Între secret profesional și amenințare digitală: Confidențialitatea sub asediu digital
Rezumat: Articolul analizează riscurile cibernetice majore care amenință confidențialitatea avocat-client în era digitală, subliniind cum lipsa unor minime măsuri de securitate IT transformă un principiu fundamental al profesiei într-o vulnerabilitate exploatabilă. De la atacuri ransomware și phishing, până la breșe în platforme oficiale ale profesiei, amenințările cresc, în timp ce legislația românească rămâne tăcută. Autorii propune măsuri tehnice esențiale și un set de acțiuni colective pe care UNBR și barourile ar trebui să le implementeze pentru a proteja încrederea clientului. Într-un ecosistem digital, apărarea confidențialității nu mai este o opțiune morală, ci o obligație tehnică urgentă.
Cuvinte cheie: confidențialitate avocat-client, securitate cibernetică, atacuri informatice, Legea 51/1995, obligații digitale avocați, backup, criptare, MFA, dreptul la confidențialitate, breșe de date în avocatură, digitalizare în justiție
Un sanctuar vulnerabil
Confidențialitatea dintre avocat și client a fost, vreme de secole, un edificiu aproape sacru. La fel ca tăcerea unui duhovnic sau discreția unui psiholog, tăcerea avocatului era garantul unui spațiu inviolabil. Astăzi, însă, sanctuarul s-a mutat în cloud. Iar pereții de cărămidă ce păzeau fișetele de metal cu cheie în care erau păstrate dosarele cu șină au fost înlocuiți de instrumente și aplicații web - de cele mai multe ori ușor de compromis.
Lucrând cu experți în tehnologia informației, am înțeles cât de fragile de fapt pot fi mediile de lucru pe care toți juriștii le consideră a fi „securizate”. Niciun program, sistem sau echipament făcut de om nu este infailibil, și în fiecare linie de cod poate exista o vulnerabilitate ce nu a fost exploatată, iar un e-mail aparent banal poate fi uneori rețeta unui mic dezastru juridic.
Numai în ultimele 12 luni am întâlnit zeci de cazuri în care profesioniști din domenii reglementate - cu preponderență în domeniul financiar-contabil - au fost victimele unor atacuri cibernetice de tip ransomware, phishing, DoS/DDoS sau chiar man-in-the-middle care au condus la exfiltrări de date și informații și furturi de documente confidențiale. O parte din ei au aflat prea târziu, alții au fost nevoiți să plătească scump. Cei mai mulți, însă, nu au știut ce li s-a întâmplat, sau cum să reacționeze.
Astăzi, dar mai ales în viitor, prima linie de apărare a unui avocat nu mai e în sala de judecată, ci în infrastructura digitală: parole puternice, autentificare multifactor, copii de rezervă (backupuri), criptare. Confidențialitatea clientului nu mai depinde doar de jurământul profesional, ci și de respectarea unui nivel minim de igienă digitală.
Cifrele alarmante din Vest și umbrele de la Est
Un studiu recent realizat de Proton arată că 1 din 5 firme de avocatură din SUA a fost victima unui atac cibernetic în ultimul an, iar 8% dintre acestea au suferit pierderi de date confidențiale[1]. Mai grav: 65% nu cunoșteau obligațiile legale privind notificarea breșelor. Asta în condițiile în care acele firme americane au bugete mari, echipe IT interne și audituri regulate.
Ce înseamnă asta pentru avocatura din România, unde infrastructura informatică a majorității profesioniștilor se rezumă la aplicațiile gratuite instalate pe telefon și pe laptop? Simptomele sunt deja evidente, iar experiențele altor profesii reglementate, cum sunt auditorii și contabilii, ar trebui să reprezinte un avertisment clar pentru avocați. Există zeci, dacă nu sute de exemple de firme de audit și contabilitate care au fost victime ale ransomware-ului: servere criptate, fișiere blocate, date furate. Sume cerute: între 10.000 și 100.000 EUR în criptomonede. Nu la New York, Silicon Valley sau Londra, ci chiar aici, la noi.
Și dacă mai era nevoie de un semnal de alarmă: în ianuarie 2024, un tânăr IT-ist a descoperit că Tabloul Electronic al Avocaților expunea public datele personale ale peste 37.000 de avocați români. CNP-uri, adrese, contacte, toate indexate pe Google. Platforma instituției care care ar trebui să protejeze profesia avea o vulnerabilitate tehnică latentă de ani de zile[2]. În secolul vitezei, păstrarea confidențialității nu mai este un principiu etic, ci o provocare cibernetică urgentă.
Anatomia unui atac subtil, progresiv și ireversibil
Gruparea Luna Moth - vizată într-un raport FBI - a compromis zeci de firme de avocatură din SUA în 2025. Nu prin exploatări spectaculoase, ci cu tactici de inginerie socială. E-mailuri care păreau să vină de la echipa IT: convocări false, linkuri mascate, mesaje persuasive[3].
Odată intrat, atacatorul:
- copiază datele (nu doar le criptează); - solicită răscumpărare, amenințând cu publicarea pe darknet; - contactează clienți sau adversari, pentru a mări presiunea.
Într-un caz recent din Marea Britanie, firma DPP Law a pierdut 32 GB de date. Hackerii au intrat printr-un cont de admin neprotejat cu MFA. Firma a notificat breșa la 43 de zile după incident. A urmat o amendă de £60.000 din partea Autorității de supraveghere - ICO - și - mult mai grav - un efect de bulgăre care a condus la o deteriorare ireversibilă a reputației[4].
România: unde legea tace, vulnerabilitatea strigă
Legea 51/1995 pentru organizarea profesiei de avocat și Statutul profesiei de avocat nu menționează termenul „date” decât în sens de „date personale ale avocatului” sau „date cu caracter personal” în mod generic. Se vorbește în schimb extrem de extensiv despre secretul profesional, care este o obligație de ordine publică, absolută și nelimitată în timp, iar art. 46 alin. (4) din Legea nr. 51/1995 stabilește că divulgarea nejustificată a secretelor clientului reprezintă infracțiune.
Nu există obligații legale clare ale avocaților privind:
- audituri periodice de securitate; - protejarea datelor clienților prin criptare; - civilă pentru scurgeri digitale.
Rezultatul? Fiecare profesionist își gestionează singur riscurile. Unii lucrează prin WhatsApp, Yahoo sau Gmail. Alții prin conturi de Dropbox fără autentificare multifactor. Îngrijorător de puțini avocați au backup-uri izolate, criptare end-to-end, politici de acces sau planuri de reacție pentru incidente.
Este un teren fertil pentru hazard profesional: clientul crede că e protejat, avocatul află că nu e doar când deja e prea târziu..
Securitatea ca diligență profesională
Există cinci măsuri esențiale care ar trebui să devină norma minimă pentru orice avocat:
1. autentificare multifactor (MFA) în orice mediul de lucru - e-mail, cloud, VPN; 2. criptarea fișierelor sensibile și a comunicării profesionale (e-mail + mesagerie); 3. backupuri offline și proceduri testate de restaurare; 4. politici de acces diferențiat („need to know”); 5. plan de răspuns la incidente și simulări anuale.
Costurile? Infinit mai mici decât consecințele unui atac reușit.. Gândiți-vă doar la onorariul pierdut de la un client mare care află că datele sale au fost compromise.
Ce poate (și trebuie) să facă profesia
În dorința de a funcționa ca arhitecți și nu ca pompieri, UNBR, barourile și marile case de avocatură trebuie să își asume un rol activ:
1. elaborarea unui Ghid național de securitate cibernetică pentru avocați; 2. impunerea unor standarde tehnice minime obligatorii (MFA, criptare, backup); 3. includerea a minimum 2 ore anuale de formare obligatorie în cybersecurity; 4. dezvoltarea unor canale clare și rapide de comunicare a incidentelor către barouri și UNBR, pentru sprijin și intervenție promptă în caz de breșă; 5. promovarea activă a conștientizării riscurilor digitale prin campanii de informare periodice adresate profesiei.
Să ne merităm încrederea
Avocatura e o profesie clădită pe încredere, care are obligația unei constante ancorări în realitate. Iar realitatea este că hackerii sunt mai bine organizați, mai finanțați și - adesea, dacă nu întotdeauna - mult mai pregătiți decât suntem noi.
Într-o epocă digitală, și într-o expansiune a tehnologiilor emergente, confidențialitatea profesiei nu poate rămâne o promisiune - aceasta trebuie transformată într-o infrastructură reală.
Avem datoria să fim nu doar buni apărători ai intereselor clientului, ci și gardieni ai datelor care ne-au fost încredințate. Și încrederea clientului trebuie apărată acum cu unelte digitale, nu doar cu cuvinte solemne.
[1] Proton, „Cyberattacks hit 20% of law firms last year: Here’s how to stay safe”, 2025, disponibil aici [2] Profit.ro, „Portalul avocaților bucureșteni, prezentat cu breșe de securitate de un student”, ianuarie 2024, disponibil aici [3] The Hacker News, „FBI Alerts Law Firms to Luna Moth’s Phishing Campaign”, mai 2025, disponibil aici [4] ICO UK, „Law firm fined £60,000 following cyber attack”, aprilie 2024, disponibil aici
Avocat Victor Buju, Buju Stanciu & Asociații Avocat Alin Nichifor, Buju Stanciu & Asociații