ANCPI, atacul cibernetic și drepturile tale GDPR: ce înseamnă concret și ce poți face
Pe 14 iulie 2026, ANCPI a anunțat un acces neautorizat în infrastructura sa informatică. Aplicația e-Terra a picat și, la câteva săptămâni distanță, tot nu funcționează la capacitate normală. Între timp, un atacator care se recomandă ByteToBreach susține că a obținut date personale ale cetățenilor și o copie a serverelor interne ale instituției. ANCPI afirmă că baza de date centrală a cadastrului nu a fost afectată. Cele două versiuni nu se exclud neapărat din punct de vedere tehnic, însă lasă încă neclar dacă și în ce măsură au fost exfiltrate date cu caracter personal. Pentru orice persoană care are un CNP, o adresă și un drept de proprietate înregistrate în sistemul cadastral, această incertitudine contează.
Ce știm, pe scurt
Comunicatul oficial al ANCPI confirmă un atac de tip ransomware: infrastructura de virtualizare care găzduiește aplicațiile agenției a fost criptată și parțial ștearsă. DNSC a fost implicat din prima zi, infrastructura afectată a fost izolată, iar echipele tehnice lucrează la reconstrucția completă a sistemului, inclusiv prin migrarea serviciilor în cloud-ul guvernamental.
Instituția susține că baza de date centrală a cadastrului – cea care conține informațiile privind proprietățile și drepturile reale asupra imobilelor – nu a fost afectată și că, până în prezent, nu există dovezi privind accesul neautorizat la aceasta. Singura recomandare concretă din comunicatele oficiale privește platforma ePay: utilizatorii sunt sfătuiți să își schimbe parola, în special dacă folosesc aceeași parolă și pentru alte conturi.
În paralel, atacatorul a declarat public, prin intermediul unei firme de securitate cibernetică, că deține date personale colectate de ANCPI și o copie a depozitelor de cod ale instituției. Veridicitatea acestor afirmații nu a fost confirmată oficial, iar stabilirea împrejurărilor exacte face obiectul unei anchete penale aflate în curs.
Un aspect important este formularea utilizată de ANCPI: instituția afirmă că „nu există dovezi” privind compromiterea bazei centrale de date. În limbaj juridic și tehnic, aceasta descrie stadiul actual al investigației și nu echivalează cu o concluzie definitivă că o exfiltrare de date nu a avut loc.
De ce este o chestiune de GDPR, nu doar de IT
GDPR definește o încălcare a securității datelor cu caracter personal („personal data breach”) ca fiind o încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, sau divulgarea neautorizată a datelor cu caracter personal transmise, stocate sau prelucrate într-un alt mod, sau la accesul neautorizat la acestea.
ANCPI este operator de date cu caracter personal pentru informațiile gestionate în cadrul sistemului de cadastru și carte funciară – nume, CNP-uri, adrese și alte date asociate drepturilor asupra imobilelor. Ca orice operator, are obligația de a implementa măsuri tehnice și organizatorice adecvate pentru protejarea datelor (art. 32 GDPR).
Dacă incidentul constituie o încălcare a securității datelor cu caracter personal în sensul art. 4 pct. 12 GDPR, ANCPI are, în principiu, obligația de:
a implemeta măsuri tehnice și organizatorice adecvate pentru securitatea datelor (art. 32 GDPR);
a notifica Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) în cel mult 72 de ore de la momentul în care a luat cunoștință de încălcarea securității datelor, cu excepția situațiilor în care este puțin probabil ca aceasta să genereze un risc pentru drepturile și libertățile persoanelor fizice (art. 33 GDPR);
a informa direct persoanele vizate atunci când încălcarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile acestora (art. 34 GDPR).
Aceste obligații sunt independente de ancheta penală privind identificarea autorilor atacului.
Ce poți face, concret, ca persoană vizată
1. Solicită informații de la ANCPI (art. 15 GDPR)
Ai dreptul să formulezi o cerere de acces prin care să soliciți informații privind prelucrarea datelor tale și, dacă este cazul, dacă acestea au fost afectate de incidentul de securitate. Dacă ai utilizat platforma ePay, poți solicita și informații referitoare la datele prelucrate în legătură cu acel serviciu.
ANCPI trebuie să răspundă în termen de o lună, termen care poate fi prelungit, motivat, cu încă două luni.
2. Depune o plângere la ANSPDCP (art. 77 GDPR)
Procedura este gratuită și nu presupune reprezentarea prin avocat. Nu trebuie să dovedești existența unui prejudiciu pentru ca autoritatea să poată analiza cazul.
ANSPDCP poate verifica dacă ANCPI și-a respectat obligațiile prevăzute de GDPR, inclusiv cele privind măsurile de securitate, notificarea autorității și, dacă este cazul, informarea persoanelor vizate.
3. Dacă ai suferit un prejudiciu, poți solicita despăgubiri (art. 82 GDPR)
GDPR recunoaște dreptul oricărei persoane de a solicita despăgubiri atunci când a suferit un prejudiciu material sau moral ca urmare a încălcării regulamentului. Cu alte cuvinte, dacă o breșă de securitate ți-a produs o pagubă financiară, ți-a afectat drepturile sau ți-a provocat un prejudiciu moral, poți solicita repararea acestuia în instanță.
În principiu, operatorul de date – în acest caz, ANCPI – răspunde pentru prejudiciile cauzate de o prelucrare care încalcă GDPR. Acesta se poate exonera de răspundere numai dacă dovedește că nu este răspunzător în niciun fel pentru evenimentul care a produs prejudiciul.
În situațiile în care mai mulți operatori sau persoane împuternicite sunt implicați în aceeași prelucrare, persoana vizată poate solicita despăgubirea integrală de la oricare dintre cei răspunzători, urmând ca aceștia să își regleze ulterior între ei partea de răspundere.
Este important de știut că prejudiciul nu trebuie să fie doar unul material. Jurisprudența Curții de Justiție a Uniunii Europene a confirmat că și prejudiciul moral poate fi despăgubit, inclusiv atunci când constă în teama justificată că datele personale ar putea fi utilizate abuziv în viitor, chiar dacă o astfel de utilizare nu s-a produs încă. Desigur, existența și întinderea prejudiciului vor fi apreciate de instanță în funcție de circumstanțele fiecărui caz.
Ce ne spune jurisprudența CJUE
Cauza relevantă este C-340/21 (VB împotriva Agenției Naționale a Veniturilor Publice din Bulgaria, hotărârea CJUE din 14 decembrie 2023).
Contextul cauzei:
În iulie 2019, sistemul informatic al Agenției Naționale a Veniturilor Publice din Bulgaria (NAP) a fost victima unui atac cibernetic, datele personale a peste șase milioane de persoane fiind publicate online. Reclamanta, una dintre persoanele afectate, a solicitat despăgubiri de 1.000 BGN pentru prejudiciul moral constând în temerea față de o potențială utilizare abuzivă viitoare a datelor sale. NAP a invocat că atacul a fost săvârșit de terți și că a adoptat toate măsurile de securitate necesare. Instanța de fond a respins acțiunea, apreciind că reclamanta nu a dovedit caracterul inadecvat al măsurilor de securitate și că temerea sa nu constituie un prejudiciu moral reparabil.
Întrebările adresate Curții:
Producerea unui atac cibernetic demonstrează, prin ea însăși, că măsurile de securitate ale operatorului erau inadecvate?
Ce întindere are controlul jurisdicțional al caracterului adecvat al măsurilor de securitate?
Cui îi revine sarcina probei privind adecvarea măsurilor de securitate? Este expertiza judiciară mijloc de probă necesar și suficient?
Atacul cibernetic săvârșit de terți exonerează automat operatorul de răspundere?
Temerea față de o utilizare abuzivă viitoare a datelor constituie prejudiciu moral reparabil?
Răspunsurile Curții:
Simpla producere a breșei nu dovedește automat neconformitatea. Faptul că terții au obținut acces neautorizat la date nu înseamnă în sine că măsurile tehnice/organizatorice ale operatorului (art. 24, 32 GDPR) erau inadecvate — dar operatorul trebuie să aibă posibilitatea să demonstreze contrariul, nu se aplică o prezumție irefragabilă de culpă.
Instanța trebuie să analizeze pe fond, nu doar formal. Caracterul adecvat al măsurilor de securitate se apreciază concret, în doi pași: identificarea riscurilor concrete ale prelucrării respective, apoi verificarea dacă măsurile efectiv implementate răspundeau acelor riscuri (stadiul tehnologiei, cost, natura datelor). Instanța nu se poate limita la a constata ce măsuri pretinde operatorul că a luat — trebuie să le examineze efectiv.
Sarcina probei cade pe operator. Într-o acțiune întemeiată pe art. 82, operatorul (nu victima) trebuie să demonstreze că măsurile de securitate implementate erau adecvate conform art. 32. Totodată, o expertiză judiciară nu poate fi considerată automat mijloc de probă „necesar și suficient" — instanța trebuie să facă propria apreciere obiectivă, nu doar să deducă mecanic din raportul de expertiză.
Fapta terțului (atacul cibernetic) nu exonerează automat operatorul. Conform art. 82 alin. 3, operatorul e exonerat doar dacă dovedește că evenimentul cauzator al prejudiciului nu îi este „în niciun fel" imputabil — adică trebuie să demonstreze lipsa legăturii de cauzalitate dintre propria eventuală încălcare a obligației de protecție a datelor și prejudiciul suferit. Un atac cibernetic executat de un terț nu e, prin el însuși, cauză de exonerare.
Teama de o utilizare abuzivă viitoare poate constitui, singură, prejudiciu moral în sensul art. 82 alin. 1 — fără să fie nevoie ca persoana vizată să dovedească o fraudă de identitate deja produsă.
Acest articol are scop informativ și nu poate înlocui consultanța juridică oferită în funcție de circumstanțele fiecărui caz. Dacă aveți întrebări privind impactul acestui incident asupra datelor dumneavoastră sau doriți să analizați posibilitatea formulării unei plângeri ori a unei acțiuni în despăgubiri, vă stăm la dispoziție pentru consultanță și reprezentare juridică.
