România trebuia să dezvolte sau să mute în Cloudul Guvernamental cel puțin 30 de aplicații ale instituțiilor publice, una dintre țintele asumate prin PNRR. Autoritatea pentru Digitalizarea României (ADR) spune că a depășit cu mult obiectivul: 62 de aplicații și sisteme informatice de la 40 de instituții publice au fost adaptate și migrate. StartupCafe.ro a cerut lista lor, pentru a vedea ce a fost mutat efectiv în cloud, cine a făcut lucrările și cât au costat. ADR a refuzat însă să comunice inclusiv numele aplicațiilor și ale instituțiilor, invocând motive de securitate.
Cererea noastră nu viza informații tehnice sensibile. Am precizat explicit că nu solicităm cod-sursă, arhitectură detaliată, adrese IP, configurații de securitate, vulnerabilități, credențiale sau alte date care ar putea expune sistemele informatice ale statului.
Am cerut lista celor 62 de aplicații, instituția căreia îi aparține fiecare, serviciul pe care îl oferă, momentul în care a fost finalizată și recepționată migrarea, firma care a realizat-o și contractul prin care a fost plătită. Cu alte cuvinte, am vrut să putem verifica ce s-a făcut cu banii publici și cum s-a ajuns la cifra de 62 anunțată de ADR.
Ținta europeană este, de altfel, una foarte concretă. România trebuia să ajungă la cel puțin 30 de aplicații guvernamentale cloud-native sau cloud-ready, dezvoltate ori migrate către infrastructura de cloud.
Indicatorul nu se măsoară în procente de progres sau în numărul de servere instalate, ci în număr de aplicații. ADR spune acum că a ajuns la 62, adică la mai mult decât dublul țintei.
Numai că lista pe baza căreia această performanță ar putea fi verificată nu este publică.
ADR nu spune nici măcar care sunt cele 40 de instituții
În răspunsul transmis StartupCafe.ro, ADR spune că „numele instituțiilor care au aplicații migrate în Cloudul Privat Guvernamental nu se pot transmite” și invocă art. 12 alin. (1) lit. a) din Legea 544/2001, arătând că divulgarea informațiilor ar putea afecta securitatea infrastructurilor și sistemelor informatice aferente Cloudului Privat Guvernamental.
Textul de lege invocat de instituție exceptează însă de la accesul public informațiile din domeniul apărării naționale, siguranței și ordinii publice dacă acestea fac parte din categoriile informațiilor clasificate potrivit legii. În răspunsul transmis nouă, ADR nu indică un act de clasificare pentru denumirile celor 62 de aplicații sau ale celor 40 de instituții, nu precizează un nivel de secretizare și nici nu explică separat de ce simpla denumire a unei aplicații ori identificarea instituției beneficiare ar pune în pericol securitatea Cloudului Guvernamental.
În solicitarea transmisă ADR am cerut ca, pentru fiecare informație refuzată, instituția să indice temeiul legal concret al exceptării și prejudiciul pe care divulgarea l-ar putea produce. Am cerut, de asemenea, ca eventualele informații exceptate să fie eliminate, iar restul documentelor să fie comunicat.
Refuzul ridică însă o problemă mai simplă decât disputa juridică. Dacă ținta PNRR este de 30 de aplicații, pentru a demonstra că ai atins-o trebuie să poți individualiza aplicațiile pe care le-ai numărat. Iar dacă anunți că ai ajuns nu la 30, ci la 62, trebuie să existe undeva o evidență care să arate care sunt cele 62.
StartupCafe.ro nu susține că cifra comunicată de ADR este greșită. Problema este că, în lipsa listei, ea nu poate fi verificată independent. Nu putem vedea dacă toate cele 62 de migrări au fost finalizate și recepționate, ce instituții sunt beneficiare sau dacă toate elementele numărate reprezintă aplicații distincte.
Situația este cu atât mai greu de explicat prin argumentul securității cu cât statul publică deja informații destul de concrete despre Cloudul Guvernamental. ADR spune public unde se află centrele de date și oferă informații despre infrastructură și nivelurile de reziliență. Mai mult, există platforme pentru care chiar autoritățile precizează public că sunt găzduite în Cloudul Privat Guvernamental. Pe pagina Catalogului Național al Serviciilor Publice apare explicit această informație.
Cu alte cuvinte, asocierea dintre numele unei aplicații și Cloudul Guvernamental nu este tratată în toate situațiile ca o informație care trebuie ascunsă. De aici apare întrebarea firească: dacă statul poate spune public că o anumită platformă este găzduită în cloud, de ce nu poate spune care sunt cele 62 de aplicații cu care ADR își măsoară depășirea țintei PNRR?
Aproape 19 milioane EUR în contracte pe care le-am putut identifica
În paralel, StartupCafe.ro a încercat să refacă din datele publice partea financiară a proiectului. Am identificat 18 contracte subsecvente pentru migrarea aplicațiilor, cu o valoare cumulată de aproximativ 100,77 milioane de lei fără TVA, echivalentul a circa 19 milioane de euro.
Din datele de achiziții se pot vedea firmele care au primit contractele și sumele. Printre contractanți apar companii precum Endava România, NTT Data România, PwC Management Consultants, Wing Leading Edge, Altimate, AROBS Systems, Trencadis, Metaminds, Maguay Computers sau Phoenix IT.
Ce nu am reușit să reconstruim din documentele publice consultate este corespondența completă dintre fiecare contract și aplicațiile migrate în baza lui.
Cel mai mare contract pe care l-am identificat are o valoare de 66,38 milioane de lei fără TVA și a fost atribuit asocierii Maguay Computers–Phoenix IT, două companii controlate de membri ai familiei Pughin. Numai acest contract reprezintă aproape două treimi din valoarea totală a celor 18 contracte subsecvente de migrare pe care le-am identificat.
Putem vedea, așadar, cine a primit cei 66,38 milioane de lei și cât valorează contractul. Nu am putut identifica însă în informațiile publice aferente atribuirii ce aplicație sau ce grup de aplicații ale statului au fost migrate cu acești bani.
Aceeași problemă apare și la celelalte contracte: putem reconstitui o parte importantă din traseul banilor, dar nu putem pune alături, într-o imagine completă, aplicația, instituția beneficiară, firma care a făcut migrarea și suma plătită.
Asemenea liste trebuie să existe în documentația proiectului. Mai mult, în cazul unuia dintre contractele de audit tehnic apare chiar o anexă denumită explicit „Lista aplicațiilor”. StartupCafe.ro a cerut atât forma inițială a anexei, cât și versiunea modificată ulterior prin act adițional. ADR nu ne-a transmis-o.
Instituția a confirmat totuși că în documentația acelui contract fusese identificată o eroare materială, ulterior corectată. Așadar, lista aplicațiilor nu este un document pe care ADR ar trebui să îl construiască acum special pentru presă. Ea există deja în circuitul administrativ și contractual al proiectului.
România avea de atins o țintă de 30 de aplicații. ADR spune că a ajuns la 62, ceea ce, dacă este confirmat, înseamnă o depășire importantă a obiectivului asumat prin PNRR. Tocmai de aceea, rezultatul ar trebui să poată fi verificat.
Deocamdată, vedem cifra finală, vedem o parte din contracte și firmele care au primit banii. Ceea ce nu vedem este lista din care rezultă cifra.