Proiectul de lege al Republicii Moldova privind prelucrarea datelor cu caracter personal de către autoritățile competente este, în ansamblu, un proiect bun. El aliniază Moldova la standardele europene și introduce mecanisme importante precum responsabilitatea instituțiilor, evaluările de impact, evidența operațiunilor de prelucrare și notificarea incidentelor de securitate.

Problema nu este direcția în care merge legea. Problema este modul în care este scrisă.

În multe locuri, textul este prea complicat și prea ambiguu. Iar atunci când o lege nu este clară, ea poate fi interpretată diferit de la un caz la altul. În practică, acest lucru înseamnă că deciziile vor depinde mai mult de interpretarea autorităților decât de reguli clare.

Ambiguitatea creează probleme

Imaginați-vă un polițist de frontieră sau un ofițer de investigații care trebuie să aplice această lege. Cunoaște principiile generale, însă textul legii conține fraze lungi, trimiteri repetate la alte articole și expresii precum „în măsura în care este posibil”.

În loc să ofere răspunsuri clare, legea îl obligă să interpreteze.

Aceasta este una dintre cele mai mari slăbiciuni ale proiectului.

Un exemplu este definiția „autorității competente”. Legea enumeră mai multe instituții, dar apoi adaugă și formularea „orice altă entitate împuternicită de lege”. Această expresie este foarte largă și lasă loc pentru interpretări. În viitor, și alte instituții ar putea primi atribuții privind prelucrarea datelor fără ca legea să stabilească foarte clar limitele acestora.

Drepturile persoanelor trebuie explicate mai clar

Articolele 12-16 reglementează drepturile persoanelor vizate.

Problema este că tratează aproape în același mod trei situații diferite:

• amânarea furnizării informațiilor;
• restrângerea unor drepturi;
• refuzul accesului la date.

Aceste măsuri au efecte diferite și ar trebui să respecte reguli diferite.

Dacă legea nu face diferența clar, devine mai dificil atât pentru autorități să o aplice corect, cât și pentru instanțe să verifice dacă o decizie a fost legală.

O lege clară protejează atât cetățenii, cât și instituțiile care trebuie să o aplice.

Cetățenii trebuie informați atunci când drepturile lor sunt restrânse

Dacă unei persoane i se refuză accesul la propriile date, aceasta ar trebui să primească o explicație scrisă, cu excepția situațiilor în care există motive foarte bine justificate pentru a nu face acest lucru.

În forma actuală, articolul 29 lasă multe întrebări fără răspuns.

Cine decide dacă persoana este notificată?

Pe baza căror criterii?

Este obligatorie o justificare scrisă?

Aceste aspecte sunt importante deoarece sporesc responsabilitatea autorităților și permit controlul deciziilor luate.

Din acest motiv, proiectul ar putea fi îmbunătățit prin:

• obligativitatea unei justificări scrise atunci când un drept este restrâns;
• diferențierea clară între amânare, restrângere și refuz;
• stabilirea unui termen maxim pentru orice restrângere temporară, după care dreptul persoanei să fie restabilit automat dacă nu există o nouă decizie justificată.

O lege lungă nu este neapărat o lege clară

Articolele 17-24 conțin unele dintre cele mai importante obligații pentru autorități: responsabilitate, responsabili cu protecția datelor, registre ale activităților și evaluări de impact.

Conținutul este bun.

Problema este modul în care este prezentat.

Numeroasele trimiteri între articole și paragrafe fac textul dificil de urmărit chiar și pentru specialiști.

O lege eficientă nu trebuie doar să fie corectă din punct de vedere juridic. Ea trebuie să fie și ușor de înțeles de către cei care o aplică.

Ar fi utilă o revizuire a textului pentru utilizarea consecventă a unor termeni precum:

• autoritate competentă;
• operator;
• necesar și proporțional;
• în măsura în care este posibil.

În plus, multe alineate ar putea fi împărțite în paragrafe mai scurte și mai ușor de urmărit.

Flexibilitatea este importantă, dar are limite

Autorii proiectului ar putea argumenta că formulările mai generale oferă autorităților flexibilitate pentru a răspunde unor situații noi, cum ar fi apariția unor tehnologii noi sau schimburile internaționale de date.

Acesta este un argument valid.

Totuși, flexibilitatea nu trebuie confundată cu lipsa de claritate.

Regulile pot fi flexibile fără a fi vagi.

De exemplu, articolul 35 permite evaluarea „garanțiilor adecvate” pentru transferurile de date către state terțe fără să stabilească o metodologie clară sau implicarea obligatorie a autorității de supraveghere. În astfel de situații există riscul ca instituții diferite să ajungă la concluzii diferite în cazuri similare.

Adoptarea legii ar trebui să fie doar primul pas

Republica Moldova are nevoie de această lege. Ea reprezintă un progres important și apropie cadrul național de standardele Uniunii Europene.

Totuși, adoptarea legii nu ar trebui să încheie procesul.

După intrarea ei în vigoare, ar fi util ca:

• Centrul Național pentru Protecția Datelor cu Caracter Personal să emită ghiduri practice pentru prevederile care lasă loc de interpretare;
• Parlamentul să solicite publicarea unui ghid de aplicare într-un limbaj accesibil în primele șase luni;
• legea să fie revizuită după experiența practică acumulată pentru eliminarea dispozițiilor neclare.

O lege privind protecția datelor trebuie să poată fi înțeleasă nu doar de juriști, ci și de funcționarii care o aplică și de cetățenii pe care îi protejează.

Proiectul actual conține multe elemente valoroase. Cu câteva clarificări importante, el poate deveni nu doar compatibil cu standardele europene, ci și mult mai ușor de aplicat în practică.