Autoritățile și instituțiile publice responsabile pentru crearea și implementarea Platformei naționale de interoperabilitate și atribuțiile acestora

Azi

Legea 242/2022 · 7 articole

Articolul 14 — Atribuții privind administrarea și funcționarea Platformei naționale de interoperabilitate

(1) Pentru realizarea obiectivelor prezentei legi prevăzute la art. 2 , MCID va elabora NRRI. MCID va colabora cu administratorul Platformei naționale de interoperabilitate și cu administratorii registrelor de date pentru a se asigura că la implementarea NRRI se vor îndeplini toate standardele prevăzute de prezenta lege și de Cadrul european de interoperabilitate.

(2) Funcțiile de reglementare, monitorizare, control și evaluare a realizării politicilor din domeniul interoperabilității se realizează după cum urmează:

a) funcția de reglementare în domeniul implementării Platformei naționale de interoperabilitate se exercită de către MCID și se realizează în principal în temeiul informațiilor puse la dispoziție de ADR;

b) funcția de monitorizare, control și evaluare a realizării politicilor în domeniul interoperabilității se exercită de către ADR;

c) funcția de monitorizare a implementării și gestionării Platformei naționale de interoperabilitate se exercită de către MCID.

Articolul 15 — Principalele atribuții ale Ministerului Cercetării, Inovării și Digitalizării

(1) Principalele atribuții ale MCID sunt următoarele:

a) stabilirea modalităților de cooperare și elaborarea procedurilor de lucru pentru autoritățile și instituțiile publice centrale și locale în ceea ce privește managementul informației în administrația publică. Cooperarea va avea ca scop promovarea implementării obiectivelor prezentei legi și dezvoltarea practicilor administrației publice și a metodelor de producere și prestare a serviciilor publice prin utilizarea Platformei naționale de interoperabilitate;

b) dezvoltarea managementului informației în administrația publică și crearea structurilor de servicii tehnice pentru utilizarea Platformei naționale de interoperabilitate;

c) crearea procedurii de conectare și participare la Platforma națională de interoperabilitate și a schimbului de date;

d) colaborarea cu administratorii registrelor de date și cu administratorul Platformei naționale de interoperabilitate în vederea identificării și promovării intervențiilor legislative necesare pentru furnizarea de servicii publice electronice prin utilizarea Platformei naționale de interoperabilitate.

(2) În termen de 5 luni de la data intrării în vigoare a prezentei legi, la propunerea ADR, se aprobă, prin ordin al ministrului cercetării, inovării și digitalizării, Normele de referință pentru realizarea interoperabilității în domeniul tehnologiei informației și al comunicațiilor, care se publică în Monitorul Oficial al României, Partea I.

(3) NRRI devin obligatorii pentru autoritățile și instituțiile publice din cadrul administrației publice centrale și locale.

(4) NRRI vor fi evaluate cel puțin o dată la doi ani și, dacă se impune, actualizate ori de câte ori este necesar.

(5) În termen de 30 de zile de la data intrării în vigoare a prezentei legi, MCID va crea o nouă direcție în cadrul ADR, care va acționa în calitate de administrator al Platformei naționale de interoperabilitate.

(6) MCID va putea prevedea în bugetul propriu de venituri și cheltuieli sumele necesare sprijinirii autorităților publice locale pentru conectarea acestora la Platforma națională de interoperabilitate.

Articolul 16 — Principalele atribuții ale administratorului Platformei naționale de interoperabilitate

(1) ADR este autoritatea competentă pentru asigurarea schimbului de date și a interoperabilității, desemnată în conformitate cu prezenta lege, care asigură interoperabilitatea juridică și semantică și stabilește principiile interoperabilității organizaționale și tehnice.

(2) Prin niveluri de interoperabilitate legală, organizațională, semantică și tehnică se înțeleg expresiile definite în Cadrul Național de Interoperabilitate, aprobat prin Hotărârea Guvernului nr. 908/2017 .

(3) În îndeplinirea prevederilor alin. (1) , principalele atribuții ale ADR sunt următoarele:

a) în termen de 3 luni de la data intrării în vigoare a ordinului prevăzut la art. 15 alin. (2) , ADR demarează procedurile administrative pentru implementarea Platformei naționale de interoperabilitate;

b) asigurarea aplicării unitare și coerente a NRRI la nivel național;

c) propunerea de norme subsecvente în aplicarea NRRI și adaptarea constantă a acestora la realitățile și dezvoltările tehnice;

d) stabilirea datelor necesare asigurării interoperabilității sistemelor publice pentru furnizarea serviciilor publice care trebuie puse la dispoziția Platformei naționale de interoperabilitate de către autoritățile și instituțiile publice;

e) în colaborare cu administratorii registrelor de date, stabilirea categoriilor de date care sunt partajate de fiecare autoritate și instituție publică și acordarea drepturilor de acces celorlalte autorități și instituții publice, persoane juridice de drept privat, respectiv persoane care exercită profesii liberale reglementate, pentru fiecare categorie de date;

f) prezentarea în mod transparent și nemijlocit a informațiilor prevăzute la art. 10 alin. (4) administratorului registrului de date și titularului datelor;

g) administrarea, monitorizarea și supravegherea Platformei naționale de interoperabilitate;

h) stabilirea atribuțiilor și responsabilităților participanților la schimbul de date, monitorizarea și controlul utilizării Platformei naționale de interoperabilitate și sancționarea refuzului de a participa la platformă sau a utilizării abuzive sau necorespunzătoare;

i) popularizarea NRRI și a normelor de aplicare la nivelul administrației publice centrale și locale;

j) menținerea unei relații constante cu autoritățile și instituțiile publice și cu persoanele juridice de drept privat, respectiv persoanele care exercită profesii liberale reglementate, prin intermediul responsabilului NRRI din cadrul acestora;

k) furnizarea de asistență tehnică pentru respectarea conformității cu NRRI și normele subsecvente de informatizare ale instituțiilor publice;

l) verificarea periodică a conformității aderării la NRRI a autorităților și instituțiilor publice;

m) în termen de două luni de la data intrării în vigoare a prezentei legi, în vederea constituirii Platformei naționale de interoperabilitate, ADR are obligația de a solicita tuturor autorităților și instituțiilor publice care dețin registre de bază toate informațiile necesare în vederea elaborării NRRI. În ceea ce privește administratorii registrelor de bază prevăzute de prezenta lege, ADR le va comunica totodată și sancțiunea prevăzută la art. 22 alin. (8) ;

n) la conectarea unui registru de date cu Platforma națională de interoperabilitate, va colabora cu administratorul registrelor de date pentru realizarea standardelor unice de date, pe care le va transmite ulterior MCID pentru a fi integrate în NRRI.

(4) În exercitarea funcției de reglementare, în urma consultării cu administratorii registrelor de date, ADR va constata și va publica prin decizie a președintelui ADR următoarele:

a) datele și seturile de date stabilite împreună cu administratorii registrelor de date, care fac obiectul partajării în Platforma națională de interoperabilitate;

b) scopurile în care datele vor fi puse la dispoziția participanților la Platforma națională de interoperabilitate și standardele adecvate prelucrării datelor pentru fiecare domeniu, cu respectarea legislației specifice;

c) instituțiile publice și persoanele juridice de drept privat, respectiv persoanele care exercită profesii liberale reglementate destinatare ale datelor;

d) atribuțiile autorităților și instituțiilor publice, respectiv funcțiile persoanelor juridice de drept privat la care se referă scopurile prevăzute la lit. b) ;

e) temeiul legal pentru punerea la dispoziție a datelor și pentru orice prelucrare ulterioară de către participanții la Platforma națională de interoperabilitate;

f) datele care vor fi puse la dispoziție și informațiile ce vor rezulta din prelucrarea respectivelor date;

g) dacă inițiativa pentru punerea la dispoziție a informațiilor în temeiul prezentei legi provine de la o persoană vizată, de la o autoritate sau instituție publică ori de la o persoană juridică de drept privat;

h) dacă punerea la dispoziție a datelor privește date referitoare la persoane vizate individuale sau categorii de persoane vizate;

i) dacă punerea la dispoziție a informațiilor în temeiul prezentei legi va fi unică sau cu caracter permanent;

j) modul în care informațiile care urmează a fi puse la dispoziție vor fi prelucrate și perioada de timp pentru care va avea loc prelucrarea sau stocarea datelor;

k) orice restricții privind punerea la dispoziție a informațiilor după prelucrarea prevăzută la lit. j) ;

l) criteriile pe baza cărora autoritățile și instituțiile publice participante comunică ADR categoriile de date nou-apărute;

m) măsurile concrete de securitate care trebuie aplicate transmiterii, stocării și accesării datelor cu caracter personal.

(5) În vederea îndeplinirii atribuțiilor prevăzute de prezenta lege, ADR întocmește un registru public al aplicațiilor informatice utilizate în mod direct de autoritățile și instituțiile publice în procesul de furnizare a serviciilor publice, ca parte integrantă a NRRI.

Articolul 17 — Principalele atribuții ale autorităților și instituțiilor publice

(1) Principalele atribuții ale autorităților și instituțiilor publice sunt următoarele:

a) autoritățile și instituțiile publice centrale și locale iau măsurile necesare și încorporează tehnologiile necesare pentru interconectarea sistemelor informatice și schimbul de informații și servicii între acestea;

b) autoritățile și instituțiile publice centrale, precum și cele locale care dețin un registru de bază sunt obligate să se integreze cu Platforma națională de interoperabilitate în maximum 18 luni de la punerea în funcțiune a platformei și să ofere acces la aceste date prin Platforma națională de interoperabilitate;

c) în termen de 5 ani de la data intrării în vigoare a prezentei legi, autoritățile și instituțiile publice vor furniza serviciile publice și în mod electronic, prin intermediul portalurilor proprii, atunci când acest lucru este posibil;

d) autoritățile și instituțiile publice stabilesc condițiile și instrumentele pentru înființarea și prestarea serviciilor publice electronice, cu respectarea principiilor transparenței, publicității, responsabilității, calității, siguranței, disponibilității, accesibilității, neutralității și interoperabilității;

e) autoritățile și instituțiile publice care participă la schimbul de date asigură resursele umane, financiare și tehnologice necesare și iau măsurile necesare sau recomandate de autoritatea competentă în scopul asigurării conectării la Platforma națională de interoperabilitate, a continuității și securității schimbului de date, precum și a caracterului actual al datelor furnizate;

f) responsabilul pentru protecția datelor cu caracter personal, desemnat în cadrul autorităților și instituțiilor publice care participă la schimbul de date, monitorizează legalitatea schimbului de date, a scopurilor prelucrării acestora și a contractelor de schimb de date, precum și respectarea prevederilor Regulamentului general privind protecția datelor. Responsabilul cu protecția datelor trebuie să fie în măsură să își îndeplinească sarcinile în mod independent și eficient, fiindu-i asigurate resursele necesare în acest scop;

g) autoritățile și instituțiile publice au obligația să participe la standardizarea proceselor de lucru relevante, să creeze sau să adopte astfel de procese standardizate și să adere la schemele comune impuse de Platforma națională de interoperabilitate, inclusiv RNR, pentru facilitarea interconectării componentelor serviciilor și a creării infrastructurii necesare furnizării serviciilor publice;

h) în termen de 30 de zile de la data solicitării ADR, prevăzute la art. 16 alin. (3) lit. m) , autoritățile și instituțiile publice din administrația publică centrală și locală au obligația să transmită ADR informațiile solicitate;

i) Comitetul Tehnico-Economic pentru Societatea Informațională (CTE), organism fără personalitate juridică, abilitat prin Hotărârea Guvernului nr. 941/2013 privind organizarea și funcționarea Comitetului Tehnico-Economic pentru Societatea Informațională, cu modificările și completările ulterioare, să asiste Autoritatea pentru Digitalizarea României și să aprobe strategiile și proiectele de informatizare ale instituțiilor publice în vederea asigurării interoperabilității sistemelor informatice și a eliminării suprapunerilor multiple de finanțare și funcționale, va emite avize de funcționare doar pentru acele sisteme tehnologice ale căror funcționalități vor fi pe deplin aliniate la infrastructurile naționale de identificare și autorizare notificate de ADR în cadrul unui sistem transnațional, în conformitate cu normele europene prevăzute în Regulamentul (UE) 2014/910 al Parlamentului European și al Consiliului din 23 iulie 2014 privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă și de abrogare a Directivei 1999/93/CE, precum și cu reglementările de punere în aplicare.

(2) De la data implementării Platformei naționale de interoperabilitate, autoritățile și instituțiile publice nu vor mai avea dreptul să solicite persoanelor fizice sau juridice de drept privat informații care pot fi obținute prin interogarea Platformei naționale de interoperabilitate.

(3) Autoritățile și instituțiile publice vor putea folosi infrastructuri informatice private în vederea conectării la Platforma Națională de Interoperabilitate atunci când propria infrastructură nu le permite acest lucru conform standardelor de calitate stabilite prin NRRI.

Articolul 18 — Principalele atribuții ale persoanelor juridice de drept privat

(1) Toate persoanele juridice de drept privat care oferă servicii sau soluții informatice autorităților și instituțiilor publice au obligația ca în termen de 90 de zile de la intrarea în vigoare a prezentei legi să ofere acces beneficiarilor și furnizorilor împuterniciți de aceștia în mod continuu, prin interfețe standardizate de comunicare de software de tip REST API și documentația aferentă pentru folosirea lor, la bazele de date utilizate de aplicațiile gestionate de ei.

(2) Persoanele juridice prevăzute la alin. (1) au obligația de a-și conecta sistemele informatice gestionate în numele sau pentru autoritățile și instituțiile publice la Platforma Națională de Interoperabilitate.

Articolul 19 — Principalele atribuții ale Ministerului Finanțelor

(1) Ministerul Finanțelor va introduce modificările ce decurg din implementarea prevederilor prezentei legi în structura bugetului de stat și în bugetul ADR, la propunerea MCID.

(2) Se abilitează Ministerul Finanțelor să prevadă cu prioritate, în procesul de elaborare a legii bugetului de stat, sumele necesare întreținerii sau, după caz, modernizării sistemelor informatice care susțin funcționarea registrelor de bază.

Articolul 20 — Securitatea și confidențialitatea schimbului de date

(1) Securitatea și confidențialitatea schimbului de date sunt asigurate de către toți participanții la schimbul de date și de către administratorul Platformei naționale de interoperabilitate, fiecare pe domeniile sale de competență și în conformitate cu cerințele de securitate aplicabile categoriei respective de date. Fiecare autoritate sau instituție publică și toate persoanele juridice de drept privat, respectiv persoanele care exercită profesii liberale reglementate vor defini politici de securitate a datelor în conformitate cu standardele naționale și internaționale.

(2) Participanții la schimbul de date sunt obligați să informeze Directoratul Național de Securitate Cibernetică și orice altă instituție publică cu competențe în domeniu despre vulnerabilitățile și incidentele de securitate în utilizarea Platformei naționale de interoperabilitate în termen de cel mult 72 de ore din momentul depistării acestora.

(3) Transferul datelor prin intermediul Platformei naționale de interoperabilitate se realizează în formă criptată.

(4) Transferul datelor este organizat într-o manieră în care identitatea destinatarului este cunoscută în mod cert înainte de a permite destinatarului să prelucreze datele primite.

(5) Prelucrarea datelor cu caracter personal de către autoritățile și instituțiile publice, persoanele fizice și entitățile de drept privat în procesul de utilizare și furnizare a serviciilor publice prin intermediul Platformei naționale de interoperabilitate se realizează cu respectarea reglementărilor legale aplicabile în domeniul protecției datelor cu caracter personal.

(6) Fiecare autoritate sau instituție publică va acorda angajaților și colaboratorilor săi drepturile de acces la date furnizate prin intermediul Platformei naționale de interoperabilitate în condițiile art. 16 alin. (3) lit. e) și cu respectarea prevederilor legale aplicabile.

(7) Administratorii registrelor de bază și administratorii oricăror alte registre de date au următoarele obligații:

a) să asigure implementarea cerințelor minime de securitate cibernetică prevăzute de legislația națională și europeană și de standardele și specificațiile naționale, europene și internaționale aplicabile în domeniul securității cibernetice, în special cele prevăzute de Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice, cu modificările și completările ulterioare;

b) să implementeze, să asigure procese și proceduri specifice pentru asigurarea securității operaționale a serviciului;

c) să se asigure că datele stocate sau aflate în tranzit sunt protejate în mod adecvat împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin măsuri de protecție a rețelei informatice și de criptare a datelor;

d) să nu permită accesul fără drept la datele din Platforma națională de interoperabilitate aflate sub autoritatea lor și să se asigure că accesul la toate interfețele de servicii este limitat la persoanele autentificate și autorizate pe baza necesității de a cunoaște;

e) să gestioneze și să rezolve de îndată incidentele de securitate cibernetică;

f) să nu afecteze, prin acțiunile proprii, securitatea altor rețele și sisteme informatice;

g) să se asigure că personalul este instruit corespunzător pentru utilizarea Platformei naționale de interoperabilitate și controlat periodic pentru a preîntâmpina erori umane sau încălcări de securitate.

(8) Utilizatorii de date nu trebuie să se angajeze în nicio activitate care să compromită siguranța Platformei naționale de interoperabilitate.

(9) Protecția datelor se asigură prin implementarea, la nivelul fiecărui sistem informatic implicat în schimbul de date, a:

a) principiilor „confidențialității prin concepție“ și „securității prin concepție“, pentru a asigura securitatea modulelor și a infrastructurii lor;

b) planurilor de gestionare a riscurilor pentru identificarea riscurilor, evaluarea potențialului impact al acestora și planificarea intervențiilor cu măsuri tehnice și organizatorice adecvate. Pe baza ultimelor evoluții tehnologice, aceste măsuri trebuie să asigure un nivel de securitate proporțional cu gradul de risc;

c) planurilor de continuitate a activității și planurilor de rezervă și de redresare pentru a institui procedurile necesare de asigurare a disponibilității funcțiilor în urma unui eveniment dezastruos și readucere a tuturor funcțiilor la situația normală cât mai curând posibil;

d) unui plan de acces la date și autorizare, care stabilește persoanele care au acces la date, datele care sunt accesibile și condițiile accesării datelor, pentru a asigura confidențialitatea. Accesul neautorizat și încălcarea normelor de securitate trebuie monitorizate și trebuie luate măsuri corespunzătoare pentru a preveni orice repetare a încălcărilor.