Imaginează‑ți că mergi la medic, completezi datele necesare, primești consultația, iar informațiile tale ajung într‑o aplicație utilizată de cabinet.
Pentru tine, este un proces banal.
Pentru sistem, însă, în spatele acelei aplicații pot exista numele tău, datele de identificare, istoricul medical, informații despre consultații, rețete și alte date care nu ar trebui să ajungă niciodată în mâinile unei persoane neautorizate.
Acum imaginează‑ți că același sistem este compromis.
În august 2026, autoritățile poloneze au anunțat un atac cibernetic asupra furnizorului de software medical MyDr, incident care poate afecta datele a 18,8 milioane de persoane și peste 12.000 de unități medicale.
O cifră impresionantă — dar nu spune totul.
Pentru că în spatele acestor cifre se află date medicale, adică una dintre cele mai sensibile categorii de date personale protejate de GDPR.
Ce știm despre atacul cibernetic din Polonia
Incidentul a vizat compania MyDr, furnizor de software utilizat de medici și unități medicale.
Potrivit autorităților poloneze:
- atacatorii au obținut acces neautorizat la date istorice stocate în sistemele companiei;
- aproximativ 18,8 milioane de persoane pot fi afectate;
- sunt implicate peste 12.000 de unități medicale;
- datele vizate sunt cele stocate până în aprilie 2024;
- incidentul a fost gestionat la nivel național;
- furnizarea serviciilor medicale curente nu a fost paralizată.
Este esențial de înțeles că nu întregul sistem medical polonez a fost compromis, ci infrastructura furnizorului MyDr.
Iar acest lucru este relevant pentru orice companie care externalizează prelucrarea datelor.
De ce sunt atât de importante datele medicale?
Un nume și o adresă de e‑mail sunt date personale.
Dar o informație despre starea de sănătate are o sensibilitate incomparabil mai mare.
GDPR include datele privind sănătatea în categoria specială de date prevăzută de art. 9, pentru care se aplică un regim strict.
Consecințele divulgării pot fi grave:
- afectarea vieții private;
- discriminare;
- stigmatizare;
- fraudă;
- phishing personalizat;
- șantaj;
- afectarea reputației;
- combinarea datelor cu alte informații furate.
Un atacator care știe doar numele unei persoane are o informație.
Un atacator care știe numele, telefonul, adresa, istoricul medical și tratamentele are capacitatea de a manipula acea persoană.
Problema nu este doar atacul. Este și concentrarea datelor
Când aproape 19 milioane de persoane sunt afectate de un singur incident, apare întrebarea:
Cum a ajuns atât de multă informație în același ecosistem?
Răspunsul: digitalizarea și externalizarea.
Astăzi, datele pot fi stocate:
- în aplicații medicale;
- în platforme cloud;
- în CRM‑uri;
- în aplicații SaaS;
- la furnizori de backup;
- în sisteme externalizate.
Fiecare relație creează o nouă zonă de risc.
„Datele sunt la furnizor” nu înseamnă „nu mai este responsabilitatea mea”
O greșeală frecventă în implementarea GDPR:
„Avem contract cu furnizorul. El se ocupă de securitate.”
Nu funcționează așa.
Dacă furnizorul este persoană împuternicită, are obligații proprii.
Dar operatorul rămâne responsabil pentru alegerea unui furnizor care oferă garanții suficiente.
Înainte de semnarea contractului, operatorul trebuie să știe:
- unde sunt stocate datele;
- cine are acces;
- cine are acces administrativ;
- ce autentificare se folosește;
- cum sunt protejate backup‑urile;
- cum sunt gestionate vulnerabilitățile;
- cum sunt detectate incidentele;
- în cât timp este notificat;
- ce subcontractori sunt utilizați;
- ce se întâmplă cu datele la încetarea contractului.
Un contract bine redactat este important.
Dar un contract nu securizează un server.
Așa arată o implementare GDPR reală
GDPR nu înseamnă un folder cu documente.
Înseamnă control real asupra datelor.
1. Unde sunt datele?
Datele pot fi simultan:
- în aplicația principală;
- în e‑mail;
- în Excel;
- în foldere partajate;
- pe laptopuri;
- în telefoane;
- în cloud;
- în backup;
- la furnizori externi.
Dacă nu știi unde sunt, nu le poți proteja.
2. Cine are acces?
Probleme frecvente:
- conturi active ale angajaților plecați;
- acces excesiv;
- conturi partajate;
- acces nelimitat pentru administratorul IT.
Principiul: accesul se acordă în funcție de rol și necesitate.
Măsuri posibile:
- MFA;
- conturi individuale;
- RBAC;
- least privilege;
- revizuirea periodică a drepturilor;
- controlul conturilor privilegiate;
- logging;
- monitorizare.
3. Securitatea nu înseamnă doar antivirus
Art. 32 GDPR cere măsuri adecvate riscului.
MăsurăScopCriptareReducerea impactului accesului neautorizatMFAProtejarea conturilorBackupRestaurarea datelorSegmentareLimitarea propagării unui atacPatch managementReducerea vulnerabilitățilorLoggingDetectarea incidentelorControl accesLimitarea accesului inutilTestarea backup‑uluiVerificarea restaurării
Ce faci când apare o breșă?
Procedura trebuie să permită reacție rapidă:
detectare → izolare → investigare → identificarea datelor → evaluarea riscului → notificare → remediere → documentare
Art. 33 GDPR: notificarea autorității în maxim 72 de ore, dacă există risc pentru persoane.
Art. 34 GDPR: notificarea persoanelor, dacă riscul este ridicat.
Nu orice incident se notifică.
Mai întâi se analizează.
Cât costă, de fapt, o breșă?
O breșă poate genera:
ConsecințăImpactInvestigațietimp și resurseIncident responsecosturi tehniceOprirea sistemelorpierderi operaționaleNotificarea persoanelorcosturi reputaționaleLitigiicosturi juridicePierderea cliențilorscăderea veniturilorRefacerea infrastructuriiinvestiții neplanificate
Și ceva ce nu apare în bilanț: pierderea încrederii.
GDPR de fațadă vs. conformitate reală
Există firme care cred că implementarea GDPR înseamnă:
- politica de confidențialitate;
- registrul;
- procedurile;
- contractele.
Dar dacă:
- nimeni nu verifică accesul?
- furnizorii nu sunt evaluați?
- backup‑ul nu este testat?
- angajații nu știu cum să raporteze un incident?
Atunci ai documente.
Nu neapărat conformitate.
GDPR se bazează pe responsabilitate demonstrabilă.
Checklist 2026: cât de bine este protejată compania ta?
- Știm ce date personale deținem?
- Știm unde sunt stocate?
- Știm cine are acces?
- Avem evidența furnizorilor?
- Contractele sunt actualizate?
- Evaluăm furnizorii din perspectiva securității?
- Avem procedură de incidente?
- Știm cine decide notificarea?
- Putem identifica datele afectate?
- Backup‑urile sunt protejate și testate?
- Drepturile de acces sunt revizuite?
- Angajații sunt instruiți?
- Site‑ul și cookie‑urile sunt configurate corect?
- Documentația reflectă realitatea?
Dacă răspunsul la mai multe întrebări este „nu știm”, acolo există un risc.
Atacul din Polonia nu este doar despre Polonia
Mecanismul este același pentru orice companie:
- date colectate;
- date stocate;
- date transmise;
- furnizori implicați;
- angajați care folosesc sisteme.
Undeva în lanț poate exista o vulnerabilitate.
GDPR nu este o colecție de documente.
Este modul în care controlezi datele pe care le gestionezi.
Securitatea nu începe când apare atacul.
Începe cu mult înainte.
Vrei să afli cât de bine este protejată compania ta?
O evaluare GDPR serioasă trebuie să analizeze:
- procesele;
- fluxurile de date;
- furnizorii;
- drepturile de acces;
- măsurile tehnice;
- modul de reacție la incidente.
Întrebarea nu este dacă firma ta poate fi atacată.
Întrebarea este: