Ați descoperit un incident de date? Ceasul de 72 de ore

Ce face

Calculează termenul de 72 de ore pentru notificarea ANSPDCP de la momentul introdus, arată cât timp a mai rămas sau cu cât a fost depășit, și adaugă termenele pentru entitățile NIS2 (DNSC: 24 de ore, 72 de ore, o lună) și pentru entitățile financiare (DORA). Amintește și obligația de a informa persoanele vizate când riscul pentru ele este ridicat.

Pe ce se bazează

• GDPR: art. 33 (notificarea autorității de supraveghere în cel mult 72 de ore de la luarea la cunoștință, cu motivarea oricărei întârzieri; registrul intern al încălcărilor, art. 33 alin. 5) și art. 34 (informarea persoanelor vizate când riscul este ridicat).
• NIS2: art. 23 din Directiva (UE) 2022/2555, transpus prin OUG nr. 155/2024: avertizare timpurie în 24 de ore, notificare în 72 de ore, raport final în cel mult o lună, către DNSC.
• DORA: art. 19 din Regulamentul (UE) 2022/2554 și standardele tehnice aferente: notificarea inițială a incidentelor TIC majore în primele patru ore de la clasificare și cel târziu la 24 de ore de la constatare, raport intermediar în 72 de ore, raport final în cel mult o lună.

Ce faceți în primele ore

• Notați ora la care ați aflat și cine v-a anunțat; de aici curge termenul.
• Opriți extinderea incidentului (deconectare, blocarea conturilor, schimbarea parolelor) fără a distruge probele.
• Stabiliți ce date, ale câtor persoane și cu ce risc; documentați evaluarea în registrul incidentelor, chiar dacă decideți că nu se notifică.
• Pregătiți notificarea către ANSPDCP cu ce știți până atunci; se poate completa ulterior, în etape.
• Dacă riscul pentru persoane este ridicat, informați-le fără întârzieri nejustificate.

Întrebări frecvente

De când curg cele 72 de ore?

De la momentul în care operatorul „a luat cunoștință” de încălcarea securității datelor (art. 33 alin. 1 GDPR), adică atunci când are un grad rezonabil de certitudine că a avut loc un incident care a compromis date personale, nu de la momentul producerii lui și nu de la finalul investigației.

Ce fac dacă termenul a trecut?

Notificați oricum, cât mai repede, și explicați în notificare motivele întârzierii; GDPR o cere expres. O notificare târzie și motivată e tratată mai bine decât lipsa ei.

Trebuie notificată orice breșă?

Nu. Notificarea nu e necesară când încălcarea e puțin probabil să genereze un risc pentru drepturile și libertățile persoanelor (de exemplu date criptate, cu cheia în siguranță). Evaluarea trebuie documentată în registrul intern al incidentelor, chiar dacă nu se notifică.

Ce se schimbă pentru entitățile NIS2 și DORA?

Se adaugă termenele proprii: pentru NIS2, avertizare timpurie la DNSC în 24 de ore, notificare în 72 de ore și raport final în cel mult o lună; pentru entitățile financiare, DORA cere notificarea inițială a incidentelor TIC majore în primele ore de la clasificare, cel târziu la 24 de ore de la constatare.