În decembrie 2025, ANSPDCP a finalizat o investigație privind o situație clasică în zona de resurse umane: circulația internă repetată a unui fișier Excel care conținea date personale ale angajaților, inclusiv informații medicale provenite din certificate medicale.
Deși distribuirea a avut loc „în interiorul organizației”, cazul a fost tratat ca o problemă serioasă de conformitate, iar autoritatea a reținut încălcări legate de minimizarea datelor și securitatea prelucrării, aplicând amenzi și impunând măsuri corective.
Ce problemă juridică apare, de fapt
Acest tip de situație ilustrează un risc frecvent: date sensibile gestionate informal, în fișiere ușor de copiat, retransmis și accesat de persoane care nu au nevoie reală de ele.
Din perspectiva GDPR, două obligații devin esențiale:
- Minimizarea datelor (art. 5 GDPR)
Operatorul trebuie să limiteze prelucrarea la ceea ce este strict necesar pentru scop. În HR, nu orice evidență justifică includerea și distribuirea detaliilor medicale. - Securitatea prelucrării (art. 32 GDPR)
Operatorul trebuie să asigure confidențialitatea și integritatea datelor prin măsuri adecvate riscului. Datele medicale ridică nivelul de risc și impun un control mult mai strict al accesului și al circulației informației.
Mesajul practic al deciziei
„Este un document intern” nu înseamnă automat „este controlat”.
În realitate, multe incidente pornesc nu din atacuri externe, ci din procese interne insuficient securizate: atașamente trimise în lanț, rapoarte consolidate fără filtrare, copii multiple ale aceluiași fișier și lipsa trasabilității (cine a văzut, cine a descărcat, cine a distribuit).
Pentru ANSPDCP, problema nu este existența unui tabel de evidență, ci faptul că datele sensibile au fost incluse într-un format și într-un circuit care nu reduce riscul de acces neautorizat, iar operatorul nu a putut demonstra un nivel adecvat de control.
Checklist posibile măsuri
✅ Minimizare: păstrați în rapoarte doar informația necesară (ex. perioadă concediu), fără detalii medicale.
✅ Separare: datele medicale trebuie gestionate într-un flux distinct, cu acces restrâns.
✅ Acces pe roluri: „need-to-know”, nu „toți cei din departament”.
✅ Fără atașamente pe e-mail: folosiți spații securizate cu permisiuni și log-uri.
✅ MFA + audit: autentificare puternică și trasabilitate a accesului.
✅ Monitorizare și control: mecanisme care detectează rapid distribuiri nepermise și incidente.
