Cybersecurity directorate's essential-services registration upheld in healthcare sector challenge.

Şedinţa publică din data de 14 februarie 2024

Asupra recursului de faţă;

Din examinarea lucrărilor din dosar, constată următoarele:

I. Circumstanţele cauzei

1. Obiectul cererii de chemare în judecată

Prin cererea de chemare în judecată înregistrată pe rolul Curţii de Apel Bucureşti, secţia a IX-a contencios administrativ şi fiscal la data de 15 noiembrie 2022, reclamanta Direcţia de Sănătate Publică Argeş, în contradictoriu cu pârâtul Directoratul Naţional de Securitate Cibernetică, a solicitat instanţei să dispună anularea şi suspendarea executării actului administrativ - Decizia Directorului DNSC nr. 7017/II/A din 14 martie 2022, comunicată DSP Argeş prin poştă electronică pe data de 28 martie 2022 şi înregistrată sub nr. x/28.03.2022, cu consecinţa radierii DSP Argeş din Registrul Operatorilor de Servicii Esenţiale (ROSE).

2. Hotărârea instanţei de fond

Prin sentinţa civilă nr. 991 din 31 mai 2023, Curtea de Apel Bucureşti, secţia a IX-a contencios administrativ şi fiscal a dispus următoarele:

- a respins ca nefondată excepţia tardivităţii procedurii administrative prealabile şi, în consecinţă, a respins ca nefondată şi excepţia inadmisibilităţii acţiunii;

- a respins ca nefondată cererea de anulare şi de suspendare a executării deciziei nr. 7017/II/A/14.03.2022, formulată de reclamanta Direcţia de Sănătate Publică Argeş, în contradictoriu cu pârâtul Directoratul Naţional de Securitate Cibernetică.

3. Calea de atac exercitată în cauză

Împotriva sentinţei civile nr. 991 din 31 mai 2023, pronunţată de Curtea de Apel Bucureşti, secţia a IX-a contencios administrativ şi fiscal, a declarat recurs reclamanta Direcţia de Sănătate Publică Argeş, întemeiat pe prevederile art. 488 alin. (1) pct. 8 C. proc. civ., solicitând admiterea recursului, casarea sentinţei recurate şi, în rejudecare, admiterea cererii de chemare în judecată.

Recurenta-reclamantă a învederat, în esenţă, că instanţa de fond a inclus DSP Argeş printre entităţiile ce au calitatea de operator de servicii esenţiale (acronim "OSE") fără a observa prevederile art. 3 lit. h) din Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a reţelelor şi sistemelor informatice. Astfel, eroarea instanţei provine din aceea că nu a făcut o analiză atentă a definiţiei unui OSE, definiţie dată de art. 3 lit. h) din Legea nr. 362/2018 şi nu a ţinut cont că pentru a fi OSE nu este necesar doar ca entitatea să furnizeze servicii care îndeplinesc condiţiile prevăzute la art. 6 alin. (1), ci mai trebuie să fie şi de tipul celor din anexa legii. De fapt, ordinea de analiză este inversă, contrar celor reţinute de instanţa de fond, şi anume că întâi se are în vedere tipul de entitate şi apoi să furnizeze servicii esenţiale.

Concluzia instanţei de fond în sensul că "Prin urmare, reclamanta porneşte de la o premiză greşită, anume aceea că încadrarea sa în categoria operatorilor s-ar raporta în mod exclusiv la anexa Legii nr. 362/2018, iar nu la anexa H.G. nr. 963/2020" este eronată câtă vreme în definiţia OSE, dată de art. 3 lit. h) din Legea nr. 362/2018, legiuitorul a optat să dea prioritate tipului de entitate, prin raportare la anexa legii şi abia ulterior serviciului prestat. Deşi cele două acte normative se pot aplica în completare, acest lucru se face numai atunci când operatorul este de tipul celor din anexa legii cât şi dacă prestează servicii esenţiale. Astfel că, nicio entitate nu poate fi considerată OSE, cu consecinţa obligaţiei a se înscrie ROSE, dacă nu se regăseşte printre cele enumerate în anexa Legii nr. 362/2018, chiar dacă s-ar putea admite că furnizează servicii esenţiale de tipul celor identificate şi condificate de H.G. nr. 963/2020.

Concluzia instanţei de fond şi anume "Cu toate acestea, anexa la Legea nr. 362/2018 nici nu excludea, dar nici nu includea în mod explicit DSP-urile", este eronată, întrucât actul normativ exclude în mod evident direcţiile de sănătate publică, prin aceea că reglementează în mod clar care sunt entităţile ce pot să fie OSE, prin înscrierea lor în anexa legii. Or, interpretând logic art. 3 lit. h) şi anexa legii, se ajunge la concluzia că numai acele entităţi ce sunt "furnizori de servicii medicale, astfel cum sunt definiţi în Hotărârea Guvernului nr. 304/2014 pentru aprobarea Normelor metodologice privind asistenţa medicală transfrontalieră, cu modificările ulterioare", deci cu excluderea oricărei alte entităţi.

Nu în ultimul rând, recurenta-reclamantă a susţinut că dezlegarea problemei litigioase nu se poate face pe baza Directivei (UE) nr. 1148/2016 privind măsuri pentru un nivel comun ridicat de securitate a reţelelor şi a sistemelor informatice în Uniune şi nici a Directivei 2011/24/UE a Parlamentului European şi a Consiliului, întrucât acestea nu fac parte din dreptul intern, nepunându-se deci problema precedenţei aplicării lor indiferent de domeniu.

4. Apărările formulate în cauză

Intimatul-pârât Directoratul Naţional de Securitate Cibernetică a formulat întâmpinare, prin care a solicitat respingerea recursului, ca neîntemeiat şi menţinerea ca temeinică şi legală a sentinţei pronunţate de instanţa de fond, reiterând, în esenţă, apărările susţinute în faţa primei instanţe.

II. Soluţia instanţei de recurs

Analizând actele şi lucrările dosarului, precum şi sentinţa recurată, în raport cu motivul de casare invocat, Înalta Curte constată că recursul declarat de reclamanta Direcţia de Sănătate Publică Argeş este nefondat, pentru următoarele considerente:

Motivul de recurs prevăzut de art. 488 alin. (1) pct. 8 C. proc. civ., ce vizează aplicarea sau interpretarea greşită a normelor de drept material este nefondat, iar în acest sens, Înalta Curte are în vedere că, potrivit acestui motiv de recurs, casarea unor hotărâri se poate cere când hotărârea a fost dată cu încălcarea sau aplicarea greşită a normelor de drept material.

Prin intermediul acestui motiv de recurs poate fi invocată numai încălcarea sau aplicarea greşită a legii materiale, nu şi a legii procesuale. Hotărârea a fost dată cu încălcarea sau aplicarea greşită a legii atunci când instanţa a recurs la textele de lege aplicabile speţei dar, fie le-a încălcat, în litera sau spiritul lor, adăugând sau omiţând unele condiţii pe care textele nu le prevăd, fie le-a aplicat greşit.

În cauza de faţă aceste motive nu sunt incidente, soluţia primei instanţe fiind expresia interpretării şi aplicării corecte a prevederilor legale în raport cu starea de fapt rezultată din probele administrate în procedura judiciară.

Astfel, prin Decizia Directorului Directoratului Naţional de Securitate Cibernetică (DNSC) nr. 7017/II/A din 14 martie 2022 s-a dispus înscrierea Direcţiei de Sănătate Publică Argeş (DSP Argeş) în Registrul operatorilor de servicii esenţiale (ROSE) pentru sectorul/subsectorul sănătate/instituţii de asistenţă medicală (inclusiv spitale şi clinici private), temeiul de drept al înscrierii fiind art. 8 alin. (4) şi art. 15 alin. (1) din Legea nr. 361/2018.

Criticile recurentei-reclamante privind greşita aplicare a dispoziţiilor legale incidente în cauză, sunt nefondate.

Înalta Curte constată că problema de drept ce se cere a fi dezlegată în cauză este aceea dacă reclamanta este operator de servicii esenţiale - pentru sectorul/subsectorul sănătate/instituţii de asistenţă medicală şi, în consecinţă, dacă aceasta trebuia înscrisă în registrul operatorilor de servicii esenţiale.

În acest sens, contrar susţinerilor recurentei-reclamante, trebuie avut în vedere întreg ansamblul legislativ naţional şi comunitar, respectiv prevederile de drept ale Uniunii Europene, care, odată cu aderarea României la Uniunea Europeană, au prioritate de aplicare.

Astfel, Directiva (UE) 2016/1148 privind securitatea reţelelor şi a sistemelor informatice propune un set amplu de măsuri în vederea creşterii nivelului de securitate al reţelelor şi a sistemelor informatice (securitatea cibernetică), pentru a asigura servicii vitale pentru economia şi societatea UE. Aceasta introduce obligaţia furnizorilor de servicii esenţiale şi a furnizorilor de servicii digitale de a lua măsurile de securitate corespunzătoare şi de a notifica autorităţile naţionale competente cu privire la incidente grave.

La art. 4 alin. (4), Directiva prevede că:

"operator de servicii esenţiale" înseamnă o entitate publică sau privată de tipul menţionat în anexa II care îndeplineşte criteriile prevăzute la articolul 5 alin. (2).

Art. 5 alin. (2) din Directivă prevede:

(2) Criteriile pentru identificarea furnizorilor de servicii esenţiale menţionaţi la articolul 4 punctul 4 sunt următoarele:

(a) o entitate furnizează un serviciu esenţial pentru susţinerea activităţilor societale şi/sau economice de cea mai mare importanţă;

(b) furnizarea serviciului respectiv depinde de reţea şi de sistemele informatice; şi

(c)un incident ar avea efecte perturbatoare semnificative asupra furnizării serviciului.

În anexa II, Directiva menţionată prevede: Sectorul sănătăţii - Instituţii de asistenţă medicală (inclusiv spitale şi clinici private) - Furnizori de servicii medicale, astfel cum sunt definiţi la articolul 3 litera (g) din Directiva 2011/24/UE a Parlamentului European şi a Consiliului.

Referitor la Directiva 2011/24/UE, în acord cu jurisprudenţa Curţii de Justiţie a Uniunii Europene, aşa cum corect a evidenţiat instanţa de fond, prestaţiile medicale furnizate în schimbul unei remuneraţii sunt reprezentate de îngrijirile acordate atât în cadrul unui spital, cât şi în afara unui astfel de cadru. Cu toate că jurisprudenta europeană vizează în mod specific procedura decontării transfrontaliere, totuşi este avută în vedere sfera largă de aplicare a domeniului asistenţă medicală şi atingerea scopului esenţial, respectiv, cel de evaluare, menţinere sau refacere a stării de sănătate a pacientului, fiind incluse aici toate tipurile de asistenţă medicală, nereducându-se nici la serviciile prestate în unităţile spitaliceşti (publice sau private) şi nici la caracterul de serviciu contra-cost sau gratuit.

Totodată, aşa cum rezultă din preambulul acesteia:

- În conformitate cu articolul 168 alin. (1) din Tratatul privind funcţionarea Uniunii Europene (TFUE), la definirea şi punerea în aplicare a tuturor politicilor şi acţiunilor Uniunii se asigură un nivel ridicat de protecţie a sănătăţii umane. Aceasta implică asigurarea unui nivel ridicat de protecţie a sănătăţii umane şi atunci când Uniunea adoptă acte în temeiul altor dispoziţii ale tratatului (pct. 1);

- Sistemele de sănătate din Uniune reprezintă o componentă centrală a nivelurilor ridicate de protecţie socială ale Uniunii şi contribuie atât la coeziunea socială şi la justiţia socială, cât şi la dezvoltarea durabilă. Acestea fac parte, de asemenea, din cadrul mai larg al serviciilor de interes general (pct. 3);

- Astfel cum a confirmat Curtea de Justiţie a Uniunii Europene (denumită în continuare "Curtea de Justiţie") în repetate rânduri, recunoscând în acelaşi timp natura lor specifică, toate tipurile de asistenţă medicală intră în domeniul de aplicare al TFUE (pct. 6);

- Prezenta directivă urmăreşte să stabilească norme care au ca scop să faciliteze accesul la o asistenţă medicală transfrontalieră sigură şi de înaltă calitate în Uniune şi să asigure mobilitatea pacienţilor în conformitate cu principiile stabilite de Curtea de Justiţie, precum şi să promoveze cooperarea între statele membre în domeniul asistenţei medicale, respectând totodată pe deplin responsabilităţile statelor membre în ceea ce priveşte definirea prestaţiilor de securitate socială în domeniul sănătăţii şi în ceea ce priveşte organizarea şi furnizarea de asistenţă medicală, de îngrijiri medicale şi de prestaţii de securitate socială, în special în caz de boală (pct. 10);

- Curtea de Justiţie a recunoscut că obiectivul asigurării unui serviciu medical şi spitalicesc echilibrat şi accesibil tuturor poate face, de asemenea, obiectul uneia dintre derogările, din motive de sănătate publică, prevăzute la articolul 52 din TFUE, în măsura în care contribuie la atingerea unui nivel ridicat de protecţie a sănătăţii (pct. 12);

- Prezenta directivă ar trebui să nu se aplice serviciilor al căror scop principal îl constituie ajutorul acordat persoanelor care necesită asistenţă pentru îndeplinirea sarcinilor zilnice, de rutină. Mai precis, prezenta directivă ar trebui să nu se aplice acelor servicii de îngrijire pe termen lung considerate necesare pentru a permite persoanei care necesită îngrijire să-şi continue existenţa în cel mai natural şi autonom mod posibil. Astfel, prezenta directivă nu ar trebui să se aplice, de exemplu, serviciilor de îngrijire pe termen lung furnizate de către servicii de îngrijire la domiciliu, în unităţi specializate de asistenţă socială şi în cămine ("case de îngrijire") (pct. 14).

În ceea ce priveşte Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a reţelelor şi sistemelor informatice, se reţine că a intrat în vigoare în data de 12 ianuarie 2019 şi este actul normativ de ordin primar care stabileşte cadrul juridic şi instituţional, măsurile şi mecanismele necesare în vederea asigurării unui nivel comun ridicat de securitate a reţelelor şi sistemelor informatice şi care transpune, la nivel naţional, Directiva 2016/1148 privind asigurarea unui nivel comun ridicat de securitate a reţelelor şi sistemelor informatice.

Potrivit art. 8 al Legii nr. 362/2018, pentru înscrierea în ROSE, o entitate trebuie să îndeplinească, cumulativ, următoarele condiţii:

- să îndeplinească condiţiile şi criteriile prevăzute la art. 6 din lege şi

- să activeze într-unul sau mai multe dintre sectoarele sau subsectoarele de activitate prevăzute în anexa la lege,

- Legea nr. 362/2018 stabilind că aceste entităţi au obligaţia să notifice CERT-RO în vederea înscrierii în Registrul operatorilor de servicii esenţiale.

Totodată, H.G. nr. 963/2020 vine în aplicarea Legii nr. 362/2018, astfel cum este menţionat şi în preambulul acesteia "în temeiul art. 108 din Constituţia României, republicată, şi al art. 20 lit. r) din Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a reţelelor şi sistemelor informatice, cu modificările şi completările ulterioare, Guvernul României adoptă prezenta hotărâre". Aşadar, H.G. nr. 963/2020 este un act normativ secundar, în vigoare şi aplicabil recurentei-reclamante de la momentul autoevaluării, iar suplimentar Anexei Legii nr. 362/2018, Anexa H.G. nr. 963/2020 detaliază serviciile esenţiale şi categoriile acestora, tipul de activitate fiind furnizorii de servicii medicale definiţi în H.G. nr. 304/2014.

Prin urmare, aşa cum reiese şi din analiza corectă a instanţei de fond, Legea nr. 362/2018 enunţă criteriile generale de stabilire a unui serviciu ca fiind considerat esenţial, iar H.G. nr. 963/2020 clarifică sfera noţiunii de serviciu esenţial, Anexa la Legea nr. 362/2018 având acest rol de detaliere.

Nu în ultimul rând, se are în vedere Ordinul Ministerului Comunicaţiilor şi Societăţii Informaţionale (MCSI) nr. 599 din 21 iunie 2019 privind aprobarea Normelor metodologice de identificare a operatorilor de servicii esenţiale şi furnizorilor de servicii digitale, ce are ca obiect stabilirea procedurilor pe care le implică identificarea atât a operatorilor de servicii esenţiale (OSE), cât şi a furnizorilor de servicii digitale (FSD), pentru înscrierea în Registrul operatorilor de servicii esenţiale, respectiv în Registrul de evidenţă a furnizorilor de servicii digitale. În acord cu prevederile art. 3 din Ordinul nr. 599/2019, "În vederea înscrierii în Registrul operatorilor de servicii esenţiale, operatorii economici şi celelalte entităţi care operează ori furnizează servicii în cadrul sectoarelor şi subsectoarelor definite în anexa la Legea nr. 362/2018, cu modificările şi completările ulterioare, ori furnizează servicii esenţiale din lista prevăzută la art. 20 lit. r) din aceeaşi lege au obligaţia de se autoevalua cu privire la îndeplinirea criteriilor şi încadrarea în valorile de prag prevăzute la art. 6 din lege."

Prin excepţie, identificarea în vederea înscrierii în Registrul operatorilor de servicii esenţiale se poate face şi de către DNSC din oficiu în vederea îndeplinirii obligaţiilor legale ce îi revin sau în urma unei sesizări privind sustragerea de la obligaţia de notificare şi înscriere în Registrul operatorilor de servicii esenţiale făcută de către orice persoană interesată, aducând la cunoştinţa entităţii vizate declanşarea procedurii de identificare şi comunicând la final operatorului rezultatul acesteia, conform art. 8 alin. (1) din Legea nr. 362/2018, atât Ordinul MSCI nr. 599/2019, cât şi Ordinul MCSI nr. 600/2019 privind aprobarea Normelor metodologice de organizare şi funcţionare a Registrului operatorilor de servicii esenţiale, făcând parte din legislaţia secundară de transpunere a Directivei 2016/1148.

În ceea ce priveşte activitatea recurentei-reclamante, se retine că, potrivit Regulamentului său de organizare şi funcţionare, aceasta are competenţe şi atribuţii în următoarele domenii:

- are atribuţii în domeniul asistenţei medicale şi a programelor de sănătate - lit. e) evaluează asistenţa medicală acordată gravidei, lăuzei şi nou-născutului);

- dispune de un Biroul/Compartimentul control unităţi si servicii de sănătate;

- lit. j) recoltează şi aplică elemente de securizare la probele recoltate în cadrul activităţii de inspecţie, precum şi contraprobele;

- are atribuţii în domeniul activităţii Laboratorului de diagnostic şi investigare în sănătate publică;

- D1 diagnostic microbiologic:

a) participă la efectuarea investigaţiilor epidemiologice prin recoltarea şi prelucrarea de probe bacteoriologice, virusologice, serologice, imunologice şi parazitologice, pentru supravegherea şi controlul bolilor transmisibile, în conformitate cu metodologiile legale în vigoare;

b) asigură diagnosticul etiologic pentru bolile infecţioase identificate în cadrul programului naţional de supraveghere epidemiologică dacă prestaţia nu poate fi asigurată prin unitatea de îngrijire a cazului sau este solicitat în acest sens;

c) asigură transmiterea probelor biologice la structurile regionale/naţionale în vederea caracterizării circulaţiei germenilor pe teritoriul naţional, în conformitate cu reglementările metodologice ale Institutului Naţional de Sănătate publică;

d) efectuează analize microbiologice la solicitarea serviciului de control în sănătate publică, cu aprobarea inspectorului şef al serviciului de control în sănătate publică;

h) efectuează analize microbiologice din probe de apă, aer, alimente şi factori de mediu, prevăzute în programele naţionale şi locale de sănătate, la solicitarea serviciului de evaluare a factorilor de risc din mediu conform metodologiei reglementate;

j) efectuează analize microbiologice la cererea unor beneficiari, pentru care se percep taxe;

- D2 chimie sanitară şi/sau toxicologie:

a) efectuează analize fizico-chimice şi toxicologice din probe biologie, apă, aer, alimente şi alţi factori de mediu pentru evaluarea obiectivă a conformităţii produselor şi a riscurilor de sănătate;

b) efectuează analize fizico-chimice şi toxicologice la solicitarea serviciului de control în sănătate publică, cu aprobarea inspectorului şef al serviciului de control în sănătate publică;

c) efectuează analize fizico-chimice şi toxicologice la cererea unor beneficiari, pentru care se percep taxe;

- are atribuţii în domeniul supravegherii în sănătate publică, iar la secţiunea E. Laboratorul igiena radiaţiilor lit. l) efectuează investigaţii medicale şi epidemiologice, identifică şi coordonează măsurile necesare pentru limitarea focarelor de boală transmisibilă în colectivităţi şi C. civ.) efectuează, la cererea terţilor, consultanţă sau prestaţii de specialitate în domeniul de competenţă;

- are atribuţii în managementul produselor antiepidemice:

a) asigură depozitarea şi distribuirea în teritoriul arondat a vaccinurilor şi a celorlalte produse biologice şi materiale necesare desfăşurării activităţii de medicină preventivă;

b) asigură depozitarea şi livrarea produselor DDD necesare intervenţiei în focarele de boli transmisibile;

c) asigură aprovizionarea laboratoarelor proprii şi a altor unităţi sanitare cu medii de cultură, seruri de diagnostic, sticlărie, reactivi, kituri si alte materiale consumabile, în vederea realizării activităţilor cuprinse în programele de medicină preventivă;

d) asigură depozitarea şi distribuirea în teritoriul arondat a produselor din componenţa rezervei antiepidemice în caz de calamitate sau alte situaţii de risc.

Aşadar, contrar susţinerilor recurentei-reclamante, conform atribuţiilor anterior menţionate, aceasta prestează servicii esenţiale, identificate în H.G. nr. 963/2020, respectiv servicii medicale de prevenţie, diagnostic, tratament şi/sau îngrijiri de sănătate - J11, depozitare şi/sau distribuire de medicamente - J12, precum şi laboratoare de analiză şi diagnostic - J14.

În condiţiile în care recurenta-reclamantă este instituţie de asistenţă medicală în sensul Directivei 2011/24, în consecinţă, aceasta este operator de servicii esenţiale prevăzut în anexa la H.G. nr. 963/2020, având obligaţia prevăzută de art. 8 al Legii nr. 362/2018, de înscriere în ROSE.

Prin urmare, Înalta Curte constată că sentinţa recurată este legală, fiind dată cu corecta interpretare şi aplicare a normelor de drept incidente circumstanţelor de fapt reţinute în cauză, motivele invocate de pârât prin cererea de recurs nefiind în măsură să conducă la reformarea acesteia.

Pentru considerentele expuse, nefiind identificat motivul de casare a sentinţei prin prisma prevederilor art. 488 alin. (1) pct. 8 C. proc. civ., Înalta Curte, în temeiul dispoziţiilor art. 20 alin. (3) din Legea contenciosului administrativ nr. 554/2004, coroborat cu art. 496 alin. (1) C. proc. civ., va respinge recursul declarat de recurenta-reclamantă Direcţia de Sănătate Publică Argeş, ca nefondat.

PENTRU ACESTE MOTIVE

ÎN NUMELE LEGII

D E C I D E

Respinge recursul declarat de recurenta-reclamantă Direcţia de Sănătate Publică Argeş împotriva sentinţei civile nr. 991 din 31 mai 2023 a Curţii de Apel Bucureşti, secţia a IX-a contencios administrativ şi fiscal, ca nefondat.

Definitivă.

Pronunţată astăzi, 14 februarie 2024, prin punerea soluţiei la dispoziţia părţilor prin mijlocirea grefei instanţei.