Informații preliminare și recomandări pentru cetățeni în contextul incidentului de securitate în serviciile electronice guvernamentale

       Instituția Publică „Agenția de Guvernare Electronică” (AGE) a notificat Centrul Național pentru Protecția Datelor cu Caracter Personal (Centrul) cu privire la încălcarea securității datelor cu caracter personal identificată în cadrul unor servicii electronice guvernamentale.

       Potrivit informațiilor preliminare notificate de AGE, urmare a investigațiilor tehnice desfășurate de AGE, în colaborare cu Instituția Publică „Serviciul Tehnologia Informației și Securitate Cibernetică” (STISC) și Agenția pentru Securitate Cibernetică (ASC), au fost identificate aproximativ un milion de încercări de extragere neautorizată a unor seturi de date cu caracter personal și circa 750.000 de seturi de date posibil extrase neautorizat. Aceste cifre sunt preliminare și pot fi actualizate în urma verificărilor suplimentare și a eliminării eventualelor suprapuneri.

       Potrivit notificării depuse, precum și celor comunicate public de AGE, informațiile potențial afectate includ următoarele categorii de date:

• Date de identificare: numele, prenumele, IDNP-ul, data și locul nașterii, fotografia;
• Date privind familia: informații despre părinți și copii;
• Date privind sănătatea și protecția socială: statutul de persoană asigurată, medicul de familie, prestațiile sociale, pensiile și dizabilitatea;
• Date privind bunurile și activitățile economice: permisul de conducere, vehiculele deținute, companiile deținute sau administrate;
• Date financiare și fiscale: IBAN-uri, obligații și datorii fiscale, istoricul plăților prin serviciul guvernamental MPay.

       Această enumerare reflectă evaluarea preliminară a informațiilor potențial afectate și nu înseamnă că toate categoriile de date au fost extrase pentru fiecare persoană sau prin fiecare serviciu vizat.

       Divulgarea neautorizată a datelor cu caracter personal poate expune persoanele vizate anumitor riscuri (cum ar fi furtul de identitate, fraude financiare, tentative de manipulare prin inginerie socială și alte abuzuri). Totuși, producerea unui incident de securitate nu înseamnă în mod automat că datele afectate vor fi utilizate în scopuri frauduloase. Evaluarea riscurilor trebuie să se bazeze pe informațiile confirmate și pe rezultatele verificărilor autorităților competente.

       Legea nr. 195/2024 privind protecția datelor cu caracter personal stabilește că datele trebuie prelucrate în mod legal, echitabil și transparent, în scopuri determinate și legitime, fiind limitate la ceea ce este necesar. Totodată, operatorii trebuie să asigure exactitatea datelor și securitatea acestora, inclusiv protecția împotriva accesului și prelucrării neautorizate, prin măsuri tehnice și organizatorice adecvate.

       În cazul unei încălcări a securității datelor, operatorul are obligația de a notifica Centrul fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la momentul în care a luat cunoștință de incident. AGE a notificat Centrul în legătură cu incidentele raportate.

       Potrivit legii, atunci când încălcarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, operatorul trebuie să informeze persoanele vizate fără întârzieri nejustificate. Dacă informarea individuală presupune un efort disproporționat, poate fi realizată o informare publică sau o altă măsură la fel de eficace. Până la această etapă, se determină că AGE  a întreprins măsuri pentru informarea cetățenilor prin canale publice de comunicare.

       Este de menționat că, Centrul nu gestionează baze de date sau sisteme de evidență și nu are competențe de a asigura securitatea și confidențialitatea datelor cu caracter personal prelucrate în asemenea baze de date. Conform prevederilor legale, operatorii care dețin și gestionează baze de date/sisteme de evidență au obligația și sunt responsabili de implementarea măsurilor tehnice și organizatorice de adecvate în vederea asigurării unui nivel corespunzător de securitate.

       În limitele competențelor legale, Centrul supraveghează, monitorizează și investighează   respectarea legislației privind protecția datelor cu caracter personal. La caz, circumstanțele constate și măsurile întreprinse de Centru vor fi comunicate public.

       Pentru a reduce riscul de fraudă sau de utilizare abuzivă a datelor personale, Centrul recomandă:

• Fiți vigilenți la apeluri telefonice, SMS-uri și e-mailuri suspecte.
• Nu divulgați parole, coduri de autentificare sau alte informații confidențiale.
• Nu accesați linkuri nesolicitate și nu autorizați plăți la solicitarea unor persoane necunoscute.
• Verificați solicitările neobișnuite contactând direct instituția sau banca, prin canalele oficiale.
• Verificați printr-un număr de telefon cunoscut orice mesaj prin care o persoană apropiată pretinde că și-a schimbat numărul de telefon sau contul.
• Nu reacționați impulsiv la mesaje alarmiste care invocă membri ai familiei sau situații urgente. Verificați mai întâi informațiile.
• Sesizați poliția, banca, Centrul sau autoritățile competente în domeniul securității cibernetice, după caz, dacă suspectați o utilizare neautorizată a datelor sau o tentativă de fraudă.

       Centrul reiterează importanța protejării datelor cu caracter personal și a utilizării prudente a serviciilor electronice. În acest sens, responsabilitatea pentru securitatea datelor prelucrate revine operatorilor, care trebuie să adopte măsuri adecvate pentru prevenirea accesului neautorizat și protejarea drepturilor persoanelor.

       Persoanele care consideră că au fost vizate de încălcarea securității datelor în contextul atacului cibernetic produs asupra serviciilor publice digitale sunt în drept să se adreseze operatorului pentru clarificări și, eventual, pentru realizarea drepturilor garantate de Legea privind protecția datelor cu caracter personal.