Ce arată un caz recent ANSPDCP
La 2 octombrie 2026, ANSPDCP a publicat rezultatul unei investigații privind securitatea datelor la Global Customer Care Services SRL. Cazul privește art. 32 alin. (1) lit. (b) și (d) și alin. (2), în contextul unui atac și al accesului neautorizat la date ale angajaților. Lecția practică este să verifici atât protecția sistemelor, cât și capacitatea de a urmări ce s-a întâmplat.
Sursă: ANSPDCP, comunicat din 2 octombrie 2026 — constatări și măsuri corective într-un caz concret.
Ce cere articolul 32
Operatorul și persoana împuternicită trebuie să implementeze măsuri tehnice și organizatorice adecvate riscului. Analiza ține seama de stadiul tehnologiei, costuri, natura, domeniul, contextul și scopurile prelucrării, precum și de riscurile pentru persoane. Printre elementele prevăzute se află confidențialitatea, integritatea, disponibilitatea, reziliența și un proces de testare și evaluare periodică a eficacității măsurilor.
Sursă: GDPR, art. 32 alin. (1)–(2), forma consolidată din 4 mai 2016; verificat la 15 octombrie 2026.
Regulamentul nu prescrie aceeași aplicație de monitorizare sau aceeași frecvență pentru orice firmă. Alegerea trebuie susținută de riscul prelucrării. Pentru o aplicație cu date de personal, verificarea accesului administratorilor poate avea altă miză decât pentru o pagină publică fără conturi.
Jurnalele trebuie să răspundă unor întrebări
- Ce eveniment vrei să poți reconstitui: autentificare, schimbare de rol, consultare sau export?
- Poți lega evenimentul de un cont, un moment și sistemul afectat?
- Sunt ceasurile sistemelor suficient de bine sincronizate pentru investigație?
- Cine poate citi, modifica sau șterge jurnalele?
- Cine observă un eveniment suspect și cum îl escaladează?
Acestea sunt întrebări practice pentru proiectarea controlului. Nu înseamnă că trebuie să înregistrezi orice conținut. Evită capturarea inutilă a parolelor, tokenurilor, documentelor integrale sau a altor date sensibile în jurnale. Datele din loguri pot fi, la rândul lor, date personale și au nevoie de acces limitat și reguli de păstrare.
Sursă: GDPR, art. 5 alin. (1) lit. (c), (e), (f) și art. 32 — minimizare, păstrare și securitate.
Nu transforma o măsură dintr-un caz într-o regulă generală
Comunicatul ANSPDCP menționează, între măsurile corective, păstrarea jurnalelor pentru minimum 30 de zile. Acesta este un element al măsurii dispuse în cazul respectiv. Nu reprezintă un termen universal pe care GDPR îl impune tuturor jurnalelor din toate companiile.
Pentru propriile sisteme, justifică perioada prin scop, riscuri, nevoia de investigație și obligațiile aplicabile. Stabilește cine aprobă durata și cum se șterg datele după expirare. Un termen copiat dintr-un comunicat nu arată de ce este adecvat prelucrării tale.
Testează dacă măsura produce rezultatul urmărit
| Măsură | Exemplu de test controlat |
|---|---|
| Retragerea accesului | Folosește un cont de test dezactivat și verifică dacă autentificarea este refuzată. |
| Jurnalizarea | Generează un eveniment de test autorizat și verifică dacă poate fi regăsit corect. |
| Copii de siguranță | Restaurează într-un mediu adecvat și verifică integritatea și utilizabilitatea rezultatului. |
| Alertarea | Simulează un eveniment aprobat și urmărește dacă ajunge la persoana desemnată. |
Exemplele se adaptează mediului și se execută cu autorizare, fără expunerea datelor reale. Înregistrează rezultatul așteptat și rezultatul observat. Dacă testul eșuează, numește responsabilul remedierii și verifică din nou după corectare. O captură a setării „activat” nu dovedește același lucru ca un test reușit.
Ce păstrezi pentru o verificare ulterioară
Pentru fiecare test, sunt utile sistemul și măsura verificate, data, persoana care l-a executat, scenariul, rezultatul și referința către probă. Adaugă limitele testului: ce nu a fost acoperit și de ce. Când există o problemă, leagă rezultatul de remediere și de reverificare.
Fișa propusă organizează această muncă. Nu este un raport de audit și nu confirmă că sistemul nu poate fi compromis. Un test reușit susține numai concluzia verificată în condițiile lui.
Fișă pentru verificarea unui control de securitate
Surse și limite
Surse consultate pentru revizia din 15 octombrie 2026. Articolele și versiunile relevante sunt indicate lângă explicații. Exemplele de organizare sunt orientative; analiza obligațiilor unei companii depinde de faptele sale și de forma aplicabilă a normelor.