Probele electronice în anchetele penale. Noi obligații pentru furnizorii de servicii de comunicații

Începând cu 18 august 2026, furnizorii de servicii digitale de pe teritoriul Uniunii Europene vor avea noi obligații în legătură cu probele electronice, în cadrul procedurilor penale. Noile reguli vor schimba modul în care companiile vor răspunde solicitărilor autorităților judiciare privind divulgarea sau conservarea datelor necesare într-o anchetă penală.

Concret, furnizorii de servicii din sfera comunicațiilor electronice, cea a numelor de domenii de internet și numerotare IP, precum și furnizorii de servicii informaționale de comunicare, stocare și prelucrare de date, vor fi obligați să răspundă direct ordinelor emise de autoritățile judiciare ale statelor membre ale UE privind divulgarea sau conservarea de probe electronice.

Aceste obligații se activează în măsura în care companiile din industriile de referință dețin date relevante pentru ancheta penală, aceasta neînsemnând automat că entitățile în cauză sunt vizate ele însele de procedura în curs.  

În vederea conformării, furnizorii stabiliți pe teritoriul UE trebuie să desemneze cel puțin un sediu responsabil de primirea și executarea acestor ordine, iar cei stabiliți în afara Uniunii trebuie să numească cel puțin un reprezentant legal în acest scop. Nerespectarea acestor obligații poate atrage sancțiuni pecuniare de până la 2% din cifra de afaceri anuală totală la nivel mondial, înregistrată în exercițiul financiar precedent.

Noul cadru european privind probele electronice

Uniunea Europeană a adoptat un pachet legislativ destinat facilitării accesului autorităților judiciare la probe electronice necesare în proceduri penale transfrontaliere. Regulamentul (UE) 2023/1543 (privind ordinele europene de divulgare și păstrare a probelor electronice) stabilește cadrul normativ conform căruia o autoritate a unui stat membru poate, exclusiv în proceduri penale, să emită un ordin de divulgare sau unul de păstrare a probelor electronice direct furnizorului de servicii pe teritoriul UE, indiferent de locul unde se află datele.

Concret, noul cadru legislativ european le permite autorităților judiciare (judecători, instanțe judecătorești, judecători de instrucție, procurori) să solicite date sau conservarea acestora pentru a fi prevenită ștergerea/alterarea înaintea finalizării procedurii judiciare.

În plus, Directiva (UE) 2023/1544 (privind desemnarea sediilor și numirea reprezentanților legali) introduce obligația de a desemna un destinatar responsabil de primirea și executarea ordinelor privind probele electronice. Astfel, pentru furnizorii stabiliți pe teritoriul UE, obligația presupune desemnarea unuia sau mai multor sedii responsabile, iar pentru cei stabiliți în afara Uniunii, obligația vizează numirea unuia sau mai multor reprezentanți legali.

Care sunt furnizorii vizați direct și ce obligații au?

Impactul noii legislații este semnificativ pentru un număr mare de operatori economici care furnizează servicii digitale pe teritoriul UE.

În ceea ce privește sfera serviciilor furnizate, actul legislativ nu se aplică exhaustiv, nefiind incluse serviciile financiare, dar este vizată sfera comunicațiilor electronice, cea a numelor de domenii de internet și numerotare IP, precum și serviciile informaționale de comunicare, stocare și prelucrare de date. Un aspect important de reținut este că Regulamentul nu se aplică celor ce furnizează servicii exclusiv în propriul stat membru, ci furnizorilor stabiliți în alt stat membru sau reprezentați legal în alt stat membru.

Autoritățile judiciare europene se vor adresa direct către sediile desemnate sau către reprezentantul legal numit de către furnizor, transmițându-le acestora un certificat de ordin european de divulgare a probelor electronice (EPOC) sau un certificat de ordin european de păstrare a probelor electronice (EPOC-PR). În cazul primirii unui EPOC, destinatarul va acționa prompt, pentru transmiterea datelor solicitate, în termen de maximum 10 zile, iar în caz de urgență, în maximum 8 ore. În cazul primirii unui EPOC-PR, destinatarul va lua măsurile necesare pentru conservarea datelor solicitate. Obligația de păstrare a datelor conservate se stinge după 60 de zile, dacă autoritatea emitentă nu confirmă că a fost emisă o cerere ulterioară de divulgare a datelor.

Există posibilitatea ca executarea ordinelor să întâmpine dificultăți, precum probleme legate de imunitate, privilegii, protecția libertății de exprimare, precum și probleme privind completarea neclară sau eronată a certificatelor de către autoritățile emitente. În toate aceste cazuri, destinatarul este obligat să informeze neîntârziat autoritatea emitentă.

Amenzi de până la 2% din cifra de afaceri globală

Noul cadru legal este însoțit de un regim sancționator, respectiv un mecanism coercitiv care să asigure respectarea obligațiilor impuse furnizorilor. Regulamentul lasă în sarcina statelor membre stabilirea unor sancțiuni pecuniare efective, proporționale și cu efect de descurajare, dar limitate la un maxim de 2% din cifra de afaceri anuală totală înregistrată de furnizorul de servicii la nivel mondial în exercițiul financiar precedent.

În vederea asigurării efectivității mecanismului sancționator, statele membre trebuiau să asigure transpunerea Directivei până la 18 februarie 2026. Acest lucru e necesar din perspectiva faptului că în conformitate cu Directiva, până la 18 august 2026, furnizorii de servicii existenți la 18 februarie 2026, au obligația de a indica un sediu desemnat, respectiv de a numi un reprezentant legal responsabil de primirea, respectarea și executarea ordinelor europene. Pentru furnizorii ce și-au început activitatea după 18 februarie 2026, termenul de desemnare/numire este de 6 luni din momentul începerii activității. Or, termenele prevăzute în Directivă sunt motivate prin faptul că Regulamentul (UE) 2023/1543 intră în vigoare la 18 august 2026.

Procesul de implementare în România

În prezent, România se află într-o fază avansată de implementare a Directivei. În acest sens, de interes este proiectul de lege pentru transpunerea Directivei 2023/1544, adoptat de Guvern la 4 mai 2026 și transmis spre dezbatere și adoptare în Parlament.

Proiectul de lege desemnează ANCOM drept autoritatea centrală responsabilă și stabilește mecanismul sancționator care ar urma să fie aplicat de statul român. Astfel, printre altele, constituie contravenție nerespectarea de furnizor a obligației de a desemna cel puțin un destinatar responsabil pentru primirea, respectarea și executarea deciziilor și ordinelor precum și nerespectarea de sediile desemnate și reprezentanții legali a obligației de a primi, respecta și executa deciziile date.

Proiectul de lege prevede limite de sancțiune cuprinse între 10.000 și 100.000 lei, iar pentru câteva contravenții (e.g. nerespectarea de furnizori a obligației de a acorda sediilor desemnate sau reprezentanților legali competențele și resursele necesare pentru a se conforma ordinelor de păstrare sau divulgare a probelor electronice) limita maximă este stabilită la cel mult 2% din cifra de afaceri anuală la nivel mondial înregistrată în exercițiul financiar precedent de furnizorul de servicii.

Concluzie

Deși regimul sancționator și obligațiile privind indicarea unui sediu desemnat ori a unui reprezentant legal vor deveni aplicabile în România abia odată cu transpunerea Directivei (UE) 2023/1544, obligația de a primi, respecta și executa ordinele europene privind divulgarea și păstrarea probelor electronice va intra în vigoare la 18 august 2026, ca urmare a aplicabilității directe a Regulamentului (UE) 2023/1543.

Prin urmare, este recomandabil ca furnizorii de servicii digitale să nu aștepte finalizarea procesului legislativ național privind probele electronice pentru a asigura adaptarea proceselor interne necesare pentru conformarea la noul cadru european.