Cifra este alarmantă, dar și mai îngrijorătoare este natura informațiilor compromise. Nu vorbim doar despre nume, prenume sau date de naștere, ci și despre membrii familiei, medicul de familie, prestații sociale, pensii, dizabilități, proprietăți, companii deținute, conturi bancare, datorii fiscale și istoricul plăților prin MPay. Informații care, puse cap la cap, permit reconstituirea unei părți considerabile din viața privată a unui om.
O asemenea bază de date poate fi utilizată nu doar pentru fraude financiare, ci și pentru furt de identitate, șantaj, identificarea vulnerabilităților personale și familiale sau operațiuni de influență. Ea poate prezenta inclusiv interes pentru serviciile de informații străine.
AGE ne comunică faptul că a dispus verificarea a 82 de servicii digitale, a suspendat temporar sistemele expuse riscului și a reușit să izoleze atacul. Foarte bine.
Dar cum rămâne cu cele aproximativ 750.000 de persoane ale căror date au fost compromise? De ce, până în acest moment, autoritățile nu au anunțat că măcar una dintre ele ar fi fost informată individual despre furtul propriilor date? Or, aici nu mai vorbim despre subtilități tehnice, ci despre o obligație juridică expresă.
Articolul 34 alin. (1) din Legea nr. 195/2024 privind protecția datelor cu caracter personal prevede:
„În cazul în care încălcarea securității datelor cu caracter personal este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, operatorul informează persoana vizată fără întârzieri nejustificate cu privire la această încălcare.”
Alineatul (2) prevede că informarea trebuie să fie făcută într-un limbaj clar și simplu și să conțină informațiile necesare privind incidentul și măsurile de protecție.
Un comunicat de presă nu poate substitui automat informarea individuală a persoanelor afectate. Când sunt compromise informații despre sănătatea, situația financiară și viața familială a unui număr atât de mare de persoane, riscurile pentru viața privată nu pot fi tratate ca un simplu detaliu administrativ. Fiecare cetățean trebuie să poată afla dacă datele sale au fost compromise, ce informații au fost extrase și cum se poate proteja.
AGE are obligația legală de a informa persoanele afectate, în condițiile prevăzute de lege. Iar această informare trebuie făcută fără întârzieri nejustificate, nu după ce datele personale ale cetățenilor vor ajunge să fie vândute pe 999.md.
Încrederea în statul digital nu se construiește prin declarații laudative despre performanțele propriilor sisteme informatice, ci și prin felul în care instituțiile își asumă responsabilitatea atunci când aceste sisteme eșuează.
