Cum se joacă „puterea” legislativă cu numerele noastre. GDPR și identitatea persoanei fizice.

Câteva aspecte critice privind Proiectul de lege privind măsuri de punere în aplicare a Regulamentului General privind Protecția Datelor(L173/2018) (II)

(continuarea materialului din 4 mai 2018 publicat în Cuvântul liber)

În legătură cu articolul 2 litera b) care definește „numărul de identificare național” al proiectului de lege.

Numărul prin care se identifică o persoană fizică în anumite sisteme de evidență și care are aplicabilitate generală, cum ar fi: codul numeric personal, seria și numărul actului de identitate, numărul pașaportului, al permisului de conducere, numărul de asigurare socială de sănătate. (definiția din proiect a numărului de identificare național).

Despre necesitatea și legalitatea mai multor numere de identificare naționale. Definiția este utilă, însă nici pe departe nu corespunde în esența ei spiritului Regulamentului General privind Protecția Datelor, ci pur și simplu o preluare din decizia 132/2011 a ANSPDCP (autoritatea națională de supraveghere) :

Art. 1

(1) Codul numeric personal reprezinta un numar semnificativ care individualizeaza in mod unic o persoana fizica, constituind un instrument de verificare a starii civile a acesteia si de identificare in anumite sisteme informatice de catre persoanele autorizate.

(2) Datele cu caracter personal cu funcție de identificare de aplicabilitate generala sunt acele numere prin care se identifica o persoana fizica in anumite sisteme de evidenta si care au aplicabilitate generala, cum ar fi: codul numeric personal, seria si numarul actului de identitate, numarul pasaportului, al permisului de conducere, numarul de asigurare sociala sau de sanatate.

(3) Datele prevazute la alin. (1) si (2) fac parte din categoria datelor cu caracter special supuse regulilor specifice de prelucrare.

Definiția numărului de identificare național din proiectul de lege încearcă să dea legitimitate, fiind ridicată la nivel de lege, situației extrem de deranjante pentru persoana fizică vizată(persoana ale cărei date se prelucrează) de a fi identificată la nivel național prin mai multe numere de identificare, pentru simplul motiv că autoritățile statului și-au preluat „puterea” de-a lungul timpului de a atribui numere distincte persoanelor fizice în funcție de interesele fiecărei autorități publice privită individual, deoarece sub acest motiv au făcut bani pe „spatele” persoanelor fizice, punându-le să plătească multe hârtii de completat și să achite prețul vreunui „card” identificat numeric.  În realitate există un număr atribuit unic oricărei persoane și care are inclusiv o bază legală, anume OUG 97/2005 republicată 2011 privind evidenta, domiciliul, reședința și actele de identitate ale cetățenilor români:

Art. 6

(1) Codul numeric personal, denumit in continuare C.N.P., reprezinta un numar semnificativ ce individualizeaza o persoana fizica si constituie singurul identificator pentru toate sistemele informatice care prelucreaza date cu caracter personal privind persoana fizica.

(2) Codurile numerice personale sunt generate si administrate prin mijloace informatice de catre D.E.P.A.B.D., care emite si distribuie anual catre serviciile publice comunitare judetene de evidenta a persoanelor, Serviciul public comunitar de evidenta a persoanelor al municipiului Bucuresti si Departamentul Consular din Ministerul Afacerilor Externe listele continand codurile numerice personale precalculate pentru anul in curs.

(3) Fiecarei persoane fizice i se atribuie, incepand de la nastere, un C.N.P. care se inscrie in actele si certificatele de stare civila si se preia in celelalte acte cu caracter oficial, emise pe numele persoanei respective, precum si in R.N.E.P.

(4) Atribuirea C.N.P. se face, in tara, de catre serviciile publice comunitare de evidenta a persoanelor, iar in strainatate, de catre Ministerul Afacerilor Externe, prin misiunile diplomatice si oficiile consulare ale Romaniei, in baza listelor prevazute la alin. (2).

(5) Pentru situatii de exceptie, la solicitarea institutiilor publice mentionate la alin. (2), D.E.P.A.B.D. genereaza coduri numerice personale suplimentare, in vederea atribuirii persoanelor fizice, in conditiile prezentei ordonante de urgenta.

(6) Gestionarea si verificarea atribuirii C.N.P. revin serviciilor publice comunitare de evidenta a persoanelor sub coordonarea D.E.P.A.B.D.

Întrebarea firească este pentru ce avem nevoie de mai multe numere de identificare naționale? Regulamentul General privind Protecția Datelor stabilește la articolul 5 litera c) principiul potrivit căruia că datele cu caracter personal trebuie să fie adecvate, relevante şi limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate („reducerea la minimum a datelor”), ceea ce înseamnă inter alia că datele cu caracter personal nu trebuie prelucrate altfel decât dacă sunt esențiale, suficiente și potrivite pentru scopul prelucrării. Aceasta înseamnă că nici excesivitatea de date de tipul numerelor de identificare naționale nu este permisă, cu atât mai mult cu cât chiar legea națională este cea care ne spune că CNP este singurul identificator pentru toate sistemele informatice. Evident că legislația actuală are multe nelămuriri și incoerențe, însă ea cuprinde de această dată implicit și răspunsul. Avem un număr de identificare național și în sistem informatic este unicul identificator, legal, pentru ce sunt necesare alte numere de identificare? Avem un singur stat! Se poate mult comenta și există excepții de la acest tip de identificare însă esența rămâne aceeași. Peste noapte lucrurile nu pot fi schimbate, însă legitimarea unei situații de fapt, prin(culmea!) mijlocirea unui context de punere în aplicare a unei legislații europene nu este nici pe departe sinceră și nici corectă, mai ales în raport cu drepturile persoanelor fizice vizate, rezultate deja din valorile europene asumate și recunoscute.

Despre lipsa esențială a definiției numărului de identificare național, prin raportare la RGPD.  Fiind  o definiție dată în aplicarea Regulamentului General privind protecția datelor(definiție despre care am afirmat deja că, principial, este utilă!), definiția primea o calitate superioară(chiar și în raport cu RGPD!) dacă era legată de scopul urmărit, iar nu implicit(acela de identificare!), astfel cum altfel la articolul 5 litera b RGPD stabilește principiul potrivit căruia datele cu caracter personal trebuie colectate în scopuri determinate, explicite şi legitime. Ca urmare, simpla afirmație că CNP este un identificator național nu este suficientă atunci când avem în vedere că efectele acestei identificări se trebuie să se manifeste prin scopurile sale! Dar, situația actuală reflectă pur și simplu o preluare având la bază o analiză sumară și parțială a reglementărilor, fără a fi corespondentă unui scop real de legiferare. În acest sens, întrebarea simplă este la ce îi servește cititorului proiectului de lege o listă nelimitativă cu privire la numerele de identificare naționale? Cu toții știam de existența lor, așa că o definiție nu schimbă cu nimic starea actuală a birocrației etatice, de altfel „dușmanul” numărul 1 al noului Regulament european.  În concluzie și pe scurt enunțând, definiția „numărului de identificare național”  este neconformă cu GDPR/RGPD!

Proiecte: Pentru ce ne-am propus limitat la rândurile acestui material, soluția este să se stabilească: 1) scopul atribuirii unui număr de identificare național, conform cu principiile GDPR; 2) să se demareze procedurile de revizuire la legilor de atribuire a numerelor de identificare naționale; 3) să se analizeze trecerea progresivă la un sistem, nu doar informatic, de utilizare a unui singur „semn”(număr) de referință național, care să servească identificării persoanelor fizice, cu respectarea drepturilor acestora; 4) să se evalueze necesitatea corelației de date de identificare unică dintre sistemele de evidență ale autorităților publice și sistemele de evidență ale „actorilor privați”, precum sunt, cu titlu exemplificativ, societățile bancare.