Decizia nr. 95/2026

În vederea raportării și supravegherii evoluției bolilor transmisibile, Serviciul de Telecomunicații Speciale dezvoltă o nouă aplicație care va prelua toate datele înregistrate în aplicația informatică „Corona-forms“ și aplicația informatică pentru Registrul Unic de Boli Transmisibile, prevăzută de

Hotărârea Guvernului nr. 657/2022

privind aprobarea conținutului și a metodologiei de colectare și raportare a datelor pentru supravegherea bolilor transmisibile în Registrul unic de boli transmisibile, denumită în continuare Registrul Unic Electronic de Boli Transmisibile, i-RUBT.

Dispozițiile din

Ordonanța Guvernului nr. 7/2025

pentru modificarea

Legii nr. 95/2006

privind reforma în domeniul sănătății și pentru modificarea și completarea unor acte normative în domeniul sănătății, care au legătură cu prevederile criticate, au următorul conținut:

În vederea raportării și supravegherii evoluției bolilor transmisibile, Serviciul de Telecomunicații Speciale dezvoltă o nouă aplicație care va prelua toate datele înregistrate în aplicația informatică „Corona-forms“ și aplicația informatică pentru Registrul Unic de Boli Transmisibile, prevăzută de

Hotărârea Guvernului nr. 657/2022

privind aprobarea conținutului și a metodologiei de colectare și raportare a datelor pentru supravegherea bolilor transmisibile în Registrul unic de boli transmisibile, denumită în continuare Registrul Unic de Boli Transmisibile Electronic, i-RUBT.

Serviciul de Telecomunicații Speciale, în calitate de persoană împuternicită de Institutul Național de Sănătate Publică, prelucrează datele cu caracter personal colectate în aplicația informatică i-RUBT cu respectarea prevederilor

Regulamentului (UE) 2016/679

al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE, respectiv Regulamentul general privind protecția datelor, precum și ale

Legii nr. 190/2018

privind măsuri de punere în aplicare a

Regulamentului (UE) 2016/679

al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE, cu modificările ulterioare.

Datele cu caracter personal colectate și prelucrate în aplicația informatică dezvoltată de Serviciul de Telecomunicații Speciale conform prevederilor alin. (1) sunt date privind identificarea persoanei: nume, prenume, CNP, seria și numărul actului de identitate sau, după caz, numărul pașaportului sau numărul cardului EU/CE, vârstă, data nașterii, sex, adresa de domiciliu sau reședință, numărul de telefon, adresa de e-mail și date privind starea de sănătate: diagnostic sau stare patologică, istoric testări și boli transmisibile, istoric vaccinări.

Datele cu caracter personal prevăzute la alin. (3) se păstrează pe toată perioada de viață a persoanei vizate și nu pot fi șterse. La 180 de zile de la decesul persoanei vizate, datele cu caracter personal privind identificarea acesteia se anonimizează prin mijloace automatizate, în mod ireversibil, iar datele privind starea de sănătate ale acesteia se păstrează în vederea utilizării strict în scop științific sau statistic.

Metodologia de raportare, colectare și prelucrare a datelor prevăzute la alin. (3), condițiile și limitele de acces la datele cu caracter personal, măsurile și garanțiile privind securitatea și confidențialitatea datelor și informațiilor din aplicația informatică dezvoltată de Serviciul de Telecomunicații Speciale conform prevederilor alin. (1), precum și modul de îndeplinire a măsurilor necesare în vederea informării persoanelor vizate asupra operațiunilor de prelucrare și modul de exercitare a drepturilor persoanelor vizate, în concordanță cu prevederile

Regulamentului (UE) 2016/679 , se stabilesc prin ordin comun al ministrului sănătății și al directorului Serviciului de Telecomunicații Speciale.

Cererile referitoare la datele din aplicația informatică dezvoltată de Serviciul de Telecomunicații Speciale conform prevederilor alin. (1), precum și cererile formulate pentru exercitarea drepturilor persoanelor vizate, prevăzute la

art. 1322 din Regulamentul (UE) 2016/679 , în raport cu prelucrările de date cu caracter personal realizate în condițiile prevăzute de prezentul articol, se adresează și se soluționează de către Institutul Național de Sănătate Publică.

În vederea implementării și utilizării funcționalităților aplicației dezvoltată de Serviciul de Telecomunicații Speciale conform prevederilor alin. (1), Ministerul Sănătății și Institutul Național de Sănătate Publică transmit, primesc, interoghează și validează seturile de date prevăzute la alin. (6) în sistemele informatice ale instituțiilor și autorităților publice care dețin sau administrează, după caz, seturile de date respective, în condițiile prevăzute printr-un acord de colaborare încheiată între Ministerul Sănătății, Serviciul de Telecomunicații Speciale și entitatea care deține seturile de date necesare.

Au calitatea de operatori ai aplicației dezvoltată de Serviciul de Telecomunicații Speciale conform prevederilor alin. (1):

a)

Ministerul Sănătății;

b)

Institutul Național de Sănătate Publică;

c)

direcțiile de sănătate publică județene și a municipiului București, precum și structurile de specialitate din cadrul ministerelor și instituțiilor cu rețea sanitară proprie;

d)

toți furnizorii de servicii medicale din sistemul public și privat, inclusiv laboratoarele, furnizorii aparținând altor ministere și instituții cu rețea sanitară proprie și din unitățile de asistență socială, indiferent de forma de organizare juridică, care au obligația raportării datelor în aplicația RUBT, potrivit prevederilor

Hotărârii Guvernului nr. 657/2022 .

Pentru ministerele și instituțiile cu rețea sanitară proprie din Sistemul național de apărare, ordine publică și siguranță națională, datele sunt colectate, prelucrate, validate sau modificate de către structurile de specialitate din cadrul acestora, cu respectarea prevederilor

Legii nr. 182/2002

privind protecția informațiilor clasificate, cu modificările și completările ulterioare.

Aplicația i-RUBT se dezvoltă de către Serviciul de Telecomunicații Speciale.;

În termen de 12 luni de la data intrării în vigoare a prezentei ordonanțe, Serviciul de Telecomunicații Speciale are obligația de a dezvolta i-RUBT, prevăzută la

art. V alin. (1) din Ordonanța de urgență a Guvernului nr. 180/2020

pentru modificarea și completarea

Legii nr. 136/2020

privind instituirea unor măsuri în domeniul sănătății publice în situații de risc epidemiologic și biologic, a

Ordonanței de urgență a Guvernului nr. 158/2005

privind concediile și indemnizațiile de asigurări sociale de sănătate, precum și pentru stabilirea unor măsuri cu privire la acordarea concediilor medicale, aprobată prin

Legea nr. 126/2021 , cu modificările ulterioare, precum și cu modificările aduse prin prezenta ordonanță.

41.

Textele constituționale indicate în susținerea obiecției de neconstituționalitate sunt cele ale

art. 1 alin. (3)

și

(5)

invocate în componenta privind demnitatea umană ca valoare supremă a statului român și, respectiv, din perspectiva principiului legalității, ale

art. 26

- Viața intimă, familială și privată, astfel cum acesta se interpretează, potrivit

art. 20

și

148 din Constituție , și prin prisma exigențelor dispozițiilor

art. 8

privind dreptul la respectarea vieții private și de familie din

Convenția pentru apărarea drepturilor omului și a libertăților fundamentale , și ale

art. 7

- Respectarea vieții private și de familie și ale

art. 8 alin. (2) teza a doua

privind protecția datelor cu caracter personal din

Carta drepturilor fundamentale a Uniunii Europene , și ale

art. 147 alin. (4)

privind efectul obligatoriu al deciziilor Curții Constituționale.

Admisibilitatea obiecției de neconstituționalitate

42.

În prealabil examinării obiecției de neconstituționalitate, Curtea Constituțională are obligația verificării condițiilor de admisibilitate a acesteia, prin prisma titularului dreptului de sesizare, a termenului în care acesta este îndrituit să sesizeze instanța constituțională, precum și a obiectului controlului de constituționalitate.

43.

Dacă primele două condiții se referă la regularitatea sesizării instanței constituționale, din perspectiva legalei sale sesizări, cea de-a treia vizează stabilirea sferei sale de competență, astfel încât urmează să fie cercetate în ordinea antereferită, iar constatarea neîndeplinirii uneia dintre ele are efecte dirimante, făcând inutilă analiza celorlalte condiții ( Decizia nr. 66 din 21 februarie 2018 , publicată în Monitorul Oficial al României, Partea I, nr. 213 din 9 martie 2018, paragraful 38).

44.

Analizând obiecția de neconstituționalitate din perspectiva celor trei condiții de admisibilitate prevăzute de

art. 146 lit. a) teza întâi din Constituție , Curtea constată că acestea sunt îndeplinite.

45.

Astfel, sub aspectul titularului dreptului de sesizare, se constată că obiecția de neconstituționalitate este formulată de Președintele României, subiect de sezină expres prevăzut de

art. 146 lit. a) din Legea fundamentală

și de

art. 15 alin. (1) din Legea nr. 47/1992 .

46.

Cu privire la termenul în care poate fi sesizată instanța de contencios constituțional, potrivit

art. 15 alin. (2) din Legea nr. 47/1992 , acesta este de 5 zile de la data depunerii legii adoptate la secretarii generali ai celor două Camere ale Parlamentului, respectiv de 2 zile, începând de la același moment, dacă legea a fost adoptată în procedură de urgență. Aceste termene nu sunt însă incidente în ipoteza în care dreptul de sesizare este exercitat de Președintele României, căruia i se aplică prevederile

art. 77 din Constituție , în sensul că acesta poate sesiza Curtea Constituțională pe durata termenului stabilit de

art. 77 alin. (1)

și

(3)

pentru promulgarea legilor, și anume în termen de 20 de zile, respectiv de 10 zile de la data primirii legii ( Decizia nr. 296 din 29 mai 2025 , publicată în Monitorul Oficial al României, Partea I, nr. 652 din 11 iulie 2025, paragraful 42).

47.

Astfel, se constată că legea supusă controlului de constituționalitate a priori a fost adoptată în procedură de drept comun la data de 22 octombrie 2025, depusă la secretarii generali ai celor două Camere ale Parlamentului la data de 27 octombrie 2025 și trimisă pentru promulgare Președintelui României la data de 1 noiembrie 2025, care, în data de 18 noiembrie 2025, a adresat Curții Constituționale prezenta sesizare, în cadrul termenului de promulgare de 20 de zile prevăzut de

art. 77 alin. (1) din Constituție .

48.

În sfârșit, cât privește obiectul sesizării, acesta este reprezentat de o lege adoptată și încă nepromulgată, încadrându-se în ipoteza normativă prevăzută de

art. 146 lit. a) din Constituție

și de

art. 15 alin. (1) din Legea nr. 47/1992 .

Parcursul legislativ și soluțiile legislative preconizate

49.

Legea a fost adoptată de Senat, în calitate de primă Cameră sesizată, la data de 24 februarie 2025, și de Camera Deputaților, în calitate de Cameră decizională, la data de 22 octombrie 2025.

50.

Legea supusă controlului aprobă

Ordonanța Guvernului nr. 7/2025

și operează o singură modificare în privința

art. II

din această ordonanță, text care, la rândul său, reglementează unele modificări asupra

art. V din Ordonanța de urgență a Guvernului nr. 180/2020

pentru modificarea și completarea

Legii nr. 136/2020

privind instituirea unor măsuri în domeniul sănătății publice în situații de risc epidemiologic și biologic, a

Ordonanței de urgență a Guvernului nr. 158/2005

privind concediile și indemnizațiile de asigurări sociale de sănătate, precum și pentru stabilirea unor măsuri cu privire la acordarea concediilor medicale, publicată în Monitorul Oficial al României, Partea I, 982 din 23 octombrie 2020. Modificarea operată prin legea criticată este de ordin formal și vizează conținutul normativ cuprins în

art. V alin. (1) din Ordonanța de urgență a Guvernului nr. 180/2020 , în sensul că denumirea aplicației Registrul Unic de Boli Transmisibile Electronic devine Registrul Unic Electronic de Boli Transmisibile.

51.

Deși

Ordonanța Guvernului nr. 7/2025

este structurată, în prezent, pe patru articole ( art. I - IV) , iar legea criticată, odată cu aprobarea actului normativ emis de Guvern, modifică doar

art. II

din aceasta, Curtea observă că autorul sesizării formulează critici de natură intrinsecă ce vizează exclusiv conținutul normativ al întregului

art. V din Ordonanța de urgență a Guvernului nr. 180/2020 , astfel cum acesta a fost modificat prin

art. II din Ordonanța Guvernului nr. 7/2025

și redat, în mod corespunzător, în corpul acestui din urmă act normativ.

52.

Cu privire la acest aspect, Curtea reamintește că, în cadrul controlului de constituționalitate a priori exercitat asupra legilor de aprobare a ordonanțelor ori a ordonanțelor de urgență ale Guvernului, acestea din urmă pot fi direct contestate, iar instanța de contencios constituțional este competentă să verifice, în consecință, și constituționalitatea acestor acte normative adoptate de Guvern în calitate de legiuitor delegat și care au intrat deja în vigoare, deoarece ordonanțele Guvernului aprobate de Parlament prin lege, în conformitate cu prevederile

art. 115 alin. (7) din Constituție , încetează să mai fie acte normative de sine stătătoare și devin, ca efect al aprobării de către autoritatea legiuitoare, acte normative cu caracter de lege, chiar dacă, din rațiuni de tehnică legislativă, alături de datele legii de aprobare, conservă și elementele de identificare atribuite la adoptarea lor de către Guvern. Mai mult, Curtea a statuat că viciul de neconstituționalitate al unei ordonanțe sau ordonanțe de urgență emise de Guvern nu poate fi acoperit prin legea de aprobare adoptată de Parlament a ordonanței respective, această lege fiind ea însăși neconstituțională (cu titlu exemplificativ,

Decizia nr. 556 din 29 octombrie 2024 , publicată în Monitorul Oficial al României, Partea I, nr. 125 din 11 februarie 2025, paragrafele 38 și 39).

53.

În esență, dispozițiile

art. V din Ordonanța de urgență a Guvernului nr. 180/2020 , astfel cum au fost modificate prin

art. II din Ordonanța Guvernului nr. 7/2025 , cuprind următoarele soluții legislative:

–

instituie dezvoltarea de către Serviciul de Telecomunicații Speciale (STS) a unei noi aplicații informatice denumite Registrul Unic de Boli Transmisibile Electronic (s.n. - redenumit Registrul Unic Electronic de Boli Transmisibile prin legea criticată), i-RUBT, care va prelua datele înregistrate în aplicația informatică „Corona-forms“ și în aplicația informatică pentru Registrul Unic de Boli Transmisibile, prevăzută de

Hotărârea Guvernului nr. 657/2022 , măsură instituită în vederea raportării și supravegherii evoluției bolilor transmisibile [alin. (1) și (10)];

–

competența STS, în calitate de persoană împuternicită de Institutul Național de Sănătate Publică (INSP), de a prelucra datele cu caracter personal completate în aplicația informatică i-RUBT cu respectarea Regulamentului general privind protecția datelor (GDPR) și a

Legii nr. 190/2018

(pentru punerea în aplicare a acestuia) [alin. (2)];

–

enumeră care sunt datele privind identificarea persoanei colectate și prelucrate în cadrul aplicației i-RUBT (nume, prenume, CNP, seria și numărul actului de identitate sau, după caz, numărul pașaportului ori numărul cardului EU/CE, vârstă, data nașterii, sex, adresa de domiciliu sau reședință, numărul de telefon, adresa de e-mail) și datele privind starea de sănătate (diagnostic sau stare patologică, istoric testări și boli transmisibile, istoric vaccinări) [alin. (3)];

–

stabilește regula potrivit căreia datele cu caracter personal se păstrează pe toată perioada de viață a persoanei vizate și nu pot fi șterse, urmând să fie anonimizate la 180 de zile după deces [alin. (4)];

–

precizează că metodologia de raportare, colectare și prelucrare a datelor personale, condițiile și limitele de acces la datele cu caracter personal, măsurile și garanțiile privind securitatea și confidențialitatea datelor și informațiilor din noua aplicație informatică, precum și modul de îndeplinire a măsurilor necesare în vederea informării persoanelor vizate asupra operațiunilor de prelucrare și modul de exercitare a drepturilor persoanelor vizate se stabilesc prin ordin comun al ministrului sănătății și al directorului STS [alin. (5)];

–

arată că cererile referitoare la datele din aplicația informatică i-RUBT și cererile formulate pentru exercitarea drepturilor persoanelor vizate se adresează și se soluționează de către INSP [alin. (6)], iar Ministerul Sănătății și INSP transmit, primesc, interoghează și validează seturile de date prevăzute la alin. (6) în sistemele informatice ale instituțiilor și autorităților publice care dețin sau administrează, după caz, seturile de date respective, în condițiile prevăzute printr-un acord de colaborare încheiat între Ministerul Sănătății, STS și entitatea care deține seturile de date necesare [alin. (7)];

–

enumeră operatorii aplicației i-RUBT: Ministerul Sănătății, INSP, direcțiile de sănătate publică județene și a municipiului București, structurile de specialitate din cadrul ministerelor și instituțiilor cu rețea sanitară proprie, precum și toți furnizorii de servicii medicale din sistemul public și privat, inclusiv laboratoarele, furnizorii aparținând altor ministere și instituții cu rețea sanitară proprie și din unitățile de asistență socială, indiferent de forma de organizare juridică, aceștia având obligația raportării datelor în aplicația RUBT, potrivit prevederilor

Hotărârii Guvernului nr. 657/2022

[alin. (8)];

–

structurile de specialitate din cadrul ministerelor și instituțiilor cu rețea sanitară proprie din Sistemul național de apărare, ordine publică și siguranță națională au obligația colectării, prelucrării, validării sau modificării acestor date cu respectarea

Legii nr. 182/2002

privind protecția informațiilor clasificate, publicată în Monitorul Oficial al României, Partea I, nr. 248 din 12 aprilie 2002, cu modificările și completările ulterioare [alin. (9)].

54.

Art. IV din Ordonanța Guvernului nr. 7/2025

stabilește că STS are obligația de a dezvolta i-RUBT în termen de 12 luni de la data intrării în vigoare a ordonanței, respectiv până la data de 31 ianuarie 2026.

Analiza obiecției de neconstituționalitate

(3.1.)

Critica de neconstituționalitate privind încălcarea demnității umane și a dreptului persoanei la viață intimă, familială și privată

55.

În esență, autorul sesizării susține că soluția legislativă cuprinsă la

art. V alin. (4) din Ordonanța de urgență a Guvernului nr. 180/2020 , potrivit căreia datele cu caracter personal colectate și prelucrate în aplicația informatică i-RUBT nu pot fi șterse, este o măsură ce se îndepărtează de scopul său inițial și devine nenecesară în situația în care persoana vizată este complet vindecată și nu mai prezintă niciun risc de contagiozitate. Întrucât legea nu face nicio distincție în funcție de posibilitatea eliminării în mod ireversibil a riscului de reîmbolnăvire cu aceeași boală transmisibilă, menținerea măsurii de stocare și prelucrare a datelor cu caracter personal este disproporțională și creează o ingerință asupra dreptului la viață intimă, familială și privată, dar și asupra demnității umane, omul fiind tratat ca un obiect, și nu ca subiect al acțiunii statului, aspecte ce contravin dispozițiilor cuprinse în

art. 1 alin. (3)

și

art. 26 din Constituție , coroborat cu

art. 8 din Convenție

și cu

art. 7

și

art. 8 alin. (2) teza a doua din Carta drepturilor fundamentale a Uniunii Europene .

56.

Curtea observă că datele medicale conțin informații despre starea de sănătate a unei persoane și se bucură de aceeași protecție a regimului juridic al datelor cu caracter personal, componentă integrantă esențială a dreptului fundamental la viață privată, consacrat atât de

art. 26 din Constituție , cât și de

art. 8 din Convenție . Datorită specificului său, care ține de forul interior al persoanei și poate atinge cele mai sensibile aspecte ale existenței umane, dreptul la viață privată se caracterizează printr-un nivel foarte ridicat de protecție, în sensul că, deși nu este un drept absolut, exercitarea lui trebuie lăsată, ca regulă, nestingherită, statul având în general obligația negativă de a nu interveni.

Art. 8 alin. (2) din Convenție

precizează în mod expres că motivele pentru care este admis amestecul autorității publice în exercitarea dreptului la viață privată trebuie să fie prevăzute de lege și trebuie să constituie, într-o societate democratică, o măsură necesară pentru securitatea națională, siguranța publică, bunăstarea economică a țării, apărarea ordinii și prevenirea faptelor penale, protecția sănătății, a moralei, a drepturilor și a libertăților altora.

57.

Spre deosebire de sistemul Convenției, care integrează în sfera dreptului la viață privată și dreptul la protecția datelor cu caracter personal, ordinea juridică a Uniunii Europene a conferit datelor cu caracter personal o protecție juridică specifică, distinctă de cea privind dreptul la respectarea vieții private și de familie, rezervându-i norme de nivel primar proprii, concretizate în

art. 8 din Carta drepturilor fundamentale a Uniunii Europene

și

art. 16 alin. (1) din Tratatul privind funcționarea Uniunii Europene , abordare care reflectă importanța crescută a dreptului la protejarea datelor cu caracter personal, devenit drept independent, pe baza căruia s-a dezvoltat ulterior legislația subsecventă în materie. Normele mai sus menționate au fundamentat, printre altele, și adoptarea

Regulamentului (UE) 2016/679

al Parlamentului European și al Consiliului privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor, denumit în continuare GDPR), act juridic care, la paragraful 1 al preambulului, prevede că „Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal este un drept fundamental.“

58.

Potrivit definiției prevăzute la

art. 4 pct. 15 din GDPR , datele privind sănătatea înseamnă date cu caracter personal legate de sănătatea fizică sau mentală a unei persoane fizice, inclusiv prestarea de servicii de asistență medicală, care dezvăluie informații despre starea de sănătate a acesteia (date sensibile).

59.

Articolul 5 din GDPR

instituie principiile de prelucrare a datelor cu caracter personal prelucrate în mod legal, și anume: (1) legalitate, echitate și transparență; (2) limitări legate de scop; (3) reducerea la minimum a datelor; (4) exactitate; (5) limitări legate de stocare; (6) integritate și confidențialitate.

60.

Principiul limitării legate de stocare, care interesează în raport cu critica formulată de autorul sesizării, este cuprins la

art. 5 alin. (1) lit. e) din GDPR

și impune ca datele cu caracter personal să fie păstrate, ca regulă, într-o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele. Datele cu caracter personal pot fi stocate și pe perioade mai lungi în măsura în care acestea vor fi prelucrate exclusiv în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, în conformitate cu

art. 89 alin. (1) , sub rezerva punerii în aplicare a măsurilor de ordin tehnic și organizatoric adecvate prevăzute în GDPR în vederea garantării drepturilor și libertăților persoanei vizate.

61.

În ceea ce privește prelucrarea datelor cu caracter personal, inclusiv a datelor privind sănătatea,

art. 9 alin. (1) din GDPR

stabilește, de principiu, regula interzicerii prelucrării, însă prevede expres la

alin. (2)

și excepțiile care, prin scopul urmărit, justifică prelucrarea acestor date. Printre motivele vizate de aceste scopuri se numără cele de interes public major [ lit. g)] , scopurile legate de medicina preventivă [ lit. h)]

sau motivele de interes public în domeniul sănătății publice, cum ar fi protecția împotriva amenințărilor transfrontaliere grave la adresa sănătății [ lit. i)] . Este necesar ca aceste scopuri să fie prevăzute în temeiul dreptului Uniunii sau al dreptului intern, iar

alin. (3) al art. 9

precizează ca prelucrarea datelor să fie făcută de către un profesionist supus obligației de păstrare a secretului profesional sau sub responsabilitatea acestuia, în temeiul dreptului Uniunii sau al dreptului intern sau în temeiul normelor stabilite de organisme naționale competente ori de o altă persoană supusă, de asemenea, unei obligații de confidențialitate în temeiul dreptului Uniunii sau al dreptului intern ori al normelor stabilite de organisme naționale competente.

Alin. (4) al art. 9

permite statelor membre să introducă condiții suplimentare, inclusiv restricții, în ceea ce privește prelucrarea de date privind sănătatea, ceea ce conferă condițiilor cuprinse expres în

art. 9 alin. (2)

și

(3)

un caracter minimal și obligatoriu.

62.

Referitor la dreptul la ștergerea datelor, consacrat de

art. 17 din GDPR , se reține că acesta implică dreptul persoanei vizate de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, acesta din urmă având obligația corelativă de a le șterge imediat. Persoana vizată poate solicita ștergerea datelor sub motivele prevăzute la alin. (1)

și ( 2)

ale

art. 17 , cum ar fi, de exemplu, retragerea consimțământului sau prelucrarea ilegală. Potrivit

alin. (3)

al aceluiași articol, aceste motive nu se aplică în măsura în care prelucrarea este necesară: a) pentru exercitarea dreptului la liberă exprimare și la informare; b) pentru respectarea unei obligații legale care prevede prelucrarea în temeiul dreptului Uniunii sau al dreptului intern care se aplică operatorului ori pentru îndeplinirea unei sarcini executate în interes public sau în cadrul exercitării unei autorități oficiale cu care este învestit operatorul; c) din motive de interes public în domeniul sănătății publice, în conformitate cu

art. 9 alin. (2) lit. (h)

și

(i)

și cu

art. 9 alin. (3) ; d) în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, în conformitate cu

art. 89 alin. (1) , în măsura în care dreptul menționat la

alin. (1)

este susceptibil să facă imposibilă sau să afecteze în mod grav realizarea obiectivelor prelucrării respective; sau e) pentru constatarea, exercitarea sau apărarea unui drept în instanță.

63.

Sintetizând esența conținutului normativ al prevederilor mai sus indicate, rezultă că dreptul convențional, precum și legislația primară și cea secundară a Uniunii Europene consideră că datele cu caracter personal reprezintă o componentă centrală a vieții private, iar protecția acestora constituie un drept fundamental al persoanelor, corelată cu dreptul la respectarea vieții private și de familie. Deși este un drept de prim rang, cu un nivel de protecție foarte ridicat, acesta nu este însă un drept absolut, excepțiile sau derogările fiind permise în condiții strict prevăzute în legislație.

64.

Potrivit textelor din GDPR anterior indicate, rezultă că pentru invocarea situațiilor care justifică aplicarea excepțiilor în privința interdicției prelucrării datelor cu caracter personal și a dreptului la ștergerea acestor date este necesară mai întâi identificarea scopului instituirii măsurii restrictive. La rândul său, acest scop trebuie să fie determinat, explicit și legitim, adică expres prevăzut în dreptul Uniunii sau în dreptul intern și să atingă o importanță deosebită, de interes major, așa cum sunt cele mai sus enumerate: scopuri legate de medicina preventivă sau a muncii, de furnizarea de asistență medicală sau socială, de gestionarea sistemelor și serviciilor de sănătate sau de asistență socială, motive de interes public în domeniul sănătății publice, scopuri de arhivare în interes public, de cercetare științifică sau istorică ori în scopuri statistice. Astfel, atât prelucrarea, cât și păstrarea datelor privind sănătatea sunt permise fără consimțământul persoanei vizate și pe o perioadă nedeterminată, dacă scopul prevăzut de lege urmărește motive de interes public în domeniul sănătății publice, cum ar fi protecția împotriva amenințărilor transfrontaliere grave la adresa sănătății, expres indicat în

art. 9 alin. (2) lit. i) din GDPR .

65.

Conceptul de „sănătate publică“ este definit în art. 3 lit. c) din Regulamentul (CE) nr. 1.338/2008 al Parlamentului European și al Consiliului din 16 decembrie 2008 privind statisticile comunitare referitoare la sănătatea publică, precum și la sănătatea și siguranța la locul de muncă (aplicabil și în contextul GDPR, conform paragrafului 54 din preambulul acestuia) și înseamnă toate elementele referitoare la sănătate, și anume starea de sănătate, inclusiv morbiditatea sau dizabilitatea, factorii determinanți care au efect asupra stării de sănătate, necesitățile în domeniul asistenței medicale, resursele alocate asistenței medicale, furnizarea asistenței medicale și asigurarea accesului universal la aceasta, precum și cheltuielile și sursele de finanțare în domeniul sănătății și cauzele mortalității.

66.

Curtea reține, totodată, că Regulamentul (UE) 2022/2.371 al Parlamentului European și Consiliului Uniunii din 23 noiembrie 2022 privind amenințările transfrontaliere grave pentru sănătate și de abrogare a Deciziei nr. 1.082/2013/UE conține o serie de măsuri care vizează securitatea sanitară a Uniunii Europene, menite să abordeze amenințările transfrontaliere grave pentru sănătate și consecințele acestora. Prin acest act normativ a fost extins cadrul juridic preexistent referitor la supravegherea epidemiologică, monitorizarea, alerta precoce cu privire la amenințările transfrontaliere grave pentru sănătate, inclusiv amenințările de natură zoonotică cu scopul combaterii lor într-un mod cât mai eficient fiind instituită în acest sens, printre altele, așa numita „rețea de supraveghere epidemiologică“, mecanism prin care s-au suplimentat obligațiile statelor membre în materie de raportare și de analiză a indicatorilor sistemelor de sănătate.

67.

Din lectura prevederilor cuprinse în regulamentul mai sus menționat, reiese că bolile transmisibile și așa-numitele „probleme de sănătate speciale conexe“ (rezistența la antimicrobiene și infecțiile asociate asistenței medicale legate de bolile transmisibile) se încadrează în categoria amenințărilor de origine biologică, componentă a categoriilor de amenințări transfrontaliere grave pentru sănătate, astfel că statele membre au obligația supravegherii, monitorizării și raportării situațiilor epidemiologice la nivel național [pct. 1, 21, 24, 26, 27, 28; I 43 din preambul, art. 2 alin. (1) lit. a) și alin. (2), art. 13 din Regulamentul (UE) 2022/2.371].

68.

Față de cadrul normativ mai sus configurat, Curtea Constituțională, analizând dispozițiile

art. V din Ordonanța de urgență a Guvernului nr. 180/2020 , astfel cum au fost modificate prin

art. II din Ordonanța Guvernului nr. 7/2025 , prin prisma criticilor de neconstituționalitate formulate în prezenta cauză, reține că legiuitorul delegat a exprimat clar în alin. (1) al articolului indicat scopul pentru care se instituie noua aplicație informatică i-RUBT, acesta constând în raportarea și supravegherea evoluției bolilor transmisibile.

69.

Acest scop nu este unul de noutate în domeniul sănătății publice, de noutate fiind doar domeniul de aplicare și amploarea măsurilor concrete luate în acest scop. Monitorizarea și analiza stării de sănătate a populației, precum și supravegherea epidemiologică, prevenirea și controlul bolilor sunt unele dintre principalele funcții ale asistenței de sănătate publică, definită ca efortul organizat al societății în vederea protejării și promovării sănătății populației [ art. 2 alin. (1)

și

art. 5 lit. b)

și

d) din Legea nr. 95/2006

privind reforma în domeniul sănătății]. Modalitățile prin care aceste funcții se duc la îndeplinire de către autoritățile publice de resort au variat în timp și au avut un caracter evolutiv. Astfel, prin

Ordonanța de urgență a Guvernului nr. 8/2018

privind reglementarea unor măsuri în domeniul sănătății, publicată în Monitorul Oficial al României, Partea I, nr. 190 din 1 martie 2018, s-a impus dezvoltarea de registre naționale pentru monitorizarea principalelor domenii de intervenție ale asistenței de sănătate publică (a se vedea în acest sens

art. 6^1 din Legea nr. 95/2006 ). Ulterior, în contextul pandemiei generate de coronavirusul SARS-Cov-2, prin

Ordonanța de urgență a Guvernului nr. 180/2020

a fost impusă utilizarea sistemelor și aplicațiilor informatice, inclusiv a aplicației informatice Corona-forms, în scopul colectării și corelării datelor strict necesare furnizate de entitățile implicate în combaterea efectelor generate de coronavirusul SARS-Cov-2 și al evidenței persoanelor confirmate cu coronavirusul SARS-Cov-2 sau decedate ca urmare a infectării cu acest virus [ art. V alin. (1) din Ordonanța de urgență a Guvernului nr. 180/2020

în redactarea inițială]. În sfârșit,

art. II din Ordonanța Guvernului nr. 7/2025

a extins scopul mai sus precizat la sfera bolilor transmisibile, astfel că și modalitatea de monitorizare și supraveghere epidemiologică a populației s-a modificat, prin utilizarea unei noi aplicații, i-RUBT, care valorifică aplicațiile informatice preexistente, respectiv Corona-forms și Registrul Unic de Boli Transmisibile, prevăzută de

Hotărârea Guvernului nr. 657/2022 .

70.

Extinderea domeniului de aplicare a măsurilor care vizează, în esență, monitorizarea bolilor transmisibile este una firească, dat fiind gradul crescut de preocupare în ceea ce privește securitatea sanitară, în special după etapa pandemiei globale de coronavirus ce a debutat la sfârșitul anului 2019, aspect ce se reflectă în reglementările Uniunii Europene în materia protecției și securității sănătății publice, mai sus referite.

71.

Tocmai pentru a reduce la minimul necesar intruziunea statală asupra vieții private, așa cum impun textele convenționale și de drept al Uniunii invocate de autorul sesizării, dispozițiile

art. V alin. (4) din Ordonanța de urgență a Guvernului nr. 180/2020 , modificate prin

art. II din Ordonanța Guvernului nr. 7/2025 , prevăd, într-adevăr, că datele cu caracter personal colectate [enumerate la alin. (3)] se păstrează pe toată durata de viață a persoanei vizate și nu pot fi șterse, însă acestea se anonimizează prin mijloace automatizate, în mod ireversibil, la 180 de zile de la decesul acesteia; doar datele privind starea de sănătate se păstrează în vederea utilizării strict în scop științific sau statistic. Prin urmare, sunt respectate dispozițiile

art. 5 alin. (1) lit. b) din GDPR , care permit prelucrarea ulterioară de date cu caracter personal, în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, ale

art. 9 alin. (1) lit. i)

și

j) , care permit prelucrarea de date privind sănătatea din motive de interes public în domeniul sănătății publice, cum ar fi protecția împotriva amenințărilor transfrontaliere grave la adresa sănătății sau asigurarea de standarde ridicate de calitate și siguranță a asistenței medicale și a medicamentelor sau a dispozitivelor medicale, în temeiul dreptului Uniunii sau al dreptului intern, sau dacă prelucrarea este necesară în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, precum și ale

art. 17 alin. (3) lit. c)

și

d)

din acesta, care exclud dreptul la ștergerea datelor din motive de interes public în domeniul sănătății publice, în conformitate cu

art. 9 alin. (2) lit. (h)

și

(i)

și cu

art. 9 alin. (3)

sau în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice.

72.

Sintetizând cele de mai sus, rezultă că datele de identificare ale persoanei enumerate la

art. V alin. (3) din

Ordonanța de urgență a Guvernului nr. 180/2020

(respectiv: nume, prenume, CNP, seria și numărul actului de identitate sau, după caz, numărul pașaportului sau numărul cardului EU/CE, vârstă, data nașterii, sex, adresa de domiciliu sau reședință, numărul de telefon, adresa de e-mail) se prelucrează și după o perioadă mai lungă după colectare, nu pot fi șterse (chiar dacă persoană se vindecă în mod ireversibil de respectiva boală transmisibilă) și se anonimizează la 180 de zile de la data decesului, prelucrarea acestora fiind necesară din motive de interes public în domeniul sănătății publice, cum ar fi protecția împotriva amenințărilor transfrontaliere grave la adresa sănătății, domeniu reglementat special prin Regulamentul (UE) 2022/2.371, care impune statelor membre obligații suplimentare de monitorizare și raportare a datelor privind bolile transmisibile și problemele de sănătate speciale conexe.

73.

După anonimizarea datelor cu caracter personal, ceea ce se păstrează intact sunt exclusiv datele privind starea de sănătate (și anume: diagnostic sau stare patologică, istoric testări și boli transmisibile, istoric vaccinări), acestea fiind utilizate independent de datele de identificare ale persoanei, strict/exclusiv în scop științific sau statistic, scop expres precizat și în normele regulamentare de drept unional mai sus menționate care exclud dreptul la ștergerea datelor cu caracter personal. Astfel, faptul că persoana vizată inițial de măsurile de prelucrare a datelor cu caracter personal ca urmare a diagnosticării cu o boală transmisibilă se vindecă în mod ireversibil nu poate avea nicio relevanță din perspectiva scopului științific sau statistic pe care îl prezintă datele privind sănătatea, acesta fiind, de altfel, unicul scop al măsurilor respective, și nu doar cel inițial, așa cum apreciază autorul sesizării. Dimpotrivă,

chiar și acest segment, al populației vindecate după o anumită boală contagioasă, reprezintă un obiect de studiu științific și statistic specific, ce se integrează aceluiași scop.

74.

În concluzie, nu pot fi reținute criticile de neconstituționalitate formulate de autorul obiecției potrivit cărora prelucrarea și stocarea datelor de identificare ale persoanei și a datelor privind starea de sănătate reprezintă măsuri care devin disproporționate prin pierderea caracterului necesar odată cu vindecarea persoanei vizate. Măsura criticată se justifică prin însăși scopul urmărit, precizat expres atât în cuprinsul actului normativ intern [ art. V alin. (4) din Ordonanța de urgență a Guvernului nr. 180/2020 , modificat prin

art. II din Ordonanța Guvernului nr. 7/2025 ], cât și, la nivel general, într-unul de drept al Uniunii Europene [ art. 17 alin. (3) lit. c)

și

d)

și

art. 89 din GDPR ]. Scopul acestor măsuri servește, așa cum s-a arătat mai sus, unor rațiuni de importanță majoră, și anume securității sanitare, privită ca ansamblu complex de acțiuni necesare - de supraveghere, monitorizare, raportare, analiză și statistică a bolilor transmisibile - pentru ca statul să fie apt de un răspuns rapid și adecvat în exercitarea obligației sale pozitive stabilite în

art. 34 alin. (2) din Constituție , de a lua măsuri pentru asigurarea igienei și a sănătății publice, dimensiune pe care, de altfel, nici autorul sesizării nu o neagă. Imperativul prevenției, al monitorizării și al colaborării în spațiul Uniunii Europene prin modalități eficiente, moderne și dinamice este impus de însăși dimensiunea fundamentală a dreptului persoanei la protecția sănătății, stipulat în

art. 35 din Carta drepturilor fundamentale a Uniunii Europene , sens în care la nivelul Uniunii Europene se manifestă o preocupare constantă prin elaborarea de politici și acțiuni complexe, detaliate și dinamice, cu direcții și măsuri comune obligatorii pentru toate statele membre. Aceste măsuri se justifică prin prisma scopului urmărit și nu pot fi privite, în sine, ca fiind contrare dreptului la viață privată și nici ca lezând demnitatea umană, ci ca măsuri necesare, constituind obiectul unor limitări legitime ale drepturilor și libertăților fundamentale. Fără aceste derogări, întreaga politică de securitate sanitară europeană și, implicit, națională ar fi pur teoretică și deci ineficientă. De altfel,

art. 5 lit. b) teza a doua din GDPR

precizează în mod expres regula potrivit căreia prelucrarea ulterioară în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice nu este considerată incompatibilă cu scopurile inițiale, în conformitate cu

articolul 89 alineatul (1)

(„limitări legate de scop“). Prin urmare, fiind vorba de derogări ope legis, permise de dreptul Uniunii Europene și direct aplicabile dreptului intern prin prisma

art. 148 alin. (2) din Constituție , nu poate fi adusă în discuție efectuarea unui test de proporționalitate, așa cum sugerează autorul obiecției de neconstituționalitate, Curtea neavând competență în acest sens.

(3.2.)

Critica de neconstituționalitate privind insuficiența garanțiilor asociate respectării dreptului la viață intimă, familială și privată

75.

Autorul sesizării arată, în esență, că dispozițiile

art. II din Ordonanța Guvernului nr. 7/2025

contravin

art. 26

coroborat cu

art. 1 alin. (5) din Constituție , deoarece nu sunt respectate cerințele de fond privind conținutul garanțiilor asociate protecției datelor cu caracter personal, în sensul că aceste garanții nu au un regim juridic legal, ci infralegal, și nici nu conțin dispoziții referitoare la contravenții și sancțiuni, iar trimiterile generice la respectarea prevederilor GDPR sunt insuficiente, în absența unor garanții specifice și clare, stabilite la nivel de lege.

76.

Deși măsurile cuprinse în

art. II din Ordonanța Guvernului nr. 7/2025

se justifică prin motive ce țin de domeniul sănătății publice, astfel că, din această perspectivă, pot constitui, de principiu, obiectul unor derogări în materia dreptului la viață privată, instituite la nivelul dreptului Uniunii Europene și al dreptului intern și nu pot fi considerate, în sine, contrare acestui drept, Curtea reamintește că aceste măsuri trebuie însoțite de garanții adecvate prevăzute prin acte de legislație primară, care să asigure persoana vizată că principiile prelucrării datelor cu caracter personal sunt respectate, pentru a fi valorizate principiile protejării datelor cu caracter personal inclusiv sub aspectul regulilor derogatorii de la acestea [a se vedea

art. 5 ,

art. 9 alin. (2) ,

art. 89 alin. (1)

și

paragrafele 52-54 din preambulul GDPR ].

77.

Principiile prelucrării datelor cu caracter personal, prevăzute de

art. 5 din GDPR , trebuie respectate în mod cumulativ, și nu alternativ. Astfel, dacă din conținutul normativ al

art. II din Ordonanța Guvernului nr. 7/2025

rezultă că sunt îndeplinite primele 5 principii [(1) legalitate, echitate și transparență; (2) limitări legate de scop; (3) reducerea la minimum a datelor; (4) exactitate; (5) limitări legate de stocare], Curtea constată, în schimb, că nu este asigurat și principiul care impune integritate și confidențialitate în prelucrarea datelor. Potrivit acestui principiu, afirmat la

art. 5 alin. (1) lit. f) din GDPR , datele cu caracter personal trebuie prelucrate într-un mod care asigură securitatea adecvată a datelor cu caracter personal, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare. Totodată, operatorul are responsabilitatea respectării principiilor de mai sus, iar acesta trebuie să poată să demonstreze că le-a respectat, ceea ce indică un principiu subsecvent, cel al responsabilității operatorului [ art. 5 alin. (2)] .

78.

În același timp, deși lit. i) și j) ale

art. 9 alin. (2) din GDPR

instituie derogările anterior menționate, în sensul că permit prelucrarea datelor privind sănătatea din motive de interes public sau în scopuri de cercetare științifică ori în scopuri statistice, aceste derogări sunt condiționate, în același timp, de existența în dreptul Uniunii sau în dreptul intern a unor măsuri adecvate și specifice pentru protejarea drepturilor și libertăților persoanei vizate, în special a secretului profesional, sau de respectarea

art. 89 alin. (1) din GDPR .

79.

Art. 89 din GDPR

stabilește garanțiile și derogările privind prelucrarea în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice. În conformitate cu

alin. (1) al art. 89 , aceste garanții trebuie să fie corespunzătoare pentru drepturile și libertățile persoanelor vizate și au rolul de a asigura faptul că au fost instituite măsuri tehnice și organizatorice necesare pentru a se asigura, în special, respectarea principiului reducerii la minimum a datelor. Aceste măsuri pot include pseudonimizarea, cu condiția ca respectivele scopuri să fie îndeplinite în acest mod. Atunci când respectivele scopuri pot fi îndeplinite printr-o prelucrare ulterioară care nu permite sau nu mai permite identificarea persoanelor vizate, scopurile respective sunt îndeplinite în acest mod. Sub rezerva respectării acestor condiții și garanții,

alin. (2) al art. 89

permite prelucrarea datelor cu caracter personal în scopuri de cercetare științifică sau istorică ori în scopuri statistice prin stabilirea în dreptul Uniunii sau în dreptul intern a unor derogări de la drepturile menționate la

art. 15 ,

16 ,

18

și

21 din GDPR

(și anume dreptul de acces al persoanei vizate, dreptul la rectificare, dreptul la restricționarea prelucrării și dreptul la opoziție), în măsura în care aceste drepturi sunt de natură să facă imposibilă sau să afecteze în mod grav realizarea scopurilor specifice, iar derogările respective sunt necesare pentru îndeplinirea acestor scopuri. Aceeași derogare a fost expres prevăzută și în dreptul național, prin intermediul

Legii nr. 233/2019

pentru modificarea

art. 8 alin. (1) din Legea nr. 190/2018

privind măsuri de punere în aplicare a

Regulamentului (UE) 2016/679

al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), publicată în Monitorul Oficial al României, Partea I, nr. 956 din 28 noiembrie 2019.

80.

Din reglementările anterior menționate rezultă că, atât la nivelul Uniunii Europene, cât și al legislației naționale, derogările privind prelucrarea în scopuri de cercetare științifică ori în scopuri statistice sunt permise numai în măsura respectării unor garanții corespunzătoare și adecvate. Cu alte cuvinte, garanțiile trebuie să fie instituite printr-un act normativ cu aceeași forță juridică precum cea a actului normativ ce permite derogarea (corespunzătoare) și să fie apte să asigure persoana vizată de respectarea drepturilor sale fundamentale (adecvate) și că au fost instituite măsuri tehnice și organizatorice necesare în acest sens, pentru a se asigura, în special, respectarea principiului reducerii la minimum a datelor.

81.

Curtea Europeană a Drepturilor Omului a dezvoltat o jurisprudență constantă conform căreia datele medicale sunt considerate date personale care trebuie să beneficieze de un nivel sporit de protecție, care poate fi asigurată prin instituirea prin lege și respectarea, în concret, a caracterului confidențial al acestora. Curtea a arătat că, pentru respectarea garanțiilor prevăzute de

art. 8 din Convenție , statul are obligația pozitivă de a include în legislația sa internă un sistem de norme și garanții adecvate care să asigure o protecție practică și efectivă, menită să excludă posibilitatea producerii unui acces neautorizat încă de la bun început în sfera vieții private (de exemplu, Hotărârea din 17 iulie 2008, pronunțată în Cauza I. împotriva Finlandei, paragrafele 35-38 și 47). Curtea a constatat că astfel de garanții există atunci când, de exemplu, (i) consultarea datelor colectate în dosar era accesibilă exclusiv autorităților supuse obligației de confidențialitate (Hotărârea din 17 decembrie 2009, pronunțată în Cauza B.B. împotriva Franței, paragraful 69; Decizia din 4 iunie 2013, pronunțată în Cauza Peruzzo și Martens împotriva Germaniei, paragraful 47) sau (ii) datele stocate făceau obiectul unor proceduri de consultare suficient delimitate, care reglementau persoanele abilitate să consulte dosarul (Hotărârea din 18 aprilie 2013, pronunțată în Cauza M.K. împotriva Franței, paragraful 37). Dreptul unei persoane la protecția confidențialității datelor sale medicale nu este absolut și trebuie conciliat cu alte drepturi și interese legitime, precum dreptul la o procedură contradictorie al angajatorului său (Decizia din 27 martie 2012, pronunțată în Cauza Eternit împotriva Franței, paragraful 37). Acesta poate fi anulat de necesitatea de a apăra un aspect primordial de interes public, cum ar fi siguranța personalului spitalicesc și protejarea sănătății publice. Transmiterea unor date sensibile precum date privind sănătatea unui pacient trebuie să se realizeze cu preocuparea de a evita orice formă de stigmatizare a persoanei vizate și prin oferirea unor garanții suficiente pentru a exclude orice risc de abuz (Hotărârea din 10 martie 2015, pronunțată în Cauza Y. împotriva Turciei, paragraful 79). Destinatarul informațiilor trebuie să se supună normelor de confidențialitate specifice profesioniștilor din domeniul sănătății sau normelor de confidențialitate comparabile (ibidem, paragraful 74).

82.

Raportându-se la această jurisprudență, Curtea Constituțională a arătat, prin

Decizia nr. 498 din 17 iulie 2018 , publicată în Monitorul Oficial al României, Partea I, nr. 650 din 26 iulie 2018, că exercitarea obligației pozitive a statului de a crea condițiile optime asigurării sănătății publice trebuie realizată cu respectarea garanțiilor asociate dreptului la viață intimă, familială și privată a pacientului. Cu alte cuvinte, dacă statul a instituit, prin lege, o măsură în aplicarea dreptului la ocrotirea sănătății persoanei, tot acestuia îi revine obligația de a proteja și garanta caracterul confidențial al informațiilor medicale prelucrate, printr-un act normativ de același nivel, respectiv prin lege. Astfel, din acest punct de vedere, obligațiile pozitive asociate celor două drepturi sunt corelative și interdependente, trebuind să existe un just echilibru între acestea. Statului nu îi este permis ca, protejând un drept constituțional, să o facă în detrimentului celuilalt drept deopotrivă ocrotit, pentru că s-ar putea ajunge la situația în care afectarea acestuia din urmă să fie atât de puternică încât avantajul inițial obținut să apară ca fiind nesemnificativ în această ecuație. Prin urmare, la nivel normativ, complementaritatea și proporționalitatea trebuie să caracterizeze relația dintre cele două drepturi constituționale antereferite (paragraful 42). O reglementare cu caracter primar este cea care se bucură de forța juridică a legii și de o stabilitate în consecință, astfel că pare chiar impropriu ca o măsură de natura legii, dată în aplicarea

art. 34 din Constituție , să cunoască limitări printr-o hotărâre a Guvernului sau printr-un ordin de ministru, considerată a fi suficientă pentru respectarea

art. 26 din Constituție . Într-o atare modalitate de reglementare se ajunge la o restructurare/reconfigurare a legii, prin intermediul actului administrativ, ceea ce este de neconceput. Ar rezulta că limitele unei ingerințe etatice prevăzute de lege sunt fixate printrun act administrativ, emis chiar în baza acelei legi, ceea ce încalcă

art. 1 alin. (5) din Constituție . Prin urmare, îi revine legiuitorului obligația de a reglementa garanțiile asociate dreptului la viață intimă, familială și privată. Această obligație trebuie să se materializeze prin lege, în sens de instrumentum (paragrafele 51 și 52). Legea trebuie să prevadă, în mod expres, atât natura răspunderii, cât și sancțiunile - care în sine trebuie să fie corespondente ca intensitate standardului înalt de protecție a datelor medicale - aplicabile persoanelor implicate în gestionarea dosarului electronic de sănătate, în cazul încălcării obligațiilor și garanțiilor ce urmează să fie reglementate prin lege (paragraful 54).

83.

Ordonanța Guvernului nr. 7/2025

- aprobată prin legea supusă examenului de constituționalitate în prezenta cauză - reglementează dezvoltarea unei noi aplicații - Registrul Unic Electronic de Boli Transmisibile, i-RUBT - în vederea raportării și supravegherii evoluției bolilor transmisibile. Acest demers se încadrează în îndeplinirea de către stat a obligațiilor pozitive ce îi revin în baza

art. 34 din Constituție , colectarea datelor privind bolile transmisibile și supravegherea acestora reprezentând o măsură necesară pentru asigurarea sănătății publice, iar realizarea acestora fiind obligatorie pentru statul român și conform Regulamentului (UE) 2022/2.371.

84.

În cadrul aplicației i-RUBT urmează să fie prelucrate, în sensul

pct. 2 al art. 4 din GDPR , („prelucrare“ înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea), date medicale care reprezintă o categorie specială de date cu caracter personal („date sensibile“), atât față de natura lor, cât și față de durata de stocare care se întinde pe durata întregii vieți a persoanei vizate. În consecință, aceste date sensibile trebuie protejate prin acordarea beneficiului unor garanții suficiente.

85.

În lumina considerentelor mai sus expuse, Curtea observă că

art. II din Ordonanța Guvernului nr. 7/2025 , prin care este modificat conținutul normativ al

art. V din Ordonanța de urgență a Guvernului nr. 180/2020 , nu cuprinde norme proprii prin care să fie stabilite garanții adecvate cu privire la integritatea și confidențialitatea prelucrării datelor cu caracter personal și nici un sistem minimal de norme referitoare la responsabilitatea operatorilor, sub aspectul instituirii unor sancțiuni corespunzătoare.

86.

Astfel, conform

alin. (5)

din

art. V din Ordonanța de urgență a Guvernului nr. 180/2020 , modificat prin

art. II din Ordonanța Guvernului nr. 7/2025 , metodologia de raportare, colectare și prelucrare a datelor cu caracter personal vizate, condițiile și limitele de acces la aceste date, măsurile și garanțiile privind securitatea și confidențialitatea datelor și informațiilor din aplicația informatică dezvoltată de STS, precum și modul de îndeplinire a măsurilor necesare în vederea informării persoanelor vizate asupra operațiunilor de prelucrare și modul de exercitare a drepturilor persoanelor vizate, în concordanță cu prevederile GDPR, se stabilesc prin ordin comun al ministrului sănătății și al directorului STS.

87.

Așadar, Curtea constată că dispozițiile mai sus menționate, deși sunt cuprinse într-un act de legiferare de nivel primar, nu asigură standardul minim de protecție a datelor cu caracter personal necesar a fi configurat prin lege, întrucât nu fac decât să enumere, generic, domeniile specifice acestor garanții, lăsând în seama legislației secundare stabilirea în concret a tuturor garanțiilor care să răspundă în mod adecvat cerințelor GDPR.

88.

Curtea reține că, în redactarea sa inițială,

art. V din Ordonanța de urgență a Guvernului nr. 180/2020 , care viza exclusiv aplicația „Corona-forms“, atribuia, în mod similar

Ordonanței Guvernului nr. 7/2025 , stabilirea metodologiei de prelucrare și raportare a sistemelor informatice prin ordin comun al ministrului sănătății și al directorului STS. Ulterior, prin

Hotărârea Guvernului nr. 657/2022 , adoptată în temeiul

art. 83 alin. (1) din Legea nr. 95/2006 , au fost aprobate conținutul și metodologia de colectare și raportare a datelor pentru supravegherea bolilor transmisibile în Registrul Unic de Boli Transmisibile, acesta fiind actul normativ de legislație secundară în care este prevăzută obligația de confidențialitate a persoanelor din cadrul fiecărei direcții de sănătate publică autorizate să aibă acces la datele menționate în Fișa unică. Același act infralegal stabilește regula păstrării pe viață a datelor, precum și persoanele care au acces la aceste date. Abia în anul 2024, prin

Ordonanța de urgență a Guvernului nr. 66/2024 , a fost modificat

art. V din Ordonanța de urgență a Guvernului nr. 180/2020

în sensul introducerii în legislația primară a majorității normelor cuprinse în

Hotărârea Guvernului nr. 657/2022 , mai puțin însă și cea referitoare la obligația de confidențialitate. Modificările aduse prin

art. II din Ordonanța Guvernului nr. 7/2025

asupra aceluiași

art. V din Ordonanța de urgență a Guvernului nr. 180/2020

nu au făcut decât să adapteze normele la noua aplicație informatică i-RUBT, obligația de confidențialitate lipsind în continuare din cuprinsul său normativ.

89.

Totodată, Curtea consideră că referirile pe care le conține

art. V din Ordonanța de urgență a Guvernului nr. 180/2020 , din perspectiva standardului obligatoriu de protecție a datelor cu caracter personal, au un caracter pur generic, și, în consecință, sunt insuficiente și nu sunt apte să garanteze persoanei vizate respectarea drepturilor sale. Așa cum s-a arătat deja, garanțiile trebuie să fie corespunzătoare și adecvate, adică, în cazul de față, să fie de nivelul legii și să aibă un caracter concret. Persoana vizată este titularul unui drept fundamental de la care legea permite unele derogări ce pot fi aplicate numai prin includerea unor garanții reale printr-un act normativ ce se bucură de forța juridică a legii, nu a unui act infralegal (ordin al ministrului și al directorului STS sau hotărâre a Guvernului), acte care au, în general, un grad ridicat de instabilitate și care se emit/aprobă în executarea și pentru organizarea legii, și nu pentru substituirea ei.

90.

Încălcarea principiului legalității instituit de

art. 1 alin. (5) din Constituție

din perspectiva standardelor de calitate a legii rezultă și din analiza domeniului de aplicare și a sferei operatorilor pe care îi implică funcționarea aplicației i-RUBT.

91.

Astfel, analizând anexa la

Hotărârea Guvernului nr. 657/2022 , referitoare la Fișa unică de raportare a cazului de boală transmisibilă, se observă că printre bolile menționate sunt enumerate și o serie de boli care, chiar dacă sunt contagioase, sunt comune - rubeola, rujeola, varicela (așa-numitele „boli ale copilăriei“), pertussis (tuse măgărească), infecția urliană (oreion) - ceea ce înseamnă că majoritatea populației va fi înregistrată pe viață în această aplicație informatică, inclusiv copiii, de la o vârstă fragedă.

92.

Pe de altă parte, operatorii care au obligația implementării și utilizării acestei aplicații, deși sunt identificați în

art. V alin. (8) din

Ordonanța de urgență a Guvernului nr. 180/2020 , însumează un număr semnificativ de persoane, echivalând, practic, cu majoritatea personalului medical angajat în orice instituție sau unitate medicală publică sau privată (direcțiile de sănătate publică județene și a municipiului București; structurile de specialitate din cadrul ministerelor și al instituțiilor cu rețea sanitară proprie; toți furnizorii de servicii medicale din sistemul public și privat, inclusiv laboratoarele, furnizorii aparținând altor ministere și instituții cu rețea sanitară proprie și din unitățile de asistență socială, indiferent de forma de organizare juridică, care au obligația raportării datelor în aplicația RUBT, potrivit prevederilor

Hotărârii Guvernului nr. 657/2022 ). Pe lângă aceștia, au calitatea de operatori și Ministerul Sănătății și INSP, fără ca textul legal menționat să precizeze care dintre angajați au această calitate.

93.

Aceste împrejurări dau dimensiunea incertitudinii cu privire la o reală respectare a drepturilor pacientului diagnosticat cel puțin o dată în viață cu o boală transmisibilă. Un număr nedefinit de persoane, care sunt sau pot deveni, la un moment dat, operatori, au în această calitate vocația legală să prelucreze datele cu caracter personal ale aproape întregii populații, fără ca printr-o lege să fie stabilite minime garanții concrete, cum ar fi obligația de confidențialitate/de păstrare a secretului profesional și sancțiunile nerespectării acesteia.

94.

Curtea subliniază că trimiterea generică în cuprinsul normelor criticate la respectarea prevederilor GDPR sau a legislației aplicabile în domeniul sănătății publice nu absolvă

legiuitorul național de reglementarea unor garanții și condiții concrete. Dacă s-ar accepta această idee, ce se bazează pe forța juridică a regulamentelor europene, cu directă aplicabilitate de către statele membre, ar însemna ca acestea din urmă să fie scutite de orice demers legislativ propriu de reglementare întrun domeniu ce intră sub incidența unui regulament european. Or, chiar GDPR menționează în tot cuprinsul său necesitatea adoptării de măsuri tehnice și organizatorice corespunzătoare pentru a se asigura îndeplinirea cerințelor din acest regulament, inclusiv cele referitoare la protecția drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, însă ar fi de neconceput ca aceste măsuri să fie stabilite direct, exclusiv și oricum incomplet prin reglementări interne infralegale, de nivel secundar, fără a avea un cadru normativ configurat în prealabil prin legislația primară.

95.

Aplicând mutatis mutandis considerentele statuate prin

Decizia nr. 498 din 17 iulie 2018 , rezultă că legea trebuie să prevadă, în mod expres, obligația de confidențialitate a operatorilor, natura răspunderii, precum și sancțiunile - care în sine trebuie să fie corespondente ca intensitate standardului înalt de protecție a datelor medicale - aplicabile persoanelor implicate în gestionarea aplicației informatice i-RUBT, în cazul încălcării obligațiilor și garanțiilor ce urmează să fie reglementate prin lege. Curtea subliniază că această lipsă de legiferare nu poate fi suplinită cu reglementarea prin

Legea nr. 45/2019

pentru modificarea și completarea

Legii nr. 95/2006

privind reforma în domeniul sănătății, publicată în Monitorul Oficial al României, Partea I, nr. 192 din 11 martie 2019, a noilor dispoziții ale

titlului IX^1 din Legea nr. 95/2006 , introduse ca efect al deciziei antemenționate, deoarece modul de gestionare a datelor din dosarul electronic nu se suprapune cu cel al gestionării aplicației informatice i-RUBT, care vizează doar bolile transmisibile și răspunde unui alt scop.

96.

În concluzie, Curtea constată că

art. II din Ordonanța Guvernului nr. 7/2025

instituie o derogare de la regimul special de protecție a datelor cu caracter personal, și în special a datelor privind sănătatea (date sensibile), care se justifică în sine prin scopul urmărit - abordarea amenințărilor asupra securității sanitare într-un mod unitar și integrat în cadrul politicilor și acțiunilor Uniunii din domeniul sănătății publice -, dar care nu este însoțită de garanțiile corespunzătoare și adecvate impuse prin însuși caracterul fundamental al dreptului la viață privată, care să fie reglementate printr-o lege în sens de instrumentum. Aceasta întrucât dispozițiile

art. II din Ordonanța Guvernului nr. 7/2025 , cu referire la

art. V alin. (5) din Ordonanța de urgență a Guvernului nr. 180/2020 , lasă la latitudinea legiuitorului secundar stabilirea prin acte normative infralegale a unora dintre aceste garanții, nu conțin dispoziții exprese referitoare la contravenții și sancțiuni aplicabile operatorilor, iar trimiterile generice la respectarea prevederilor GDPR sunt insuficiente, în absența acestor garanții specifice și clare, stabilite la nivel de lege - aspecte care contravin

art. 26

coroborat cu

art. 1 alin. (5) din Constituție .

97.

În final, Curtea arată că nu poate da curs solicitării autorului sesizării ca, în cadrul controlului de constituționalitate exercitat în prezenta cauză, să constate inclusiv neconstituționalitatea dispoziției

art. 83 alin. (1) din Legea nr. 95/2006

întrucât a constituit temeiul pentru emiterea

Hotărârii Guvernului nr. 657/2022 , act care prin propriile norme ar exceda cadrului legal de referință. Jurisprudența constituțională a statuat în mod constant că dispozițiile

art. 146 lit. a) din Constituție

consacră controlul de constituționalitate a priori, exercitat de Curtea Constituțională numai asupra legilor înainte de promulgarea acestora, iar nu și asupra unor dispoziții dintr-o lege sau ordonanță în vigoare, care cunosc un tip distinct de control de constituționalitate, cel posterior promulgării, instituit în temeiul

art. 146 lit. d) din Constituție

(a se vedea, de exemplu,

Decizia nr. 919 din 6 iulie 2011 , publicată în Monitorul Oficial al României, Partea I, nr. 504 din 15 iulie 2011).

98.

Totuși, singura interferență dintre controlul anterior și cel posterior de constituționalitate este posibilă doar în ipoteza în care Curtea analizează în cadrul controlului anterior promulgării o lege care aprobă o ordonanță a Guvernului (simplă sau de urgență), aceasta din urmă fiind criticată distinct de autorul sesizării pentru motive proprii de neconstituționalitate, așa cum s-a întâmplat în prezenta cauză. După cum s-a arătat deja în precedent, controlul direct al Curții asupra ordonanței Guvernului în vigoare în procedura proprie controlului anterior de constituționalitate se justifică din rațiuni de logică juridică și tehnică legislativă, deoarece ordonanțele Guvernului aprobate de Parlament prin lege încetează să mai fie acte normative de sine stătătoare și devin, ca efect al aprobării de către autoritatea legiuitoare, acte normative cu caracter de lege, deci fac corp comun cu legea de aprobare, chiar dacă în mod formal își conservă propriile elemente de identificare atribuite la adoptarea lor de către Guvern, adăugându-se subsecvent și datele legii de aprobare, survenită ulterior. Acest mecanism este posibil însă exclusiv în cazul ordonanțelor Guvernului a căror lege de aprobare este atacată la Curtea Constituțională anterior promulgării.

99.

În prezenta cauză, autorul sesizării nu se limitează doar să critice pentru neconstituționalitate o ordonanță de urgență ( Ordonanța de urgență nr. 180/2020 ) modificată printr-o altă ordonanță ( Ordonanța Guvernului nr. 7/2025 ), cu prilejul aprobării prin lege a acestei din urmă ordonanțe - ceea ce este posibil -, însă solicită Curții să se extindă în același cadru procesual asupra unui text dintr-o lege distinctă în vigoare [ art. 83 alin. (1) din Legea nr. 95/2006 ], susținând că respectivul text legal constituie temeiul pentru emiterea unei hotărâri a Guvernului ( Hotărârea Guvernului nr. 657/2022 ) ce ar depăși prin propriul conținut normativ limitele legale stabilite prin însăși legea-cadru. Însă, spre deosebire de

Ordonanța Guvernului nr. 7/2025 ,

Legea nr. 95/2006

nu constituie obiectul legii de aprobare examinate în prezenta cauză și nici nu este posibil ca o lege în vigoare să fie aprobată ulterior printr-o altă lege, astfel că o asemenea solicitare nu poate avea niciun temei constituțional sau legal, iar

Decizia Curții Constituționale nr. 1.640 din 10 decembrie 2009 , publicată în Monitorul Oficial al României, Partea I, nr. 48 din 21 ianuarie 2010, și

Decizia Curții Constituționale nr. 414/2010 , invocate în susținerea acestei cereri, nu au nicio relevanță în acest context, pentru a se putea pretinde aplicabilitatea mutatis mutandis.

100.

Pentru toate argumentele expuse, Curtea constată că prezenta obiecție este întemeiată din perspectiva criticilor de neconstituționalitate formulate prin raportare la dispozițiile

art. 26

coroborat cu

art. 1 alin. (5) din Constituție , deoarece, deși derogarea de la regimul de protecție juridică a datelor cu caracter personal pe care se bazează mecanismul de funcționare a aplicației informatice i-RUBT este justificată prin scop, aceasta nu este însoțită și de garanțiile corespunzătoare și adecvate asociate protejării dreptului la viață privată a datelor cu caracter personal, nefiind astfel respectate nici exigențele cuprinse la

art. 8 din Convenția

pentru apărarea drepturilor și a libertăților fundamentale și ale

art. 8 din Carta drepturilor fundamentale a Uniunii Europene . Aceste garanții trebuie să fie prevăzute printr-un act de reglementare primară la un nivel minimal care să cuprindă condiții, drepturi și obligații implicate în acest mecanism, ca expresie de asumare a legiuitorului primar sau delegat, și nu a puterii executive.

101.

Curtea urmează, așadar, să admită obiecția și să constate neconstituționalitatea legii de aprobare a

Ordonanței Guvernului nr. 7/2025 , precum și a dispozițiilor

art. II

din această ordonanță, cu referire la

art. V alin. (5) din Ordonanța de urgență a Guvernului nr. 180/2020 , în sensul în care Curtea a efectuat prezentul examen de constituționalitate. Ca efect al acestei decizii,

art. V alin. (5) din Ordonanța de urgență a Guvernului nr. 180/2020

va continua să producă efecte în redactarea sa anterioară, respectiv cea conferită prin

art. IX din

Ordonanța de urgență a Guvernului nr. 66/2024 , iar legiuitorul, în procedura reexaminării legii supuse controlului declanșată în temeiul

art. 147 alin. (2) din Constituție , va putea institui garanțiile adecvate pentru respectarea drepturilor și libertăților fundamentale ale persoanei vizate, conform celor statuate în prezenta decizie.

102.

Pentru considerentele arătate, în temeiul

art. 146 lit. a)

și al

art. 147 alin. (4) din Constituție , precum și al

art. 11 alin. (1) lit. A.a) , al

art. 15 alin. (1)

și al

art. 18 alin. (2) din Legea nr. 47/1992 , cu unanimitate de voturi,

CURTEA CONSTITUȚIONALĂ

În numele legii

DECIDE:

Admite obiecția de neconstituționalitate formulată de Președintele României și constată că Legea privind aprobarea

Ordonanței Guvernului nr. 7/2025

pentru modificarea

Legii nr. 95/2006

privind reforma în domeniul sănătății și pentru modificarea și completarea unor acte normative în domeniul sănătății, precum și dispozițiile

art. II din Ordonanța Guvernului nr. 7/2025

pentru modificarea

Legii nr. 95/2006

privind reforma în domeniul sănătății și pentru modificarea și completarea unor acte normative în domeniul sănătății, cu referire la

art. V alin. (5) din Ordonanța de urgență a Guvernului nr. 180/2020

pentru modificarea și completarea

Legii nr. 136/2020

privind instituirea unor măsuri în domeniul sănătății publice în situații de risc epidemiologic și biologic, a

Ordonanței de urgență a Guvernului nr. 158/2005

privind concediile și indemnizațiile de asigurări sociale de sănătate, precum și pentru stabilirea unor măsuri cu privire la acordarea concediilor medicale, sunt neconstituționale.

Definitivă și general obligatorie.

Decizia se comunică Președintelui României, președinților celor două Camere ale Parlamentului și prim-ministrului și se publică în Monitorul Oficial al României, Partea I.

Pronunțată în ședința din data de 4 februarie 2026.