Peste 700.000 de clienți afectați într-un singur atac: ce faci în primele 72 de ore după o breșă de date

Baza de date a operatorului de salubritate din Timișoara, care are peste 700.000 de clienți, a fost accesată fără drept pe 7 octombrie 2026. În aceeași zi, incidente similare au lovit alte două firme din grupul RER, REBU și RER Vest. Atacatorul susține că deține numele, e-mailurile, telefoanele și istoricul plăților clienților. Firmele și-au avertizat clienții asupra tentativelor de fraudă. Dacă treci printr-o astfel de breșă, ai 72 de ore din momentul în care afli ca să anunți autoritatea pentru protecția datelor (ANSPDCP), potrivit art. 33 din Regulamentul general privind protecția datelor (GDPR). Când riscul pentru clienți e ridicat, ești obligat să-i anunți direct și pe ei, potrivit art. 34. Notificarea lipsă sau întârziată se sancționează cu până la 10 milioane de euro sau 2% din cifra de afaceri, separat de amenda pentru securitate, potrivit art. 83 din GDPR.

Ce s-a întâmplat la RETIM, REBU și RER Vest?

Pe 7 octombrie 2026, o persoană neautorizată a intrat în baza de date a portalului „Contul meu", pe care îl folosesc clienții a trei operatori de salubritate din grupul RER: RETIM, REBU și RER Vest, potrivit confirmărilor publicate de cele trei firme și centralizate de Mobilissimo. RETIM și RER Vest și-au suspendat portalurile a doua zi.

„Accesul nelegitim a vizat întreaga bază de date", a anunțat RETIM. Operatorul de salubritate din Timișoara are peste 700.000 de clienți, potrivit Știrilor ProTV, care descriu firma fără să o numească. Datele expuse la RETIM includ nume, coduri de client, adrese, e-mailuri, telefoane, numărul de persoane declarate în gospodărie, istoricul facturilor și al plăților și datele de autentificare ale conturilor online. Datele de card nu au fost afectate, fiindcă plățile trec printr-un procesator separat, potrivit firmei.

RETIM și RER Vest spun că nu au putut stabili dacă datele au fost copiate, dar atacatorul susține că le deține. RER Vest a anunțat ANSPDCP și Directoratul Național de Securitate Cibernetică (DNSC), a depus plângere penală, a invalidat toate parolele și sesiunile, a oprit și a păstrat serverul compromis pentru investigație și a angajat investigatori independenți, potrivit Profit.ro. Informarea către clienții RETIM a plecat pe e-mail pe 11 octombrie, la ora 16:07, potrivit unui mesaj văzut de Ecopolitica.

La 14 octombrie 2026 nu era public la ce oră au aflat firmele de incident, deci nu se poate spune dacă au respectat termenul legal de 72 de ore.

Ești obligat să anunți ANSPDCP după o breșă de date?

Da, ești obligat să notifici ANSPDCP „fără întârzieri nejustificate și, dacă este posibil, în termen de cel mult 72 de ore" de la momentul în care ai aflat de breșă, potrivit art. 33 alin. (1) din GDPR. Singura excepție e situația în care e puțin probabil ca incidentul să creeze vreun risc pentru oamenii ale căror date sunt implicate, de exemplu date criptate cu o metodă actuală, a căror cheie nu a fost compromisă.

Obligația te privește dacă firma ta ține date personale despre oameni, adică în practică dacă:

• ai un magazin online cu conturi de client sau cu istoric de comenzi;
• ții o bază de clienți în programul de gestionare a clienților (CRM), în programul de facturare sau într-un simplu fișier Excel;
• ai un portal sau o aplicație unde clienții își văd contractele și facturile;
• ai angajați, pentru că și datele lor intră aici.

În limbajul legii, ești „operator", adică firma care decide de ce și cum sunt folosite datele. Breșa se numește „încălcare a securității datelor cu caracter personal" și acoperă orice situație în care datele sunt distruse, pierdute, modificate, divulgate sau accesate fără drept, din greșeală sau intenționat, potrivit art. 4 pct. 12 din GDPR. Un hacker care copiază baza de clienți, un e-mail cu datele unui client trimis la adresa greșită și un atac ransomware care îți blochează accesul la fișiere sunt toate breșe de acest tip, potrivit Ghidurilor 9/2022 ale Comitetului European pentru Protecția Datelor (EDPB) privind notificarea încălcărilor de securitate.

De când curg cele 72 de ore pentru notificarea breșei?

Cele 72 de ore curg din momentul în care ai „o certitudine rezonabilă" că un incident a compromis date personale, potrivit Ghidurilor EDPB 9/2022 (paragrafele 31-34). Ai voie să faci o verificare scurtă înainte, ca să afli dacă incidentul e real, dar ghidurile cer ca această etapă să fie scurtă.

Un exemplu, ca interpretare a redacției pe baza ghidurilor: primești luni la ora 9:00 un e-mail de la cineva care spune că ți-a copiat baza de clienți. Furnizorul tău IT confirmă la ora 13:00 că a existat un acces neautorizat. Din acel moment ai certitudinea, deci termenul de 72 de ore se încheie joi la ora 13:00. Termenul se socotește în ore, nu în zile lucrătoare, așa că weekendul nu îl oprește.

Dacă trimiți notificarea după 72 de ore, ești obligat să explici motivul întârzierii, potrivit aceluiași art. 33 alin. (1).

Când site-ul, serverul sau programul de facturare sunt administrate de altă firmă, furnizorul e obligat să te anunțe fără întârzieri nejustificate de îndată ce află de incident, potrivit art. 33 alin. (2) din GDPR. Răspunderea pentru notificarea către ANSPDCP rămâne însă a ta, chiar dacă furnizorul trimite formularul în numele tău, potrivit Ghidurilor EDPB (paragraful 48).

Cum trimiți notificarea la ANSPDCP și ce scrii în ea?

Notificarea o depui online, pe formularul tipizat aprobat prin Decizia ANSPDCP nr. 128/2018, publicată în Monitorul Oficial nr. 557 din 3 iulie 2018. Formularul se deschide din pagina de notificare a încălcărilor de pe dataprotection.ro, butonul „Depunere notificare online". Păstrează confirmarea de trimitere și o copie a formularului.

Notificarea are patru elemente obligatorii, potrivit art. 33 alin. (3) din GDPR:

1. ce s-a întâmplat, cu categoriile de date și de persoane afectate și cu numărul lor aproximativ, dacă îl poți estima;
2. numele și datele de contact ale responsabilului cu protecția datelor sau ale altei persoane de contact din firmă;
3. consecințele probabile pentru oamenii afectați;
4. măsurile pe care le-ai luat sau pe care le propui, inclusiv cele care limitează efectele.

Nu e nevoie să aștepți până afli tot. Când nu ai încă toate informațiile, le poți trimite „în mai multe etape, fără întârzieri nejustificate", potrivit art. 33 alin. (4) din GDPR. Ghidurile EDPB recomandă să precizezi încă din prima notificare că urmează completări (paragraful 57). Recomandarea noastră e să trimiți în termen ce știi sigur și să completezi pe parcurs, în loc să depășești termenul ca să ai un formular complet.

Când ești obligat să-ți anunți și clienții?

Ești obligat să-i informezi direct pe oamenii ale căror date au fost afectate, fără întârzieri nejustificate, atunci când breșa poate genera un risc ridicat pentru ei, potrivit art. 34 alin. (1) din GDPR. Pragul e mai sus decât cel pentru notificarea către ANSPDCP, potrivit Ghidurilor EDPB (paragraful 82).

Riscul e ridicat când datele pot fi folosite pentru fraude, furt de identitate, pierderi financiare sau afectarea reputației, potrivit ghidurilor (paragraful 102). Combinațiile de date cântăresc mai mult decât datele luate separat (paragraful 108). Nume, adresă, telefon și istoric de plăți la un loc îi permit unui escroc să scrie un mesaj credibil „de la firma ta", care cere o plată sau o parolă. RETIM și-a avertizat clienții exact pentru acest risc, să nu plătească în conturi primite pe e-mail, SMS sau telefon, potrivit informării citate de Critic Arad.

Nu mai ești obligat să-ți anunți clienții în trei situații, potrivit art. 34 alin. (3) din GDPR:

• datele erau protejate astfel încât nu pot fi citite de cine le-a luat, de exemplu erau criptate, cu o cheie care nu a fost compromisă;
• ai luat imediat măsuri care fac ca riscul ridicat să nu se mai producă;
• informarea fiecărui om ar cere un efort disproporționat, caz în care o înlocuiești cu o comunicare publică la fel de eficientă.

La parole, contează cum erau salvate. Parolele stocate printr-o metodă de criptare actuală (hash cu cheie) pot să nu mai ceară informarea clienților, dar lipsa unei criptări sigure nu te scutește, potrivit Ghidurilor EDPB (paragrafele 77-80), așa că întreabă-ți furnizorul IT exact cum erau stocate.

Chiar dacă tu decizi că nu e cazul, ANSPDCP îți poate cere să-ți informezi clienții, potrivit art. 34 alin. (4) din GDPR.

Cum arată mesajul către clienți după o breșă de date?

Mesajul către clienți descrie breșa „într-un limbaj clar și simplu" și conține cel puțin persoana de contact din firmă, consecințele probabile și măsurile pe care le-ai luat, potrivit art. 34 alin. (2) din GDPR.

Ghidurile EDPB adaugă trei reguli practice:

• mesajul e dedicat incidentului, nu e pus într-un newsletter sau într-o actualizare obișnuită (paragraful 89);
• îl trimiți direct, pe e-mail sau SMS, eventual pe mai multe canale, pentru că un comunicat de presă sau o postare pe blogul firmei nu ajung singure (paragraful 90);
• îl adaptezi la clienții tăi, inclusiv ca limbă sau format, dacă e cazul (paragraful 91).

Recomandarea noastră e să verifici fiecare link din mesaj înainte să-l trimiți. În cazul RETIM, Critic Arad a semnalat că paginile recomandate în informare nu erau active la momentul verificării.

Un model de mesaj, propus de redacție, pe care îl adaptezi la situația ta:

Subiect: Informare despre un incident de securitate care a afectat datele dumneavoastră

Pe [data], am constatat un acces neautorizat în [sistemul afectat]. Datele afectate sunt: [lista exactă]. Datele de card [nu au fost / au fost] afectate.

Ce am făcut: am oprit accesul, am resetat parolele, am anunțat Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal și am depus plângere la poliție.

Ce vă recomandăm: schimbați parola dacă ați folosit-o și pe alte site-uri și nu plătiți în conturi primite prin e-mail, SMS sau telefon, chiar dacă par să vină de la noi. Nu vă vom cere niciodată datele cardului sau schimbarea contului de plată prin mesaj.

Pentru întrebări: [persoana de contact, telefon, e-mail, program].

De ce treci în registru orice breșă de date, chiar dacă nu o anunți?

Ești obligat să documentezi orice încălcare a securității datelor, inclusiv pe cele pe care nu le notifici la ANSPDCP, potrivit art. 33 alin. (5) din GDPR. Registrul cuprinde ce s-a întâmplat, efectele și măsurile pe care le-ai luat, ca autoritatea să poată verifica la un control dacă ai respectat legea.

Pentru o firmă mică, un tabel simplu e suficient. Notezi data și ora la care ai aflat, ce date au fost afectate, câte persoane, decizia de a notifica sau nu, motivul ei și măsurile luate. Intră aici și incidentele mărunte, precum un e-mail cu datele unui client trimis altcuiva sau o indisponibilitate temporară a datelor, potrivit Ghidurilor EDPB (paragraful 22).

Pe cine mai anunți după un atac cibernetic?

Pe lângă ANSPDCP și clienți, anunți DNSC dacă legea te obligă. Recomandarea noastră e să anunți și poliția, banca, furnizorul IT și asigurătorul.

DNSC. Raportarea incidentelor către DNSC e obligatorie doar pentru firmele înregistrate ca entități esențiale sau importante, potrivit OUG nr. 155/2024, care transpune Directiva NIS2. Acestea raportează prin Platforma Națională pentru Raportarea Incidentelor de Securitate Cibernetică (PNRISC) sau la numărul unic 1911, în trepte de 24 de ore, 72 de ore și o lună. Dacă nu știi în ce categorie ești, găsești detaliile în 9 măsuri de securitate pentru magazinul tău online, plus cine este obligat să raporteze incidentele. Raportarea la DNSC nu înlocuiește notificarea la ANSPDCP.

Poliția. Accesul fără drept la un sistem informatic e infracțiune, potrivit art. 360 din Codul penal. Plângerea penală se depune la poliție sau la parchet, iar raportarea la DNSC nu ține loc de plângere.

Banca și procesatorul de plăți, dacă breșa atinge conturi, carduri sau fluxul de plăți.

Furnizorul IT și firma de hosting. Înainte de orice reinstalare, cere-le să păstreze serverul afectat și jurnalele de acces, cum a procedat RER Vest. Fără ele, nu mai poți afla ce date au ieșit și nici nu poți arăta autorității ce ai făcut.

Asigurătorul, dacă ai o poliță care acoperă riscul cibernetic. Verifică în contract în cât timp trebuie să anunți incidentul.

Ce riști dacă nu anunți ANSPDCP sau anunți târziu?

Nenotificarea sau notificarea întârziată se sancționează cu amendă de până la 10 milioane de euro sau 2% din cifra de afaceri mondială a anului anterior, dacă aceasta e mai mare, potrivit art. 83 alin. (4) lit. a) din GDPR. Amenda pentru lipsa măsurilor de securitate dinaintea atacului se aplică separat, pe art. 32, cum am explicat în Ești atacat cibernetic și pierzi datele clienților?

ANSPDCP a aplicat deja sancțiuni în România pentru notificări lipsă sau întârziate:

• Hora Credit IFN a primit 9.941,40 lei (2.000 de euro) pentru că nu a notificat incidentul în 72 de ore, pe lângă alte amenzi de 109.355,40 lei pentru securitate și pentru dreptul de acces, potrivit comunicatului din 7 decembrie 2023. Autoritatea i-a cerut și o procedură internă de notificare, cu instruirea personalului.
• NTT DATA România a primit avertisment pentru notificarea trimisă după termenul de 72 de ore și o amendă de 124.432,50 lei (25.000 de euro) pentru lipsa măsurilor de securitate, după un atac în care au fost extrase date personale, potrivit comunicatului din 25 martie 2025.
• Enel Energie Muntenia a primit avertisment pentru că nu a notificat un e-mail cu datele unui client, trimis din greșeală altei persoane, și o amendă de 49.337 de lei (10.000 de euro) pentru securitate, potrivit comunicatului din 22 august 2022.

În toate cele trei cazuri, amenda a venit pentru măsurile de securitate care lipseau înainte de incident, pe art. 32. Notificarea lipsă sau întârziată a fost sancționată separat, pe art. 33, de două ori cu avertisment și o dată cu 2.000 de euro.

Ce faci în primele 72 de ore după o breșă de date?

Lista de mai jos e o recomandare a redacției, construită pe obligațiile din art. 33 și 34 din GDPR și pe ghidul DNSC. Ora 0 e momentul în care ai aflat sigur de incident.

Primele 24 de ore

• Notează data și ora la care ai aflat. De aici curge termenul.
• Oprește accesul: schimbă parolele de administrator, invalidează sesiunile, izolează serverul sau contul afectat.
• Cere furnizorului IT să păstreze jurnalele și sistemul afectat, fără reinstalări.
• Deschide fișa incidentului în registru.
• Dacă firma ta e entitate esențială sau importantă, trimite avertizarea timpurie la DNSC.

Între 24 și 48 de ore

• Stabilește ce date au fost afectate, ale câtor oameni și dacă erau criptate.
• Decide dacă breșa creează un risc (notifici ANSPDCP) și dacă riscul e ridicat (anunți și clienții). Notează motivele deciziei în registru.
• Pregătește mesajul către clienți și verifică fiecare link din el.

Între 48 și 72 de ore

• Trimite notificarea la ANSPDCP, chiar incompletă, cu mențiunea că urmează completări.
• Depune plângerea penală.
• Trimite mesajul către clienți, dacă riscul e ridicat.

După 72 de ore

• Completează notificarea pe măsură ce afli detalii noi.
• Răspunde la întrebările clienților și ale autorității.
• Remediază cauza și treci în registru tot ce ai făcut.
• Scrie raportul post-incident în cel mult cinci zile lucrătoare de la închiderea cazului.

De pregătit de azi, înainte de orice incident

• Stabilește cine din firmă decide notificarea și cine vorbește cu clienții.
• Verifică în contractul cu furnizorul IT în cât timp e obligat să te anunțe de un incident.
• Salvează pagina de notificare ANSPDCP, numărul DNSC 1911 și un model de mesaj către clienți.
• Testează planul cel puțin o dată pe an, cu un exercițiu simplu: cine află, cine decide, cine anunță.

DNSC a publicat în iulie 2026 un ghid pentru elaborarea unei politici de răspuns la încălcarea securității datelor, cu câteva precizări utile pentru orice firmă, potrivit relatărilor Economedia și StartupCafe:

• plata unei răscumpărări nu anulează obligația de a notifica breșa;
• restaurarea din backup nu închide incidentul, dacă datele au fost copiate înainte să fie criptate;
• dovezile, precum jurnalele și copiile sistemelor afectate, se păstrează înainte de curățarea sau repornirea serverelor;
• după închiderea cazului se face un raport post-incident, în cel mult cinci zile lucrătoare;
• politica de răspuns se testează cel puțin o dată pe an.

Măsurile de securitate pe care le ai de pus la punct înainte de un atac sunt în 9 măsuri de securitate pentru magazinul tău online. Regulile GDPR pentru un magazin online sunt explicate în Respectă magazinul tău online GDPR-ul? Cât de pregătite sunt firmele din România pentru un atac am analizat în Starea securității cibernetice în companiile din România.

Surse

Regulamentul (UE) 2016/679 (GDPR), art. 4 pct. 12, art. 33, 34 și 83; Ghidurile EDPB 9/2022 privind notificarea încălcărilor de securitate a datelor cu caracter personal, versiunea 2.0 (PDF); Decizia ANSPDCP nr. 128/2018 privind formularul tipizat de notificare (PDF); pagina ANSPDCP de notificare a încălcărilor; DNSC, Ghid privind elaborarea unei politici de răspuns la încălcarea securității datelor (iulie 2026); OUG nr. 155/2024 privind securitatea cibernetică, aprobată prin Legea nr. 124/2025; Codul penal, art. 360; comunicatele ANSPDCP din 7 decembrie 2023, 25 martie 2025 și 22 august 2022.

Acest articol are caracter informativ și nu constituie consultanță juridică. Pentru situații specifice, consultă textele publicate în Monitorul Oficial al României și în Jurnalul Oficial al Uniunii Europene sau un specialist.