Scurgere de date: ce faceți când datele v-au fost expuse

Ați primit un mesaj că datele dumneavoastră au fost expuse sau ați citit în presă despre o scurgere de date la o firmă la care aveți cont. Primul impuls este panica, al doilea este să nu faceți nimic. Niciuna dintre cele două nu ajută. Acest ghid vă spune ce faceți, în ce ordine, și ce obligații are firma care a pierdut datele.

Textul se bazează pe versiunea în limba română a Regulamentului (UE) 2016/679 (GDPR), pe paginile ANSPDCP și pe recomandările Poliției Române despre phishing și spoofing, citite la 6 noiembrie 2026. Este informație generală, nu consultanță juridică sau tehnică personalizată. Situația dumneavoastră poate diferi, iar paginile autorităților se actualizează.

Răspuns scurt: ce faceți mai întâi

1. Aflați ce date sunt vizate. O adresă de e-mail expusă nu înseamnă același lucru cu un număr de card expus. Pașii depind de tipul de date.
2. Schimbați parola contului afectat și a oricărui alt cont în care ați folosit aceeași parolă. Începeți cu adresa de e-mail, pentru că prin ea se pot reseta parolele altor conturi.
3. Activați autentificarea în mai mulți pași (MFA) acolo unde există. Poliția Română o recomandă ca strat suplimentar de securitate pentru conturile online.
4. Dacă sunt implicate date de card sau de acces la banca online, contactați banca folosind datele de contact oficiale, nu pe cele din mesajul primit.
5. Fiți atent la mesaje și apeluri neașteptate. După o scurgere, datele expuse pot fi folosite pentru mesaje care par credibile. Nu comunicați coduri, parole sau date de card.
6. Păstrați dovezi: mesajul de la firmă, captura de ecran a avertismentului, data la care ați aflat. Vă vor fi utile dacă mai târziu vă adresați firmei sau ANSPDCP.

Fiecare pas este explicat mai jos. Nu trebuie să le faceți pe toate într-o oră. Începeți cu ce este cel mai urgent pentru tipul de date expuse.

Ce este o scurgere de date

Textul GDPR nu folosește expresia „scurgere de date”. El definește „încălcarea securității datelor cu caracter personal” ca o încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea sau divulgarea neautorizată a datelor cu caracter personal transmise, stocate sau prelucrate în alt mod, ori la accesul neautorizat la ele (art. 4 pct. 12). ANSPDCP are pe site un formular numit „Notificare Breșă RGPD”, destinat operatorilor.

În limbajul curent, „scurgere de date” acoperă mai multe situații care nu seamănă între ele:

• un atac informatic asupra unei firme, în care cineva obține acces la baza de date;
• o eroare a firmei, de exemplu un fișier cu clienți trimis din greșeală unui destinatar nepotrivit sau lăsat accesibil pe internet;
• pierderea unui laptop, telefon sau stick USB cu date necriptate;
• datele unui cont, furate prin phishing sau prin programe rău intenționate de pe dispozitivul dumneavoastră. Aceasta nu este o încălcare la firmă, ci o compromitere a contului dumneavoastră, dar pașii de reacție sunt în mare parte aceiași.

Distincția contează pentru ce puteți cere. Dacă firma a pierdut datele, ea are obligații față de dumneavoastră și față de autoritate. Dacă v-a fost compromis doar contul, accentul cade pe securizarea contului.

Cum aflați că datele v-au fost expuse

Există trei căi frecvente.

Firma vă anunță. GDPR cere operatorului să informeze persoana vizată dacă încălcarea poate genera un risc ridicat pentru drepturile și libertățile persoanelor fizice (art. 34). Mesajul trebuie să descrie, în limbaj clar și simplu, caracterul încălcării și să cuprindă cel puțin datele de contact ale responsabilului cu protecția datelor sau ale altui punct de contact, consecințele probabile și măsurile luate sau propuse.

Aflați din presă sau din comunicate publice. Dacă firma nu v-a scris, dar ați auzit de incident, verificați pe site-ul oficial al firmei, tastat chiar de dumneavoastră în browser, dacă a publicat un anunț.

Verificați singur. Serviciul Have I Been Pwned permite să introduceți o adresă de e-mail și să vedeți în ce scurgeri cunoscute apare. Pentru detalii, vedeți ghidul nostru Have I Been Pwned: v-a fost expusă adresa de e-mail?.

Atenție: mesajul de „notificare” poate fi el însuși o înșelătorie

Escrocii știu că oamenii reacționează la subiectul scurgerilor de date. Un e-mail sau un SMS care spune „datele dumneavoastră au fost expuse, intrați aici pentru a vă securiza contul” este o formă clasică de phishing. Poliția Română descrie phishing-ul ca pe o metodă de fraudă online prin care atacatorii încearcă să obțină date personale, parole sau informații bancare prin mesaje care par să vină de la instituții sau entități de încredere, prin e-mailuri false, SMS-uri (smishing), site-uri false sau apeluri telefonice (vishing).

Regula practică, aceeași cu cea din recomandările Poliției: nu faceți clic pe linkuri din mesaje nesolicitate. Accesați site-ul oficial al firmei prin motorul de căutare sau contactați-o folosind datele de contact oficiale, nu pe cele din mesaj. Un mesaj real de la o firmă nu are nevoie să vă ceară parola sau codul primit prin SMS.

Pasul 1: stabiliți ce date au fost expuse

Înainte de a acționa, clarificați trei lucruri. De la ele depinde cât de urgent este fiecare pas de mai jos.

1. Ce tipuri de date? Adresă de e-mail, nume, număr de telefon, adresă, parolă, date de card, număr de identificare, copie a actului de identitate. Mesajul firmei ar trebui să le enumere.
2. Ce cont sau serviciu? Dacă este vorba de un cont, notați unde altundeva ați folosit aceeași parolă sau aceeași adresă de e-mail ca nume de utilizator.
3. Când a avut loc? O scurgere veche vă interesează diferit față de una recentă, dar nu o ignorați: datele vechi pot circula mult timp și pot fi refolosite.

Dacă nu aveți informații de la firmă, presupuneți situația mai gravă pentru contul respectiv: schimbați parola și verificați ce alte conturi folosesc aceeași combinație.

Pasul 2: parole și conturi

Parolele expuse sunt cea mai frecventă consecință practică, iar remediul este simplu.

1. Schimbați parola contului afectat. Faceți-o din aplicația sau site-ul oficial, deschis de dumneavoastră, nu dintr-un link primit în mesaj.
2. Schimbați parola oriunde ați mai folosit-o. Dacă un atacator are o combinație de adresă și parolă, o poate încerca și pe alte servicii. Din acest motiv, parola fiecărui cont trebuie să fie diferită.
3. Începeți cu adresa de e-mail. Prin e-mail se trimit linkurile de resetare a parolelor pentru aproape toate celelalte conturi. Un e-mail compromis deschide drumul către restul.
4. Folosiți parole lungi și unice. Nu e nevoie să le țineți minte pe toate: un manager de parole le poate genera și păstra. Vedeți ghidul Manager de parole: cum alegeți și folosiți unul.
5. Activați autentificarea în mai mulți pași. Dacă cineva are parola, tot nu poate intra fără al doilea factor. Pașii, pe servicii, sunt în ghidul Autentificarea în doi pași: cum o activați.
6. Verificați conectările și setările contului. Căutați dispozitive necunoscute, reguli de redirecționare a e-mailurilor pe care nu le-ați creat, numere de telefon sau adrese de recuperare schimbate.

HIBP oferă și un serviciu separat, Pwned Passwords, pentru a verifica dacă o parolă anume a apărut într-o scurgere. Pagina serviciului arată că parola este transformată local într-un cod (hash) și că doar primele 5 caractere ale acestui cod sunt trimise. Dacă o parolă apare, nu o mai folosiți nicăieri.

Vedeți ce este vizibil public despre dumneavoastră

Scurgerile de date sunt doar o parte din urmele pe care le lăsați online. Remove Me face o analiză gratuită, fără înscriere. Căutăm informații vizibile public, scurgeri de date cunoscute și un registru de brokeri de date. Raportul se deschide cu un cod din 6 cifre, trimis pe adresa dumneavoastră de e-mail. Remove Me nu trimite încă cereri de ștergere în numele dumneavoastră. Începeți analiza gratuită.

Pasul 3: date bancare și carduri

Dacă în scurgere au apărut date de card, date de acces la banca online sau un IBAN, nu așteptați.

• Contactați banca prin canalele oficiale: numărul de pe cardul dumneavoastră, aplicația băncii sau site-ul băncii, tastat chiar de dumneavoastră. Nu folosiți un număr de telefon sau un link primit într-un mesaj, deoarece Poliția Română recomandă contactarea directă a instituției prin datele ei oficiale.
• Spuneți clar ce date au fost expuse și întrebați ce măsuri de protecție puteți lua pentru card și pentru contul curent. Măsurile pe care le oferă fiecare bancă diferă, așa că urmați indicațiile băncii dumneavoastră.
• Urmăriți tranzacțiile. Verificați extrasul și notificările aplicației în zilele următoare. Dacă observați o plată pe care nu ați făcut-o, anunțați banca imediat.
• Nu dați niciodată coduri, PIN sau parole prin telefon sau mesaj, chiar dacă persoana spune că este de la bancă. Poliția Română cere vigilență față de orice cerere de detalii financiare, date de autentificare sau date ale cardului (numărul, data expirării, CVV2/CVC, PIN). Un apel poate părea să vină de la un număr real, deoarece falsificarea ID-ului de apelant (spoofing) există.

Dacă aveți suspiciunea că cineva a folosit deja datele pentru a lua bani, citiți și ghidul despre furtul de identitate.

Pasul 4: phishing după o scurgere

Chiar dacă nu pierdeți bani imediat, o scurgere vă poate face ținta unor mesaje mai convingătoare. Un atacator care are numele, numărul de telefon și numele unei firme la care sunteți client poate scrie un mesaj care pare real.

Reguli de bază, în linie cu recomandările Poliției Române:

• evitați să faceți clic pe linkuri din e-mailuri sau SMS-uri nesolicitate;
• fiți atent la cererile de date financiare, personale sau de autentificare;
• dacă nu sunteți sigur de un mesaj, validați-l telefonic cu expeditorul, la un număr pe care îl găsiți singur pe site-ul oficial;
• verificați calitatea textului. Poliția notează că greșelile de redactare și traducerile automate sunt semne frecvente;
• raportați mesajele suspecte companiei sau instituției implicate, ori poliției, și semnalați imediat orice tentativă de fraudă, ca să protejați și alte persoane.

Dacă ați dat deja clic sau ați introdus date, nu așteptați: schimbați parola contului respectiv, apoi contactați banca dacă ați scris date de card sau de acces bancar.

Pasul 5: documente și numere de identificare

Dacă în scurgere au apărut numărul de identificare personal, seria actului de identitate sau o copie a acestuia, riscul este diferit: aceste date nu se schimbă ușor ca o parolă. Pentru ele nu există un singur gest, ci o atenție mai mare în timp:

• fiți atent la corespondența, apelurile sau notificările legate de împrumuturi, abonamente sau contracte pe care nu le-ați cerut;
• nu trimiteți copii ale actului de identitate decât când este necesar și doar unui destinatar pe care l-ați verificat;
• dacă observați că cineva a folosit datele dumneavoastră, urmați pașii din ghidul despre furtul de identitate.

Ce trebuie să facă firma: obligațiile din GDPR

Cunoașterea obligațiilor firmei vă ajută să judecați dacă a reacționat corect.

Notificarea autorității (art. 33). Operatorul notifică autoritatea de supraveghere competentă fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la data la care a luat cunoștință de încălcare, cu excepția cazului în care încălcarea nu este susceptibilă să genereze un risc pentru persoane. Dacă termenul este depășit, notificarea trebuie însoțită de motivele întârzierii. Notificarea trebuie să descrie caracterul încălcării (inclusiv categoriile și numărul aproximativ de persoane și de înregistrări vizate), să indice un punct de contact, să descrie consecințele probabile și măsurile luate sau propuse. Informațiile pot fi date în etape, dacă nu sunt toate disponibile de la început.

Rolul împuternicitului. Persoana împuternicită de operator (de exemplu un furnizor de servicii care ține datele în numele firmei) trebuie să înștiințeze operatorul fără întârzieri nejustificate după ce ia cunoștință de încălcare.

Evidența internă. Operatorul păstrează documente despre toate cazurile de încălcare, cu faptele, efectele și măsurile de remediere, pentru ca autoritatea să poată verifica respectarea regulilor.

Informarea persoanelor (art. 34). Dacă încălcarea poate genera un risc ridicat pentru drepturile și libertățile persoanelor fizice, operatorul le informează fără întârzieri nejustificate. Informarea nu este necesară în trei situații descrise de text: datele erau protejate prin măsuri tehnice și organizatorice adecvate (de exemplu criptare, astfel încât datele sunt neinteligibile pentru cine nu are acces), operatorul a luat ulterior măsuri care elimină riscul ridicat, sau informarea individuală ar necesita un efort disproporționat, caz în care se face o informare publică. Dacă operatorul nu a informat persoanele, autoritatea poate să îi ceară să o facă.

Pe site-ul ANSPDCP există un formular pentru notificarea breșelor către autoritate, pentru operatori, și trimiterea la Decizia nr. 128/2018, prin care s-a aprobat formularul-tip. Notificarea nu este însă făcută de dumneavoastră: este obligația firmei.

Ce puteți cere firmei

Dacă firma nu v-a spus nimic sau mesajul ei este vag, puteți să vă exercitați drepturile.

Dreptul de acces (art. 15). Aveți dreptul să primiți confirmarea că firma prelucrează date care vă privesc și, dacă da, acces la ele, plus informații despre scopuri, categorii de date, destinatari, perioada de stocare, existența dreptului de a cere rectificarea sau ștergerea și dreptul de a depune plângere. Dacă datele nu au fost colectate de la dumneavoastră, aveți dreptul și la orice informație disponibilă despre sursă.

Dreptul la ștergere (art. 17). Aveți dreptul la ștergerea datelor fără întârzieri nejustificate într-o serie de situații, de exemplu atunci când datele nu mai sunt necesare scopurilor pentru care au fost colectate, când vă retrageți consimțământul și nu există alt temei, când vă opuneți prelucrării și nu prevalează motive legitime, sau când datele au fost prelucrate ilegal. Dreptul are și limite, așa că nu este o promisiune că datele dispar de peste tot, mai ales după ce au circulat în afara firmei. Detalii în ghidul Dreptul la ștergere (GDPR).

Termenul de răspuns (art. 12). Operatorul trebuie să vă dea informații despre măsurile luate în urma cererii fără întârzieri nejustificate și, în orice caz, în cel mult o lună de la primirea cererii. Termenul poate fi prelungit cu două luni când este necesar, ținând seama de complexitatea și numărul cererilor, iar operatorul trebuie să vă anunțe despre prelungire în prima lună, cu motivele.

Formulați cererea în scris, pe un canal care lasă urmă (e-mail către adresa de protecție a datelor din politica de confidențialitate, sau formular), indicați ce drept exercitați și păstrați o copie. Păstrați și răspunsul.

Plângerea la ANSPDCP

Orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere, dacă apreciază că prelucrarea datelor care o privesc încalcă regulamentul (art. 77). În România, autoritatea este ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal).

Din pagina „Plângeri RGPD” a ANSPDCP rezultă următoarele repere:

1. Adresați-vă mai întâi operatorului. Pagina arată că cererea de exercitare a drepturilor se trimite operatorului, care răspunde în cel mult o lună de la primire, termen prelungibil în cazuri excepționale cu două luni.
2. Dacă nu primiți răspuns sau nu sunteți mulțumit, puteți depune plângerea, însoțită de dovezi.
3. Verificați condițiile de admisibilitate din procedura aprobată prin Decizia nr. 133/2018.
4. Evitați motivele frecvente de respingere. Pagina enumeră corespondența neadresată direct ANSPDCP, lipsa datelor complete de identificare și reluarea acelorași aspecte deja soluționate printr-o petiție anterioară.
5. Termenul de informare. Conform Legii nr. 102/2005 republicată, art. 21, ANSPDCP informează despre admisibilitate în cel mult 45 de zile de la înregistrare.

Pas cu pas, cu ce documente atașați, găsiți în ghidul Plângere la ANSPDCP: cum o depuneți. Verificați pe site-ul ANSPDCP canalul exact de depunere înainte de a trimite.

Despăgubiri

Art. 82 din GDPR prevede că orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a regulamentului are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator. Operatorul sau împuternicitul este exonerat dacă dovedește că nu este răspunzător în niciun fel pentru evenimentul care a cauzat prejudiciul.

Atât textul regulamentului cât și acest ghid rămân generale. Dacă ați suferit un prejudiciu concret, de exemplu o sumă pierdută, și vă gândiți la o cerere de despăgubiri, cereți sfatul unui avocat. Păstrați dovezile: extrase bancare, mesaje, corespondența cu firma.

Idei greșite frecvente

„Am schimbat parola, deci nu mai am de ce să mă îngrijorez.” Parola nouă protejează contul, dar celelalte date expuse (nume, telefon, adresă) rămân cunoscute. Rămâneți atent la mesaje care le folosesc.

„Dacă nu primesc nicio notificare, datele mele nu au fost expuse.” Nu neapărat. Obligația de a informa persoanele apare când riscul este ridicat și există excepții, deci lipsa unui mesaj nu este o dovadă. Verificați și singur, de exemplu cu Have I Been Pwned, știind că și acolo un rezultat negativ nu dovedește că adresa nu a fost niciodată expusă, deoarece serviciul conține doar o parte din scurgerile existente.

„Linkul din e-mailul de la firmă este sigur, pentru că are numele firmei.” Numele și adresa expeditorului pot fi falsificate. Poliția Română descrie spoofing-ul ca falsificarea expeditorului unui e-mail, pentru a părea o sursă oficială, și include falsificarea ID-ului de apelant printre formele sale. Intrați pe site-ul firmei tastând adresa dumneavoastră.

„Pot șterge totul de pe internet.” Nimeni nu poate promite acest lucru. Puteți cere firmei să șteargă datele pe care le deține, în condițiile art. 17, dar datele care au circulat în afara ei pot rămâne în alte locuri.

Pe scurt: lista pentru astăzi

1. Aflați ce date sunt vizate și de la ce serviciu.
2. Schimbați parola contului și a conturilor cu aceeași parolă, începând cu adresa de e-mail.
3. Activați autentificarea în mai mulți pași.
4. Dacă sunt implicate date de card, sunați banca la numărul oficial.
5. Nu dați coduri, PIN sau parole nimănui, nici unui „angajat al băncii”.
6. Păstrați dovezile și, dacă firma nu răspunde, cereți accesul la date și, la nevoie, plângeți-vă la ANSPDCP.

Surse

Citite la 6 noiembrie 2026.

• EUR-Lex: Regulamentul (UE) 2016/679 (GDPR), versiunea în limba română
• ANSPDCP: Plângeri RGPD
• ANSPDCP: Notificare breșă RGPD
• Poliția Română: Prevenire phishing
• Poliția Română: Prevenire spoofing
• Have I Been Pwned: FAQs
• Have I Been Pwned: Pwned Passwords