Decizia nr. 1130/2008

În înțelesul prezentei decizii, următorii termeni se definesc astfel:

a) beneficiar - persoana fizică sau juridică, care depune spre păstrare documente în formă electronică în cadrul unei arhive electronice;

b) acreditare - constatarea de către ANC a îndeplinirii condițiilor legale pentru dobândirea calității de administrator al arhivei electronice;

c) sistem de administrare a documentelor electronice - aplicație informatică destinată recepției, clasării, utilizării și selecționării documentelor în formă electronică;

d) evidență de auditare - ansamblu de informații privind operațiuni sau orice alte activități care au afectat sau modificat documentul, culese cu suficiente detalii astfel încât să permită reconstituirea unei activități anterioare;

e) nomenclator arhivistic - listă structurată, alcătuită din schema de clasare, termenele de păstrare corespunzătoare categoriilor de documente din schema de clasare și acțiunile de dispoziție asupra documentelor dintr-un sistem de administrare a documentelor electronice.

În cuprinsul prezentei decizii sunt, de asemenea, aplicabile definițiile prevăzute la

art. 15 lit. b) din Legea nr. 182/2002

privind protecția informațiilor clasificate, cu modificările și completările ulterioare, și la art. 237 primul marcator din Standardele naționale de protecție a informațiilor clasificate în România, aprobate prin

Hotărârea Guvernului nr. 585/2002 , cu modificările și completările ulterioare.

Autoritatea de reglementare și supraveghere specializată în domeniul arhivării electronice este ANC.

ANC gestionează Registrul administratorilor de arhive electronice, denumit în continuare registru, care va fi actualizat permanent și va fi disponibil spre consultare pe pagina sa de internet.

Conținutul și structura registrului sunt prevăzute în anexa nr. 1.

ANC face publice, spre consultare, următoarele date din registru:

a) tipul administratorului de arhive electronice, denumit în continuare administrator - persoană fizică sau juridică;

b) numele și prenumele sau denumirea administratorului, după caz;

c) data la care și-a început activitatea;

d) descrierea politicii administratorului privind arhivarea electronică;

e) domiciliul sau sediul - țară, oraș, județ/sector, stradă, număr, bloc, scară, etaj, apartament, cod poștal, telefon, fax, e-mail, pagină de internet;

f) cetățenia, pentru persoană fizică, sau naționalitatea, pentru persoană juridică;

g) situația activității administratorului: operațională, suspendată, încetată, în curs de transferare.

Controlul respectării dispozițiilor

Legii nr. 135/2007 , precum și ale prezentei decizii revine ANC, care acționează prin personalul de control împuternicit în acest scop.

ANC are dreptul de a efectua controale asupra administratorului, din oficiu sau la solicitarea oricărei persoane interesate, motivată corespunzător. Persoana interesată este acea persoană care ar putea suferi un prejudiciu în urma deteriorării, divulgării neautorizate, pierderii sau distrugerii documentelor aflate în arhiva electronică.

Controalele din oficiu vor fi realizate periodic, la intervale care nu pot depăși un an.

În vederea exercitării atribuțiilor de control, personalul împuternicit în acest scop este autorizat, în limitele legii:

a) să verifice conformitatea dintre informațiile declarate în cursul procesului de acreditare și realitate;

b) să solicite orice document sau informație necesară în vederea verificării respectării obligațiilor ce incumbă administratorului;

c) să verifice punerea în aplicare a oricăror proceduri utilizate de către administratorul supus controlului.

Administratorul este persoana fizică ce are rolul de supervizare și implementare a activității de management al unei arhive electronice pentru terți, respectiv persoana juridică ce are rolul de supervizare și implementare a activității de management al unei arhive electronice în nume propriu sau pentru terți și este responsabilă cu activitatea de administrare a sistemului electronic de arhivare și a documentelor arhivate electronic.

Orice persoană care intenționează să devină administrator, denumită în continuare solicitant, are obligația să transmită ANC o notificare în acest sens cu 30 de zile înainte de începerea activității.

Notificarea se va realiza în mod obligatoriu prin completarea formularului-tip prevăzut în anexa nr. 2.

Odată cu efectuarea notificării prevăzute la alin. (2), solicitantul are obligația de a transmite ANC următoarele documente, care fac parte integrantă din notificare:

a) atestări pentru persoana fizică sau pentru angajatul/angajații persoanei juridice care intenționează să devină administrator ori ai persoanei juridice subcontractate în acest scop (atestările pot fi deținute cumulativ de mai mulți angajați ai persoanei juridice):

1. diplomă de absolvent de studii superioare în domeniul tehnologiei informației;

2. calificări/atestări care să certifice cunoașterea standardelor ISO/IEC 27001 sau standardelor echivalente și versiunilor ulterioare ale acestora;

3. certificări/atestări în domeniul administrării bazelor de date și sistemelor de operare;

4. calificări/atestări în domeniul arhivistic;

b) documente din care să rezulte că sistemul electronic de arhivare îndeplinește următoarele cerințe funcționale:

1. asigură mijloacele de control și de securitate a documentelor și a bazei de date;

2. menține integritatea internă, funcționarea și coerența sistemului și a bazei de date;

3. asigură conservarea pe termen nelimitat a documentelor cu caracter permanent și eliminarea definitivă a celor cu termen de păstrare expirat, potrivit nomenclatorului arhivistic, cu excepția situațiilor prevăzute de lege;

4. asigură procesele de introducere a documentelor în sistemul de administrare;

5. asigură funcția de căutare a documentelor;

6. asigură accesul la documentele stocate în arhivă, cu respectarea regimului de acces stabilit, precum și prezentarea indiferent de formă (afișare, printare etc.) a documentelor;

7. asigură funcțiile de administrare și ștergere a documentelor, garantându-se controlul operațiunilor în vederea înlăturării riscului accesului neautorizat la documente și distrugerii necorespunzătoare de documente;

c) datele de identificare a centrului de date care găzduiește arhiva electronică;

d) politica și procedurile referitoare la securitatea și conservarea datelor, inclusiv politica de protecție a datelor cu caracter personal;

e) copie legalizată de pe înscrisul doveditor al calității de operator de date cu caracter personal, eliberat în conformitate cu prevederile

Legii nr. 677/2001

pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date, cu modificările și completările ulterioare;

f) în cazul în care solicitantul intenționează să ofere servicii de arhivare electronică pentru terți, va prezenta, pe lângă documentele prevăzute la lit. a)-e), o scrisoare de garanție din partea unei instituții financiare de specialitate sau o poliță de asigurare de răspundere civilă generală la o societate de asigurări, în valoare cel puțin egală cu echivalentul în lei al sumei de 300.000 euro, prin care să acopere prejudiciile pe care le-ar putea cauza cu prilejul desfășurării activităților de arhivare electronică.

Notificarea și documentele anexate se transmit la sediul central al ANC în unul dintre următoarele moduri:

a) prin depunere, personal sau de către reprezentantul legal, sub luare de semnătură;

b) printr-un serviciu poștal;

c) ca înscris în formă electronică, căruia i s-a încorporat, atașat sau i s-a asociat logic o semnătură electronică extinsă, bazată pe un certificat calificat nesuspendat sau nerevocat la momentul respectiv și generată cu ajutorul unui dispozitiv securizat de creare a semnăturii electronice.

Este considerată dată a transmiterii, după caz, data înscrierii în registrul general de intrare-ieșire a corespondenței al ANC, data confirmării primirii documentelor la sediul central al ANC printr-un serviciu poștal cu confirmare de primire sau data confirmării primirii înscrisului în formă electronică.

Solicitantul care a realizat notificarea în termenul și în condițiile prevăzute de prezenta decizie dobândește calitatea de administrator de la data indicată în formularul-tip al notificării ca fiind data estimativă a începerii activității, însă nu mai devreme de 30 de zile de la data realizării notificării în condițiile alin. (2) sau (3), după caz.

Notificarea este considerată realizată dacă au fost îndeplinite toate cerințele legale privind transmiterea, forma și conținutul său.

În cazul în care notificarea nu îndeplinește condițiile prevăzute de prezenta decizie, ANC va solicita completarea documentației. În acest caz, notificarea este considerată realizată la data transmiterii către ANC a documentelor care atestă îndeplinirea condițiilor.

În cazul în care constată îndeplinirea tuturor condițiilor legale pentru dobândirea calității de administrator, ANC emite și comunică solicitantului decizia de acreditare, înscrie administratorul în registru și emite codul de identificare a acestuia.

Orice modificare a datelor cuprinse în notificare va fi comunicată ANC în termen de 15 zile, prin transmiterea unei informări însoțite, acolo unde este cazul, de actele doveditoare, în copie.

Administratorul are obligația de a comunică ANC, cu cel puțin 10 zile în avans, orice intenție de modificare a procedurilor de securitate și de conservare, cu precizarea datei și orei la care modificarea intră în vigoare, precum și obligația de a confirma, în termen de 24 de ore, modificarea efectuată.

În cazurile urgente în care securitatea serviciilor de arhivare este afectată, administratorul poate efectua modificări ale procedurilor de securitate și de conservare, urmând să comunice ANC în termen de 24 de ore modificările efectuate și justificarea deciziei luate.

În situația în care ANC constată că administratorul nu mai îndeplinește una sau mai multe dintre condițiile prevăzute la art. 5, acreditarea va fi suspendată. În acest caz, ANC transmite administratorului o notificare, stabilind un termen de maximum 30 de zile în care acesta trebuie să remedieze deficiențele semnalate.

Pe perioada suspendării acreditării, administratorul nu poate primi în arhiva electronică documente noi, dar are obligația de a asigura operațiunile de conservare a documentelor existente.

ANC poate retrage decizia de acreditare în următoarele cazuri:

a) dacă administratorul nu remediază deficiențele constatate în termenul prevăzut la alin. (1);

b) la data dizolvării sau a intrării în faliment a administratorului persoană juridică, în condițiile prevăzute de lege.

Administratorul care intenționează să își înceteze activitatea are obligația de a informa ANC, cu cel puțin 60 de zile în avans, despre intenția sa, respectiv despre existența și natura împrejurării care justifică imposibilitatea de continuare a activității, completând formularul prevăzut în anexa nr. 4.

Administratorul este obligat să transfere activitățile sale unui alt administrator de arhive electronice, cu respectarea următoarelor condiții:

a) va înștiința fiecare beneficiar, cu cel puțin 30 de zile în avans, despre intenția sa de transferare a activităților legate de arhivarea electronică către un alt administrator, menționând și identitatea administratorului căruia intenționează să îi transfere activitățile sale;

b) va face cunoscută beneficiarilor săi posibilitatea de a refuza acest transfer, precum și termenul și condițiile în care refuzul poate fi exercitat.

Administratorul are obligația de a crea și opera un registru în formă electronică.

Referința, în registrul arhivei electronice, la un document care nu este public sau care face parte din categoria documentelor clasificate în conformitate cu

Legea nr. 182/2002 , cu modificările și completările ulterioare, poate fi obținută în funcție de drepturile de acces ale solicitantului.

Conținutul minimal și structura acestui registru sunt prevăzute în anexa nr. 3.

Arhivarea electronică a documentelor clasificate și accesul la acestea se vor realiza cu respectarea dispozițiilor

Legii nr. 182/2002 , cu modificările și completările ulterioare, precum și ale Standardelor naționale de protecție a informațiilor clasificate în România.

Administratorul sau persoana împuternicită de acesta să realizeze și să implementeze politica de securitate a informațiilor clasificate arhivate trebuie să dețină un certificat de securitate pentru cel mai înalt nivel de clasificare a informațiilor stocate, procesate sau transmise prin aceste sisteme.

Modalitățile și măsurile de protecție a informațiilor clasificate în formă electronică sunt similare celor aplicate pentru informațiile clasificate pe suport de hârtie.

Măsurile INFOSEC acoperă securitatea calculatoarelor, a transmisiilor, securitatea criptografică, precum și depistarea și prevenirea amenințărilor la care sunt expuse datele și sistemele.

Sistemele de arhivare pot fi utilizate în vederea stocării, procesării sau transmiterii de informații clasificate numai dacă sunt autorizate în condițiile Standardelor naționale de protecție a informațiilor clasificate în România.

Orice persoană fizică sau juridică poate beneficia de servicii de arhivare electronică a documentelor.

Pentru depunerea unui document în arhiva electronică, beneficiarul trebuie să îndeplinească atât condițiile stabilite de prevederile

art. 7 din Legea nr. 135/2007 , cât și următoarele condiții:

a) să posede un certificat digital calificat pentru semnătura electronică;

b) certificatul digital calificat să fie valabil;

c) să comunice administratorului informațiile necesare verificării valabilității certificatului folosit pentru semnarea electronică a documentelor stocate în arhiva electronică.

Beneficiarul are următoarele drepturi:

a) stabilirea regimului de acces la documentul arhivat, precum și modificarea acestuia, în condițiile

art. 14 din Legea nr. 135/2007 ;

b) atestarea valorii de original sau copie a documentului arhivat;

c) accesul on-line la registrul în formă electronică al arhivei electronice;

d) accesul on-line la fișa electronică atașată în mod obligatoriu fiecărui document intrat în arhiva electronică, conform regimului de acces stabilit;

e) accesul la programele utilizate de administrator în cadrul activității de arhivare, necesare pentru accesul la documentele personale care au fost arhivate.

Accesul on-line la documentele arhivate care nu au regim de acces public și la fișele electronice ale acestora se consideră asigurat atunci când persoanele care au drept de acces la documente și la fișele electronice ale acestora le pot consulta printr-o rețea care nu este conectată la internet. Este necesar acordul scris al beneficiarului în ceea ce privește utilizarea respectivei rețele.

Prezenta decizie se publică în Monitorul Oficial al României, Partea I, și intră în vigoare la 3 zile de la data publicării.

Prezenta decizie a fost adoptată cu respectarea prevederilor

Hotărârii Guvernului nr. 1.016/2004

privind măsurile pentru organizarea și realizarea schimbului de informații în domeniul standardelor și reglementărilor tehnice, precum și al regulilor referitoare la serviciile societății informaționale între România și statele membre ale Uniunii Europene, precum și Comisia Europeană, cu modificările ulterioare.