O breșă de date nu înseamnă neapărat un atac de film. De cele mai multe ori e ceva banal: un e-mail trimis greșit, un laptop pierdut, un dosar accesat de cine nu trebuie. Vestea bună e că legea nu te pedepsește că ai avut un incident, ci că nu reacționezi corect. Iar reacția corectă are pași clari.
Mai întâi, ce este o breșă de date
E orice situație în care datele personale ajung unde nu trebuie, se pierd, se modifică sau nu mai sunt disponibile. Trei feluri, pe scurt:
- Scurgere — datele ajung la cineva care nu avea voie să le vadă (un e-mail greșit, o listă publicată din greșeală).
- Pierdere — nu mai ai acces la date (un atac care le criptează, un stick pierdut, o ștergere accidentală).
- Modificare — datele sunt schimbate fără drept și nu mai sunt corecte.
Când ești obligat să anunți
Regula vine din articolul 33 al GDPR și e mai simplă decât pare. Te uiți la un singur lucru: poate breșa să facă rău oamenilor?
- Dacă da (există un risc pentru drepturile și libertățile lor), anunți ANSPDCP fără întârziere și, dacă se poate, în cel mult 72 de ore de când ai aflat.
- Dacă riscul e puțin probabil (de exemplu, datele scurse erau criptate corect și nimeni nu le poate citi), poți să nu notifici. Dar atenție: trebuie să scrii și să păstrezi motivul pentru care ai decis așa.
Indiferent ce decizi, orice breșă se trece într-un registru intern al incidentelor. E o dovadă că ai tratat lucrurile serios, pe care autoritatea o poate cere oricând.
De unde pornesc cele 72 de ore
Nu de când s-a produs breșa, ci de când ai aflat de ea cu un grad rezonabil de certitudine. Important de știut: termenul curge continuu, inclusiv în weekend și de sărbători. Tocmai de asta e bine să ai dinainte un plan, nu să-l inventezi sâmbătă seara.
Dacă nu reușești în 72 de ore, tot trimiți notificarea, dar adaugi motivul întârzierii. O notificare târzie, dar sinceră, e mult mai bună decât tăcerea.
Cum trimiți notificarea, concret
În România, notificarea se face prin formularul de notificare a breșelor de pe site-ul autorității, dataprotection.ro. Legea cere ca notificarea să cuprindă, pe înțelesul oricui:
- Ce s-a întâmplat — natura breșei, ce categorii de date și aproximativ câți oameni și câte înregistrări sunt afectate.
- Cu cine se poate vorbi — datele de contact ale responsabilului cu protecția datelor (DPO) sau ale persoanei care se ocupă.
- Ce consecințe pot apărea — ce riscă oamenii afectați.
- Ce ai făcut — măsurile luate ca să oprești breșa și să limitezi efectele.
Nu trebuie să ai toate răspunsurile perfecte din prima. Dacă în 72 de ore încă investighezi, trimiți ce știi acum și revii cu restul pe etape. E perfect acceptat.
Când anunți și oamenii afectați
Pe lângă autoritate, uneori trebuie să anunți și persoanele ale căror date au fost afectate. Asta vine din articolul 34 și se aplică atunci când breșa poate aduce un risc mare pentru ele: fraudă, furt de identitate, expunerea unor date sensibile.
Mesajul către oameni trebuie să fie clar, nu un text juridic. Le spui ce s-a întâmplat, ce date sunt în joc și ce pot face ca să se protejeze (de exemplu, să-și schimbe parola sau să fie atenți la mesaje suspecte). Dacă datele erau criptate sau ai luat între timp măsuri care fac riscul puțin probabil, anunțul individual poate să nu mai fie necesar.
La ce să te aștepți după
După ce trimiți notificarea, lucrurile pot merge pe mai multe căi.
- Confirmare. Primești o confirmare și un număr de înregistrare. Păstrează-l.
- Lămuriri. Autoritatea poate reveni cu întrebări sau poate cere documente suplimentare.
- Investigație sau control. În cazurile mai serioase, se poate deschide o verificare a felului în care protejai datele.
- Decizia finală. Poate să nu ia nicio măsură, poate dispune măsuri de remediere sau, în cazuri grave, poate aplica o amendă.
Aici contează enorm cum te-ai purtat: o notificare făcută la timp, sinceră, cu măsuri deja luate și cu o evidență ordonată a incidentului cântărește puternic în favoarea ta. Panica și ascunderea fac exact invers.
Cum te ajutăm
Cele mai liniștite firme la o breșă nu sunt cele care nu greșesc niciodată, ci cele care știu dinainte cine ce face în primele ore. La INFOSHARE pregătim împreună un plan de răspuns la incidente, registrul de breșe și textele de notificare, iar dacă apare un incident real, te ținem de mână prin tot procesul. Vezi serviciile GDPR, rolul de DPO externalizat și articolul despre un incident real cu date într-un fișier Excel. Tot ce ține de registre și evidențe stă într-un singur loc, în platforma askGDPR.
Întrebări frecvente
Când sunt obligat să anunț ANSPDCP o breșă de date?
Atunci când breșa poate aduce un risc pentru drepturile și libertățile oamenilor. Anunți autoritatea fără întârziere și, dacă se poate, în cel mult 72 de ore de când ai aflat de breșă. Dacă riscul este puțin probabil, de exemplu datele erau criptate corect, poți să nu notifici, dar trebuie să notezi în scris de ce ai luat această decizie.
De unde încep cele 72 de ore?
Din momentul în care ai aflat, cu un grad rezonabil de certitudine, că a avut loc o breșă, nu din momentul în care s-a produs. Termenul curge inclusiv în weekend și de sărbători. Dacă nu reușești în 72 de ore, tot trimiți notificarea, dar adaugi motivul întârzierii.
Cum trimit notificarea către ANSPDCP?
Prin formularul de notificare a breșelor de pe site-ul autorității, dataprotection.ro. Completezi ce s-a întâmplat, ce date și câți oameni sunt afectați, ce consecințe pot apărea și ce măsuri ai luat. Dacă nu ai toate detaliile în 72 de ore, poți trimite informațiile pe etape.
Trebuie să anunț și persoanele afectate?
Da, atunci când breșa poate aduce un risc mare pentru ele, de exemplu fraudă sau furt de identitate. Le spui clar și pe înțelesul lor ce s-a întâmplat și ce pot face ca să se protejeze. Dacă datele erau criptate sau ai luat măsuri care fac riscul puțin probabil, anunțul individual poate să nu mai fie necesar.
Ce se întâmplă după ce trimit notificarea?
Primești o confirmare și un număr de înregistrare. Autoritatea poate cere lămuriri, poate deschide o investigație sau un control. La final poate să nu ia nicio măsură, să dispună măsuri de remediere sau, în cazuri grave, să aplice o amendă. O notificare la timp, sinceră și cu măsuri deja luate cântărește mult în favoarea ta.
Vrei să fii pregătit înainte de o breșă, nu după?
Pregătim împreună planul de răspuns la incidente, registrul de breșe și textele de notificare, ca în primele 72 de ore să știi exact ce ai de făcut.