Ce a comunicat ANSPDCP pe 30 octombrie
ANSPDCP a anunțat o amendă echivalentă cu 8.000 de euro pentru încălcarea art. 32 alin. (1) lit. b) și alin. (2) GDPR. Investigația a privit un atac asupra unui cont de administrator, cu acces neautorizat la datele utilizatorilor interni. Autoritatea a dispus accesul la echipamente din rețeaua internă și, dacă accesul extern este necesar, cel puțin VPN și autentificare multifactor folosite concomitent.
Sursă: ANSPDCP — comunicatul din 30 octombrie 2026 privind o investigație și măsurile individuale dispuse..
Relatăm conținutul comunicatului autorității. Acesta nu oferă toate detaliile tehnice ale incidentului sau informații despre eventuale căi de atac. Nu deducem ce produs a fost exploatat, cum erau stocate parolele ori că aceeași configurație este obligatorie în orice companie.
Ce cere GDPR și ce aparține acestui caz
Articolul 32 GDPR cere măsuri tehnice și organizatorice adecvate riscului, ținând cont de prelucrare, de stadiul tehnic și de costurile implementării. Include, după caz, asigurarea confidențialității, integrității, disponibilității și rezilienței, precum și testarea periodică a eficacității măsurilor. Analiza trebuie să privească riscul pentru persoane, nu doar inconvenientul tehnic pentru firmă.
Articolul 58 alin. (2) lit. d) permite autorității să dispună aducerea prelucrărilor în conformitate și să precizeze modalitatea și termenul. Cerința VPN plus MFA din comunicat este o măsură individuală. Articolul 32 nu prescrie textual această combinație pentru toate organizațiile. Dacă firma are o măsură dispusă de autoritate, ea trebuie analizată în termenii deciziei proprii.
Ce fac VPN și autentificarea multifactor
Un VPN creează o conexiune protejată către o rețea. Configurația sa stabilește și la ce resurse poate ajunge utilizatorul. MFA verifică identitatea prin cel puțin două categorii distincte de factori, de exemplu o parolă și un dispozitiv deținut de persoană. Două parole nu înseamnă, singure, autentificare multifactor.
CNIL recomandă identificatori individuali și folosirea MFA, în special când conectarea este posibilă din afara rețelei organizației. Ghidul susține alegerea măsurilor; nu îl prezentăm ca lege română. Pentru implementare, cere specialistului IT să verifice mecanismele potrivite și toate excepțiile.
Sursă: CNIL — Sécurité : Authentifier les utilisateurs, 14 martie 2024 (ghid)..
Ce îi ceri echipei IT să verifice
| Întrebare | Ce rezultat urmărești | Dovadă posibilă |
|---|---|---|
| Ce interfețe de administrare sunt accesibile din exterior? | Inventar cu sistem, responsabil și motivul accesului. | Rezultatul unei verificări autorizate, cu domeniul și data ei. |
| MFA este impus sau doar disponibil? | Conturile și căile de acces acoperite, plus excepțiile justificate. | Configurație relevantă și probă de autentificare, fără parole sau coduri. |
| Ce poate face fiecare administrator? | Drepturi necesare rolului, aprobate și revizuite. | Lista drepturilor și rezultatul reviziei. |
| Cum se închide accesul unui furnizor? | Responsabil, moment de retragere și verificarea dezactivării. | Cererea de retragere și rezultatul controlului ulterior. |
| Cine observă o conectare suspectă? | Alertă care ajunge la o persoană capabilă să intervină. | Un test controlat al alertării și concluzia lui. |
Tabelul este o recomandare de lucru. Nu este un formular impus de GDPR și nu acoperă singur toate riscurile. În dosar păstrezi informațiile necesare verificării, cu acces controlat; nu copiezi parole, coduri MFA, chei private sau seturi de date personale pentru a face dovada mai convingătoare.
Exemplu: furnizorul care face mentenanță
O firmă îi oferă furnizorului acces pentru mentenanța unei aplicații. Responsabilul intern verifică identitatea persoanei, sistemul vizat, intervalul permis și drepturile necesare. IT verifică mecanismul de conectare, iar după intervenție confirmă ce acces mai este justificat.
Dacă furnizorul spune doar „avem MFA”, întrebarea rămâne deschisă: este protejat și contul folosit în sistemul vostru? Dacă există o cale de acces care ocolește măsura, confirmarea generală nu rezolvă problema. Exemplul este fictiv și descrie o metodă de verificare, nu configurația unei firme anume.
Dacă apare un incident
Activează procedura internă și stabilește ce sisteme și date sunt afectate. O tentativă nereușită de autentificare nu este automat o încălcare a securității datelor personale. Dacă are loc o astfel de încălcare, operatorul evaluează notificarea conform art. 33 GDPR: fără întârziere nejustificată și, dacă este posibil, în cel mult 72 de ore de la luarea la cunoștință, cu excepția situației în care este puțin probabil un risc pentru drepturile și libertățile persoanelor.
Persoana împuternicită informează operatorul fără întârziere nejustificată. Operatorul documentează toate încălcările, inclusiv faptele, efectele și remedierea. Nu aștepta să fie completă investigația pentru a analiza obligațiile; art. 33 permite completarea informațiilor în etape, fără întârzieri nejustificate.
Cum te poate ajuta Cremene
Cremene te ajută să urmărești măsurile rezultate din verificare: responsabil, termen, documente și dovezi. Dacă accesul unui furnizor trebuie restrâns, activitatea poate rămâne deschisă până când echipa verifică rezultatul intervenției.
Echipa IT configurează și testează protecțiile în sistemele companiei. Cremene organizează munca și documentarea ei; nu instalează VPN-ul, nu aplică MFA și nu certifică securitatea configurației.
Surse și limite
- ANSPDCP — comunicatul din 30 octombrie 2026 privind o investigație și măsurile individuale dispuse.
- Regulamentul (UE) 2016/679, text în limba română publicat de ANSPDCP, cu rectificările indicate; articolele 32, 33 și 58.
- CNIL — Sécurité : Authentifier les utilisateurs, 14 martie 2024 (ghid).
Surse consultate pentru revizia din 3 noiembrie 2026. Articolele și versiunile relevante sunt indicate lângă explicații. Exemplele de organizare sunt orientative; analiza obligațiilor unei companii depinde de faptele sale și de forma aplicabilă a normelor.