ApTI a luat parte la prima sesiune de informare cu privire la portofelul european de identitate digitală, organizată de cabinetul doamnei viceprim-ministru Oana Gheorghiu pe 17 iulie 2026. Scopul sesiunii a fost ca reprezentanții societății civile (printre care și noi) și reprezentații mediului de business să primească informații legat de stadiul implementării acestei tehnologii.
Portofelul electronic european este practic o aplicație de smartphone care permite cetățenilor Uniunii Europene să trimită instituțiilor de stat și firmelor private anumite informații personale și acte precum diplome de absolvire, permisul de conducere, datele din buletin și altele. Portofelul permite accesul securizat la aceste date, iar cetățeanul controlează ce informații pot fi accesate de orice entitate care dorește acest lucru. Această aplicație de smartphone trebuie să fie pusă la dispoziția cetățenilor în mod gratuit de fiecare stat membru în parte și folosirea sa este în totalitate facultativă. Niciun stat membru nu ar trebui să facă obligatorie folosirea portofelului pentru a accesa servicii publice sau private.
Legea care reglementează acest portofel electronic este așa-numitul Regulament eIDAS 2.0. Acesta a intrat în vigoare în 2024. Până la data de 31 decembrie 2026, fiecare stat membru UE trebuie să pună la dispoziția cetățenilor cel puțin un portofel european de identitate digitală. Apoi, până la finalul lui 2027, băncile și alte firme private trebuie să accepte și această metodă de identificare.
În urma acestei sesiuni informative, am primit din partea cabinetului doamnei viceprim-ministre o serie de răspunsuri în scris, la întrebările pe care noi și ceilalți participanți le-am pus în timpul sesiunii. Am trimis, al rândul nostru, o serie de răspunsuri, în scris, și recomandări către cabinet și le redăm, în spiritul transparenței, în totalitate aici.
Un sumar al celor mai importante idei din recomandările noastre:
- Am apreciat sesiunea informativă și încurajăm cabinetul doamnei viceprim-ministru să constituie o colaborare transparentă și deschisă cu societatea civilă.
- Am punctat că e lăudabil faptul că, în România, implementarea portofelului va porni de la codul cu sursă deschisă dezvoltat în Germania și am subliniat că este extrem de important ca întreg codul sursă al aplicației românești să fie, de asemenea, publicat. Dacă doar unele componente sunt cu surse deschise și altele nu, acest gest va știrbi încrederea cetățenilor. Mai mult, codul cu sursă deschisă beneficiază de ochii ageri ai unor experți în securitate și ai unor programatori care pot, apoi, să ofere sugestii de îmbunătățire sau chiar să le execute ei înșiși și să le trimită ca Pull Request.
- Conform răspunsurilor, portofelul "va conține și atestate de verificarea vârstei pe diverse categorii
relevante: sub 12 ani, sub 14 ani, 16 ani, 18 ani, peste 65 ani, etc. care pot fi utilizate
pentru obținerea de beneficii specifice vârstei". Cabinetul viceprim-ministrei ne-a informat că verificarea vârstei este obligatorie conform Directivei (UE) 2018/1808. Am consultat textul directivei indicate și textul transpunerii sale în legea românească și nu am găsit mențiuni legate de obligarea verificării vârstei pentru vreun serviciu online sau offline.
În continuare, textul integral al răspunsului ApTI.
Asociația pentru Tehnologie și Internet (ApTI), organizație non-guvernamentală cu peste 20 de ani de experiență în domeniul drepturilor digitale, vă înaintează, prin prezenta, o serie de comentarii și sugestii pe marginea răspunsurilor primite, ca și a proiectului în sine.
În primul rând, vă suntem recunoscători pentru un prim pas înspre o colaborare sănătoasă și transparentă pe proiectul Portofelului European de Identitate Digitală. Apreciem faptul că, la această primă întâlnire, au fost prezenți reprezentați ai instituțiilor implicate în proiect, alături de o parte a societății civile și o parte a mediului privat. Considerăm de bun augur acest început și ne dorim ca acest model să continue pe toată durata implementării proiectului și să se întindă chiar și pe o perioadă de punerea în funcțiune a portofelului, pentru a colecta feedback și îmbunătățiri.
În același context pozitiv, ApTI apreciază și susține refolosirea codului cu surse deschise ale implementării Germaniei în cadrul dezvoltării portofelului, sarcină ce revine, conform răspunsurilor, Ministerului Afacerilor Interne. Folosirea unui cod cu surse deschise este întotdeauna de preferat, mai ales din punct de vedere al refolosirii unor bune practici tehnice și din punct de vedere al securității cibernetice si în special pentru un proiect care ar trebui folosit de cetățeni pe scara largă în mod voluntar - deci trebuie sa prezinte 100% încredere. Publicarea codului sursă, afirmată și prin angajamentele din răspunsurile oferite de dumneavoastră, este iarăși de bun augur. Un cod sursă poate fi citit, auditat și supus testelor de către specialiști din afara instituțiilor publice și va beneficia de pe urma sugestiilor de îmbunătățire sau a raportării unor probleme de securitate, toate făcute în mod transparent. Atunci când implementatorul dă dovada unei cooperări armonioase și publică, pe o platformă precum GitHub, crește încrederea pe care o avem că soluția se va îmbunătăți în mod continuu și va asculta de sugestiile venite dinspre alți experți.
În răspunsurile primite, se repetă sintagma „...componentele software dezvoltate sau adaptate
în cadrul proiectului, care nu conțin informații sensibile și pot fi făcute publice, vor fi
publicate pe GitHub...”. Precizăm că orice cod sursă al unei aplicații nu poate să conțină informații sensibile (altfel ar fi o încălcare de securitate). Dacă este vorba de lucruri precum parole, API keys, sau alte obiecte tehnice secrete, acestea pot fi omise din codul sursă și referențiate ca informații citite dintr-o altă sursă, care nu ajunge pe GitHub. Nu vedem un motiv pentru care vreo componentă anume și codul sursă aferent nu ar putea să fie făcute publice.
Dacă o parte a codului sursă nu va fi făcută publică, aceasta va arunca o umbră de îndoială asupra întregii intenții de transparență. Va părea, din punctul de vedere al publicului, că există ceva ce instituțiile abilitate vor să ascundă, în cod. Ori, aceste distorsiuni nu vor face decât să scadă rata de succes a proiectului Portofelului European de Identitate Digitală. Mai mult, orice secțiune a codului sursă care nu e făcută publică nu poate beneficia de ochii ageri ai experților în securitate cibernetică, care au deseori entuziasmul de a audita codul unor proiecte importante și de a publica sugestii de remediere sau de îmbunătățire a siguranței.
În privința stocării, întrebuințării și securizării datelor cu caracter personal, ApTI reamintește de necesitatea efectuării unei Evaluari a impactului asupra protecției datelor conform articolul 35 din Regulamentul GDPR și a deciziei 174/2018 a ANSDPCP. În vederea efectuării acestei analize, recomandăm și implicarea Autorității Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal. Această analiză trebuie finalizată înaintea etapei de implementare. În acest context subliniem si obligația ca implementarea să respecte și principiul privacy by design (conform art 25 GDPR), un principiu de dezvoltare al programelor software adoptata în mod formal de către International Assembly of Privacy Commissioners and Data Protection Authorities încă din 2010.
Dincolo de aspectele tehnice, mai punctăm două aspecte legate de legi și interpretări din răspunsurile dvs:
În primul rând, legat de verificarea vârstei, răspunsurile ne-au adus la cunoștință că Ministerul Afacerilor Interne „oferă atestate pentru verificarea vârstei”. Conform răspunsurilor, „verificarea vârstei este menționată explicit ca măsură adecvată/obligatorie în Directiva (UE) 2018/1808 (de modificare a Directivei 2010/13/UE privind serviciile media audiovizuale), art. 6a(1) și art. 28b(1)(a)”. Am consultat respectiva directivă și articolele indicate, iar textul lor este următorul:
Articolul 6a
(1) Statele membre iau măsurile corespunzătoare pentru a garanta că serviciile mass-media audiovizuale prestate de furnizorii de servicii mass-media aflați în jurisdicția lor care pot afecta dezvoltarea fizică, mintală sau morală a minorilor sunt puse la dispoziție numai într-un mod care să asigure că, în mod normal, minorii nu le vor auzi sau vedea. Printre măsurile respective se pot număra selectarea orei de difuzare, instrumente de verificare a vârstei sau alte măsuri tehnice. Acestea trebuie să fie proporționale cu potențialele efecte negative ale programului.
Conținutul cel mai dăunător, cum ar fi violența nejustificată și pornografia, face obiectul celor mai stricte măsuri.
Articolul 28b
1) Fără a aduce atingere articolelor 12-15 din Directiva 2000/31/CE, statele membre se asigură că furnizorii de platforme de partajare a materialelor video aflați în jurisdicția lor iau măsuri corespunzătoare pentru a proteja:
(a) minorii de programele, de materialele video generate de utilizatori și de comunicările comerciale audiovizuale care le pot afecta dezvoltarea fizică, mintală sau morală, în conformitate cu articolul 6a alineatul (1);
Așadar, nu vedem nicio mențiune explicită cum că verificare vârstei ar fi obligatorie, în această Directivă. Mai mult în legislația din România, Directiva a fost transpusă prin Legea nr. 504 din 11 iulie 2002 (modificată cel mai recent în 2026). Nici în transpunerea românească nu găsim mențiuni ale unei obligativități a verificării vârstei. Menționăm și că transpunerea în legea românească, ca și directiva, vizează exclusiv serviciile mass-media audio-vizuale, deci nu exprimă nicio obligativitate despre validarea vârstei pentru acțiuni precum accesarea unui serviciu (fie el oferit de o entitate publică sau privată) sau accesarea unui website pe Internet.
Verificarea vârstei este un subiect extrem de complex și considerăm că trebuie să fie tratat cu seriozitate. ApTI a publicat poziția proprie legat de inițiative de verificare ale vârstei, pe care noi le considerăm forme de restricționare ale drepturilor fundamentale ale copilului, care nu pot avea implementări tehnice care să protejeze, în practică, unele dintre cele mai sensibile informații cu caracter personal. Așadar, această discuție trebuie purtată citând și interpretând în mod corect legea, fără a lăsa loc de interpretări
Nu în ultimul rând, vrem să reiterăm un principiu esențial în acest context: conform Regulamentului Uniunii Europene 1183/2024, adoptarea Portofelului European de Identitate Digitală este complet voluntară, iar folosirea sa nu poate să fie un element de discriminare pentru orice serviciu public sau privat:
Articolul 5(a)
(15) Utilizarea portofelelor europene pentru identitatea digitală este voluntară. Accesul la serviciile publice și private, accesul la piața muncii și libertatea de a desfășura o activitate comercială nu sunt în niciun fel restricționate sau permise în condiții mai dezavantajoase pentru persoanele fizice sau juridice care nu utilizează portofelele europene pentru identitatea digitală. Accesul la serviciile publice și private rămâne posibil prin alte mijloace de identificare și autentificare existente.
Așadar, accesarea unui serviciu public sau privat nu poate fi condiționată de adoptarea și folosirea doar a Portofelului European de Identitate Digitală. Este clar că adoptarea sa este condiționată în principal de construirea unei imagini de produs dezvoltat și pus la dispoziție în mod transparent, echitabil și cu respectarea drepturilor fundamentale ale omului și a legislației în vigoare.
Sperăm la un dialog deschis în continuare și reluăm, pe final, aprecierea noastră pentru un pas făcut în mod transparent și inclusiv.