Arhivarea documentelor în format electronic în nume propriu
În contextul actual, societățile tind să utilizeze din ce în ce mai mult documente în formă electronică, iar digitalizarea activităților de zi cu zi devine o necesitate.
În conformitate cu dispozițiile legale aplicabile, arhivarea anumitor documente rezultate din activitatea societăților este obligatorie. Astfel, inclusiv documentele în formă electronică se subscriu acestei obligații.
În acest sens, în cele ce urmează vor fi prezentate condițiile prevăzute de legislația aplicabilă cu privire la arhivarea documentelor electronice.
1. Arhivarea documentelor electronice
În conformitate cu dispozițiile legale[1], orice persoană fizică sau juridică are dreptul de a depune spre păstrare documente în formă electronică în cadrul unei arhive electronice. Cu 30 de zile înainte de începerea activităţilor legate de arhivarea documentelor în formă electronică, persoanele care intenţionează să furnizeze servicii de arhivare electronică au obligaţia de a notifica autoritatea de reglementare şi supraveghere specializată în domeniu cu privire la data începerii acestor activităţi.
În interpretarea dispozițiilor legale, având în vedere că acestea[2] fac referire la „furnizarea serviciilor de arhivare electronică” se poate trage concluzia că arhivarea electronică poate fi efectuată doar prin exeternalizarea acestei activități.
Cu toate aceastea, societățile pot întreprinde activitatea de arhivare a propriilor documente electronice atât în nume propriu, cât și prin furnizori de servicii de arhivare electronică[3]. Astfel, arhivarea documentelor electronice poate fi întreprinsă de către orice societate cu respectarea condițiilor impuse de lege, fară a fi necesară externalizarea acestei activități.
2. Condiții privind arhivarea documentelor electronice în nume propriu
În vederea administrării sistemului electronic de arhivare și a documentelor electronice arhivate în cadrul unei arhive electronice, societățile au obligația de a obține acreditare din partea Ministerului Comunicațiilor și Societății Informaționale („MCSI”). Odată cu obținerea acreditării din partea MCSI, societățile dobândesc calitatea de administratori ai arhivei electronice („Administrator/i”).
Societățile care intenţionează să devină Administratori au obligaţia de a transmite în acest sens o notificare către MCSI cu 30 de zile înainte de începerea activităţii. Notificarea se va realiza în mod obligatoriu prin completarea unui formular-tip elaborat de MCSI.
Odată cu efectuarea notificării, solicitanții au obligaţia de a transmite MCSI următoarele documente, care fac parte integrantă din notificare:
a) atestări pentru angajatul / angajaţii societății care intenţionează să devină Administrator (atestările pot fi deţinute cumulativ de mai mulţi angajaţi:
(i) diplomă de absolvent de studii superioare în domeniul tehnologiei informaţiei;
(ii) calificări / atestări care să certifice cunoaşterea standardelor ISO/IEC 27001 sau a standardelor echivalente şi a versiunilor ulterioare ale acestora;
(iii) certificări / atestări în domeniul administrării bazelor de date şi a sistemelor de operare;
calificări / atestări în domeniul arhivisticb)
b) documente din care să rezulte că sistemul electronic de arhivare îndeplineşte următoarele cerinţe funcţionale:
(i) asigură mijloacele de control şi de securitate a documentelor şi a bazei de date;
(ii) menţine integritatea internă, funcţionarea şi coerenţa sistemului şi a bazei de date;
(iii) asigură conservarea pe termen nelimitat a documentelor cu caracter permanent şi eliminarea definitivă a celor cu termen de păstrare expirat, potrivit nomenclatorului arhivistic, cu excepţia situaţiilor prevăzute de lege;
(iv) asigură procesele de introducere a documentelor în sistemul de administrare;
(v) asigură funcţia de căutare a documentelor;
(vi) asigură accesul la documentele stocate în arhivă, cu respectarea regimului de acces stabilit, precum şi prezentarea indiferent de formă (afişare, printare etc.) a documentelor;
(vii) asigură funcţiile de administrare şi ştergere a documentelor, garantându-se controlul operaţiunilor în vederea înlăturării riscului accesului neautorizat la documente şi al distrugerii necorespunzătoare de documente;
c) datele de identificare a centrului de date care găzduieşte arhiva electronică;
d) politica şi procedurile referitoare la securitatea şi conservarea datelor, inclusiv politica de protecţie a datelor cu caracter personal;
e) declarația pe proprie răspundere a reprezentantului legal al societății având calitatea de operator de date cu caracter personal din care să rezulte respectarea cerințelor aplicabile în materia protecției datelor cu caracter personal[1].
Notificarea şi documentele anexate se transmit la sediul MCSI, iar aceasta este considerată realizată dacă au fost îndeplinite toate cerinţele legale privind transmiterea, forma şi conţinutul său.
Solicitantul care a realizat notificarea în termenul şi în condiţiile aplicabile[2], dobândeşte calitatea de Administrator de la data indicată în formularul-tip al notificării ca fiind data estimativă a începerii activităţii, însă nu mai devreme de 30 de zile de la data realizării notificării.
3. Cerințe cu privire la modalitate de administrare a arhivei electronice
În ceea ce privește adminstrarea arhivei electronice, Administratorul are obligaţia de a crea şi de a opera un registru în formă electronică care trebuie să îndeplinească anumite condiții privind conţinutul minimal şi structura acestuia[3].
Arhivarea electronică a documentelor este guvernată de aceleaşi reguli ca şi în cazul documentelor pe suport hârtie şi se supune prevederilor legislaţiei arhivistice în vigoare, cu următoarele precizări:
a) înregistrarea documentelor în formă electronică de către sistemul electronic de arhivare atestă existenţa oficială a documentelor respective. Numărul de înregistrare identifică în mod unic documentul în cadrul sistemului. Odată înregistrat, documentul nu mai poate suferi niciun fel de modificări de conţinut. Concomitent cu înregistrarea se completează fişa electronică a documentului, cu respectarea condițiilor legale[4];
b) în cazul în care documentele sunt transferate din sistem, respectiv migrate de pe suportul iniţial, evidenţa documentelor pe noile suporturi va include evidenţa suporturilor externe şi evidenţa conţinutului documentelor cuprinse. De asemenea, pe un suport extern vor fi grupate documentele cu acelaşi termen de păstrare;
c) sistemul de administrare a documentelor electronice trebuie să genereze automat o evidenţă de auditare, în care sunt înregistrate, fără posibilitatea de a fi modificate, toate deciziile şi acţiunile care se produc asupra unui document din momentul înregistrării şi până la distrugerea sau transferul acestuia către Arhivele Naţionale;
d) documentele şi dosarele arhivate în formă electronică vor fi cuprinse în nomenclatorul arhivistic al societății, precizându-se la rubrica „Observaţii”: „în formă electronică”.
4. Condiții privind centrul de date (serverul utilizat pentru stocarea documentelor)
În vederea depozitării arhivelor electronice, Administratorii trebuie să utilizeze centre de date care să dispună de dotările tehnice şi să aplice politicile şi procedurile de management şi de securitate necesare pentru a îndeplini următoarele condiţii:
a) integrităţii şi securităţii documentelor în formă electronică;
b) securităţii şi integrităţii spaţiului ocupat de echipamentele care găzduiesc arhivele electronice;
c) recuperării informaţiei în urma dezastrelor naturale, conform reglementărilor în vigoare.
Centrele de date utilizate de către Administratori trebuie să îndeplinescă anumite cerințe minime și să se supună autorizării prealabile a MCSI[5], urmând procedura concepută în acest sens.
Astfel, cu titlu general, procedura se desfășoara la cererea persoanelor interesate, obiectivele principale urmărite de MCSI în cursul procedurii de autorizare pentru verificarea îndeplinirii acestor condiţii fiind următoarele:
– asigurarea securităţii şi integrităţii datelor, la nivel de securitate fizică şi acces prin mijloace informatice;
– disponibilitatea serviciului de arhivare electronică şi backupul informaţiilor stocate.
Autorizarea centrului de date are loc în baza unui audit efectuat de către MCSI. Auditul se realizează pe cheltuiala solicitantului autorizării centrului de date.
În ceea ce privește locul centrului de date, acesta poate fi situat atât pe teritoriul României, cât și în afara acestuia. Astfel, pentru cazurile în care centrul de date este situat în afara ţării, auditarea sistemului se face prin una din următoarele metode:
a) auditorul român va audita sistemele din străinătate;
b) auditorul român agreează auditarea sistemului din străinătate de către personal cu calificare similară din acea ţară;
c) auditorul român îşi va baza atestatul pe documente/atestate emise în ţara în care rulează sistemul şi care au un grad de asigurare corespunzător.
Cu toate acestea, întreaga documentaţie legată de procedura de autorizare trebuie întocmită în limba română.
Spre deosebire de acreditarea în vederea administrării arhivei electronice a cărei valabilitate nu este limitată la o anumită perioadă, ordinul de autorizare este valabil pentru o perioadă de 3 ani de la data emiterii acestuia. Autorizarea poate fi reînnoită, procedura de reautorizare fiind identică cu cea de autorizare.
Sursa:
[1] cerințele aplicabile prevăzute de Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date
[2] Ordinul 493/2009
[3] Ordinul 493/2020
[4] Legea 135/2007
[5] Ordinul nr. 489/2009 privind normele metodologice de autorizare a centrelor de date („Ordinul 489/2009”)
[1] Legea 135/2007 privind arhivarea documentelor în formă electronică, varianta republicată, cu modificările și completările ulterioare („Legea 135/2007”)
[2] Legea 135/2007
[3] Ordinul nr. 493/2009 privind normele tehnice şi metodologice pentru aplicarea Legii nr. 135/2007 privind arhivarea documentelor în formă electronică („Ordinul 493/2009”),