Probele electronice în anchetele penale. Noi obligaţii pentru furnizorii de servicii de comunicaţii

Începând cu 18 august 2026, furnizorii de servicii digitale de pe teritoriul Uniunii Europene vor avea noi obligaţii în legătură cu probele electronice, în cadrul procedurilor penale. Noile reguli vor schimba modul în care companiile vor răspunde solicitărilor autorităţilor judiciare privind divulgarea sau conservarea datelor necesare într-o anchetă penală.

Concret, furnizorii de servicii din sfera comunicaţiilor electronice, cea a numelor de domenii de internet şi numerotare IP, precum şi furnizorii de servicii informaţionale de comunicare, stocare şi prelucrare de date, vor fi obligaţi să răspundă direct ordinelor emise de autorităţile judiciare ale statelor membre ale UE privind divulgarea sau conservarea de probe electronice.

Aceste obligaţii se activează în măsura în care companiile din industriile de referinţă deţin date relevante pentru ancheta penală, aceasta neînsemnând automat că entităţile în cauză sunt vizate ele însele de procedura în curs.

În vederea conformării, furnizorii stabiliţi pe teritoriul UE trebuie să desemneze cel puţin un sediu responsabil de primirea şi executarea acestor ordine, iar cei stabiliţi în afara Uniunii trebuie să numească cel puţin un reprezentant legal în acest scop. Nerespectarea acestor obligaţii poate atrage sancţiuni pecuniare de până la 2% din cifra de afaceri anuală totală la nivel mondial, înregistrată în exerciţiul financiar precedent.

Noul cadru european privind probele electronice

Uniunea Europeană a adoptat un pachet legislativ destinat facilitării accesului autorităţilor judiciare la probe electronice necesare în proceduri penale transfrontaliere. Regulamentul (UE) 2023/1543 (privind ordinele europene de divulgare şi păstrare a probelor electronice) stabileşte cadrul normativ conform căruia o autoritate a unui stat membru poate, exclusiv în proceduri penale, să emită un ordin de divulgare sau unul de păstrare a probelor electronice direct furnizorului de servicii pe teritoriul UE, indiferent de locul unde se află datele.

Concret, noul cadru legislativ european le permite autorităţilor judiciare (judecători, instanţe judecătoreşti, judecători de instrucţie, procurori) să solicite date sau conservarea acestora pentru a fi prevenită ştergerea/alterarea înaintea finalizării procedurii judiciare.

În plus, Directiva (UE) 2023/1544 (privind desemnarea sediilor şi numirea reprezentanţilor legali) introduce obligaţia de a desemna un destinatar responsabil de primirea şi executarea ordinelor privind probele electronice. Astfel, pentru furnizorii stabiliţi pe teritoriul UE, obligaţia presupune desemnarea unuia sau mai multor sedii responsabile, iar pentru cei stabiliţi în afara Uniunii, obligaţia vizează numirea unuia sau mai multor reprezentanţi legali.

Care sunt furnizorii vizaţi direct şi ce obligaţii au?

Impactul noii legislaţii este semnificativ pentru un număr mare de operatori economici care furnizează servicii digitale pe teritoriul UE.

În ceea ce priveşte sfera serviciilor furnizate, actul legislativ nu se aplică exhaustiv, nefiind incluse serviciile financiare, dar este vizată sfera comunicaţiilor electronice, cea a numelor de domenii de internet şi numerotare IP, precum şi serviciile informaţionale de comunicare, stocare şi prelucrare de date. Un aspect important de reţinut este că Regulamentul nu se aplică celor ce furnizează servicii exclusiv în propriul stat membru, ci furnizorilor stabiliţi în alt stat membru sau reprezentaţi legal în alt stat membru.

Autorităţile judiciare europene se vor adresa direct către sediile desemnate sau către reprezentantul legal numit de către furnizor, transmiţându-le acestora un certificat de ordin european de divulgare a probelor electronice (EPOC) sau un certificat de ordin european de păstrare a probelor electronice (EPOC-PR). În cazul primirii unui EPOC, destinatarul va acţiona prompt, pentru transmiterea datelor solicitate, în termen de maximum 10 zile, iar în caz de urgenţă, în maximum 8 ore. În cazul primirii unui EPOC-PR, destinatarul va lua măsurile necesare pentru conservarea datelor solicitate. Obligaţia de păstrare a datelor conservate se stinge după 60 de zile, dacă autoritatea emitentă nu confirmă că a fost emisă o cerere ulterioară de divulgare a datelor.

Există posibilitatea ca executarea ordinelor să întâmpine dificultăţi, precum probleme legate de imunitate, privilegii, protecţia libertăţii de exprimare, precum şi probleme privind completarea neclară sau eronată a certificatelor de către autorităţile emitente. În toate aceste cazuri, destinatarul este obligat să informeze neîntârziat autoritatea emitentă.

Amenzi de până la 2% din cifra de afaceri globală

Noul cadru legal este însoţit de un regim sancţionator, respectiv un mecanism coercitiv care să asigure respectarea obligaţiilor impuse furnizorilor. Regulamentul lasă în sarcina statelor membre stabilirea unor sancţiuni pecuniare efective, proporţionale şi cu efect de descurajare, dar limitate la un maxim de 2% din cifra de afaceri anuală totală înregistrată de furnizorul de servicii la nivel mondial în exerciţiul financiar precedent.

În vederea asigurării efectivităţii mecanismului sancţionator, statele membre trebuiau să asigure transpunerea Directivei până la 18 februarie 2026. Acest lucru e necesar din perspectiva faptului că în conformitate cu Directiva, până la 18 august 2026, furnizorii de servicii existenţi la 18 februarie 2026, au obligaţia de a indica un sediu desemnat, respectiv de a numi un reprezentant legal responsabil de primirea, respectarea şi executarea ordinelor europene. Pentru furnizorii ce şi-au început activitatea după 18 februarie 2026, termenul de desemnare/numire este de 6 luni din momentul începerii activităţii. Or, termenele prevăzute în Directivă sunt motivate prin faptul că Regulamentul (UE) 2023/1543 intră în vigoare la 18 august 2026.

Procesul de implementare în România

În prezent, România se află într-o fază avansată de implementare a Directivei. În acest sens, de interes este proiectul de lege pentru transpunerea Directivei 2023/1544, adoptat de Guvern la 4 mai 2026 şi transmis spre dezbatere şi adoptare în Parlament.

Proiectul de lege desemnează ANCOM drept autoritatea centrală responsabilă şi stabileşte mecanismul sancţionator care ar urma să fie aplicat de statul român. Astfel, printre altele, constituie contravenţie nerespectarea de furnizor a obligaţiei de a desemna cel puţin un destinatar responsabil pentru primirea, respectarea şi executarea deciziilor şi ordinelor precum şi nerespectarea de sediile desemnate şi reprezentanţii legali a obligaţiei de a primi, respecta şi executa deciziile date.

Proiectul de lege prevede limite de sancţiune cuprinse între 10.000 şi 100.000 lei, iar pentru câteva contravenţii (e.g. nerespectarea de furnizori a obligaţiei de a acorda sediilor desemnate sau reprezentanţilor legali competenţele şi resursele necesare pentru a se conforma ordinelor de păstrare sau divulgare a probelor electronice) limita maximă este stabilită la cel mult 2% din cifra de afaceri anuală la nivel mondial înregistrată în exerciţiul financiar precedent de furnizorul de servicii.

Concluzie

Deşi regimul sancţionator şi obligaţiile privind indicarea unui sediu desemnat ori a unui reprezentant legal vor deveni aplicabile în România abia odată cu transpunerea Directivei (UE) 2023/1544, obligaţia de a primi, respecta şi executa ordinele europene privind divulgarea şi păstrarea probelor electronice va intra în vigoare la 18 august 2026, ca urmare a aplicabilităţii directe a Regulamentului (UE) 2023/1543.

Prin urmare, este recomandabil ca furnizorii de servicii digitale să nu aştepte finalizarea procesului legislativ naţional privind probele electronice pentru a asigura adaptarea proceselor interne necesare pentru conformarea la noul cadru european.