Statul cere protejarea datelor cu caracter personal. Cine va răspunde pentru scurgerile de informații din propriile sale sisteme?

Băncile, instituțiile de credit nebancare și companiile fintech au obligația de a proteja datele cu caracter personal ale clienților. În sectorul bancar, deficiențele în materie de securitate informațională pot duce la sancțiuni chiar înainte de producerea unei scurgeri masive de date. Însă atunci când informațiile sunt extrase din sistemele statului, cetățenilor li se recomandă să fie vigilenți, iar instituțiile anunță restabilirea serviciilor. Va fi statul la fel de exigent cu propriile instituții și cu conducătorii acestora, așa cum este cu mediul de afaceri aflat sub controlul său?

Atacul cibernetic asupra serviciilor digitale de stat din Moldova a făcut ca această comparație să fie pe deplin pertinentă. Conform unei evaluări preliminare a Agenției de Guvernare Electronică, publicată pe 27 octombrie 2026, atacatorii au extras seturi de date legate de aproximativ 750.000 de numere de identificare personală. Este vorba de o gravă breșă în securitatea informațiilor încredințate statului. Pentru a înțelege amploarea fenomenului: acest număr este comparabil cu aproximativ două cincimi (40%) din populația adultă a țării, conform statisticilor BNS.

Printre datele afectate s-ar putea număra numele, datele de naștere, fotografiile, informații despre rude, pensii, alocații, dizabilități, autovehicule, proprietăți imobiliare, companii, numere de cont bancar IBAN, datorii fiscale și istoricul plăților efectuate prin MPay. Chiar și informații izolate pot ajuta escrocii să se prezinte în mod mai convingător drept angajați ai instituțiilor sau rude ale persoanei afectate.

Conform explicației oficiale, atacatorii au profitat de vulnerabilitățile serviciilor accesibile fără autentificare și au folosit informațiile obținute pentru a extrage în continuare date. În scop preventiv, pe 23 octombrie au fost dezactivate 82 de servicii digitale, peste 30 de sisteme informatice și panouri administrative. Încercările ulterioare de acces, conform agenției, au fost blocate. 

Oprirea atacului limitează pagubele ulterioare, iar restabilirea serviciilor redă posibilitatea de a le utiliza. Cu toate acestea, niciuna dintre aceste măsuri nu readuce informațiile furate sub controlul statului. Parola poate fi schimbată. Data nașterii, legăturile familiale sau istoricul plăților primite – nu. Rezolvarea tehnică a incidentului și eliminarea consecințelor acestuia pentru cetățeni sunt lucruri complet diferite.

Deciziile Băncii Naționale a Moldovei pentru perioada 2024-2026 arată că controlul securității informaționale în bănci are consecințe practice. În iunie 2024, Moldindconbank a primit un avertisment scris pentru o serie de deficiențe, inclusiv în ceea ce privește gestionarea riscurilor tehnologice și securitatea informațională. Avertismentele adresate conducerii responsabile se refereau, în special, la controlul accesului, gestionarea vulnerabilităților și a incidentelor, precum și la asigurarea continuității activității. În luna mai a aceluiași an, încălcările în gestionarea riscurilor tehnologice s-au numărat printre motivele avertismentului adresat EuroCreditBank, iar în octombrie 2025 – maib.

Au fost aplicate și sancțiuni pecuniare. În decembrie 2025, Energbank a fost amendată cu 3,13 milioane de lei, iar în septembrie 2026, Comerțbank – cu 0,96 milioane de lei. În ambele cazuri, printre motive s-au numărat încălcări în domeniul riscurilor tehnologice și al securității informaționale, alături de alte deficiențe. Comerțbank a contestat cuantumul amenzii. Prin urmare, este vorba despre o practică de supraveghere din partea autorității de reglementare față de diferite bănci, și nu despre un singur caz izolat. 

Scopul unui astfel de control este de a identifica deficiențele de securitate înainte ca acestea să provoace prejudicii. Se verifică organizarea accesului, funcționarea sistemelor interne, respectarea dispozițiilor și acțiunile persoanelor responsabile. Platformele de stat, care centralizează informații despre o parte semnificativă a populației, necesită o abordare la fel de riguroasă.

Faptul în sine al unui atac cibernetic reușit nu dovedește încă neglijența unui anumit conducător. Însă acțiunile criminale ale atacatorilor nu scutesc de verificare pe cei care erau responsabili de securitatea informațiilor. Este necesar să se stabilească când a fost verificată securitatea serviciilor, dacă erau cunoscute vulnerabilitățile și dacă au fost respectate recomandările privind remedierea acestora. Identificarea atacatorilor și evaluarea activității instituțiilor de stat trebuie să se completeze reciproc.

Legislația privind datele cu caracter personal se aplică atât întreprinderilor, cât și organelor de stat. Consimțământul cetățeanului este doar unul dintre temeiurile prelucrării: datele pot fi utilizate și pentru executarea unui contract, a unei obligații prevăzute de lege sau a unei sarcini de interes public. Cu toate acestea, nici semnarea consimțământului, nici competențele instituției nu anulează obligația de a proteja informațiile. Prelucrarea efectuată în mod corespunzător nu compensează deficiențele de securitate. 

Poziția cetățeanului este aici deosebit de vulnerabilă. Acesta este obligat să furnizeze statului informații pentru obținerea documentelor, încasarea plăților sau îndeplinirea obligațiilor fiscale. În același timp, nu este posibil să se aleagă un alt administrator al registrului de stat, așa cum se poate alege o altă bancă. Statul obține informațiile în virtutea competențelor sale și, prin urmare, trebuie să răspundă pentru păstrarea acestora, ținând seama de această dependență.

Dependența digitală are și o latură economică. În urma atacului, serviciile de depunere a cererilor și de eliberare a documentelor de autorizare pentru antreprenori au devenit temporar inaccesibile; pe 26 octombrie, autoritățile au anunțat restabilirea acestora. Adică, așa cum a arătat acest episod, securitatea platformelor de stat influențează și capacitatea întreprinderilor de a parcurge la timp procedurile necesare. 

Pentru cei afectați, rezultatul anchetei trebuie să aibă o semnificație practică. Pe măsură ce se stabilesc circumstanțele, oamenilor trebuie să li se explice dacă datele lor au fost afectate, ce informații au fost divulgate și unde să se adreseze în cazul în care constată o utilizare abuzivă. Apelul general de a "fi mai precauți" este util, dar oferă persoanelor prea puține informații pentru a-și evalua propriul risc.

Responsabilitatea nu poate fi înlocuită cu un raport privind serviciile restabilite. Chiar și o amendă aplicată unei instituții de stat este insuficientă dacă aceasta este plătită din buget: cheltuielile sunt suportate din nou de contribuabili. Sunt necesare concluzii privind acțiunile unor funcționari publici concreți și decizii proporționale cu încălcările constatate, inclusiv măsuri disciplinare.

Acest caz pune la încercare nu doar securitatea platformelor de stat, ci și capacitatea statului de a-și aplica propriile cerințe pe care le impune altora. Dacă totul se va încheia doar cu restabilirea accesului și cu avertismente privind escrocii, riscurile legate de consecințele scurgerii de date vor rămâne în sarcina cetățenilor, iar responsabilitatea pentru protecția datelor lor va rămâne doar pe hârtie. // 29.10.2026 - InfoMarket.