Pe scurt: Dacă un atac încalcă securitatea datelor cu caracter personal, art. 33 RGPD cere o notificare către autoritatea de supraveghere, dacă este posibil în 72 de ore de la luarea la cunoștință, atunci când există un risc pentru persoanele vizate. În caz de risc ridicat se adaugă, conform art. 34, informarea persoanelor vizate. Independent de aceasta, trebuie să documentați orice încălcare. Această pagină este informare generală și nu constituie consultanță juridică.
Fără consultanță juridică: dacă și când există o obligație de notificare într-un caz concret evaluează responsabilul dumneavoastră cu protecția datelor sau un avocat. Noi furnizăm faptele tehnice pe care se sprijină această evaluare.
Notificarea încălcării datelor în 72 de ore: ce reglementează art. 33
Art. 33 RGPD privește „încălcarea securității datelor cu caracter personal”. Se are în vedere orice încălcare a securității care duce la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal. Un server web compromis, cu bază de date de clienți, formulare de contact sau date ale candidaților, poate intra aici.
Notificarea către autoritatea de supraveghere trebuie făcută fără întârziere nejustificată și, dacă este posibil, în 72 de ore după ce operatorul a luat cunoștință de încălcare. Ea nu este necesară dacă încălcarea nu este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor fizice. Cine notifică după mai mult de 72 de ore trebuie să motiveze întârzierea. Informațiile pot fi transmise în etape.
Ce ar trebui să conțină o notificare
Art. 33 alin. 3 RGPD prevede un conținut minim. Ar trebui să pregătiți aceste puncte, chiar dacă nu este încă totul stabilit:
- natura încălcării, dacă este posibil cu categoriile și numărul aproximativ al persoanelor și al înregistrărilor afectate
- numele și datele de contact ale responsabilului cu protecția datelor sau ale altui punct de contact
- consecințele probabile ale încălcării
- măsurile luate sau propuse pentru remedierea încălcării și pentru atenuarea posibilelor efecte negative
Tocmai la atacurile asupra serverelor web, amploarea este adesea neclară la început. Atunci ajută o primă notificare sinceră, cu starea cunoscută și cu anunțul că veți transmite ulterior noile constatări.
Când începe termenul după un atac asupra serverului?
Termenul se leagă de luarea la cunoștință, nu de momentul atacului. În practică, delimitarea este adesea dificilă: un anunț despre o vulnerabilitate precum PHP2Shell nu întemeiază singur cunoașterea unei încălcări a protecției datelor. Dacă găsiți însă indicii concrete ale unei intruziuni, de exemplu un webshell sau interogări suspecte ale bazei de date, situația poate arăta diferit.
Documentați de aceea de la început, cu ora, cine a primit ce informație și când și ce pași au urmat. Această cronologie ajută la evaluarea juridică și la eventualele întrebări ale autorității. O investigație tehnică atentă, de exemplu prin criminalistică IT, clarifică dacă și ce date sunt efectiv afectate.
Informarea persoanelor vizate conform art. 34
Dacă încălcarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile personale, trebuie informate fără întârziere nejustificată și persoanele vizate. Aceasta poate fi cazul, de exemplu, la date de acces, conturi bancare sau date privind sănătatea. Informarea trebuie să descrie, în limbaj clar și simplu, ce s-a întâmplat și să indice cel puțin punctul de contact, consecințele probabile și măsurile luate.
Art. 34 prevede excepții, de exemplu dacă datele au fost făcute inaccesibile persoanelor neautorizate, de pildă prin criptare. Dacă informarea fiecărei persoane în parte ar presupune un efort disproporționat, poate intra în discuție, în loc de aceasta, o comunicare publică sau o măsură la fel de eficientă. Dacă se aplică o excepție ține de evaluarea juridică. Cum informați clienții în mod ușor de înțeles descrie articolul Comunicarea de criză după un atac.
Obligația de documentare conform art. 33 alin. 5
Independent de obligația de notificare, art. 33 alin. 5 RGPD cere documentarea oricărei încălcări: faptele, efectele și măsurile corective luate. Această documentație trebuie să permită autorității de supraveghere să verifice. Aceasta se aplică și dacă, în urma verificării, ajungeți la concluzia că nu este necesară nicio notificare.
Pentru serverele web, asta înseamnă în practică: salvați jurnalele înainte de a fi rotite, consemnați constatările cu momentul lor, notați deciziile și motivarea lor. La PHP2Shell, presa de specialitate recomandă păstrarea jurnalelor serverului începând cu 20.10.2026. Un patch nu elimină, în plus, programele malițioase deja introduse și nu dovedește că înainte nu s-a întâmplat nimic.
Desfășurarea practică în primele ore
- Raportați suspiciunea intern la un punct fix și implicați responsabilul cu protecția datelor.
- Asigurați probele: jurnale, liste de fișiere, extrase din baza de date, înainte de a șterge sau de a reinstala ceva.
- Clarificați tehnic dacă pot fi afectate date cu caracter personal.
- Evaluarea juridică a obligației de notificare și de informare, dacă este cazul împreună cu avocatul și asigurătorul.
- Notificarea prin formularul autorității de supraveghere competente, completări la apariția unor noi constatări.
Un plan de urgență IT pregătit scurtează considerabil acești pași.
Cum ajută PHP SOS concret?
- Salvăm jurnalele și stările sistemului astfel încât ele să rămână utilizabile pentru evaluare și pentru o verificare ulterioară.
- Clarificăm tehnic dacă și ce date au fost accesibile și furnizăm un rezumat ușor de înțeles pentru responsabilii cu protecția datelor și pentru avocați.
- Ținem o cronologie a constatărilor tehnice, pe care o puteți folosi pentru notificare și documentare.
- În cazul unei intruziuni confirmate preluăm răspunsul la incidente și curățarea.
Întrebări frecvente
De când curg cele 72 de ore?
Potrivit art. 33 RGPD, din momentul în care operatorul a luat cunoștință de încălcare. Când se poate considera că s-a întâmplat acest lucru într-un caz concret este o evaluare juridică. Documentați de aceea exact cine a avut ce informație și când.
Trebuie notificată orice vulnerabilitate de securitate?
Nu. O vulnerabilitate singură nu este încă o încălcare a securității datelor cu caracter personal. Notificarea poate deveni obligatorie dacă există indicii că persoane neautorizate au avut sau au putut avea acces la astfel de date și de aici rezultă un risc pentru persoanele vizate.
Ce fac dacă după 72 de ore încă nu știu totul?
Art. 33 alin. 4 RGPD permite transmiterea informațiilor în etape, dacă nu pot fi furnizate în același timp. O notificare întârziată trebuie motivată. Așteptarea unei clarități depline nu este, de regulă, un motiv să lăsați termenul să treacă.
Cine notifică dacă a fost afectat hosterul?
Obligația de notificare revine operatorului, adică de regulă firma care operează site-ul. O persoană împuternicită de operator, precum hosterul, trebuie să informeze operatorul fără întârziere nejustificată, potrivit art. 33 alin. 2 RGPD.
Unde raportez o încălcare a securității datelor?
La autoritatea de supraveghere competentă pentru protecția datelor. Pentru firmele din Germania este de obicei autoritatea landului federal în care își au sediul. Majoritatea autorităților oferă formulare online pentru aceasta.