„Unde se pot adresa persoanele în contextul incidentului de securitate produs asupra serviciilor electronice guvernamentale? 

În contextul multiplelor adresări parvenite din partea cetățenilor preocupați de posibila afectare a datelor lor cu caracter personal în urma atacului cibernetic asupra serviciilor publice digitale, reamintim că aceștia au dreptul să obțină informații și clarificări cu privire la modul în care au fost afectate datele lor și, după caz, să își exercite drepturile garantate de Legea nr. 195/2024 privind protecția datelor cu caracter personal.

Centrul Național pentru Protecția Datelor cu Caracter Personal (în continuare – Centrul) reafirmă mesajul că autoritățile țin cont de preocupările cetățenilor privind protecția datelor personale și accesul la serviciile publice. Totodată, stabilirea impactului incidentului presupune verificări tehnice și confirmarea rezultatelor de către instituțiile implicate, fiecare în limitele competențelor sale. În acest context, cetățenii vor fi informați despre restabilirea serviciilor, măsurile de securitate întreprinse, rezultatele confirmate ale verificărilor, precum și modalitatea de informare a persoanelor ale căror date au fost afectate.

Totodată, persoanele care au observat accesări suspecte ale datelor lor cu caracter personal sau care doresc să obțină clarificări cu privire la o posibilă afectare a acestora se pot adresa instituției responsabile de administrarea serviciilor electronice guvernamentale – Agenția de Guvernare Electronică (AGE), depunând o petiție semnată electronic la [email protected] sau pe hârtie, semnată olograf. În acest sens, pot fi solicitate informații privind accesările semnalate, instituțiile care le-au efectuat, scopurile și temeiurile juridice indicate de acestea, precum și eventualele consecințe ale incidentului asupra datelor lor.

Este recomandat ca persoanele vizate să păstreze notificările primite, capturile de ecran relevante, cu indicarea datei și orei accesărilor, precum și răspunsurile autorităților sau operatorilor contactați. Aceste informații pot servi drept dovezi și pot fi anexate, după caz, la o eventuală plângere adresată Centrului sau la alte demersuri în vederea apărării drepturilor și intereselor legitime.

Reiterăm că Centrul nu gestionează baze de date sau sisteme de evidență și nu are atribuții de administrare a acestora ori de asigurare directă a securității și confidențialității datelor cu caracter personal stocate în ele. 

Potrivit legii, responsabilitatea pentru implementarea măsurilor tehnice și organizatorice adecvate, care să asigure un nivel corespunzător de securitate a datelor, revine operatorilor. Aceștia au obligația de a demonstra conformitatea prelucrărilor efectuate cu prevederile Legii nr. 195/2024.

În limitele competențelor stabilite de lege, Centrul supraveghează și monitorizează respectarea legislației privind protecția datelor cu caracter personal și investighează încălcările semnalate.

În acest sens, Centrul a inițiat o investigație pentru elucidarea aspectelor producerii incidentului și verificarea respectării obligațiilor legale de către entitățile implicate în gestionarea sistemelor informaționale vizate. Circumstanțele constatate și măsurile dispuse de Centru vor fi comunicate public.

Referitor la plângerile adresate Centrului în legătură cu acest incident, este de menționat că examinarea acestora și formularea unei poziții pe fondul aspectelor reclamate va fi posibilă doar urmare a verificării circumstanțelor și finalizării investigației corespunzătoare aferente incidentului produs, cu emiterea unei decizii motivate pe caz privind conformitatea operațiunilor de prelucrare a datelor cu caracter personal.

Plângerea adresată Centrului poate fi depusă utilizând formularul tipizat al CNPDCP, disponibil și pe pagina www.datepersonale.md la rubrica dedicată plângerilor sau pe hârtie, semnată olograf. Utilizarea formularului nu este obligatorie, însă plângerea trebuie să întrunească cerințele prevăzute la art. 79 din Legea nr. 195/2024. În cazul transmiterii în format electronic, aceasta trebuie semnată electronic, în condițiile legii. cu anexarea documentelor și probelor pe care autorul le consideră utile în susținerea plângerii sale.

Adresarea prealabilă către operator este importantă pentru clarificarea situației, întrucât doar operatorul deține informațiile privind operațiunile de prelucrare în cadrul cărora au fost accesate datele și măsurile tehnice și organizatorice aplicate, fiind în măsură să verifice dacă datele persoanei respective au fost sau nu vizate de incident. Informațiile solicitate operatorului și răspunsul primit vor fi prezentate în cadrul plângerii adresate Centrului, contribuind la clarificarea circumstanțelor reclamate.

Centrul va examina sesizările în limitele competențelor sale legale, în vederea asigurării respectării drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal.

Totodată, în contextul aspectelor deplânse Centrului, urmează a indica că, potrivit art. 74 din Legea nr. 195/2024, persoanele care consideră că drepturile lor au fost încălcate prin prelucrarea datelor cu caracter personal pot introduce o acțiune în instanța de judecată împotriva operatorului sau a persoanei împuternicite de operator. Această cale de apărare este distinctă de procedura de examinare a plângerilor de către Centru”, notează responsabilii.

Fosta șefă a Agenției de Guvernare Electronică (AGE), Nicoleta Colomeeț, a dezvăluit cum a fost depistat atacul cibernetic asupra serviciilor publice, care a dus la extragerea datelor aferente la circa 750.000 de IDNP-uri. Potrivit acesteia, primele sesizări au venit chiar de la cetățeni, care au început să semnaleze accesări suspecte. „Nu au fost scurse identități complete, ci seturi de date conexe”, a precizat Nicoleta Colomeeț, avertizând că informațiile ar putea fi vândute sau folosite inclusiv în tentative de escrocherie prin inginerie socială.

Aproximativ un milion de IDNP-uri au fost vizate în tentative de extragere a datelor personale în urma atacului cibernetic asupra sistemelor guvernamentale, iar date aferente la circa 750.000 de IDNP-uri ar fi fost extrase. Informațiile vizate includ date de identificare, informații despre familie, pensii, prestații sociale, permise de conducere și date financiare.

Directoarea Agenției de Guvernare Electronică (AGE), Nicoleta Colomeeț, a fost înlocuită la șefia instituției cu Artiom Cociu, după atacul cibernetic. Anunțul a fost făcut de premierul Vasile Tofan, în debutul ședinței Guvernului din 28 octombrie.

Nicoleta Colomeeț a calificat incidentul drept grav și a menționat că impactul acestuia continuă să fie analizat.

În context, prim-ministrul a declarat că în atacurile cibernetice coordonate, care au vizat țara noastră, ar fi implicați „unii actori statali străini”. „Au fost extrase date - cel puțin un element de date - numele, prenumele, anul nașterii. Atacatorii au exploatat vulnerabilități ale unor servicii digitale și au automatizat extragerea informațiilor. Sunt vizate nu doar datele cetățenilor, ci și infrastructura digitală a statului”, a precizat prim-ministrul.

Totodată, Comisia Electorală Centrală a afirmat că sistemele informaționale electorale nu au fost afectate, iar datele alegătorilor sunt în siguranță.

La rândul său, Agenția de Guvernare Electronică a dezactivat temporar autentificarea în MPass prin opțiunea în doi pași și aplicația EVOSign, pentru verificări suplimentare de securitate.

Cu o zi înainte, Vasile Tofan a făcut și primul comentariu public despre incident. „Ne-am asigurat că pentru serviciile critice - circa 82 de servicii, au fost monitorizare, unde e posibil au fost reparate, acolo unde încă nu suntem gata să le readucem în life, ele sunt închise pentru moment”, a declarat prim-ministrul, adăugând că inteligența artificială a identificat vulnerabilitățile care au permis atacul.

Demiterea șefei Agenției de Guvernare Electronică, Nicoleta Colomeeț, nu poate fi decisă înainte de finalizarea investigației interne privind atacul, a declarat atunci deputatul Dorian Istrati.

Centrul Național pentru Protecția Consumatorilor (CNPC) a avertizat asupra riscului unor tentative de escrocherie și de utilizare abuzivă a datelor personale, după recentul atac cibernetic care a dus la extragerea informațiilor asociate cu circa 750.000 de IDNP-uri.

În acest context, cetățenii au fost îndemnați să nu divulge parole, coduri de autentificare sau alte date confidențiale la telefon ori prin mesaje, după atacul cibernetic de amploare care a vizat serviciile publice digitale din Republica Moldova.

Cetățenii pot verifica în aplicația EVO dacă datele lor personale au fost accesate. În istoric pot vedea ce instituții le-au consultat datele, când și în ce scop.

Un atac cibernetic care viza obținerea neautorizată a datelor cu caracter personal a fost stopat de autorități pe 23 octombrie, după ce a vizat mai multe servicii publice digitale ale statului. În timpul incidentului, au fost înregistrate circa 11 milioane de solicitări de accesare. Investigația continuă.

Președinta Maia Sandu va convoca, pentru zilele următoare, o ședință a Consiliului Național de Securitate, pentru a evalua atacul cibernetic de amploare cu care se confruntă Republica Moldova și a stabili măsurile de răspuns, anunță instituția prezidențială.

Și președintele Parlamentului, Igor Grosu, a anunțat că vor fi organizate audieri parlamentare pentru a clarifica circumstanțele furtului datelor a aproximativ 750 de mii de cetățeni ai Republicii Moldova și pentru a stabili ce instituție poartă responsabilitatea pentru incident.

Parlamentul va desfășura audieri cu ușile închise în legătură cu atacul cibernetic și scurgerea datelor personale ale aproximativ 750.000 de cetățeni. Ședința este programată pentru miercuri, 4 noiembrie, începând cu ora 09:00.

---