Un incident de securitate nu devine mai ușor doar pentru că ai aflat repede de el. De fapt, de aici începe partea delicată: cine trebuie anunțat, când și despre ce anume. În practică, multe organizații amestecă trei fluxuri diferite: notificarea internă, raportarea către autorități și comunicarea către persoanele afectate. Rezultatul poate fi haos, întârzieri sau mesaje trimise greșit.
Diferența esențială este simplă: notificarea internă ajută organizația să înțeleagă și să controleze incidentul, raportarea către autorități ține de obligațiile legale și de supraveghere, iar comunicarea către persoanele afectate urmărește protejarea celor care pot suferi consecințe directe.
Notificarea internă: primul pas, nu ultimul
Notificarea internă este semnalul de alarmă din interiorul companiei. Ea pornește imediat ce cineva observă un incident sau o suspiciune serioasă: acces neautorizat, cont compromis, trimitere greșită de date, sistem indisponibil, ransomware, pierdere de echipament sau alt eveniment care poate afecta datele ori serviciile.
Scopul ei nu este să stabilească instant toate detaliile, ci să activeze răspunsul intern. Aici intră echipa IT, securitatea, responsabilul cu protecția datelor dacă există, managementul și, după caz, juridicul sau comunicarea. Intern, compania trebuie să strângă rapid informațiile de bază: ce s-a întâmplat, când a fost observat incidentul, ce sisteme sunt implicate, dacă sunt afectate date personale, dacă serviciile sunt perturbate și ce măsuri de limitare s-au luat deja.
Pe scurt, notificarea internă este pentru coordonare și decizie. Ea nu ține loc de raportare legală și nici de mesaj public.
Raportarea către autorități: obligație separată
A doua pistă este raportarea către autoritatea competentă. Aici apare cea mai frecventă confuzie: nu orice incident merge automat la aceeași instituție și nu orice incident trebuie tratat exclusiv ca problemă GDPR.
Dacă vorbim despre o încălcare a securității datelor cu caracter personal, Regulamentul general privind protecția datelor prevede notificarea autorității de supraveghere fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la momentul în care operatorul a luat cunoștință de breșă, cu excepția cazului în care este puțin probabil să rezulte un risc pentru drepturile și libertățile persoanelor. În România, autoritatea relevantă este ANSPDCP, iar pe site-ul instituției există și secțiunea „Notificare Breșă RGPD”.
Dacă incidentul intră în zona obligațiilor de securitate cibernetică pentru entitățile vizate de NIS2, logica este diferită: raportarea merge către autoritatea sau CSIRT-ul competent, conform cadrului național aplicabil. În ecosistemul românesc de conformitate NIS2 sunt folosite termenele de alertă inițială la 24 de ore, notificare la 72 de ore și raport final la 30 de zile, iar implementarea locală trebuie verificată în canalele și actele oficiale actuale asociate DNSC și legislației naționale.
Foarte important: raportarea către autorități nu este același lucru cu anunțarea clienților sau angajaților afectați. Autoritatea primește un raport de conformitate și supraveghere, nu un mesaj de relații publice.
Comunicarea către persoanele afectate: când riscul este mare
A treia pistă este comunicarea către persoanele afectate. Aceasta nu se face doar pentru că „dă bine”, ci atunci când incidentul este susceptibil să genereze un risc ridicat pentru drepturile și libertățile persoanelor. GDPR cere ca această comunicare să fie făcută fără întârzieri nejustificate și într-un limbaj clar și simplu.
Aici mesajul trebuie să fie util, nu vag. Persoanele afectate trebuie să înțeleagă ce s-a întâmplat, ce tip de date pot fi implicate, ce consecințe pot apărea și ce pot face concret pentru a se proteja: schimbarea parolelor, atenție la tentative de phishing, verificarea conturilor, activarea autentificării în doi pași sau contactarea băncii, dacă este cazul.
Tot GDPR spune și când o astfel de comunicare poate să nu mai fie necesară: de exemplu, dacă datele erau protejate eficient, cum ar fi prin criptare, dacă între timp au fost luate măsuri care reduc semnificativ riscul sau dacă notificarea individuală ar presupune un efort disproporționat, caz în care poate fi necesară o comunicare publică echivalentă.
Cum le separi corect, în practică
Cea mai sănătoasă abordare este să tratezi cele trei fluxuri ca documente și decizii diferite.
Intern: cine știe, cine decide, cine investighează, cine ține cronologia și cine aprobă măsurile urgente.
Către autorități: ce obligație legală se aplică, care este termenul, ce instituție este competentă și ce informații minime trebuie transmise.
Către persoane afectate: există sau nu risc ridicat pentru oameni, ce mesaj clar le este util și cum eviți formulările ambigue sau alarmiste.
O organizație matură nu așteaptă criza pentru a clarifica aceste lucruri. Are deja un proces intern, responsabili desemnați, modele de notificare și reguli de escaladare. Asta contează mai ales pentru firmele care prelucrează date personale și pentru entitățile care intră sub obligațiile NIS2.
Concluzia este simplă: notificarea internă pornește răspunsul, raportarea către autorități acoperă obligația legală, iar comunicarea către persoanele afectate protejează oamenii expuși riscului. Dacă le amesteci, pierzi timp exact când nu îți permiți.
Surse
- ANSPDCP – site oficial
- ANSPDCP – pagina „Notificare Breșă RGPD”
- GDPR Article 33 – Notification of a personal data breach to the supervisory authority
- GDPR Article 34 – Communication of a personal data breach to the data subject
- Comisia Europeană – NIS2 Directive
- certSIGN – Implementarea Directivei NIS2 în România
- NIS2Hub – termene de raportare incidente în context NIS2 în România
