Un email greșit te poate costa o avere: ce spune legea despre scurgerile de date

În 2022, un angajat al unui mare furnizor de energie din România a trimis, dintr-o simplă greșeală, documentele cu datele personale ale unui client către alt client. Un singur email, o fracțiune de secundă. Rezultatul: o amendă de 10.000 de euro de la Autoritatea pentru Protecția Datelor, plus o sancțiune separată pentru că incidentul nu a fost raportat la timp. Și nu e un caz izolat: bănci, IFN-uri și furnizori de utilități au pățit la fel. Hai să vedem ce spune legea și, mai ales, ce faci dacă ți se întâmplă ție.

Pe scurt

• Trimiterea accidentală a datelor personale (nume, adrese, CNP-uri) către un destinatar greșit este o încălcare a securității datelor în sensul GDPR (art. 4 pct. 12).

• Plafonul legal al amenzilor urcă până la 20 de milioane de euro sau 4% din cifra de afaceri globală. În practică, pentru emailuri trimise greșit, amenzile aplicate în România au fost între 1.000 și zeci de mii de euro. Tot bani serioși.

• Dacă incidentul prezintă un risc pentru persoanele vizate, compania trebuie să anunțe autoritatea (ANSPDCP) în cel mult 72 de ore (art. 33 GDPR).

• Amenda o primește firma, nu angajatul. Dar angajatul care a greșit riscă sancțiuni disciplinare, iar în anumite limite i se poate cere să acopere paguba.

Cum ajunge un email să fie o bombă cu ceas?

Datele cu caracter personal sunt orice informații care te identifică direct sau indirect: nume, adresă, email, telefon, CNP, adresă IP, chiar și o fotografie (art. 4 pct. 1 din GDPR). Când astfel de date ajung la o persoană neautorizată, chiar și din greșeală, s-a produs ceea ce specialiștii numesc un breach: o încălcare a securității datelor. Regulamentul spune explicit că intră aici și divulgarea „în mod accidental” (art. 4 pct. 12).

Nu contează dacă ai folosit câmpul „Către” în loc de CCO sau ai atașat un document greșit. Rezultatul e același: confidențialitatea a fost compromisă. Responsabilă în fața legii este compania, în calitate de operator de date. Angajatul lucrează „sub autoritatea operatorului” (art. 29 GDPR), deci nu răspunde direct în fața ANSPDCP, dar are obligația să raporteze incidentul intern, imediat. Fără raportarea lui, compania nu are cum să respecte termenul de 72 de ore.

Ce amenzi riști, concret

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) este cea care bate la ușă. Și nu vine cu flori. Conform articolului 83 din GDPR, amenzile au două plafoane, aplicându-se de fiecare dată suma mai mare:

• Până la 10 milioane de euro sau 2% din cifra de afaceri globală, pentru încălcări precum lipsa măsurilor tehnice de securitate (art. 32) sau neraportarea incidentului către autoritate (art. 33).

• Până la 20 de milioane de euro sau 4% din cifra de afaceri globală, pentru încălcări grave: nerespectarea principiilor de bază ale prelucrării sau transferurile ilegale de date.

Vestea „bună”, între ghilimele: în practica ANSPDCP, un email trimis greșit este sancționat de regulă ca lipsă a măsurilor de securitate adecvate (art. 32), adică prima categorie. Iar amenzile reale din România arată așa: 10.000 de euro pentru furnizorul de energie de mai sus (2022), 28.000 de euro în total pentru o bancă mare, după mai multe incidente repetate (2022), 24.000 de euro pentru un IFN care a trimis actele de credit ale unui client altcuiva (2023), 12.000 de euro pentru o altă bancă (2026). Nu milioane, dar suficient cât să doară. Iar dacă nu anunți incidentul în 72 de ore, primești o sancțiune separată fix pentru tăcere: s-au dat amenzi de 1.000 până la 2.000 de euro doar pentru neraportare. Așadar, nu doar greșeala inițială te costă, ci și tăcerea ta.

Ce faci imediat după ce ai apăsat „Send”?

Nu te panica. Sau, dacă ai făcut-o, e normal. Dar după ce respiri adânc, urmează acești pași:

1. Contactează destinatarul greșit. Sună-l, explică-i situația și roagă-l să șteargă definitiv emailul, fără să-l distribuie. Cere-i o confirmare scrisă că a făcut-o.

2. Anunță responsabilul cu protecția datelor (DPO) din compania ta. Dacă firma nu are unul, informează imediat managementul. Ei vor evalua riscul și vor decide dacă e cazul să raporteze incidentul la ANSPDCP.

3. Documentează totul. Păstrează capturi de ecran, notează orele exacte, descrie ce date au fost compromise. GDPR obligă oricum compania să țină evidența tuturor incidentelor, chiar și a celor neraportate (art. 33 alin. 5). Iar măsurile luate rapid pentru limitarea pagubei și cooperarea cu autoritatea sunt criterii care reduc amenda (art. 83 alin. 2).

4. Raportează la autoritate, dacă este cazul. Compania trebuie să notifice ANSPDCP în maximum 72 de ore de la momentul în care a aflat de incident, dacă există un risc pentru drepturile și libertățile persoanelor vizate. Există un formular dedicat pe site-ul autorității, dataprotection.ro. Dacă riscul este mare, trebuie informate și persoanele ale căror date au fost expuse (art. 34).

Întrebări frecvente

„Am trimis un email cu datele unui singur client din greșeală. Chiar e așa grav?”

Da, dacă datele respective intră sub incidența GDPR (de exemplu, nume, adresă, CNP). Nu cantitatea contează, ci faptul că ai pierdut controlul asupra lor. Cazul furnizorului de energie amendat cu 10.000 de euro a plecat de la un singur email către un singur destinatar greșit. Totuși, autoritatea ține cont de circumstanțe: dacă destinatarul greșit e de încredere și șterge imediat emailul, riscul e mic. Dar asta nu te scutește de obligația de a raporta intern și de a documenta incidentul.

„Plătesc eu, angajatul, amenda?”

Amenda o primește firma, în calitate de operator de date. Dar asta nu înseamnă că scapi nepedepsit. Angajatorul te poate sancționa disciplinar, de la avertisment scris până la desfacerea contractului de muncă (art. 248 din Codul muncii). Îți poate cere și acoperirea pagubei, în condițiile răspunderii patrimoniale (art. 254 din Codul muncii), deși recuperarea amenzii în sine de la salariat este discutabilă juridic. Răspunderea penală apare doar dacă divulgi datele intenționat, nu dintr-o greșeală: infracțiunea de divulgare a informațiilor secrete de serviciu sau nepublice (art. 304 Cod penal) cere intenție. Așa că, dragă colegu’, ai grijă unde dai click.

Greșelile se întâmplă, dar ele nu trebuie să devină drame financiare. Cu o reacție rapidă și cu respectarea pașilor de mai sus, poți limita considerabil daunele. Iar dacă vrei să vezi și varianta pe scurt, cu un strop de umor, urmărește videoclipul pe canalul Lege și Tocmeală.