Să presupunem că o companie privată din Republica Moldova încalcă legea privind protecția datelor cu caracter personal. Riscul? O amendă de până la 2 milioane de lei.
Acum să schimbăm scenariul.
Nu o companie privată, ci o instituție publică. Nu datele câtorva clienți, ci datele a 750.000 de cetățeni. Informații personale care, odată ajunse în mâini nepotrivite, pot deveni instrumente de fraudă, șantaj și furt de identitate.
Și atunci apare întrebarea pe care ar trebui să și-o pună fiecare contribuabil: cine plătește pentru acest eșec?
Instituția care nu și-a protejat bazele de date? Conducerea care trebuia să se asigure că există mecanisme de securitate? Responsabilii care au ignorat riscurile? Sau cetățenii, din banii colectați prin impozite, taxe și TVA?
Pentru că aici începe absurdul administrativ.
O instituție publică poate fi amendată, iar amenda ajunge la bugetul de stat. Dar bugetul de stat este alimentat tot din banii cetățenilor. Cu alte cuvinte, statul poate lua bani dintr-un buzunar public și îi poate transfera în altul, în timp ce oamenii ale căror date au fost compromise rămân cu riscurile, nesiguranța și eventualele consecințe.
Cineva greșește, instituția plătește, iar cetățeanul finanțează plata.
Desigur, juridic, lucrurile nu se opresc aici. Instituțiile publice pot fi sancționate pentru încălcarea normelor privind protecția datelor, iar persoanele prejudiciate pot solicita despăgubiri în condițiile legii. Dar amenda aplicată instituției nu înseamnă automat că persoana responsabilă va achita suma din propriul buzunar. Răspunderea personală trebuie stabilită separat, în baza faptelor și a temeiului juridic aplicabil.
Dacă o companie privată riscă sancțiuni serioase pentru încălcarea regulilor, o breșă de securitate care afectează 750.000 de oameni trebuie să impună aceeași exigență în stabilirea responsabilităților.
Nu este suficient să aflăm că s-a produs o scurgere de date. Trebuie să aflăm dacă au existat vulnerabilități cunoscute, dacă au fost ignorate avertismente, dacă s-au respectat standardele de securitate și cine avea obligația legală să prevină incidentul.
O declarație de presă nu repară prejudiciul. O comisie nu garantează, prin simpla sa existență, că asemenea incidente nu se vor repeta. Iar promisiunile privind îmbunătățirea securității nu înlocuiesc răspunderea pentru ceea ce s-a întâmplat deja.
Protecția datelor nu este o formalitate birocratică
Informațiile personale pot fi folosite pentru fraude, furt de identitate, tentative de șantaj și alte abuzuri. Cetățenii sunt obligați să furnizeze date instituțiilor publice pentru a beneficia de servicii, însă această obligație a statului față de cetățeni nu se termină în momentul colectării informațiilor. Dimpotrivă, atunci începe responsabilitatea de a le proteja.
De aceea, sancțiunea financiară nu poate fi singurul indicator al răspunderii. Sunt necesare transparență privind incidentul, măsuri concrete de limitare a riscurilor pentru persoanele afectate și, acolo unde se constată încălcări, sancțiuni proporționale și tragerea la răspundere a celor vinovați, în condițiile legii.
Altfel, cetățeanul ajunge să plătească de două ori: o dată pentru funcționarea instituției și a doua oară pentru eșecul acesteia. Prima plată se numește impozit. A doua poate însemna pierderea controlului asupra propriilor date, riscuri pentru securitatea personală și, indirect, costul sancțiunilor suportate din bani publici.
Într-un stat care pretinde că protejează drepturile cetățenilor, compromiterea datelor a 750.000 de persoane nu poate fi tratată ca o simplă problemă tehnică. Este un test al responsabilității instituționale. Iar rezultatul acestui test trebuie să se vadă nu doar în comunicate și promisiuni, ci și în consecințele concrete pentru cei responsabili.