Datele clienților au ajuns unde nu trebuia: procedura GDPR pas cu pas

Breșa de date sună a scenariu de corporație, dar formele ei obișnuite sunt banale: laptopul cu baza de clienți uitat în tren, e-mailul cu tabelul de salarii trimis către toată firma în loc de un destinatar, contul de e-mail compromis prin phishing, furnizorul de software care anunță că a fost atacat. GDPR definește breșa larg — orice incident de securitate care duce la distrugerea, pierderea, modificarea sau divulgarea neautorizată a datelor personale — și pornește un cronometru: dacă breșa e susceptibilă să genereze un risc pentru persoanele vizate, notifici autoritatea de supraveghere (în România, ANSPDCP) fără întârzieri nejustificate și, unde e fezabil, în cel mult 72 de ore de la constatare. Ordinea acțiunilor: oprește hemoragia — izolează sistemul, schimbă parolele compromise, cere ștergerea e-mailului trimis greșit; evaluează în scris ce date, ale câtor persoane, cu ce risc plauzibil; decide pe această evaluare dacă notifici autoritatea, iar la risc ridicat pentru persoane — conturi bancare, date medicale, parole — informezi și persoanele afectate, direct și pe înțeles. Indiferent de decizie, documentezi totul în registrul intern de incidente: și breșele nenotificate trebuie consemnate, cu motivarea deciziei. Greșeala clasică e tăcerea „să nu ne facem de râs” — descoperirea ulterioară a unei breșe mușamalizate transformă un incident gestionabil într-o problemă de sancțiune și de reputație mult mai mare.