Când apare o breșă de date, ai 72 de ore să anunți autoritatea, iar în acel interval trebuie să aduni informații, să evaluezi riscul și să completezi o notificare. Până acum, fiecare autoritate avea propriul formular, cu propriile câmpuri. Pentru o firmă care are reprezentare în mai multe țări, asta însemna tot atâtea variante de completat.
Aici intervine noutatea: EDPB a adoptat un template comun pentru aceste notificări. Hai să-l luăm analizam.
Ce a adoptat EDPB, mai exact
Pe 8 iunie 2026, EDPB a adoptat versiunea 1.0 a unui template pentru notificarea breșelor de date cu caracter personal și l-a lansat în consultare publică. Documentul emis este un formular structurat, cu un set comun de câmpuri, pe care orice operator îl poate folosi ca să anunțe o breșă către o autoritate de supraveghere.
Notificare nu trebuie să fie un text precum o compunere de gimaziu. Dacă toți completează aceleași rubrici, autoritatea primește de fiecare dată informația de care are nevoie, iar operatorul nu mai ghicește ce să scrie. Fiind în consultare publică, textul se poate încă rafina, dar este un standard de raportare a incidentelor, valabil în toată Uniunea.
De ce un template comun
Răspunsul are două părți. Prima ține de notificările incomplete. Sub presiunea celor 72 de ore, e ușor să uiți un detaliu, iar o notificare la care lipsesc informații înseamnă reveniri și întârzieri. Un formular cu câmpuri clare te ghidează să nu sari peste nimic.
A doua ține de fragmentare. O companie prezentă în cinci țări se lovea de cinci formulare diferite. Un template unic, plus mecanismul ghișeului unic pentru cazurile transfrontaliere, transformă un proces imprevizibil într-unul predictibil. Mai puțin timp pierdut pe formă, mai mult timp pentru ce contează cu adevărat: limitarea pagubei.
Când îl folosești
Template-ul este de ajutor și recomandat atunci când ai deja obligația de a notifica, adică în situațiile din articolul 33 GDPR: o breșă care poate genera un risc pentru drepturile și libertățile persoanelor se anunță autorității în cel mult 72 de ore de când ai luat cunoștință de ea.
Câteva lucruri practice pe care formularul le tratează explicit:
- Notificare nouă sau de continuare. Dacă nu ai toate datele în primele 72 de ore, trimiți o notificare preliminară (incompletă) și revii cu una complementară. Formularul prevede exact acest flux în etape.
- Retragerea unei notificări. Dacă, după analiză, se dovedește că nu există risc sau că a fost o eroare ori un duplicat, o poți retrage.
- Comunicarea către persoane. Când riscul este ridicat, nu anunți doar autoritatea, ci și persoanele afectate (articolul 34). Template-ul are o secțiune dedicată acestei comunicări.
Atenție: nu orice incident se notifică. Logica rămâne bazată pe risc. Despre cum decurge concret notificarea către autoritatea din România am scris pe larg în articolul despre notificarea unei breșe la ANSPDCP.
Cine îl completează și cui se trimite
Răspunsul scurt: îl completează operatorul de date, iar destinatarul este autoritatea de supraveghere.
În practică, persoana care raportează este, de obicei, responsabilul cu protecția datelor (DPO) sau un reprezentant legal ori autorizat al organizației — template-ul cere explicit numele, funcția și datele de contact ale acestei persoane, plus datele DPO-ului. Tot acolo se trec și ceilalți actori implicați, dacă există: un împuternicit (procesator) sau un operator asociat.
Destinatarul este autoritatea de supraveghere competentă. În România, aceasta este ANSPDCP. Dacă breșa privește o prelucrare transfrontalieră, notificarea merge către autoritatea principală, prin mecanismul ghișeului unic — și aici se vede cel mai bine avantajul unui formular comun.
Ce conține template-ul
Formularul e împărțit în șapte zone. Le poți folosi chiar acum ca listă de verificare a informațiilor pe care trebuie să le poți aduna repede:
- Tipul notificării — nouă sau de continuare; completă, preliminară sau retragere.
- Operatorul și persoana care raportează — identificarea organizației, DPO-ul sau punctul de contact, ceilalți actori implicați.
- Informații inițiale despre breșă — data și ora producerii și a detectării, natura și circumstanțele, categoriile și numărul de persoane și de înregistrări afectate, măsurile existente în momentul breșei.
- Informații suplimentare — consecințele probabile, evaluarea riscului, măsurile luate pentru remediere și pentru a preveni o repetare.
- Comunicarea către persoanele vizate — dacă și cum au fost informate.
- Alte aspecte — dacă au fost anunțate și alte autorități, dacă e o prelucrare transfrontalieră sau implică sedii din afara UE.
- Anexe — documente justificative.
Ce înseamnă pentru firma ta
Un formular standardizat e mult mai ușor de completat la 3 dimineața, când a apărut incidentul, decât sa fii pus in situatia sa reinventezi roata ;). Dar formularul te ajută doar dacă ai deja informația. De aceea, partea importantă se întâmplă înainte de breșă: un registru de incidente pus la punct, un DPO sau un punct de contact clar și un proces prin care, în câteva ore, poți spune ce s-a întâmplat, pe cine afectează și ce ai făcut. Mai multe despre cum se transformă un incident aparent banal într-o problemă serioasă găsești în articolul despre un incident cu date medicale într-un fișier Excel.
Întrebări frecvente
Ce este template-ul EDPB de notificare a breșelor de date?
Este un formular standardizat, adoptat de Comitetul European pentru Protecția Datelor (EDPB) pe 8 iunie 2026 în versiunea 1.0 și lansat în consultare publică. Stabilește un set comun de câmpuri pe care un operator le completează atunci când notifică o breșă de date unei autorități de supraveghere, ca notificările să fie complete și uniforme în toată Uniunea.
Este obligatoriu să folosesc acest template?
Obligația de a notifica o breșă există deja, din articolul 33 GDPR. Template-ul standardizează modul în care o faci. Fiind în consultare publică, nu este încă un formular unic obligatoriu peste tot; în România notifici prin canalul ANSPDCP. Dar reflectă exact informațiile pe care autoritățile le așteaptă, așa că merită folosit ca listă de verificare de pe acum.
În cât timp trebuie să notific o breșă de date?
În cel mult 72 de ore de când ai luat cunoștință de breșă (articolul 33 GDPR), dacă aceasta poate genera un risc pentru drepturile și libertățile persoanelor. Dacă nu ai toate informațiile, poți notifica în etape: o notificare preliminară, urmată de una complementară. Dacă riscul este ridicat, trebuie să informezi și persoanele vizate (articolul 34).
Cine completează notificarea și cui o trimite?
O completează operatorul de date, de obicei prin responsabilul cu protecția datelor (DPO) sau un reprezentant legal ori autorizat. Se trimite autorității de supraveghere competente — în România, ANSPDCP. Pentru o prelucrare transfrontalieră, notificarea merge la autoritatea principală, prin mecanismul ghișeului unic.
Ai nevoie de ajutor cu o notificare sau cu pregătirea pentru breșe?
Te asistăm la notificarea către ANSPDCP, la evaluarea riscului și la punerea la punct a unui proces de răspuns la incidente — ca, atunci când se întâmplă, să acționezi în liniște, nu în panică. Contactează-ne.