Un laptop pierdut, un email trimis la adresa greșită, un server spart. Dacă la mijloc sunt date personale, GDPR îți dă un termen scurt: notifici ANSPDCP fără întârzieri nejustificate și, dacă e posibil, în cel mult 72 de ore. Iată ce ai de făcut la o breșă de securitate, pas cu pas, cu articolul de lege la fiecare.
Pe scurt
- Notifici ANSPDCP fără întârzieri nejustificate și, dacă e posibil, în cel mult 72 de ore de când ai aflat de breșă (art. 33 alin. (1) GDPR).
- Nu notifici dacă e puțin probabil ca breșa să genereze un risc pentru drepturile și libertățile persoanelor (același alineat).
- Informezi și persoanele afectate, dacă riscul pentru ele e ridicat (art. 34 alin. (1)).
- Documentezi orice breșă, inclusiv pe cele pe care nu le notifici (art. 33 alin. (5)).
Ce este o breșă de securitate
GDPR o numește „încălcarea securității datelor cu caracter personal”: o încălcare a securității care duce, accidental sau ilegal, la distrugerea, pierderea, modificarea sau divulgarea neautorizată a datelor personale ori la accesul neautorizat la ele (art. 4 pct. 12).
Nu e nevoie de un atac informatic. Un dosar rătăcit înseamnă pierdere. Un email trimis cui nu trebuia înseamnă divulgare neautorizată. Ambele sunt breșe.
Ceasul pornește când afli
Termenul de 72 de ore curge de la data la care operatorul a luat cunoștință de breșă (art. 33 alin. (1)). Dacă notificarea pleacă mai târziu, trebuie însoțită de o explicație motivată pentru întârziere.
Dacă un furnizor prelucrează date în numele tău, de exemplu firma care îți găzduiește site-ul sau datele, el trebuie să te anunțe fără întârzieri nejustificate când află de o breșă (art. 33 alin. (2)). Relația cu el se reglementează printr-un contract (art. 28 alin. (3)), iar anunțul în caz de breșă merită scris clar acolo.
Pasul 1: oprești breșa și afli ce s-a întâmplat
Primele ore merg în două direcții. Limitezi pagubele: schimbi parolele, blochezi accesul, recuperezi ce se poate. Și strângi faptele: ce date sunt afectate, câte persoane, cum s-a întâmplat. Exact aceste informații îți vor fi cerute în notificare.
Pasul 2: evaluezi riscul
Totul depinde de o întrebare: poate breșa să genereze un risc pentru drepturile și libertățile persoanelor? Răspunsul îți spune ce urmează.
| Riscul pentru persoane | Notifici ANSPDCP? | Informezi persoanele? | Documentezi? |
|---|---|---|---|
| Puțin probabil | Nu | Nu | Da |
| Există un risc | Da | Nu e obligatoriu | Da |
| Risc ridicat | Da | Da, cu excepțiile de la art. 34 alin. (3) | Da |
Temeiul: art. 33 alin. (1) și (5) și art. 34 alin. (1) și (3) din GDPR.
Pasul 3: notifici ANSPDCP
Notificarea se face online, pe site-ul ANSPDCP, pe formularul de notificare a breșelor, aprobat prin Decizia nr. 128/2018 (Întrebări frecvente ANSPDCP, întrebarea 20). Conform art. 33 alin. (3), notificarea cuprinde cel puțin:
- natura breșei, inclusiv, unde e posibil, categoriile și numărul aproximativ de persoane vizate și de înregistrări afectate;
- numele și datele de contact ale DPO-ului sau ale altui punct de contact;
- consecințele probabile ale breșei;
- măsurile luate sau propuse pentru remediere și pentru limitarea efectelor negative.
Nu ai toate informațiile în 72 de ore? Le poți trimite în etape, fără întârzieri nejustificate (art. 33 alin. (4)). Legea permite deci o primă notificare incompletă, urmată de completări.
Pasul 4: informezi persoanele, când riscul e ridicat
Dacă breșa e susceptibilă să genereze un risc ridicat pentru persoane, le informezi fără întârzieri nejustificate (art. 34 alin. (1)). Mesajul descrie breșa într-un limbaj clar și simplu și cuprinde datele de contact ale DPO-ului sau ale altui punct de contact, consecințele probabile și măsurile luate (art. 34 alin. (2)).
Informarea nu e necesară în trei cazuri (art. 34 alin. (3)):
- datele afectate erau protejate cu măsuri care le fac neinteligibile pentru cine nu are drept de acces, cum ar fi criptarea;
- ai luat ulterior măsuri prin care riscul ridicat nu mai e susceptibil să se materializeze;
- ar presupune un efort disproporționat; atunci faci o informare publică sau o măsură similară, la fel de eficace.
Chiar și așa, ANSPDCP îți poate cere să informezi persoanele, după ce analizează riscul (art. 34 alin. (4)).
Pasul 5: documentezi tot
Păstrezi documente despre toate breșele: situația de fapt, efectele și măsurile de remediere (art. 33 alin. (5)). Documentația îi permite ANSPDCP să verifice că ai respectat regulile. Se aplică și breșelor pe care nu le-ai notificat, pentru că riscul era puțin probabil.
Ce pregătești din timp
72 de ore trec repede dacă abia atunci afli cine răspunde și ce trebuie scris. Ajută trei lucruri pregătite din timp:
- o procedură internă scurtă, cu persoana de contact și pașii de mai sus;
- contracte cu furnizorii care prelucrează date pentru tine, cu obligația de a te anunța (art. 33 alin. (2));
- angajați instruiți să recunoască o breșă și s-o raporteze imediat.
Măsurile de securitate se descriu, în linii generale, și în registrul activităților de prelucrare (art. 30 alin. (1) lit. g)). Iar dacă firma ta are un DPO, notificarea îi cuprinde datele de contact (art. 33 alin. (3) lit. b)); vezi când este obligatoriu un DPO.
Vrei o procedură pentru breșe pregătită din timp?
Te ajutăm cu procedura internă, cu modelele de documente și cu instruirea oamenilor care trebuie s-o aplice.
Surse
- Regulamentul (UE) 2016/679 (GDPR), text consolidat în limba română: art. 4 pct. 12, art. 28 alin. (3), art. 30 alin. (1), art. 33 și 34.
- ANSPDCP, Întrebări frecvente: întrebarea 20.
- ANSPDCP, Notificare breșă RGPD: formularul online și Decizia nr. 128/2018.
Atenție la versiunea textului: în prima variantă publicată în limba română, art. 33 alin. (1) formulează greșit excepția de la notificare. Textul consolidat de pe EUR-Lex, citat aici, are formularea corectă: „cu excepția cazului în care este puțin probabil să genereze un risc”.
Articolul prezintă textul legii și explicațiile oficiale ale ANSPDCP, la 10 noiembrie 2026. Nu înlocuiește analiza situației concrete a firmei tale.