Breșă de date GDPR: când notifici în 72 de ore

Pe scurt: Termenul de 72 de ore nu înseamnă că orice incident IT se notifică automat. Organizația trebuie să stabilească dacă există o încălcare a securității datelor personale, să evalueze riscul pentru persoane și să documenteze răspunsul.

Distinge incidentul de securitate de încălcarea datelor personale

O încălcare poate afecta confidențialitatea, integritatea sau disponibilitatea datelor personale. Analiza nu se limitează la accesul unui atacator și nu privește doar prejudiciul firmei. Contează consecințele posibile pentru persoanele ale căror date sunt afectate și măsurile care pot limita aceste consecințe.

Când se notifică autoritatea de supraveghere

Potrivit art. 33 GDPR, operatorul notifică fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la luarea la cunoștință, exceptând situația în care este puțin probabil să existe un risc pentru drepturile și libertățile persoanelor. Dacă notificarea are loc după acest interval, întârzierea trebuie motivată. Termenul nu este exprimat în ore lucrătoare.

Nu confunda notificarea autorității cu informarea persoanelor

Comunicarea către persoanele vizate are un prag distinct: este analizată atunci când încălcarea este susceptibilă să genereze un risc ridicat, în condițiile art. 34. Dacă organizația acționează ca împuternicit, trebuie să anunțe operatorul fără întârzieri nejustificate. Nu trebuie să aștepte propria concluzie privind riscul pentru a transmite acest anunț.

Procedura internă ar trebui să permită rapid:

înregistrarea momentului aflării și a informațiilor disponibile;
limitarea incidentului și protejarea dovezilor;
identificarea datelor și persoanelor afectate;
evaluarea riscului și stabilirea obligațiilor de comunicare;
consemnarea deciziei, măsurilor și completărilor ulterioare.

Documentarea este necesară și când nu se notifică

Art. 33 alin. (5) impune documentarea încălcărilor, inclusiv a faptelor, efectelor și măsurilor de remediere. O concluzie de risc redus trebuie susținută de analiză. Dacă informațiile nu sunt disponibile simultan, GDPR permite furnizarea lor în etape, fără întârzieri nejustificate; investigația internă nu trebuie folosită pentru amânare nejustificată.

Întrebări frecvente

Este termenul de 72 de ore o perioadă de așteptare?

Nu. Regula cere reacție fără întârzieri nejustificate; cele 72 de ore nu justifică amânarea unei notificări deja necesare.

Când poate fi util sprijinul specializat

Red Moonlight Experts oferă consultanță GDPR și sprijin pentru documentația de protecție a datelor, în funcție de activitatea și nevoile organizației. Putem analiza coerența documentelor, responsabilitățile și pașii de lucru; deciziile și implementarea rămân la organizație.

Articole conexe

Pentru aprofundarea temelor conexe, puteți consulta:

Surse oficiale și repere legislative

Pentru verificarea regulilor și a condițiilor aplicabile, consultați:

Verificare editorială și legislativă: 27 octombrie 2026. Informațiile au caracter general și trebuie raportate la activitatea, documentele și reglementările aplicabile organizației.

Breșă de date: ce înseamnă, în realitate, termenul de 72 de ore