Cuprins 10 secțiuni
O breșă de securitate a datelor înseamnă că informațiile tale au fost pierdute, distruse, modificate, dezvăluite sau accesate de cineva care nu avea dreptul, indiferent dacă din cauza unui atac informatic, a unei erori umane sau a unui laptop furat. Când se întâmplă, operatorul are obligații precise: să notifice autoritatea de supraveghere, de regulă în cel mult 72 de ore, și să te anunțe direct dacă incidentul poate avea consecințe serioase pentru tine. Tu ai dreptul să afli ce s-a întâmplat, să ceri măsuri și, dacă ai suferit un prejudiciu, să ceri despăgubiri.
Mesajul „Vă informăm că am identificat un incident de securitate” produce de obicei confuzie: cât de grav e, ce date au ajuns la alții, ce trebuie făcut acum. Mai jos găsești o listă de acțiuni imediate, în funcție de tipul datelor afectate, și explicații despre drepturile pe care le ai după incident. Informațiile sunt generale și nu înlocuiesc sfatul unui avocat; regulile și practica se pot schimba, iar pentru situații grave sesizează și poliția.
Ce este, de fapt, o breșă de securitate
GDPR definește breșa (numită oficial „încălcarea securității datelor cu caracter personal”) ca orice incident de securitate care duce, accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date personale. Nu e nevoie de un hacker.
Specialiștii împart breșele în trei tipuri:
| Tip de breșă | Ce înseamnă | Exemplu |
|---|---|---|
| De confidențialitate | datele au fost văzute sau copiate de persoane neautorizate | atac asupra bazei de clienți a unui magazin online |
| De integritate | datele au fost modificate fără drept | IBAN-ul tău schimbat într-un cont de client compromis |
| De disponibilitate | datele au fost pierdute sau sunt temporar inaccesibile | atac cu program de criptare care blochează sistemele unei clinici |
Breșele cele mai banale sunt și cele mai frecvente: un e-mail trimis la mai mulți destinatari cu adresele vizibile, un dosar trimis la persoana greșită, un document cu date personale lăsat accesibil public pe internet.
Ce obligații are operatorul după incident
Operatorul are trei obligații principale: să documenteze incidentul, să îl notifice autorității atunci când există riscuri și să te informeze direct atunci când riscul este ridicat.
- Documentarea internă. Orice breșă, chiar și una minoră, trebuie înregistrată de operator, cu faptele, efectele și măsurile luate.
- Notificarea către ANSPDCP, fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la momentul în care operatorul a luat cunoștință de breșă. Notificarea nu este necesară dacă este puțin probabil ca incidentul să genereze un risc pentru drepturile persoanelor.
- Informarea persoanelor vizate, fără întârzieri nejustificate, atunci când breșa poate genera un risc ridicat pentru drepturile și libertățile lor.
Ce trebuie să conțină mesajul primit de tine
Informarea trebuie formulată într-un limbaj clar și simplu și trebuie să cuprindă cel puțin:
- natura breșei, adică ce s-a întâmplat;
- numele și datele de contact ale responsabilului cu protecția datelor sau ale altui punct de contact;
- consecințele probabile ale incidentului;
- măsurile luate sau propuse de operator pentru remedierea breșei și reducerea efectelor;
- recomandări concrete pentru tine, cum ar fi schimbarea parolei.
Când nu ești anunțat personal
Operatorul nu este obligat să te informeze individual dacă datele erau protejate astfel încât să fie inutilizabile pentru cine le-a obținut (de exemplu, criptate corect), dacă a luat ulterior măsuri care elimină riscul ridicat sau dacă informarea individuală ar presupune eforturi disproporționate. În ultimul caz, trebuie să facă o informare publică echivalentă, de exemplu un anunț vizibil pe site.
Primele măsuri, în funcție de datele afectate
Prima reacție contează mai mult decât orice altă procedură: datele scăpate devin periculoase în momentul în care cineva încearcă să le folosească. Pașii depind de tipul informațiilor afectate.
| Date afectate | Ce faci imediat |
|---|---|
| Parolă (chiar și criptată) | o schimbi pe site-ul afectat și oriunde ai folosit aceeași parolă; activezi autentificarea în doi pași |
| Adresă de e-mail | te aștepți la mesaje de tip phishing care par credibile, cu detalii reale despre tine |
| Număr de telefon | ești atent la apeluri și SMS-uri care pretind că vin de la firmă sau de la bancă |
| Date de card | anunți banca, ceri blocarea și reemiterea cardului, urmărești extrasele |
| CNP, copia actului de identitate | urmărești dacă apar contracte sau credite pe numele tău, sesizezi poliția la primul semn de fraudă |
| Adresă de domiciliu | ești atent la corespondență neobișnuită și la încercări de livrare frauduloasă |
| Date medicale | ceri operatorului detalii suplimentare și discuți, la nevoie, cu un avocat |
Sfat: Folosește parole diferite pentru fiecare cont important și un manager de parole. Când un singur site suferă o breșă, pagubele rămân limitate la el, în loc să se extindă asupra e-mailului, contului bancar și rețelelor sociale.
Riscurile legate de copia actului de identitate și de folosirea ei pentru furt de identitate sunt detaliate în Copia buletinului: când ți-o poate cere cineva legal.
Atenție la escrocheriile care urmează unei breșe
Datele scăpate într-o breșă sunt folosite frecvent pentru mesaje frauduloase foarte convingătoare. Un mesaj care îți spune numele, ultima comandă și adresa pare autentic, chiar dacă vine de la un infractor.
Semnale de alarmă după un incident:
- mesaje care cer „confirmarea datelor” sau „reactivarea contului” printr-un link;
- apeluri care pretind că vin de la departamentul de securitate al firmei afectate sau al băncii;
- oferte de „despăgubire rapidă” care îți cer datele cardului;
- notificări false de breșă, care imită comunicarea reală a firmei.
Regula sigură: nu folosi linkurile din mesaje, ci intră direct pe site-ul oficial sau sună la numărul oficial. Tehnicile de recunoaștere a site-urilor false sunt explicate în Magazinele online false: semnele după care le recunoști, iar pentru apelurile insistente sau suspecte vezi Apelurile și mesajele de marketing nedorite: ce poți face.
Ce poți cere operatorului
După o breșă ai aceleași drepturi ca în orice altă situație, plus dreptul de a primi informații despre incident. Câteva cereri utile:
- Detalii despre incident: ce date ale tale au fost afectate concret, nu doar „anumite date ale clienților”.
- Acces la datele tale: ce informații deține în total operatorul despre tine, pentru a evalua riscul complet. Procedura este în Dreptul de acces la date: cum afli ce știe o firmă despre tine.
- Măsurile luate: ce a făcut operatorul pentru a opri incidentul și pentru a preveni repetarea lui.
- Ștergerea datelor care nu mai sunt necesare, pentru a reduce riscul pe viitor, în condițiile din Dreptul la ștergere: când poți cere eliminarea datelor.
- Confirmarea notificării la ANSPDCP, dacă incidentul o impunea.
Trimite cererile în scris și păstrează toate comunicările primite despre incident. Ele devin dovezi esențiale dacă ajungi la autoritate sau în instanță; modul de organizare este explicat în Dovezile pentru o reclamație: ce păstrezi și cum le organizezi.
Plângerea la ANSPDCP
Dacă operatorul nu te-a informat deși riscul era ridicat, dacă a minimizat incidentul sau dacă nu răspunde la cererile tale, poți depune plângere la ANSPDCP. Autoritatea poate verifica dacă breșa a fost notificată corect, dacă măsurile de securitate erau adecvate și poate aplica sancțiuni. Pașii concreți sunt în Plângerea la ANSPDCP: când și cum o depui.
Autoritatea poate afla de incident și pe alte căi, inclusiv din notificarea operatorului, dar plângerea ta aduce perspectiva persoanei afectate, adesea esențială pentru evaluarea gravității.
Despăgubiri pentru prejudiciul suferit
GDPR îți recunoaște dreptul la despăgubire pentru prejudiciul material (de exemplu, bani pierduți dintr-o fraudă) sau moral (de exemplu, suferința cauzată de publicarea unor date sensibile) produs de o încălcare a regulamentului. Despăgubirea se cere în instanță, nu de la autoritatea de supraveghere.
Câteva lucruri de știut înainte de a lua o decizie:
- trebuie să existe o încălcare a regulamentului, de exemplu măsuri de securitate inadecvate;
- trebuie să dovedești prejudiciul și legătura lui cu încălcarea;
- operatorul se poate exonera dacă dovedește că nu este în niciun fel responsabil de evenimentul care a cauzat prejudiciul;
- instanțele evaluează de la caz la caz, inclusiv în privința prejudiciului moral, iar jurisprudența europeană în domeniu este în dezvoltare.
| Tip de prejudiciu | Ce dovezi ajută |
|---|---|
| Material: bani pierduți | extrase bancare, sesizarea la poliție, corespondența cu banca |
| Material: costuri de remediere | facturi pentru carduri noi, documente noi, servicii de asistență |
| Moral: anxietate, expunere publică | descrierea concretă a consecințelor, eventual dovezi medicale sau martori |
| Moral: date sensibile dezvăluite | dovada dezvăluirii și a efectelor asupra vieții personale sau profesionale |
Important: Acțiunile pentru despăgubiri au termene de prescripție și reguli procedurale proprii. Discută cu un avocat înainte să decizi, mai ales dacă prejudiciul este important. Pentru sume mici, în anumite condiții, poate fi relevantă și procedura cererii cu valoare redusă.
Prevenția: cum reduci impactul următoarei breșe
Nu poți controla securitatea sistemelor altora, dar poți reduce mult pagubele. Câteva obiceiuri utile:
- dai doar datele cerute strict pentru serviciu, nu completezi câmpurile opționale;
- folosești parole unice și autentificarea în doi pași pe conturile importante;
- folosești, unde se poate, carduri virtuale sau limite de plată online;
- închizi conturile pe care nu le mai folosești și ceri ștergerea datelor;
- urmărești periodic extrasele bancare și corespondența oficială.
Imaginea de ansamblu asupra drepturilor tale este prezentată în Protecția datelor personale: ghid GDPR pentru cetățeni.
Cum reacționezi la o breșă, pe scurt
O breșă de securitate nu este doar problema firmei afectate, ci și a ta, iar primele ore contează. Operatorul trebuie să notifice autoritatea și, când riscul e ridicat, să te informeze direct, cu explicații clare și recomandări. Tu reacționezi rapid, schimbând parolele și blocând cardurile, ești atent la mesajele frauduloase care urmează și ceri, în scris, detalii despre ce s-a întâmplat cu datele tale.
De reținut:
- breșa poate fi atac informatic, eroare umană sau pierdere fizică a datelor;
- autoritatea trebuie notificată, de regulă, în cel mult 72 de ore;
- ești informat direct când riscul pentru tine este ridicat;
- primele măsuri depind de tipul datelor scăpate;
- poți depune plângere la ANSPDCP și poți cere despăgubiri în instanță.
Întrebări frecvente
Cum aflu dacă datele mele au fost implicate într-o breșă?
Operatorul trebuie să te informeze direct când riscul este ridicat. Dacă ai aflat din presă sau din alte surse, trimite-i o cerere scrisă prin care întrebi concret dacă datele tale au fost afectate și care anume.
Trebuie să schimb parola dacă firma spune că era criptată?
Da, este o măsură de precauție simplă. Parolele protejate slab pot fi uneori recuperate, iar riscul crește dacă ai folosit aceeași parolă și în alte conturi.
Pot primi bani pentru că datele mele au fost furate?
Poți cere despăgubiri în instanță, dacă dovedești o încălcare a regulamentului și un prejudiciu material sau moral legat de ea. Autoritatea de supraveghere nu acordă despăgubiri.
Ce fac dacă a fost folosită copia buletinului meu pentru un credit?
Sesizează imediat poliția și instituția care a acordat creditul, cere documentele contractului și contestă-l în scris. Pentru pașii juridici ulteriori, consultă un avocat.
În cât timp trebuie să fiu anunțat de firmă?
Fără întârzieri nejustificate, atunci când breșa poate genera un risc ridicat pentru tine. Regulamentul nu fixează un număr exact de ore pentru informarea persoanelor, spre deosebire de notificarea către autoritate.
