Breșă de securitate: ce faci în primele 72 de ore, pas cu pas

Ceasul pornește când ai luat cunoștință, nu când s-a produs incidentul

Aceasta este nuanța care schimbă tot restul procedurii, așa că o punem prima. Art. 33 alin. (1) leagă termenul de 72 de ore de data la care operatorul a luat cunoștință de încălcarea securității datelor — nu de data la care s-a produs incidentul.

Practic: dacă o bază de date a fost copiată în martie, iar tu afli în iulie, cele 72 de ore încep în iulie. Nu ai depășit termenul cu patru luni. Ai însă o problemă separată și reală — art. 32 cere măsuri care includ capacitatea de a detecta și de a restabili.

Invers, și mai important: „a luat cunoștință" nu înseamnă „a lămurit complet ce s-a întâmplat". Nu poți amâna pornirea ceasului până termini investigația. Art. 33 alin. (4) e construit exact pentru situația în care nu știi încă tot: informațiile pot fi furnizate în etape, fără întârzieri nejustificate. Notifici cu ce ai și completezi pe măsură ce afli.

Ce este o breșă și de ce contează consecințele pentru persoană

O încălcare a securității datelor cu caracter personal acoperă cinci forme, iar patru dintre ele nu presupun niciun atacator:

• distrugerea datelor (un server șters, un backup corupt);
• pierderea lor (un laptop, o unitate USB, un dosar fizic);
• modificarea neautorizată (date alterate într-un import greșit);
• divulgarea neautorizată (un email trimis către destinatarii greșiți);
• accesul neautorizat (un cont compromis, o bază expusă public).

Greșeala tipică este să crezi că breșă înseamnă „am fost hăckuiți". Cele mai frecvente cazuri într-o firmă mică din Moldova sunt banale: un Excel cu clienți trimis din greșeală, un cont de email fără a doua verificare, un angajat plecat căruia nu i s-au închis accesele.

Ghidul CNPDCP formulează miza din perspectiva persoanei, nu a firmei. O breșă îi poate produce persoanei vizate furt de identitate, fraudă, pierderi financiare sau afectarea reputației. Cele patru consecințe sunt grila pe care o folosești la evaluarea riscului: nu întrebi „cât de rău arată pentru noi", ci „ce i se poate întâmpla concret omului ale cărui date au ieșit".

Cronologia primelor 72 de ore

Tabelul de mai jos este procedura scrisă ca orar. Coloana din dreapta e partea care contează la un control: fiecare pas trebuie să lase un document cu dată pe el.

Observă unde stă efortul: peste jumătate din cronologie e investigație și decizie, nu redactare. Firmele care ratează termenul îl ratează aproape întotdeauna la intervalul 4–24 h, pentru că nu au jurnale de unde să afle ce s-a întâmplat.

Cele două praguri sunt diferite. Arborele de decizie

Confuzia cea mai costisitoare e că art. 33 și art. 34 ar fi același lucru făcut de două ori. Nu sunt.

Art. 33 — notificarea CNPDCP. Fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la luarea la cunoștință, cu excepția cazului în care încălcarea este puțin susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor fizice. Prag: risc. Termen: 72 de ore.

Art. 34 — informarea persoanelor vizate. Se declanșează doar la risc ridicat și se face „fără întârzieri nejustificate". Prag mai înalt. Termenul de 72 de ore nu se aplică aici — nu îl citi în art. 34, nu e acolo.

Trei precizări care se pierd de obicei.

Prima: documentarea nu e opțională în niciun rând din tabel. Art. 33 alin. (5) cere operatorului să păstreze documente despre toate cazurile de încălcare — situația de fapt, efectele și măsurile de remediere — astfel încât Centrul să poată verifica. Inclusiv pentru breșele pe care ai decis să nu le notifici. Decizia de a nu notifica este ea însăși un document. Dacă nu există în scris, la un control nu poți demonstra că ai decis; poți demonstra doar că nu ai făcut nimic.

A doua: art. 34 alin. (4) spune că, dacă operatorul nu a informat persoanele, Centrul îi poate cere să o facă sau poate decide că una dintre condițiile de la alin. (3) este îndeplinită. Excepțiile rămân evaluabile ulterior de autoritate.

A treia: rândul întâi nu e o portiță. „Puțin susceptibilă să genereze un risc" este o concluzie la care ajungi după ce ai stabilit faptele, nu înainte.

Model de notificare către CNPDCP (art. 33 alin. 3)

Se copiază într-un document și se completează în câmpurile dintre paranteze drepte. Structura urmează exact cele patru litere ale art. 33 alin. (3): dacă respecți ordinea, ai conținutul minim cerut de lege. Se transmite prin canalul de contact indicat de autoritate pe datepersonale.md.

Notificare privind încălcarea securității datelor cu caracter personal Către: Centrul Național pentru Protecția Datelor cu Caracter Personal Operator: [denumirea completă], IDNO [numărul], sediul [adresa] Data și ora la care operatorul a luat cunoștință: [ZZ.LL.AAAA, ora HH:MM] Data și ora transmiterii notificării: [ZZ.LL.AAAA, ora HH:MM]

a) Caracterul încălcării Descrierea faptelor: [ce s-a întâmplat, în trei-cinci fraze, fără interpretări]. Tipul: [distrugere / pierdere / modificare / divulgare neautorizată / acces neautorizat]. Sistemul afectat: [aplicația, baza de date, cutia poștală]. Categoriile de persoane vizate: [clienți / angajați / candidați / pacienți]. Numărul aproximativ al persoanelor vizate: [cifra sau „aproximativ N, în curs de stabilire"]. Categoriile de date: [nume, telefon, email, adresă, date de plată, categorii speciale]. Numărul aproximativ al înregistrărilor: [cifra sau „în curs de stabilire"].

b) Punctul de contact [Nume și prenume]. Calitatea: [responsabil cu protecția datelor / alt punct de contact desemnat]. Telefon: [numărul]. Email: [adresa].

c) Consecințele probabile ale încălcării [Ce i se poate întâmpla concret persoanei vizate, raportat la datele ieșite: furt de identitate, fraudă, pierderi financiare, afectarea reputației. Se scrie doar ce e plauzibil pentru categoriile afectate.]

d) Măsurile luate sau propuse Măsuri deja luate: [izolare, revocarea sesiunilor, schimbarea credențialelor, restaurare din backup — cu ora fiecăreia]. Măsuri de atenuare pentru persoanele vizate: [informare, resetare de parole, punct de contact dedicat]. Măsuri pentru a preveni repetarea: [MFA, segmentare, criptare, revizuirea drepturilor de acces], cu termen: [data].

Informații care urmează în etape, conform art. 33 alin. (4): [ce lipsește acum și când estimezi că îl transmiți].

Explicația întârzierii — doar dacă notificarea depășește 72 de ore, conform art. 33 alin. (1): [motivul concret, nu formule generale].

Semnătura reprezentantului legal, data.

Un sfat de redactare: scrie la trecut ce ai făcut și la viitor ce urmează, cu date. O notificare vagă atrage întrebări suplimentare, iar întrebările consumă exact timpul de care ai nevoie pentru remediere.

Registrul intern de breșe (art. 33 alin. 5)

Al doilea artefact, și cel care lipsește cel mai des. Un tabel, ținut în scris inclusiv în format electronic, care cuprinde toate breșele — inclusiv cele nenotificate.

Rândul 3 e cel mai important din tabel. Este o breșă pe care nu ai notificat-o — și tocmai de aceea trebuie să existe pe hârtie, cu motivul scris lângă. Fără el, la un control nu ai cum să arăți diferența dintre „am evaluat și am decis" și „nu am observat".

Registrul de breșe este un document separat de registrul activităților de prelucrare, chiar dacă ambele se țin intern și se prezintă Centrului la cerere.

Ce faci înainte de breșă, ca să nu improvizezi în ziua respectivă

Art. 32 nu e o listă de bune intenții, ci sursa a trei lucruri care decid direct cum arată cele 72 de ore:

• Pseudonimizarea și criptarea (lit. a) sunt singurul mecanism care poate transforma o breșă cu risc ridicat într-una fără obligație de informare individuală, prin art. 34 alin. (3) lit. a). Criptarea se plătește o dată și se încasează în ziua incidentului.
• Capacitatea de restabilire în timp util (lit. c) după un incident fizic sau tehnic. Un backup pe care nu l-ai testat niciodată nu e o capacitate, e o speranță.
• Testarea și evaluarea periodică a eficacității măsurilor (lit. d). Aici intră un exercițiu banal: completează o dată, pe uscat, modelul de notificare de mai sus pentru un scenariu inventat. În 20 de minute afli ce nu știi despre propriile sisteme.

Apoi art. 28. Furnizorul care prelucrează date în numele tău — hosting, CRM, contabilitate, marketing — te notifică pe tine fără întârzieri nejustificate (art. 33 alin. (2)), iar contractul cu el trebuie să prevadă că te ajută la respectarea art. 32–36, deci inclusiv la art. 33 și 34. Problema practică: „fără întârzieri nejustificate" nu e un număr. Dacă furnizorul îți spune în 60 de ore, ție îți rămân 12. Pune în contract un termen concret, în ore, și un canal de anunțare. E singura clauză care îți cumpără timp.

În final, art. 87 alin. (2) lit. h): la individualizarea sancțiunii, CNPDCP ia în considerare modul în care încălcarea a fost adusă la cunoștința Centrului, în special dacă și în ce măsură operatorul a notificat el însuși. Autonotificarea e un criteriu explicit în lege. Alături de ea, lit. c) evaluează acțiunile de reducere a prejudiciului, iar lit. d) gradul de responsabilitate raportat la măsurile din art. 25 și 32. E o poziție complet diferită să notifici tu, cu o cronologie documentată, față de a fi întrebat de autoritate după plângerea unui client. Cum se stabilește cuantumul, în articolul despre sancțiuni.

Legea intră în vigoare pe 23 august 2026, conform art. 89 alin. (1). Procedura de mai sus este exact genul de lucru care nu se poate scrie în ziua în care ai nevoie de ea.

Surse

• Ghidul oficial CNPDCP privind Legea 195/2024, PDF — sursa pentru cele patru consecințe posibile asupra persoanei vizate: furt de identitate, fraudă, pierderi financiare, afectarea reputației.
• CNPDCP — datepersonale.md — autoritatea către care se transmite notificarea din art. 33 și care poate cere documentele din art. 33 alin. (5).
• Textul integral al Legii 195/2024 pe legis.md — formularea exactă a art. 32, 33 și 34.
• EDPB, ghid privind notificarea încălcărilor de securitate — cel mai detaliat material european despre momentul „luării la cunoștință" și despre notificarea în etape. Ghidurile EDPB nu au forță obligatorie în Republica Moldova; se folosesc ca reper de practică.
• CNIL — notificarea unei breșe de date personale — cum structurează practic aceeași procedură o autoritate europeană. Fără forță obligatorie la noi.
• Regulamentul (UE) 2016/679 pe EUR-Lex — pentru comparație directă cu textul european.

Întrebări frecvente

De când se numără cele 72 de ore? De la data la care operatorul a luat cunoștință de încălcare, conform art. 33 alin. (1) — nu de la data la care s-a produs incidentul. Dacă afli în iulie de o breșă din martie, termenul curge din iulie. Momentul constatării trebuie consemnat cu dată și oră, pentru că el este referința pentru tot restul procedurii.

Ce fac dacă termenul cade sâmbăta sau într-o zi de sărbătoare? Termenul e exprimat în ore, nu în zile lucrătoare, iar legea nu prevede o suspendare pentru weekend. Dacă totuși nu poți respecta cele 72 de ore, art. 33 alin. (1) îți lasă o singură cale corectă: notifici imediat ce poți și atașezi o explicație motivată a întârzierii.

Ce se întâmplă dacă depășesc 72 de ore? Notifici oricum, iar notificarea trebuie însoțită de o explicație motivată a întârzierii, conform art. 33 alin. (1). Termenul depășit nu anulează obligația și nu îți dă un motiv să renunți. Explicația trebuie să fie concretă — ce anume a împiedicat notificarea la timp — nu o formulă generală.

Trebuie notificată orice breșă? Nu. Art. 33 alin. (1) prevede o excepție pentru cazul în care încălcarea este puțin susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor fizice. Excepția privește însă doar notificarea, nu și documentarea: art. 33 alin. (5) cere păstrarea documentelor despre toate cazurile, inclusiv cele nenotificate.

Un laptop pierdut, cu discul criptat, este breșă? Da, pierderea este una dintre formele de încălcare a securității. Criptarea nu o face să dispară, ci schimbă evaluarea riscului și, prin art. 34 alin. (3) lit. a), poate elimina obligația de a informa persoanele vizate, pentru că datele sunt neinteligibile persoanelor neautorizate. Cazul intră oricum în registrul intern, cu motivul deciziei scris alături.

Am trimis un email către 200 de clienți cu toate adresele vizibile. E breșă? Da. Este o divulgare neautorizată către destinatari care nu aveau dreptul să vadă acele date. Riscul se evaluează după ce date au ieșit: dacă sunt doar adrese de email fără alt context, riscul există dar rar e ridicat; dacă lista dezvăluie prin ea însăși ceva sensibil, de exemplu pacienții unei clinici, situația se schimbă complet.

Hostingul mi-a spart baza de date. Cine notifică autoritatea? Tu, operatorul. Furnizorul care prelucrează date în numele tău te notifică pe tine fără întârzieri nejustificate, conform art. 33 alin. (2), iar notificarea către Centru rămâne obligația ta. De aceea contractul din art. 28 trebuie să prevadă în cât timp, concret, ești anunțat.

Trebuie să anunț și clienții? Doar dacă încălcarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile lor, conform art. 34 alin. (1) — și atunci fără întârzieri nejustificate, în limbaj clar și simplu. Este un prag diferit de cel pentru notificarea la CNPDCP, iar termenul de 72 de ore nu se aplică informării persoanelor.

Ce scriu dacă încă nu știu câte persoane sunt afectate? Scrii numărul aproximativ și menționezi că este în curs de stabilire. Art. 33 alin. (3) lit. a) cere explicit numărul aproximativ, iar art. 33 alin. (4) permite furnizarea informațiilor în etape, fără întârzieri nejustificate. Necunoașterea completă a faptelor nu este un motiv de amânare a notificării.

Ce risc dacă nu documentez o breșă pe care am decis să nu o notific? Nu poți demonstra că ai decis. Art. 33 alin. (5) cere păstrarea documentelor despre toate cazurile de încălcare — situația de fapt, efectele și măsurile de remediere — tocmai pentru ca Centrul să poată verifica dacă decizia de a nu notifica a fost corectă. Fără document, o breșă evaluată corect arată identic cu una ignorată.

Nu am responsabil cu protecția datelor. Cine e punctul de contact din notificare? Oricine desemnezi tu. Art. 33 alin. (3) lit. b) cere numele și datele de contact ale responsabilului cu protecția datelor sau ale unui alt punct de contact de unde se pot obține mai multe informații. Alege o persoană care răspunde efectiv la telefon în zilele următoare incidentului și trece-i numele, telefonul și emailul.

Care este palierul de amendă pentru art. 33 și 34? Art. 88 alin. (1) lit. a) acoperă obligațiile operatorului și ale persoanei împuternicite din art. 25–39, deci inclusiv art. 33 și 34: până la 1.000.000 de lei sau, în cazul unei întreprinderi, până la 1% din cifra totală de afaceri realizată în anul anterior sancționării, luându-se în calcul cea mai mare valoare. Cuantumul concret se individualizează după criteriile din art. 87, printre care și dacă operatorul a notificat el însuși. Detalii în articolul despre cât costă o amendă.

Verifică ce se vede din exterior

Procedura de breșă, contractele cu furnizorii și registrul intern sunt documente — nu se pot observa din afară și se dovedesc doar cu hârtii datate. Scanarea deterministă acoperă cealaltă jumătate: ce se vede public pe site, de la transportul HTTPS și headerele de securitate până la comportamentul real al bannerului de consimțământ. Ea emite constatări tehnice, nu stabilește existența unei încălcări și nu înlocuiește procedura de mai sus. Metodologia e în cum funcționează scanarea.

Scanează-ți site-ul gratuit →