Se întâmplă mai des decât am vrea. Cineva completează greșit câmpul „Către” și un e-mail cu o listă de salariați ajunge la tine. Un furnizor îți trimite, atașat, fișierul altui client. Ridici de la imprimanta comună o foaie care nu e a ta, plină de date personale. Sau deschizi un plic ce purta numele altcuiva. În toate aceste cazuri ești o persoană corectă care, brusc, ține în mână informații despre cineva pe care nu îl cunoști și pe care nu ar fi trebuit să le vadă.
Vestea bună este că, dacă reacționezi bine, totul se rezolvă repede și fără urmări. Vestea pe care mulți o ignoră este că reacția greșită — chiar bine intenționată — poate transforma o scăpare a altcuiva într-o problemă a ta. Acest ghid explică, pe înțelesul oricui, ce înseamnă să primești date pe care nu ar fi trebuit să le primești și cum te porți decent și legal.
Ai devenit, în fapt, deținătorul unor date pe care nu ai voie să le folosești
RGPD se construiește în jurul ideii de temei legal: ca să prelucrezi date personale, ai nevoie de o bază din art. 6 (consimțământ, contract, obligație legală, interes legitim ș.a.m.d.). Când datele ajung la tine din greșeală, tu nu ai niciuna dintre aceste baze. Pur și simplu nu există niciun motiv legitim pentru care tu să lucrezi cu acele informații.
Practic, ești un deținător temporar și involuntar. Faptul că informația a ajuns pe ecranul sau pe biroul tău nu îți dă niciun drept asupra ei. Iar „prelucrare” în sensul RGPD înseamnă aproape orice atingi: a citi, a copia, a salva, a printa, a redirecționa, a căuta persoana pe internet. De aceea, prima și cea mai importantă regulă este să te oprești: ceea ce nu ai apucat să vezi, nu te grăbi să vezi.
Dacă sunt implicate categorii speciale de date — sănătate, apartenență sindicală, orientare, convingeri (art. 9 RGPD) — sensibilitatea este și mai mare, iar prudența cu atât mai necesară. Despre cât de ușor scapă astfel de date prin canale banale am scris în articolul despre un incident GDPR cu date medicale într-un Excel.
Ce NU faci: greșelile care transformă o scăpare în problema ta
Lista de mai jos pare evidentă, dar fiecare punct corespunde unei greșeli frecvente, făcute din curiozitate sau din dorința de „a ajuta”:
- Nu citi mai mult decât ai văzut deja. Nu deschide atașamentele, nu derula documentul, nu „verifica” despre cine e vorba.
- Nu folosi informația în niciun scop — nici profesional, nici personal. Nu o pune într-un dosar, nu o salva „ca să nu se piardă”.
- Nu redirecționa și nu partaja. Nu o trimite unui coleg, nu o postezi pe rețele sociale, nu o arăți „ca pe ceva amuzant”. Distribuirea agravează divulgarea.
- Nu contacta persoana vizată. A căuta și a anunța persoana ale cărei date sunt înseamnă o prelucrare suplimentară, neautorizată — și nu este rolul tău.
- Nu păstra „o copie ca dovadă” fără acordul expeditorului. Reținerea neautorizată este, ea însăși, o prelucrare fără temei.
Regula de aur: singura prelucrare permisă este cea minimă, strict necesară pentru a anunța expeditorul și a remedia greșeala. Orice depășește acest minim te scoate din poziția confortabilă de „terț care a primit din greșeală”.
Ce faci, pas cu pas: anunță, apoi șterge sau returnează
Calea corectă este scurtă și are doar câțiva pași:
- Identifică expeditorul. Folosește adresa de e-mail, antetul scrisorii sau datele de contact ale responsabilului cu protecția datelor (DPO) al organizației.
- Anunță-l, sobru și factual. Spune-i că ai primit, din greșeală, ceva ce nu îți era destinat, fără a detalia conținutul mai mult decât e nevoie pentru a-l ajuta să înțeleagă ce s-a întâmplat. Cere instrucțiuni privind ștergerea sau returnarea.
- Rezolvă conform înțelegerii. De regulă, ștergi e-mailul (inclusiv din coșul de gunoi și din elementele trimise, dacă l-ai mutat) sau returnezi ori distrugi documentul prin tocare. Lasă expeditorului decizia între returnare și distrugere.
- Confirmă pe scurt că ai dat curs — o confirmare a ștergerii îl ajută pe operator să-și documenteze incidentul.
Tonul contează. Nu e nevoie de drame și nici de reproșuri: o notificare politicoasă și promptă este exact ce așteaptă un operator responsabil. Reacția ta corectă protejează pe toată lumea — pe tine, persoana ale cărei date sunt și organizația care a greșit.
Este o breșă de date? Da — dar pentru expeditor
Din perspectiva organizației care a trimis greșit, situația este o încălcare a securității datelor cu caracter personal: o divulgare neautorizată a unor date către o persoană care nu trebuia să le primească. Aceasta este definiția unei breșe de confidențialitate, iar tratamentul ei este reglementat de art. 33 și 34 RGPD.
Pe scurt, operatorul care a greșit trebuie să evalueze riscul incidentului. Dacă breșa este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor, el o notifică ANSPDCP în 72 de ore de la momentul în care a luat cunoștință de ea (art. 33). Dacă riscul este ridicat, trebuie să informeze și persoanele vizate (art. 34). Faptul că tu, ca destinatar accidental, ai confirmat ștergerea contează: poate reduce riscul evaluat și, uneori, justifica o concluzie mai blândă. Despre cum arată concret o astfel de notificare am detaliat în ghidul nostru despre notificarea unei breșe către ANSPDCP — când, cum și la ce să te aștepți.
Important de reținut: nu „breșa ta”. Tu nu ești operatorul care a pierdut controlul asupra datelor; tu ești terțul care le-a primit fără să vrea. Obligația de notificare îi revine celui care a greșit. Rolul tău este să nu agravezi situația și să ajuți la limitarea ei — exact ce faci când anunți și ștergi.
Cum previn procesele bune astfel de scăpări
Aceeași logică privește și cealaltă față a monedei: dacă ești organizația care nu vrea să trimită niciodată datele cuiva către altcineva, problema nu se rezolvă cu apeluri la atenție, ci cu procese. Câteva măsuri simple reduc dramatic riscul: dezactivarea completării automate a adreselor sau o confirmare suplimentară pentru destinatarii externi, separarea atașamentelor pe clienți, o scurtă întârziere la trimitere care permite anularea, reguli clare pentru imprimanta comună (ridicare cu cod, fără teancuri uitate) și plicuri verificate de o a doua persoană pentru corespondența sensibilă.
La fel de importantă este pregătirea oamenilor: un angajat care știe dinainte ce să facă atunci când primește date greșite reacționează calm și corect, în loc să improvizeze. Un program GDPR matur include atât aceste controale, cât și un canal clar prin care orice destinatar accidental îți poate semnala rapid scăparea. Dacă vrei ca cineva să se ocupe constant de astfel de procese și de gestionarea incidentelor, un DPO externalizat îți oferă expertiza necesară fără costul unui angajat dedicat.
În concluzie
A primi din greșeală datele altcuiva nu te face vinovat de nimic — dar îți dă o mică responsabilitate, ușor de onorat. Oprește-te, nu folosi și nu împrăștia informația, anunță expeditorul și șterge ori returnează ce ai primit. Atât. Pentru organizația care a greșit, incidentul este o breșă pe care ea o gestionează conform art. 33–34; pentru tine, este o ocazie de a te purta decent. O reacție calmă și corectă transformă o scăpare potențial gravă într-o situație rezolvată în câteva minute.
Întrebări frecvente
Am primit din greșeală datele altcuiva — ce fac?
Te oprești și nu folosești informația. Nu citi mai mult decât ai văzut deja, nu salva, nu printa, nu redirecționa și nu o trimite nimănui. Anunță expeditorul (operatorul) că ai primit ceva ce nu îți era destinat și cere instrucțiuni. Apoi șterge mesajul sau returnează ori distruge documentul în siguranță, conform celor convenite cu expeditorul. Tu nu ai un temei legal ca să prelucrezi acele date — singura prelucrare permisă este cea minimă, necesară pentru a remedia greșeala.
Pot să folosesc sau să șterg datele primite greșit?
Nu le folosi în niciun scop al tău — nu ai un temei din art. 6 RGPD pentru asta, iar dacă sunt date sensibile (art. 9) restricția este și mai strictă. Ștergerea sau distrugerea este, de regulă, soluția corectă, dar ideal o faci după ce ai anunțat expeditorul și ați convenit cum se rezolvă: uneori operatorul are nevoie să confirmi ce ai primit pentru propria evidență a incidentului. Șterge definitiv e-mailul (inclusiv din coșul de gunoi) sau distruge documentul prin tocare; nu îl arhiva și nu îl păstra ca dovadă fără acordul expeditorului.
Trebuie să anunț pe cineva?
Da — anunță expeditorul, adică organizația care a trimis datele greșit (operatorul). Folosește adresa de e-mail, antetul scrisorii sau datele de contact ale responsabilului cu protecția datelor (DPO). Nu contacta persoana ale cărei date sunt (persoana vizată): nu este rolul tău, iar a o căuta înseamnă o prelucrare suplimentară. Decizia de a notifica autoritatea (ANSPDCP) și persoanele vizate îi revine operatorului care a greșit, nu ție.
Este o breșă de date?
Pentru organizația care a trimis greșit, da — este o încălcare a securității datelor cu caracter personal (o divulgare neautorizată), care intră sub art. 33 și, după caz, art. 34 RGPD. Operatorul trebuie să o evalueze și, dacă există un risc, să o notifice ANSPDCP în 72 de ore și, la risc ridicat, să informeze persoanele vizate. Pentru tine, cel care a primit din greșeală, nu este „breșa ta”: rolul tău este să nu agravezi situația și să ajuți la limitarea ei prin ștergere sau returnare.
Ai un incident GDPR și nu știi cum să procedezi?
Te ajutăm să evaluezi corect o breșă de date, să notifici ANSPDCP la timp și să construiești procese care previn astfel de scăpări. Îți punem la dispoziție și un DPO externalizat — independent, cu expertiză la zi și fără costul unui angajat în plus.