previzute de lege. În plus fată de aceste măsuri obligatorii, DGP afişează in locurile accesibile publicului Note de Informare privind conditiile in care prelucrează datele cu caracter personal şi modalitatea in care persoanele vizate işi pot exercita drepturile in baza Legii 677/2001, iar pe pagina oficială este publicat Ghidul pentru exercitarea drepturilor de către persoanele ale căror date sunt prelucrate in cadrul Direcţiei Generale de Paşapoarte (acesta poate fi consultat şi la ghişeul de relatii cu publicul al institutiei).

Pentru exercitarea drepturilor previzute de Legea nr. 677/2001, referitoare la prelucrări de date cu caracter personal efectuate in cadrul Directiei Generale de Paşapoarte puteti transmite o cerere intocmită in forma scrisă datată şi semnată la adresa Nicolae Iorga nr. 27-29, sector 1, Bucureşti sau o puteti depune personal la Ghişeul pentru Relaţii cu Publicul. În situaria in care datele personale nu sunt colectate direct de la dumneavoastră, art. 12, alin. (2) din legea 677/2001 obligă operatorul, in considerarea dreptului de a fi informat pe care vi-1 acordă acest articol, să vă furnizeze anumite informatii (previzute la litere a,b,c,d).

În cursul anului 2014 DGP va continua să prelucreze datele cu caracter personal pe care le detine in scopul notificat autorititii nationale de supraveghere, pe baza actelor normative care le reglementează activitatea şi cu respectarea legislatiei incidente domeniului de protectie a datelor.

În vederea apararii drepturilor prevazute de Legea nr. 677/2001, persoanele ale caror date cu caracter personal fac obiectul unei prelucrari efectuate in cadrul Directiei Generale de Pasapoarte, pot inainta plangere catre A.N.S.P.D.C.P. la sediul acesteia din B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, cod postal 010336, Bucuresti, Romania. Orice persoană are dreptul să depună plângere la Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal în momentul în care constată că datele personale care îl privesc au fost prelucrate în mod ilegal sau că i-au fost încălcate drepturile şi libertăţile fundamentale, în special dreptul la viaţa intimă, familială şi privată.

Datele personale ale cetăţenilor români, folosite pentru personalizarea cardurilor naţionale biometrice de sănătate

(continuă să citești după media ↓)

Am solicitat DGP să îmi comunice nominal, complet şi explicit ce date şi categorii de informaţii cu caracter medical deţine/prelucrează cu privire la persoana mea. În mod specific, am întrebat în legătură cu: codul unic de identificare în sistemul de asigurări sociale de sănătate; starea categoriei mele ca asigurat în cadrul SIUI (Sistemul Informatic Unic integrat), precum şi orice alte înregistrări specifice există în SIUI cu privire la persoana mea.

Aceste informaţii, precum şi toate celelalte care sunt introduse în cardul naţional de asigurat nu sunt deţinute, nici gestionate de către DGP, ci de către CNAS. Prelucrarea datelor personale transmise de către CNAS la DGP-CNUPPE, ca urmare a personalizării cardurilor naţionale de asigurări de sănătate, presupune doar crearea de loturi de producţie, transmiterea acestora pe liniile de personalizare, personalizarea, implicurirea şi expediţia acestora fără ca aceste date să fie stocate de către DGP. DGP nu poate interveni asupra acestor date. Ele sunt şterse la finalizarea procesului de personalizare. Asupra datelor personale care mă privesc pe mine privesc şi care sunt deţinute de alte autorititi publice, Direcţia Generală de Paşapoarte nu are drept de ştergere.

Legea 95/2006 privind reforma în sănătate stabileşte că CNAS eliberează şi administrează cardul naţional de asigurări sociale de sănătate şi are calitatea de operator de date cu caracter personal pentru datele menţionate”, către DGP revenind doar obligaţia de a personaliza aceste documente. Pentru a obţine orice fel de informaţii sau pentru a mă opune operaţiunilor de prelucrare a datelor care mă privesc în scopul emiterii cardului de sănătate, trebuie să mă adresez operatorului CNAS.

DGP mi-a comunicat la 10 ianuarie 2014 că a transmis către CNAS o copie a cererii mele (fără să mă întrebe), conform protocolului încheiat între cele două instituţii. A trecut o lună şi nu am primit niciun răspuns nici de la CNAS. Despre comunicarea cu CNAS, CASMB şi Ministerul Sănătăţii, într-un articol viitor.

DGP mi-a comunicat că pentru a mă opune prelucrării datelor cu caracter personal trebuie să adresez cu cerere scrisă operatorului, care în cazul datelor prelucrate în scopul eliberării cardului naţional de sănătate este CNAS.

Direcţia Generală de Paşapoarte, prin Centrul Naţional Unic de Prelucrare a Paşapoartelor Electronice, este instituţia desemnată prin lege să personalizeze cardul naţional de sănătate. Condiţiile în care se desfăşoară acest proces sunt clare şi stricte, mai ales în ceea ce priveşte prelucrarea datelor cu caracter personal, având în vedere garanţiile pe care le impune Legea 677/2001. CNAS are calitatea de operator pentru datele cu caracter personal ce vor fi prelucrate în scopul eliberării cardului naţional de sănătate, asta însemnând că acestă instituţie este singura în drept să decidă asupra colectării, prelucrării (în special dezvăluirii) sau stocării acestor date. Astfel, Direcţia Generală de Paşapoarte are rolul de operator doar pentru datele personale colectate în scopul emiterii paşaportului (cu drepturile şi obligaţiile ce decurg din aceasta, inclusiv de acces la aceste date şi de dezvăluire) şi rolul de persoană împuternicită pentru datele transmise de operatorul CNAS şi prelucrate în scopul personalizării cardului de sănătate (fără a avea drept de prelucrare în alt scop decât de personalizare).

Legea cuprinde două prevederi care se adresează în mod specific persoanei împuternicite şi care stabilesc foarte amănunţit obligaţiile acesteia cu privire la confidenţialitate gi securitate. Împuternicitul nu are dreptul să prelucreze datele personale decât pe baza instrucţiunilor operatorului şi numai în scopul prevăzut în Contractul de împuternicire (care stipulează în special că persoana împuternicită actionează numai la cererea operatorului şi pune în aplicare măsurile tehnice şi organizatorice în vederea protejării adecvate a datelor cu caracter personal). Această activitate de prelucrare în calitate de împuternicit se limitează la o sarcină foarte specifică: personalizarea presupune doar operaţiunea de înscriere a cardurilor cu datele transmise (securizat, sub formă de loturi de date) şi nu implică în nicio etapă consultarea sau verificarea acestor date de către Direcţia Generală de Paşapoarte. Întrucât DGP nu deţine o bază de date cu persoanele asigurate în sistemul de asigurări sociale de sănătate şi nici nu are acces la SIUI (Sistemul Informatic Unic integrat), nu poate gestiona cardurile nominal, ci doar pe loturi de producţie, preluate automat de la CNAS în aplicaţia de personalizare.

Terrnenul de ştergere a datelor personale transmise de către CNAS, în scopul personalizării cardului de sănătate, este stabilit prin Contractul de împuternicire, conform instrucţiunilor operatorului, aşa cum prevede legea. Legile care se refera la procesarea informatiilor pentru cardul national de sanatate, cartea electronică de identitate şi paşaportul electronic specifică, după cunoştinţele mele, faptul ca nu este obligatoriu ca datele sa fie sterse imediat, ci in termen de maxim 3 luni de la data prelucrarii lor, lucru care este prevazut si in notificarea inregistrata cu nr. 10986 de către DGP la A.N.S.P.D.C.P. Detalii despre acest subiect, în partea a III-a a acestui articol.

Pentru informaţiile solicitate de mine privind datele mele medicale (dacă sunt sau nu folosite pentru cardul naţional de sănătate) este obligatoriu să mă adresez CNAS, folosind datele de contact puse la dispoziţia persoanelor vizate (adică spre exemplu numărul verde şi adresa media@casan.ro de pe site-ul oficial care nu funcţionează). Deşi am solicitat în mod particular să primesc o adresa de e-mail de la CNAS care funcţionează, am fost refuzat de către DGP.

Datele personale prelucrate de către MAI.

MAI, adică Ministerul Afacerilor Interne sau Ministerul Administraţiei şi Internelor este o supra-instituţie statală care are în subordine o serie de alte instituţii cu personalitate juridică (de exemplu DGP), înregistrate fiecare ca operator de date cu caracter personal. În data de 31 decembrie 2013 am trimis ptin e-mail o solicitare de date cu caracter personale la adresa petitii[at]mai[punct]gov.ro. Aceasta a fost înregistrată cu nr. 3797451 în data de 07.01.2014, iar răspunsul a fost redactat la data de 20.01.2014. O zi mai târziu, Catalin Giulescu, responsabil cu protectia datelor personale, mi-a răspuns de pe adresa orpdp[at]mai[punct]gov.ro. Adresa departamentului este Ministerul Afacerilor Interne – ORPDP, Str. Eforie nr.3-5, Corp D, Sector 5, cod postal 050036 Bucuresti, tel. 0040 21 206.09.01, Fax. 0040 21 264.86.80, Tel. MAI: 10891, 10892, trimiţându-mi ataşat un document al cărui rezumat şi părţi esenţiale le prezint în continuare.

Procedurile instituite la nivelul MAI au fost adoptate în considerarea Hotărârii Guvernului nr. 416/2007 privind structura organizatorică şi efectivele MAI, cu modificările şi completările ulterioare. Astfel, Anexa I stabileşte structura aparatului central al ministerului şi Anexa II stabileşte instituţiile şi structurile aflate în cadrul/subordinea/coordonarea MAI.

MAI este operator de date cu caracter personal pentru prelucrările efectuate de către structurile aparatului central al ministerului. MAI, ca supra-structură nu deţine date personale referitoare la mine, dar datele mele personale pot fi deţinute de structuri subordonate MAI – ceea ce, de altfel, este şi cazul, la DGP, după cum am prezentat mai sus.

Dispoziţiile art 8 alin (2) din legea 677/2001 privesc, conform răspunsului MAI, strict prelucrarea CNP, iar constatarea îndeplinirii condiţiilor referitoare la „instituirea unor garanţii adecvate pentru respectarea drepturilor persoanelor vizate” este atributul exclusiv al ANSPDCP. Dispoziţiile art. 8 au fost circumstanţiate prin intermediul Deciziei ANSPDCP nr. 132/2011 privind condiţiile prelucrări CNP şi a alotr date cu caracter personal având o funcţie de identificare de aplicabilitate generală, publicată în MO nr. 929 din 28 decembrie 2011.

La nivelul MAI, nu există o planificare a prelucrărilor de date cu caracter personal, ci acestea se realizează doar în scopul îndeplinirii funcţiilor cu care MAI sau structurile subordonate au fost abilitate, potrivit legii. Lista exhaustivă a structurilor subordonate MAI se Regăseşte in Anexa nr. II la HG nr. 416/2007, care a fost înlocuită prin HG nr. 156 din 10 aprilie 2013.

O eventuală situaţie in care o structură a MAI (in speţă Oficiul Responsabilului cu Protectia Datelor Personale) ar efectua verificări la toate structurile subordonate şi ar colecta informatii in scopul elaborării unui răspuns integrat solicitării mele, ar reprezenta o prelucrare excesivă, de natură a încălca dispozitiile legale şi, totodată, drepturile şi libertăţile fundamentale.

Ca o concluzie personală, nu are prea mult sens să faceţi o cerere privind datele cu caracter personal la o supra-structură statală ca un minister, ci în mod ţintit la instituţia subordonată care vă interesează – aşa cum am făcut eu cu DGP. Un răspuns similar l-am primit de la Ministerul Afacerilor Externe – MAE, care mi-a cerut să specific la ce dată şi cu ce misiune diplomatică/oficiu consular am intrat în contact şi ce serviciu consular am solicitat. La nivelul MAE nu există o bază de date centralizată cu cetăţenii români care solicită/beneficiază de sutele de mii de servicii consulare gestionate anual de structurile MAE.

Disclaimer

Acesta este un articol documentat pe subiectul cardului biometric ca instrument de identificare în România, atât sub formă de card naţional pentru asigurări de sănătate, cât şi drept carte de identitate. Aceasta este partea a II-a a articolului. Pentru partea I click aici.

În ultimii 12 ani, introducerea acestor documente în România a fost speculată, planificată, însă insuficient dezbătută din punctul de vedere al transparenţei şi al democraţiei. Ca urmare, este un subiect extrem de sensibil în legătură cu care aproape fiecare persoană are o părere foarte vehementă.

Scopul cu care am redactat acest articol NU este să expun părerea mea personală cu privire la acest subiect, ci să prezint o serie de fapte şi date pe care le consider informatii de interes public. Poziţia mea în procesul de obţinere a acestor informaţii a fost de cetăţean român care îşi exercită drepturile civile. Sunt convins că unele din cele de mai sus sunt cunoscute, altele pot fi informaţii noi. Măsura în care ele sunt utile poate fi judecată de fiecare cititor în parte.

Am încercat, drept urmare, să fiu obiectiv şi cât mai corect în prezentarea acestora.

În acelaşi timp, trebuie specificat că ceea ce am scris în acest articol este rezultatul documentării personale. Am specificat sursele. Nu am pregătire juridică şi nu îmi asum răspunderea, nici responsabilitatea pentru deciziile pe care cititorii acestui articol le-ar putea lua, în baza acestuia. Nu garantez că ceea ce am scris aici este 100% sigur sau complet dar, pe baza cunoştinţelor mele, am încercat să creez o imagine cât mai completă.

Greşelile de tehnoredactare din acest articol îmi apaţin mie, nu instituţiilor care mi-au răspuns. Acest articol nu reflectă în mod necesar poziţia oficială a DGP sau a statului român.

VA URMA

Marcus Victor Grant

Materialele publicate pe acest blog sunt supuse acestui disclaimer.