Ce faci când datele bisericii sunt expuse: laptop furat, cont spart

Se întâmplă: un telefon cu lista membrilor e furat, un cont de e-mail e spart, un fișier ajunge din greșeală la cine nu trebuie. Sub GDPR, asta se numește incident de securitate a datelor (breach) — și ai câțiva pași clari de urmat. Vestea bună e că, dacă reacționezi corect, situația e gestionabilă.

Articol informativ, nu consultanță juridică. Vezi și ghidul GDPR pentru biserici.

Ce este un incident de date

Orice situație în care datele personale sunt pierdute, expuse, accesate sau modificate neautorizat: dispozitiv pierdut/furat, cont compromis, fișier trimis greșit, acces neautorizat la evidențe.

Pașii de urmat

1. Limitează imediat — schimbă parolele, blochează accesul, recuperează ce poți.
2. Evaluează riscul — ce date au fost expuse și cât de sensibile sunt (lista de membri = date sensibile).
3. Notifică autoritatea, dacă există risc — incidentele cu risc pentru persoane se notifică ANSPDCP, de regulă în 72 de ore de la aflare.
4. Informează persoanele afectate — dacă riscul pentru ele este ridicat, trebuie anunțate, ca să se poată proteja.
5. Documentează — ce s-a întâmplat, ce ai făcut, ce decizii ai luat.

Chiar dacă un incident nu necesită notificare, e bine să-l consemnezi intern.

Cum reduci riscul din start

• Date centralizate, cu acces pe roluri, în loc de copii pe telefoane personale.
• Parole bune și, unde se poate, autentificare în doi pași.
• Stocare securizată, de preferință în Uniunea Europeană.
• Mai puține fișiere care circulă pe chat = mai puține căi de scurgere.

Dacă vrei să mergi mai departe pe partea de securitate și conformitate, există resurse dedicate, precum NIS2.HUB.RO, care tratează în detaliu securitatea datelor și răspunsul la incidente.

Întrebări frecvente

În cât timp trebuie să raportez un incident?

Când există risc pentru persoane, notificarea către ANSPDCP se face, de regulă, în 72 de ore de la momentul în care ai aflat de incident.

Un telefon pierdut cu lista membrilor e un incident?

Da, dacă pe el erau date personale neprotejate. De aceea contează parola și să nu ții liste sensibile necriptate pe dispozitive personale.