„750.000 de oameni, dar cine i-a anunțat că le-au fost furate datele?”. Alexandru Tănase cere explicații după atacul cibernetic și invocă obligația legală a AGE de a informa persoanele afectate
Fostul președinte al Curții Constituționale, Alexandru Tănase, cere autorităților să explice de ce persoanele vizate de recentul atac cibernetic nu ar fi fost informate individual despre compromiterea datelor lor. Într-o postare pe Facebook, acesta atrage atenția că incidentul anunțat de Agenția de Guvernare Electronică ar viza aproximativ 750.000 de IDNP-uri și informații care pot ține inclusiv de familie, sănătate, situația financiară, proprietăți sau conturi bancare. Tănase invocă prevederile Legii privind protecția datelor cu caracter personal și susține că, atunci când o breșă poate genera un risc ridicat pentru cetățeni, un comunicat public nu poate substitui automat informarea persoanelor afectate.
Tănase atrage atenția în primul rând asupra volumului și caracterului informațiilor care, potrivit datelor prezentate de el, ar fi fost compromise.
„Agenția de Guvernare Electronică ne-a anunțat ieri că, în urma unui atac cibernetic, au fost extrase neautorizat seturi de date aferente unui număr de aproximativ 750.000 de IDNP-uri. Cifra este alarmantă, dar și mai îngrijorătoare este natura informațiilor compromise. Nu vorbim doar despre nume, prenume sau date de naștere, ci și despre membrii familiei, medicul de familie, prestații sociale, pensii, dizabilități, proprietăți, companii deținute, conturi bancare, datorii fiscale și istoricul plăților prin MPay. Informații care, puse cap la cap, permit reconstituirea unei părți considerabile din viața privată a unui om. O asemenea bază de date poate fi utilizată nu doar pentru fraude financiare, ci și pentru furt de identitate, șantaj, identificarea vulnerabilităților personale și familiale sau operațiuni de influență. Ea poate prezenta inclusiv interes pentru serviciile de informații străine. AGE ne comunică faptul că a dispus verificarea a 82 de servicii digitale, a suspendat temporar sistemele expuse riscului și a reușit să izoleze atacul. Foarte bine”, a scris Tănase pe pagina sa de Facebook.
Fostul președinte al Curții Constituționale ridică însă problema informării individuale a persoanelor ale căror date ar fi fost compromise și invocă expres prevederile legale.
„Dar cum rămâne cu cele aproximativ 750.000 de persoane ale căror date au fost compromise? De ce, până în acest moment, autoritățile nu au anunțat că măcar una dintre ele ar fi fost informată individual despre furtul propriilor date? Or, aici nu mai vorbim despre subtilități tehnice, ci despre o obligație juridică expresă. Articolul 34 alin. (1) din Legea nr. 195/2024 privind protecția datelor cu caracter personal prevede: În cazul în care încălcarea securității datelor cu caracter personal este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, operatorul informează persoana vizată fără întârzieri nejustificate cu privire la această încălcare. Alineatul (2) prevede că informarea trebuie să fie făcută într-un limbaj clar și simplu și să conțină informațiile necesare privind incidentul și măsurile de protecție”, a explicat acesta.
Tănase susține că reacția instituțiilor după un asemenea incident este esențială pentru încrederea cetățenilor în serviciile digitale ale statului.
„Un comunicat de presă nu poate substitui automat informarea individuală a persoanelor afectate. Când sunt compromise informații despre sănătatea, situația financiară și viața familială a unui număr atât de mare de persoane, riscurile pentru viața privată nu pot fi tratate ca un simplu detaliu administrativ. Fiecare cetățean trebuie să poată afla dacă datele sale au fost compromise, ce informații au fost extrase și cum se poate proteja. AGE are obligația legală de a informa persoanele afectate, în condițiile prevăzute de lege. Iar această informare trebuie făcută fără întârzieri nejustificate, nu după ce datele personale ale cetățenilor vor ajunge să fie vândute pe 999.md. Încrederea în statul digital nu se construiește prin declarații laudative despre performanțele propriilor sisteme informatice, ci și prin felul în care instituțiile își asumă responsabilitatea atunci când aceste sisteme eșuează”, a conchis Alexandru Tănase.
