Incident de securitate cibernetică sau încălcare a datelor personale? Cum le deosebim legal

Articolul examinează diferențele juridice esențiale dintre noțiunile de incident de securitate cibernetică și încălcare a securității datelor cu caracter personal, în lumina cadrului normativ european și național aplicabil. Analiza compară dispozițiile O.U.G. nr. 155/2024, care transpune Directiva (UE) 2022/2555 (NIS2), cu prevederile Regulamentului (UE) 2016/679 (GDPR), subliniind convergențele și distincțiile dintre acestea. Sunt evidențiate criteriile de delimitare, obligațiile de notificare, responsabilitățile instituționale și consecințele juridice. Articolul urmărește să ofere un ghid practic pentru companiile din România care trebuie să decidă rapid cui notifică un incident - DNSC sau ANSPDCP.

Într-un context global marcat de digitalizarea accelerată a serviciilor publice și private, precum și de intensificarea atacurilor informatice, distincția juridică dintre incidentul de securitate cibernetică și încălcarea securității datelor cu caracter personal dobândește o importanță deosebită. După un atac ransomware sau un acces neautorizat, întrebarea esențială devine: ne aflăm în fața unui incident tehnic sau a unei încălcări GDPR? Deși cele două concepte sunt adesea utilizate interșanjabil în limbajul comun, ele aparțin unor regimuri juridice distincte și generează obligații legale diferite.

1. Cadrul normativ și obiectul juridic protejat

Pe de o parte, Ordonanța de urgență a Guvernului nr. 155/2024 privind securitatea cibernetică a spațiului cibernetic național civil transpune Directiva (UE) 2022/2555 (NIS2), instituind obligații pentru entitățile publice și private de a implementa măsuri tehnice și organizatorice menite să asigure reziliența sistemelor informatice.

Pe de altă parte, Regulamentul (UE) 2016/679 (GDPR) stabilește cadrul legal pentru protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, impunând reguli stricte privind securitatea prelucrării, notificarea încălcărilor și protecția drepturilor persoanelor vizate.

Deși ambele acte normative urmăresc protejarea integrității, confidențialității și disponibilității informației, scopul juridic și entitatea protejată diferă semnificativ. OUG 155/2024 protejează funcționarea sistemelor informatice, iar GDPR protejează persoana fizică.

2. Definițiile legale și criteriile de delimitare

Din perspectiva cadrului normativ aplicabil, conform art. 2 din O.U.G. nr. 155/2024, incidentul de securitate cibernetică este orice eveniment care afectează sau este susceptibil să afecteze confidențialitatea, integritatea ori disponibilitatea rețelelor și sistemelor informatice, indiferent dacă implică sau nu date cu caracter personal. Actul impune entităților vizate obligația de raportare rapidă către Directoratul Național de Securitate Cibernetică (DNSC), în termen de 24 de ore pentru avertizarea timpurie și 72 de ore pentru raportul complet.

În paralel, articolele 32–34 din GDPR definesc încălcarea securității datelor cu caracter personal ca o breșă care duce la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la datele personale prelucrate. Potrivit art. 33 alin. (1) GDPR, notificarea către Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) trebuie făcută fără întârzieri nejustificate și, dacă este posibil, în termen de cel mult 72 de ore de la constatare.

Astfel, incidentul cibernetic are o dimensiune tehnologică generală, în timp ce încălcarea securității datelor personale are o dimensiune juridică specifică, raportată la drepturile persoanelor vizate.

Elementul decisiv care diferențiază cele două situații este natura informației afectate. Dacă incidentul privește infrastructura informatică (de exemplu, un atac DDoS, o infecție malware, o defecțiune tehnică) fără a implica date cu caracter personal, acesta se circumscrie sferei incidentelor de securitate cibernetică reglementate de O.U.G. nr. 155/2024. Dacă evenimentul afectează date prin care o persoană fizică poate fi identificată, direct sau indirect, ne aflăm în ipoteza unei încălcări a securității datelor personale, reglementată de GDPR.

Prin urmare, nu orice incident cibernetic reprezintă o încălcare a datelor personale, dar orice încălcare a datelor personale constituie, prin natura sa, un incident informatic. Cele două regimuri sunt parțial suprapuse, dar nu echivalente.

Prin urmare, nu orice incident cibernetic reprezintă o încălcare GDPR, dar orice încălcare GDPR este, în esență, și un incident informatic.

3. Obligațiile de notificare și competențele instituționale

Obligațiile privind notificarea, dar și competența instituțională sunt de asemenea distincte. În cazul unui incident de securitate cibernetică, entitățile esențiale și importante (de exemplu, furnizorii de infrastructuri digitale, servicii de comunicații, energie, transporturi, sănătate) trebuie să raporteze evenimentul către DNSC, utilizând Platforma Națională pentru Raportarea Incidentelor de Securitate Cibernetică (PNRISC). Scopul notificării este de a permite coordonarea răspunsului la nivel național și de a preveni extinderea atacului.

În schimb, în cazul unei încălcări a datelor cu caracter personal, operatorul are obligația de a notifica ANSPDCP, conform art. 33 GDPR, și, dacă este cazul, de a informa persoanele vizate, conform art. 34 GDPR.

În practică, se pot distinge trei situații:

• incidentul cibernetic fără implicarea datelor personale - notificare exclusivă către DNSC;

• incidentul cibernetic care afectează și date personale - notificare concomitentă către DNSC și ANSPDCP;

• încălcarea izolată a datelor personale - notificare doar către ANSPDCP.

Art. 62 alin. (2) din OUG 155/2024 consolidează cooperarea instituțională: DNSC nu aplică sancțiuni pentru faptele care intră sub incidența GDPR atunci când ANSPDCP desfășoară o investigație, prevenind astfel dubla sancționare.

4. Responsabilități și sancțiuni

Atât GDPR, cât și O.U.G. nr. 155/2024 impun operatorilor și entităților publice sau private obligația de a implementa măsuri tehnice și organizatorice proporționale cu riscurile identificate.

Potrivit art. 32 GDPR, operatorul trebuie să asigure confidențialitatea, integritatea și disponibilitatea datelor personale, inclusiv prin pseudonimizare, criptare și testare periodică a sistemelor.

În mod similar, capitolul III din O.U.G. nr. 155/2024 impune măsuri de securitate aplicabile întregului sistem informatic, precum gestionarea riscurilor tehnologice, protecția lanțului de aprovizionare și auditarea periodică a infrastructurii.

În ambele regimuri, organele de conducere ale entităților sunt responsabile personal pentru implementarea măsurilor, iar desemnarea unui responsabil pentru securitate (de exemplu, IT Security Officer sau Data Protection Officer - DPO) este obligatorie.

Cu toate acestea, nerespectarea obligațiilor de raportare și securizare atrage consecințe juridice diferite. Conform art. 83 alin. (4) GDPR, nerespectarea dispozițiilor privind securitatea datelor (art. 32–34) se sancționează cu amenzi administrative de până la 10.000.000 EUR sau 2% din cifra de afaceri globală anuală.

În paralel, O.U.G. nr. 155/2024 prevede sancțiuni administrative și măsuri corective, inclusiv suspendarea temporară a activității informatice, iar în cazuri grave pot interveni dispozițiile penale din Legea nr. 161/2003 privind infracțiunile informatice.

În plus, art. 77 GDPR conferă persoanei vizate dreptul de a depune o plângere la autoritatea de supraveghere, garantând accesul la o cale de atac administrativă efectivă - un mecanism care, în prezent, lipsește din regimul incidentelor cibernetice.

Pentru operatori, riscul major nu este doar amenda, ci și paralizia operațională - suspendarea temporară a activităților IT de către DNSC.

5. Concluzii practice: către o guvernanță integrată

Delimitarea juridică dintre incidentul de securitate cibernetică și încălcarea securității datelor personale are implicații semnificative în planul responsabilității organizaționale și al coordonării instituționale. Dacă primul privește protecția infrastructurilor informatice și asigurarea rezilienței digitale, al doilea protejează demnitatea și viața privată a individului.

Pentru a evita sancțiunile, companiile ar trebui să adopte o procedură internă de triere în două etape:

evaluare tehnică - pentru stabilirea impactului asupra infrastructurii IT;
evaluare juridică - pentru determinarea implicării datelor personale și a obligațiilor de notificare.

Într-o lume în care frontierele dintre tehnologie și viața personală se estompează, aceste două regimuri trebuie privite ca părți ale unui sistem unic de guvernanță integrată a datelor și securității cibernetice, fundamentat pe colaborarea activă dintre DNSC și ANSPDCP. România, aliniindu-se standardelor europene, construiește astfel o dublă linie de apărare: una tehnologică, bazată pe reziliență și prevenție, și una juridică, centrată pe protecția persoanei și a datelor sale.

În 2025, maturitatea instituțională se măsoară prin capacitatea autorităților și a companiilor de a reacționa coordonat, rapid și proporțional la riscurile digitale emergente - acolo unde dreptul și tehnologia se întâlnesc.