---
title: "Protecția Datelor în Instituțiile Publice: GDPR, NIS2 și Inteligența Artificială în 2025–2026"
date: 2026-09-24
author: "Petru Cojocaru"
categories:
  - name: "Law - Tech - Online - Safe"
    url: "https://absolutweb.ro/securitate-online.md"
---

# Protecția Datelor în Instituțiile Publice: GDPR, NIS2 și Inteligența Artificială în 2025–2026

**Ghid pentru primării, consilii județene, școli, spitale și servicii publice deconcentrate**

 
---

 **Statul ca operator de date, între încrederea cetățeanului și presiunea atacatorilor**

 Nicio organizație din România nu deține mai multe date personale decât statul. Primăria are adresa, CNP-ul, proprietățile și datoriile fiscale ale fiecărui locuitor. Școala are notele, situația familială și uneori diagnosticele copiilor. Spitalul are cea mai sensibilă categorie de date existentă. Direcția de asistență socială știe cine trăiește din ajutorul social, cine are un copil cu dizabilități și cine a trecut printr-un episod de violență domestică. Iar cetățeanul, spre deosebire de clientul unei firme private, nu are de ales: nu poate „schimba furnizorul" de primărie.

 Această asimetrie face din protecția datelor în sectorul public mai mult decât o chestiune de conformitate. Este o chestiune de legitimitate. Când o instituție publică pierde datele cetățenilor, publică din neglijență un CNP pe site sau instalează camere de supraveghere acolo unde nu are dreptul, prejudiciul nu este doar juridic. Se erodează încrederea într-un stat pe care românii îl privesc uneori cu suspiciune.

 Anii 2025–2026 au adus această miză în prim-plan, din două direcții simultane.

 Prima direcție este **presiunea cetățenilor**. În 2025, ANSPDCP a primit 12.297 de plângeri, sesizări și notificări privind incidente de securitate, a efectuat 488 de investigații, a aplicat 105 amenzi însumând aproximativ 2,56 milioane de lei, 145 de avertismente și 182 de măsuri corective. Numărul mare de avertismente și măsuri corective nu este întâmplător: el reflectă în bună parte regimul sancționator specific sectorului public, pe care îl discutăm în Capitolul I.

 A doua direcție este **presiunea atacatorilor**. Potrivit raportului anual DNSC pe 2025, numărul atacurilor ransomware a crescut cu peste 153% față de 2024, fiind afectate 22 de instituții publice, alături de 119 firme și 115 persoane fizice care au cerut sprijinul Directoratului. Printre victime s-au numărat Electrica, Complexul Energetic Oltenia, Administrația Națională Apele Române, blocată aproape o săptămână, și centrele de transfuzie sanguină din Maramureș și Craiova. Atacatorii nu mai lovesc la întâmplare: instituțiile publice și infrastructura critică au devenit ținte sistematice.

 Între aceste două presiuni se află o instituție publică tipică, de pildă o primărie de oraș mic din nordul Moldovei, cu un singur informatician, un buget blocat de restricțiile fiscale și un „responsabil GDPR" numit prin dispoziție în 2018, care cumulează funcția cu alte trei atribuții. Acestei instituții i se adresează articolul de față.

 Ghidul acoperă cinci fronturi: regimul sancționator specific sectorului public și noul cadru procedural european (Capitolul I), inteligența artificială în administrație (Capitolul II), site-ul instituției ca punct de expunere (Capitolul III), securitatea cibernetică și dubla raportare a incidentelor (Capitolul IV) și o foaie de parcurs practică pentru conducători (Capitolul V).

 Pentru fiecare temă, textul distinge între ce este lege aplicabilă, ce este adoptat, dar aplicabil în viitor, și ce este doar propunere. Legislația europeană din 2026 este în mișcare, iar bugetele publice nu își permit investiții în conformarea cu reguli care s-ar putea să nu apară niciodată.

 
---

 
## Regimul sancționator distinct și noul cadru procedural european

 
### Legea 190/2018: blândețe aparentă, nu imunitate

 
#### Cum funcționează regimul „în doi pași"

 GDPR permite statelor membre să stabilească dacă și în ce măsură se pot aplica amenzi autorităților publice (articolul 83 alineatul 7). România a ales o soluție de compromis, codificată în Legea nr. 190/2018.

 În primul pas, când constată o încălcare a GDPR de către o autoritate sau un organism public, ANSPDCP încheie un proces-verbal prin care aplică sancțiunea avertismentului și anexează un plan de remediere. Termenul de remediere se stabilește în funcție de riscurile asociate prelucrării și de demersurile necesare pentru conformare. În termen de 10 zile de la expirarea lui, autoritatea poate relua controlul.

 Al doilea pas vine doar dacă instituția nu a adus la îndeplinire măsurile din planul de remediere. Atunci ANSPDCP poate aplica amenda: în sectorul public, amenzile pornesc de la 10.000 de lei și pot ajunge la 200.000 de lei.

 Legea nuanțează și plafoanele. Încălcarea de către autoritățile publice a dispozițiilor articolelor 3–9 din Legea 190/2018 se sancționează cu amendă de la 10.000 la 100.000 de lei. Încălcările privind principiile de bază ale prelucrării, drepturile persoanelor vizate și transferurile internaționale se încadrează în plafonul superior.

 Un detaliu adesea ignorat privește sfera „organismelor publice". În sensul legii, le sunt asimilate și unitățile de cult, precum și asociațiile și fundațiile de utilitate publică. O parohie sau o fundație de utilitate publică care administrează un centru social beneficiază de același regim, dar poartă și aceleași obligații.

 
#### De ce „avertismentul" nu este o victorie

 Mulți conducători de instituții citesc regimul ca pe o formă de imunitate: „ne dă doar avertisment". Este o lectură greșită, din trei motive.

 **Planul de remediere este o obligație juridică.** Avertismentul vine împreună cu măsuri concrete și termene. Neîndeplinirea lor deschide calea amenzii.

 **Amenzile cominatorii pot fi mult mai mari.** Cazul Sectorului 1 al Municipiului București este instructiv. În iunie 2023, ANSPDCP a deschis o investigație privind o platformă online de colectare a datelor, achiziționată înainte ca proiectul de hotărâre să fie dezbătut și aprobat de Consiliul Local. Pentru că primăria nu a comunicat informațiile solicitate, a primit un avertisment cu plan de remediere care îi cerea să furnizeze datele în 10 zile. Instituția a ignorat și a doua solicitare. În februarie 2024, Sectorul 1 a fost sancționat cu o amendă cominatorie de 159.000 de lei. Mecanismul este simplu: amenda cominatorie se calculează pe fiecare zi de întârziere, de la termenul stabilit de autoritate până la comunicarea datelor.

 **Costul reputațional nu are plafon.** Comunicatele ANSPDCP sunt publice, iar presa locală le preia. Pentru un primar în an electoral, titlul „Primăria X sancționată pentru încălcarea datelor personale" costă mai mult decât orice amendă.

 
#### Ce sancționează ANSPDCP în practică

 Comunicatele autorității din 2025 arată tiparele recurente în sectorul public.

 **Supravegherea video în școli.** Într-un caz publicat în februarie 2025, o unitate de învățământ a primit două avertismente: unul pentru încălcarea principiilor legalității și minimizării datelor, prin supravegherea video, și unul pentru măsuri de securitate insuficiente (articolul 32 GDPR). Camerele din sălile de clasă, vestiare sau grupuri sanitare sunt, în practica europeană, aproape întotdeauna disproporționate.

 **Camerele corporale (body-cam).** În mai 2025, ANSPDCP a sancționat doi operatori cu avertisment și plan de remediere, obligându-i să aducă în conformitate cu articolele 5 și 6 din GDPR folosirea camerelor audio-video portabile. Investigațiile au pornit de la sesizări. Tema este direct relevantă pentru poliția locală, controlorii din transportul public și agenții de pază ai instituțiilor.

 **Refuzul de a coopera.** Cazul Sectorului 1 arată că necomunicarea informațiilor către autoritate este ea însăși o faptă sancționabilă, indiferent de fondul prelucrării.

 
### Regulamentul (UE) 2025/2518: de ce contează și pentru o primărie

 La prima vedere, noul regulament european privind procedura în cazurile transfrontaliere nu privește instituțiile publice românești, care prelucrează date aproape exclusiv la nivel național. Există însă două puncte de contact.

 
#### Contextul și calendarul

 Regulamentul (UE) 2025/2518 a fost adoptat la 26 noiembrie 2025 și publicat în Jurnalul Oficial la 12 decembrie 2025. El stabilește reguli procedurale pentru aplicarea GDPR în cazurile transfrontaliere, adică acolo unde este implicată mai mult de o autoritate din UE/SEE. Regulamentul a intrat în vigoare la 1 ianuarie 2026, dar se aplică de la 2 aprilie 2027. Scopul declarat este ca investigațiile și soluționarea plângerilor să devină mai rapide și mai consecvente în statele membre.

 
#### Punctul de contact 1: instituțiile ca utilizatori de platforme globale

 Aproape fiecare primărie, școală și spital din România are o pagină de Facebook. Multe folosesc Microsoft 365 sau Google Workspace, iar unele au chatboți sau formulare găzduite de furnizori cu sediul în Irlanda sau Luxemburg. Curtea de Justiție a UE a stabilit, în cauza Wirtschaftsakademie (C-210/16, 2018), că administratorul unei pagini de Facebook este operator asociat cu Meta pentru statisticile colectate despre vizitatori. Când un cetățean reclamă prelucrarea datelor sale printr-o astfel de pagină, plângerea poate deveni transfrontalieră.

 Noul regulament face aceste plângeri mai previzibile. Criteriile de admisibilitate au fost armonizate, astfel încât plângerea se evaluează pe aceeași bază, indiferent unde este depusă. Autoritatea principală trebuie, în principiu, să prezinte un proiect de decizie în 15 luni de la confirmarea competenței, cu o singură prelungire, în cazuri excepționale.

 
#### Punctul de contact 2: instituțiile ca victime

 O instituție publică românească ale cărei date au fost compromise printr-un furnizor cloud din alt stat membru poate depune plângere la ANSPDCP. Din 2027, autoritatea română, în calitate de autoritate vizată, va avea un cuvânt timpuriu de spus. Autoritatea principală are trei luni de la confirmarea competenței pentru a trimite un rezumat al problemelor-cheie, iar autoritățile vizate au apoi patru săptămâni pentru comentarii, cu posibilă prelungire de două săptămâni.

 Concluzia practică: instituțiile care își externalizează infrastructura către furnizori din alte state trebuie să-și documenteze relația contractuală (acordul de prelucrare conform articolului 28 GDPR) astfel încât să o poată prezenta rapid într-o procedură europeană.

 
---

 
## Inteligența artificială în administrația publică

 
### Între promisiunea eficienței și regulile unui stat de drept

 
#### Situația de fapt

 Inteligența artificială a intrat în administrația românească mai ales pe ușa din spate. Nu prin proiecte strategice, ci prin funcționari care folosesc individual instrumente AI publice pentru a redacta adrese, a rezuma dosare sau a traduce documente. Aici se află cel mai mare risc imediat: un funcționar care lipește într-un chatbot public textul unei cereri de ajutor social, cu nume, CNP și situație medicală, realizează un transfer de date personale neautorizat, posibil în afara UE, fără temei legal, fără informarea persoanei și fără acord de prelucrare cu furnizorul.

 Pe ușa din față apar proiecte asumate: chatboți pentru relația cu cetățenii pe site-urile primăriilor, sisteme de analiză a documentelor, transcrierea automată a ședințelor de consiliu local, instrumente de prioritizare a petițiilor.

 
#### Temeiul legal: de ce autoritățile publice sunt în altă poziție decât firmele

 Aici se află o nuanță juridică esențială, care separă fundamental sectorul public de cel privat. Ultimul paragraf al articolului 6 alineatul (1) din GDPR precizează că interesul legitim, prevăzut la litera (f), **nu se aplică prelucrărilor efectuate de autoritățile publice în îndeplinirea atribuțiilor lor**. Autoritățile publice trebuie să se bazeze, în principal, pe litera (e), adică îndeplinirea unei sarcini de interes public sau exercitarea autorității publice. Aceasta cere un temei în dreptul Uniunii sau în dreptul intern.

 Consecința practică este majoră. Dezbaterea europeană despre „interesul legitim pentru antrenarea AI" este aproape irelevantă pentru o primărie. Pentru a folosi AI în prelucrarea datelor cetățenilor, o autoritate publică are nevoie de un temei legal specific, care să acopere prelucrarea respectivă. Iar o prelucrare care nu este „necesară" pentru îndeplinirea atribuției legale rămâne fără temei.

 Consimțământul nu este nici el o soluție ușoară. Considerentul 43 al GDPR arată că, atunci când există un dezechilibru clar între persoana vizată și operator, mai ales când operatorul este o autoritate publică, este puțin probabil ca consimțământul să fi fost dat în mod liber. Cetățeanul care solicită o autorizație de construire nu „consimte" liber ca dosarul său să fie analizat de un algoritm.

 
#### „Digital Omnibus": ce s-a schimbat și ce nu

 Pachetul „Digital Omnibus", prezentat de Comisia Europeană la 19 noiembrie 2025, s-a separat în două trasee. Omnibusul pentru AI, care amână termenele pentru sistemele cu risc ridicat din AI Act, a fost adoptat de Consiliu la 29 iunie 2026, iar Omnibusul pentru date, care vizează GDPR, ePrivacy, NIS2 și DORA, rămâne în negociere.

 Partea adoptată a intrat în vigoare la 27 iulie 2026, după publicarea în Jurnalul Oficial la 24 iulie 2026 ca Regulamentul (UE) 2026/1744. Pentru sectorul public contează în primul rând noul calendar. Obligațiile pentru sistemele autonome cu risc ridicat din Anexa III au fost amânate de la 2 august 2026 la 2 decembrie 2027. Anexa III vizează, între altele, utilizări în ocuparea forței de muncă, educație, infrastructură critică și aplicarea legii.

 Pentru instituții, Anexa III este lista de citit cu atenție. Pe lângă domeniile menționate, ea include accesul la serviciile și prestațiile publice esențiale, adică exact nucleul activității direcțiilor de asistență socială. Un sistem AI care evaluează eligibilitatea pentru ajutoare sociale, care prioritizează dosare sau care detectează „fraude" cu beneficii va fi, cel mai probabil, un sistem cu risc ridicat. Cazul olandez al alocațiilor pentru copii (toeslagenaffaire), în care un algoritm a etichetat pe nedrept mii de familii drept fraudatoare, este exemplul european de referință pentru ce se poate întâmpla.

 Pentru autoritățile publice, AI Act adaugă o obligație specifică: **evaluarea impactului asupra drepturilor fundamentale** (articolul 27), pe care organismele de drept public trebuie să o realizeze înainte de a folosi un sistem cu risc ridicat. Ea se aplică odată cu obligațiile pentru risc ridicat, deci de la 2 decembrie 2027, și se corelează cu evaluarea de impact din GDPR (DPIA).

 Există și un termen mai îndepărtat. Calendarul actualizat publicat de Future of Privacy Forum menționează că furnizorii și implementatorii sistemelor cu risc ridicat destinate utilizării de către autoritățile publice trebuie să se conformeze obligațiilor aplicabile (articolul 111 alineatul 2), cu termen în august 2030. Acesta privește sistemele deja existente pe piață. Nu este un motiv de amânare pentru sistemele noi.

 Alte obligații se aplică mai devreme. Obligațiile de marcare a conținutului generat de AI se aplică de la 2 decembrie 2026, iar interdicțiile privind practicile cu risc inacceptabil și cerințele de alfabetizare AI sunt în vigoare din 2 februarie 2025. **Obligația de alfabetizare AI (articolul 4) se aplică deja instituțiilor care folosesc sisteme AI.** Personalul care le utilizează trebuie să aibă un nivel suficient de cunoștințe.

 
#### Ce spune EDPB despre modelele AI

 Referința interpretativă principală rămâne Opinia 28/2024 a EDPB, adoptată la 17 decembrie 2024, la cererea autorității irlandeze. Două concluzii sunt direct relevante pentru achizițiile publice de sisteme AI.

 Prima: anonimatul unui model nu se prezumă. Simpla afirmație că modelul este anonim nu ajunge; autoritățile de supraveghere pot evalua dacă anonimizarea a fost efectiv realizată. Declarația furnizorului din caietul de sarcini nu este suficientă.

 A doua: ilegalitatea la antrenare poate contamina utilizarea. Un model dezvoltat cu date personale prelucrate ilegal poate afecta legalitatea implementării sale, cu excepția cazului în care a fost anonimizat corespunzător. O instituție care achiziționează un sistem AI preia, într-o anumită măsură, riscul juridic al modului în care a fost construit.

 EDPB lucrează la clarificări suplimentare. La 8 iulie 2026 a adoptat două proiecte de ghiduri, în consultare publică până la 30 octombrie 2026: Ghidurile 02/2026 privind anonimizarea, care vor înlocui opinia din 2014, și Ghidurile 03/2026 privind extragerea automată (scraping) a datelor pentru antrenarea sistemelor AI. Ghidurile de anonimizare vor fi deosebit de utile pentru instituțiile care publică date deschise.

 
#### Reguli minime pentru AI în instituție, de adoptat acum

 Fără a aștepta 2027, orice instituție poate adopta imediat, prin dispoziție sau decizie internă, câteva reguli de bază:

 
1. **Interzicerea introducerii de date personale în instrumente AI publice**, adică în conturi gratuite sau personale ale funcționarilor.
2. **O listă albă de instrumente aprobate**, cu acord de prelucrare încheiat și, preferabil, cu date găzduite în UE.
3. **Inventarul sistemelor AI folosite**, inclusiv al funcțiilor AI integrate în software-ul existent, cum sunt modulele de „asistent inteligent" din suitele de birou sau din programele de registratură.
4. **Instruirea personalului** privind alfabetizarea AI, documentată prin procese-verbale.
5. **Regula „omului în buclă"**: nicio decizie administrativă care produce efecte asupra unui cetățean nu se ia exclusiv pe baza unui rezultat automat. Regula decurge din articolul 22 GDPR.
6. **Marcarea conținutului generat de AI** în comunicarea publică (comunicate, imagini pentru rețelele sociale), în pregătirea obligației din decembrie 2026.

---

 
## Site-ul instituției, vitrina și punctul de expunere

 
### Transparență publică, protecția datelor și consimțământul pentru cookie-uri

 
#### Tensiunea fundamentală: Legea 544/2001 vs. GDPR

 Instituțiile publice trăiesc într-o contradicție aparentă. Pe de o parte, legislația le obligă la transparență maximă: Legea nr. 544/2001 privind liberul acces la informațiile de interes public, Legea nr. 52/2003 privind transparența decizională și Codul administrativ (OUG 57/2019), care impune publicarea actelor administrative în Monitorul Oficial Local. Pe de altă parte, GDPR le obligă la minimizarea datelor personale.

 Contradicția se rezolvă prin distincția dintre **informația de interes public** și **datele personale conținute accidental în documente**. O hotărâre de consiliu local privind vânzarea unui teren este de interes public. CNP-ul, adresa de domiciliu și seria actului de identitate ale cumpărătorului nu sunt. Legea 544/2001 însăși exceptează de la liberul acces informațiile cu privire la datele personale (articolul 12), cu nuanțele privind persoanele care exercită funcții publice.

 În practică, cele mai frecvente încălcări pe site-urile instituțiilor din România sunt:

 
- **hotărâri de consiliu local publicate integral**, cu anexe care conțin CNP-uri, adrese și situații sociale ale beneficiarilor;
- **liste de beneficiari ai ajutorului social, ai tichetelor sau ai locuințelor sociale**, afișate cu date complete de identificare;
- **rezultatele concursurilor de angajare** publicate cu nume complete, în loc de coduri de identificare;
- **procese-verbale ale ședințelor** care reproduc discuții despre situația medicală sau familială a unor persoane;
- **documente scanate** fără nicio anonimizare, nici măcar a semnăturilor olografe.

 Soluția tehnică este anonimizarea sau pseudonimizarea documentelor înainte de publicare: înlocuirea CNP-urilor, a adreselor și a numerelor de identificare cu mențiuni generice sau coduri. Anonimizarea trebuie făcută pe sursa documentului, nu prin suprapunerea unui dreptunghi negru într-un PDF, care poate fi adesea îndepărtat. O procedură internă scrisă, aprobată de conducere, care stabilește cine verifică documentele înainte de publicare, este cea mai ieftină măsură de conformitate disponibilă.

 
#### Cookie-urile: și statul trebuie să ceară consimțământul

 Legea nr. 506/2004, care transpune Directiva ePrivacy, nu face distincție între site-urile private și cele publice. Articolul 4 alineatul (5) cere consimțământul pentru orice stocare sau accesare de informații pe echipamentul utilizatorului, cu excepția modulelor strict necesare funcționării serviciului.

 Practica sancționatorie a ANSPDCP din 2025–2026 privește mai ales operatori privați, dar standardul aplicat este universal. În cazul unui site politic, ANSPDCP a aplicat două amenzi totalizând 10.000 de euro pentru stocarea și accesarea informațiilor prin module cookie fără consimțământul expres al utilizatorilor și fără informare prealabilă. Tribunalul Ilfov a respins ulterior contestația. În alt caz, autoritatea a constatat că platforma sancționată nu avea o politică clară privind cookie-urile și nici o opțiune reală de refuz pentru modulele care nu sunt strict necesare.

 Există și o inițiativă legislativă națională, analizată de juridice.ro în aprilie 2026, care ar obliga bannerele de cookie să ofere, la primul nivel, o opțiune de refuz integral la fel de vizibilă și accesibilă ca opțiunea de acceptare integrală. Stadiul ei trebuie verificat înainte de a fi invocată ca lege în vigoare. Standardul pe care îl codifică este însă deja aplicat prin ghidurile EDPB și practica ANSPDCP.

 Chiar statul român oferă un contraexemplu. Site-ul Senatului României afișează un banner cu un singur buton „OK", potrivit căruia navigarea continuă echivalează cu acordul pentru cookie-uri. Este exact tiparul respins de jurisprudența europeană (CJUE, cauza Planet49, C-673/17) și vizat de inițiativa legislativă amintită.

 **Recomandarea pentru site-urile instituționale este radicală și simplă: renunțați la cookie-urile neesențiale.** O primărie nu are nevoie de pixeli publicitari Meta sau de remarketing Google Ads. Pentru statistici de trafic există soluții de analiză care pot funcționa fără cookie-uri și cu date agregate, găzduite în UE. Un site instituțional fără cookie-uri neesențiale nu are nevoie de banner de consimțământ, este mai rapid și transmite un mesaj de respect față de cetățean.

 Dacă instituția păstrează totuși module opționale (videoclipuri YouTube încorporate, hărți Google, widget-uri de social media), aplicați regulile de bază: blocarea înainte de consimțământ, butoane simetrice „Acceptă tot" și „Refuză tot" la primul nivel, fără căsuțe pre-bifate și cu posibilitate permanentă de modificare. Pentru videoclipuri și hărți există soluția încărcării la cerere: un înlocuitor static, afișat până când utilizatorul apasă explicit pe „Încarcă videoclipul".

 
#### Formularele online și platformele de servicii electronice

 Digitalizarea serviciilor publice, accelerată de fondurile europene, a multiplicat formularele online: cereri, petiții, programări, plata taxelor. Fiecare formular este o operațiune de colectare de date și trebuie să respecte câteva reguli.

 **Minimizare.** Nu cereți CNP-ul pentru o programare la ghișeu, dacă numele și un număr de telefon sunt suficiente.

 **Informare.** Fiecare formular are, la vedere, un link către nota de informare conform articolelor 13–14 GDPR, care explică temeiul, scopul, durata stocării și drepturile persoanei.

 **Securitate.** Formularele funcționează exclusiv prin HTTPS, iar datele nu se trimit prin e-mail necriptat către o adresă generică.

 **Legalitatea platformei înaintea achiziției.** Cazul Sectorului 1, unde platforma de colectare a datelor a fost achiziționată înainte de aprobarea hotărârii de consiliu local care îi dădea temeiul, arată ordinea corectă: mai întâi temeiul legal, apoi DPIA, abia apoi achiziția.

 Transparența este și o prioritate europeană de control în 2026. EDPB a ales ca temă a celei de-a cincea acțiuni coordonate de aplicare conformitatea cu obligațiile de transparență și informare din articolele 12, 13 și 14 GDPR. Notele de informare de pe site-urile instituțiilor, adesea texte generice copiate în 2018, sunt printre primele documente care merită revizuite.

 
#### Accesibilitate și securitate: două obligații conexe

 Două alte obligații completează imaginea site-ului conform. Prima este **accesibilitatea**, reglementată de OUG nr. 112/2018 privind accesibilitatea site-urilor web și a aplicațiilor mobile ale organismelor din sectorul public, care impune și o declarație de accesibilitate publicată. A doua este **securitatea tehnică de bază**: CMS actualizat, extensii (plugin-uri) întreținute, certificat SSL valid, copii de siguranță externe și autentificare cu doi factori pentru conturile de administrare. Un site de primărie compromis nu este doar o problemă de imagine. Poate deveni vector de fraudă împotriva cetățenilor și sursă de scurgere a datelor colectate prin formulare.

 
---

 
## Securitatea cibernetică în sectorul public

 
### NIS2 românesc, raportarea dublă a incidentelor și lecțiile atacurilor din 2024–2025

 
#### Cadrul legislativ

 Directiva NIS2 a fost transpusă prin OUG nr. 155/2024, adoptată la 30 decembrie 2024 și publicată în Monitorul Oficial nr. 1332 din 31 decembrie 2024, apoi aprobată cu modificări și completări prin Legea nr. 124/2025, publicată în Monitorul Oficial nr. 638 din 7 iulie 2025 și intrată în vigoare la 10 iulie 2025.

 Legea 124/2025 a clarificat raportul cu protecția datelor. Ea precizează explicit că OUG 155/2024 nu se aplică în contradicție cu alte acte normative esențiale, precum GDPR. Totodată, legea a extins aplicarea în sectorul sănătății, adăugând două noi categorii de entități, inclusiv titularii de autorizații de distribuție a medicamentelor.

 
#### Intră instituția mea sub incidența NIS2?

 Este prima întrebare pe care trebuie să și-o pună orice conducător de instituție, iar răspunsul este mai nuanțat decât pare.

 **Administrația publică centrală.** Anumite categorii de entități sunt considerate esențiale indiferent de dimensiune, iar printre ele se numără entitățile administrației publice centrale, alături de furnizorii de servicii DNS, prestatorii de servicii de încredere calificați și registrele de nume TLD. Ministerele, agențiile naționale și autoritățile centrale sunt, prin urmare, în sfera legii.

 **Primăriile.** Aici există o confuzie frecventă. Potrivit unei analize practice publicate în iulie 2026, sectorul „Administrație publică" din Anexa 1 la OUG 155/2024 vizează entitățile administrației publice centrale. Primăriile, ca autorități ale administrației publice locale, nu sunt încadrate automat în NIS2 doar pe baza statutului lor administrativ. Aceeași analiză subliniază însă că această concluzie nu încheie discuția.

 **Serviciile publice locale.** Aici se află cel mai mare risc de încadrare nerecunoscută. O primărie poate să nu fie entitate NIS2 ca autoritate, dar serviciile ei publice pot fi, pe criteriul sectorial:

 
- operatorul regional sau local de apă și canalizare (sectoarele „apă potabilă" și „ape uzate");
- serviciul de termoficare (sectorul „energie");
- spitalul municipal sau județean (sectorul „sănătate");
- regia de transport public local (sectorul „transport");
- serviciul de salubrizare (sectorul „gestionarea deșeurilor").

 Aceste entități trebuie evaluate individual, după sector și dimensiune. Legea mai permite și desemnarea unei organizații ca entitate esențială sau importantă dacă este singurul furnizor al unui serviciu esențial pentru activități societale și economice critice ori dacă perturbarea ei ar afecta semnificativ siguranța, securitatea sau sănătatea publică.

 **Înregistrarea.** Ordinele DNSC 1/2025 și 2/2025, în vigoare de la 20 august 2025, au stabilit procedura de înregistrare pe platforma NIS2@RO și metodologia de evaluare a riscurilor, iar entitățile vizate au avut 30 de zile pentru înregistrare. O entitate publică obligată care nu s-a înregistrat încă are o restanță de recuperat urgent.

 
#### Lecțiile atacurilor recente

 Trei incidente din ultimii doi ani ar trebui studiate de orice conducător de instituție publică din România.

 **Spitalele și software-ul Hipocrate (februarie 2024).** În noaptea de 11 spre 12 februarie 2024, un atac ransomware a lovit compania Romanian Soft Company, care dezvoltă și administrează sistemul informatic spitalicesc Hipocrate. Potrivit DNSC, au fost afectate 26 de spitale. Unitățile au fost în imposibilitatea de a-și desfășura activitatea normal timp de aproximativ o săptămână. Lecția: **riscul lanțului de aprovizionare**. Spitalele nu au fost atacate direct, ci prin furnizorul comun. NIS2 cere explicit evaluarea securității furnizorilor.

 **Primăria Sectorului 5 (2024).** Din cele 101 atacuri ransomware gestionate de DNSC în 2024, 20 au vizat instituții publice. Atacatorii au cerut Primăriei Sectorului 5 o recompensă de 5 milioane de dolari. Lecția: **administrația locală este țintă**, chiar dacă nu intră formal sub NIS2.

 **Apele Române (decembrie 2025).** DNSC a fost notificat la 20 decembrie 2025 despre un atac ransomware asupra stațiilor de lucru și serverelor Administrației Naționale Apele Române și ale unui număr de 10 din cele 11 administrații bazinale, inclusiv Iași și Siret. Aproximativ 1.000 de sisteme IT au fost compromise, inclusiv servere GIS, de baze de date, de e-mail și web și servere DNS. Lecția: **arhitectura centralizată fără segmentare** permite propagarea atacului în întreaga rețea națională a unei instituții.

 Mai există un risc sistemic: dependența de furnizorii de telecomunicații. O breșă la operatorul Orange din februarie 2025 a afectat, pe lângă clienții individuali, instituții guvernamentale, autorități locale, școli și spitale.

 Context important pentru evaluarea capacității statului: directorul DNSC declara în raportul anual că instituția funcționează cu un grad de încadrare cu personal de doar 17,69%. Instituțiile publice nu se pot baza pe DNSC ca pe un serviciu de intervenție disponibil oricând. Trebuie să-și construiască propria capacitate de răspuns sau să o contracteze.

 
#### Două raportări paralele

 Când un atac compromite sistemele unei instituții care prelucrează date personale, adică practic orice atac, se declanșează două obligații juridice independente. Nu există o procedură comună DNSC–ANSPDCP. Există două termene care curg simultan.

 **Regimul NIS2 (pentru entitățile în sfera legii).** Entitatea transmite o avertizare timpurie în 24 de ore de la identificarea unui incident semnificativ, un raport detaliat în 72 de ore și un raport final în cel mult o lună de la notificarea incidentului. Pot fi solicitate și rapoarte intermediare. Canalul este platforma PNRISC, actualizată de DNSC pentru a oferi un proces de raportare mai simplu, atât persoanelor fizice, cât și entităților esențiale și importante.

 **Regimul GDPR (pentru orice instituție).** Articolul 33 GDPR impune notificarea ANSPDCP în cel mult 72 de ore de la luarea la cunoștință a încălcării securității datelor personale, dacă încălcarea poate genera un risc pentru persoane. Când riscul este ridicat, articolul 34 impune informarea directă a cetățenilor afectați. Plata recompensei în urma unui atac ransomware nu anulează această obligație. În plus, DNSC și celelalte autorități implicate recomandă să nu se ia legătura cu atacatorii și să nu se plătească răscumpărarea.

 
| Criteriu | NIS2 (OUG 155/2024 + Legea 124/2025) | GDPR (art. 33–34) + Legea 190/2018 |
| --- | --- | --- |
| Cui se aplică | Entităților esențiale și importante (inclusiv administrația centrală și serviciile publice din sectoarele listate) | Tuturor instituțiilor care prelucrează date personale |
| Destinatar | DNSC, prin PNRISC | ANSPDCP |
| Primul termen | 24 de ore (avertizare timpurie) | 72 de ore (notificare) |
| Termene ulterioare | 72 de ore (raport detaliat), 1 lună (raport final) | Informare pe etape, dacă datele nu sunt disponibile integral |
| Informarea cetățenilor | Destinatarii serviciilor, în anumite cazuri | Persoanele vizate, dacă riscul este ridicat |
| Regim sancționator | Sancțiunile din OUG 155/2024 | Avertisment cu plan de remediere, apoi amendă de 10.000–200.000 lei |

 Pe acest front, propunerea „Digital Omnibus" include un portal unic pentru raportarea incidentelor, care ar înlocui notificările separate din GDPR, NIS2, DORA și alte cadre. Propunerea este însă încă în negociere. Planurile de răspuns ale instituțiilor trebuie construite pe premisa a două raportări paralele.

 
#### Responsabilitatea conducerii

 Un element al cadrului NIS2 care trebuie citit atent de primari, președinți de consilii județene și manageri de spital privește răspunderea personală. Conducerea entității nu mai poate trata securitatea cibernetică drept o responsabilitate exclusiv tehnică: legea impune implicarea managementului în aprobarea, supravegherea și susținerea măsurilor de securitate. Legea 124/2025 a consolidat și obligațiile privind formarea profesională și desemnarea responsabililor de securitate cibernetică.

 Formula „nu mă pricep la IT, se ocupă informaticianul" nu mai este o apărare. Este o recunoaștere a nerespectării unei obligații legale.

 
---

 
## Foaie de parcurs pentru conducătorii instituțiilor publice

 
### Șapte pași, ordonați după urgență și cost

 Recomandările de mai jos sunt construite pentru realitatea instituțiilor românești: buget limitat, personal redus și restricții fiscale care blochează angajările. Ele sunt ordonate de la măsurile gratuite sau ieftine la cele care necesită investiții.

 
#### Pasul 1: Verificați încadrarea NIS2 a instituției și a serviciilor subordonate

 **Cost: zero. Termen: imediat.**

 Faceți inventarul tuturor entităților din subordinea sau coordonarea instituției (regii, societăți comerciale ale unității administrativ-teritoriale, servicii publice, spitale) și evaluați pentru fiecare sectorul de activitate și dimensiunea. Pentru consiliile județene, lista include de regulă spitalul județean, operatorul regional de apă, eventual aeroportul și transportul județean. Pentru municipii: spitalul municipal, termoficarea, transportul local, salubrizarea.

 Entitățile care intră sub incidența legii și nu s-au înregistrat trebuie să o facă fără întârziere pe platforma DNSC.

 
#### Pasul 2: Confirmați sau reorganizați funcția de DPO

 **Cost: redus. Termen: 30 de zile.**

 Articolul 37 alineatul (1) litera (a) din GDPR obligă orice autoritate sau organism public, cu excepția instanțelor în exercitarea funcției judiciare, să desemneze un responsabil cu protecția datelor. Desemnarea se comunică ANSPDCP, iar datele de contact ale DPO se publică.

 Problemele tipice în instituțiile românești sunt trei:

 
- **DPO-ul este în conflict de interese**, de exemplu directorul economic, șeful resurselor umane sau secretarul general, care decide chiar asupra prelucrărilor pe care ar trebui să le monitorizeze;
- **DPO-ul nu are timp**, pentru că funcția este cumulată cu alte atribuții, fără degrevare;
- **DPO-ul nu are pregătire actualizată**, adică nu cunoaște AI Act, NIS2 sau jurisprudența recentă.

 Pentru instituțiile mici există o soluție explicit prevăzută de lege. Articolul 37 alineatul (3) GDPR permite desemnarea unui singur DPO pentru mai multe autorități sau organisme publice, în funcție de structura și dimensiunea lor. Pentru comunele unui județ precum Botoșani, un DPO comun, organizat prin asociații de dezvoltare intercomunitară sau prin consiliul județean, este mai realist decât 70 de responsabili nominali fără pregătire. A doua variantă este externalizarea către un prestator specializat, cu un contract care stabilește clar disponibilitatea și răspunderile.

 
#### Pasul 3: Adoptați procedura de anonimizare înainte de publicare

 **Cost: zero. Termen: 30 de zile.**

 O dispoziție sau decizie internă care stabilește:

 
- ce categorii de date nu se publică niciodată (CNP, serie și număr act de identitate, IBAN personal, date medicale, adrese de domiciliu ale persoanelor care nu exercită funcții publice);
- cine verifică documentele înainte de publicare, adică o persoană desemnată, alta decât cea care le redactează;
- cum se anonimizează tehnic (pe sursa documentului, nu prin acoperire vizuală în PDF);
- cum se revizuiesc documentele deja publicate, adică auditul arhivei de pe site, începând cu hotărârile de consiliu local din ultimii cinci ani.

 Este măsura cu cel mai bun raport cost-beneficiu din acest ghid. Sesizările cetățenilor privind datele lor publicate pe site-urile primăriilor sunt ușor de făcut și ușor de dovedit.

 
#### Pasul 4: Actualizați registrul prelucrărilor și evaluările de impact (DPIA)

 **Cost: timp de lucru al DPO și al șefilor de compartimente. Termen: 90 de zile.**

 Registrul activităților de prelucrare (articolul 30 GDPR) este primul document cerut în orice control. În multe instituții a fost redactat în 2018 și nu a mai fost actualizat, deși între timp au apărut platforme de plată online, aplicații de registratură electronică, sisteme de supraveghere video extinse, camere corporale pentru poliția locală și instrumente AI.

 Evaluarea impactului asupra protecției datelor (articolul 35 GDPR) este obligatorie pentru prelucrările cu risc ridicat. ANSPDCP a publicat lista operațiunilor pentru care DPIA este obligatorie (Decizia nr. 174/2018). În sectorul public, DPIA este necesară aproape întotdeauna pentru:

 
- **supravegherea video extinsă** a spațiilor publice (sisteme de „oraș inteligent"), a școlilor, a spitalelor;
- **camerele corporale** folosite de poliția locală sau de controlori;
- **prelucrarea datelor persoanelor vulnerabile** (asistență socială, protecția copilului, persoane cu dizabilități);
- **platformele electronice noi** de colectare a datelor cetățenilor;
- **orice sistem AI** care prelucrează date ale cetățenilor.

 Regula de aur, confirmată de cazul Sectorului 1: DPIA se face **înainte** de achiziție și de punerea în funcțiune, nu după. Pentru sistemele AI cu risc ridicat, din decembrie 2027, DPIA va trebui corelată cu evaluarea impactului asupra drepturilor fundamentale cerută de AI Act.

 
#### Pasul 5: Revizuiți contractele cu furnizorii IT

 **Cost: timp de lucru juridic. Termen: la următoarea reînnoire sau act adițional, dar cu inventar imediat.**

 Lecția atacului asupra software-ului Hipocrate este că instituția moștenește riscul furnizorului. Pentru fiecare furnizor care prelucrează date în numele instituției (software de registratură, contabilitate, taxe locale, găzduire web, cloud, mentenanță IT), verificați:

 
- existența unui **acord de prelucrare conform articolului 28 GDPR**, cu obligații de securitate, confidențialitate, notificare a incidentelor și ștergere la final;
- **obligația furnizorului de a notifica incidentele** în termene compatibile cu cele 24 de ore NIS2 și 72 de ore GDPR, de preferință în câteva ore;
- **locul găzduirii datelor** (UE sau în afara UE) și mecanismul de transfer, dacă este cazul;
- **dreptul instituției de a audita** măsurile de securitate ale furnizorului;
- **planul de continuitate**: ce se întâmplă cu datele și serviciul dacă furnizorul este atacat sau intră în insolvență.

 Pentru achizițiile viitoare, cerințele de securitate și protecție a datelor trebuie incluse în caietul de sarcini ca cerințe tehnice obligatorii, nu ca mențiuni generice.

 
#### Pasul 6: Construiți și testați planul de răspuns la incidente

 **Cost: redus spre moderat. Termen: 90 de zile pentru plan, exercițiu anual.**

 Fiecare instituție are nevoie de un plan scris de răspuns la incidente, aprobat de conducere, care să conțină:

 
- **celula de criză**: conducătorul instituției, DPO, responsabilul de securitate cibernetică sau informaticianul, consilierul juridic, purtătorul de cuvânt, furnizorul IT principal;
- **arborele de decizie**: incident semnificativ NIS2 (dacă instituția intră sub incidența legii) și/sau încălcare a securității datelor personale;
- **șabloanele de notificare** pentru DNSC (PNRISC) și ANSPDCP, precompletate cu datele instituției;
- **șablonul de comunicare publică**, pentru că în cazul unui atac asupra serviciilor publice cetățenii trebuie informați rapid și onest;
- **procedura de continuitate**: cum funcționează registratura, casieria și serviciile esențiale în regim manual, pe hârtie, timp de o săptămână;
- **copiile de siguranță**: separate de rețeaua principală (offline sau imuabile), testate periodic prin restaurare efectivă.

 Ultimul punct este decisiv. În majoritatea atacurilor ransomware asupra instituțiilor, diferența dintre o săptămână de paralizie și o lună de haos a fost existența unor copii de siguranță neatinse de atac.

 Planul trebuie testat printr-un exercițiu de simulare cel puțin o dată pe an. Un plan care stă în sertar eșuează în primele ore, exact cele care contează pentru termenele de 24 și 72 de ore.

 
#### Pasul 7: Instruiți personalul și bugetați conformitatea

 **Cost: moderat. Termen: continuu.**

 Majoritatea incidentelor încep cu un om: un e-mail de phishing deschis, o parolă reutilizată, un stick USB conectat, un document trimis la adresa greșită. Instruirea anuală a întregului personal privind protecția datelor, securitatea cibernetică de bază și utilizarea AI nu este un lux. Pentru AI, ea este deja o obligație legală, prin articolul 4 din AI Act. Pentru conducere, NIS2 impune formare specifică.

 Cât despre buget, conformitatea nu trebuie tratată ca o cheltuială separată, ci integrată în proiectele de digitalizare. Programele de finanțare europeană pentru transformarea digitală a administrației permit, de regulă, includerea componentelor de securitate cibernetică și protecție a datelor în bugetul proiectului. Un proiect de digitalizare care nu bugetează DPIA, securitatea și instruirea construiește, de fapt, o vulnerabilitate finanțată din bani publici.

 
### O notă despre perspectiva provincială

 Ghidurile de conformitate sunt scrise, de regulă, pentru instituții mari din orașe mari, cu departamente juridice și IT dedicate. Realitatea unui județ precum Botoșani este alta: zeci de comune cu câțiva funcționari, un informatician (dacă există) împărțit între primărie, școală și dispensar, și bugete în care fiecare leu este disputat între drumuri, iluminat și salarii.

 Pentru aceste instituții, soluția nu este imitarea la scară mică a unei corporații, ci **mutualizarea**: DPO comun, contracte de securitate negociate la nivel județean sau prin asociațiile de dezvoltare intercomunitară, proceduri-tip adaptate local, instruiri organizate în comun. Consiliile județene și prefecturile pot juca un rol de coordonare pe care, deocamdată, puține și-l asumă. Atacatorii nu fac distincție între o primărie de comună și un minister. Iar datele unui cetățean din satul cel mai îndepărtat merită aceeași protecție ca ale unuia din capitală.

 
---

 
## Concluzie: Încrederea cetățeanului, cea mai valoroasă infrastructură publică

 Anii 2025–2026 au arătat că protecția datelor în sectorul public nu mai poate fi tratată ca o formalitate administrativă. Cifrele sunt fără echivoc: plângerile la ANSPDCP s-au dublat într-un an, atacurile ransomware au crescut cu peste 150%, iar două duzini de instituții publice au trecut prin experiența paraliziei informatice într-un singur an.

 Regimul sancționator blând al Legii 190/2018 nu trebuie confundat cu o scutire. Avertismentul cu plan de remediere este o obligație cu termen, iar amenzile cominatorii pot atinge sute de mii de lei. Mai important, niciun regim sancționator nu protejează instituția de consecințele reale ale unui incident: servicii publice oprite, date ale cetățenilor publicate pe forumuri criminale, încredere pierdută.

 Legislația europeană se mișcă: AI Act și-a recalibrat calendarul, regulamentul procedural GDPR va deveni aplicabil în 2027, iar „Digital Omnibus" s-ar putea să simplifice unele formalități. Nimic din toate acestea nu schimbă însă obligațiile fundamentale ale unei instituții publice: să prelucreze doar datele de care are nevoie legal, să le protejeze adecvat, să le publice doar când legea o cere și cu respectarea persoanei, să reacționeze rapid și onest când ceva merge prost.

 În fața unui stat tot mai digitalizat, cetățeanul pune o întrebare simplă: „pot avea încredere că datele mele sunt pe mâini bune?". Instituțiile care vor putea răspunde afirmativ, cu documente, proceduri și sisteme testate, nu doar cu declarații, vor construi cea mai valoroasă infrastructură publică dintre toate: încrederea.

 
---

 
## Bibliografie

 **Legislație europeană**

 
1. Regulamentul (UE) 2016/679 (GDPR), în special art. 6 alin. (1) lit. (e) și ultimul paragraf, art. 30, 33–35, 37–39, considerentul 43.
2. Regulamentul (UE) 2025/2518 de stabilire a unor norme procedurale suplimentare privind aplicarea GDPR, JO L, 12.12.2025. Aplicabil de la 2 aprilie 2027.
3. Regulamentul (UE) 2024/1689 (AI Act), în special art. 4, 27, 111 și Anexa III, modificat prin Regulamentul (UE) 2026/1744 (Digital Omnibus on AI), JO 24.07.2026.
4. Directiva (UE) 2022/2555 (NIS2).
5. Comisia Europeană, Propunerea „Digital Omnibus" privind datele, 19 noiembrie 2025 (în negociere).

 **Legislație națională**

 
1. Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR, art. 13–14 (regimul sancționator pentru autoritățile și organismele publice).
2. OUG nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil.
3. Legea nr. 124/2025 pentru aprobarea OUG nr. 155/2024, M. Of. nr. 638/07.07.2025.
4. Ordinele Directorului DNSC nr. 1/2025, 2/2025 și 3/2025.
5. Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice.
6. Legea nr. 544/2001 privind liberul acces la informațiile de interes public; Legea nr. 52/2003 privind transparența decizională; OUG nr. 57/2019 privind Codul administrativ.
7. OUG nr. 112/2018 privind accesibilitatea site-urilor web și a aplicațiilor mobile ale organismelor din sectorul public.
8. ANSPDCP, Decizia nr. 174/2018 privind lista operațiunilor pentru care este obligatorie evaluarea impactului asupra protecției datelor.

 **Jurisprudență**

 
1. CJUE, cauza C-210/16, Wirtschaftsakademie Schleswig-Holstein, 5 iunie 2018 (operatorii asociați ai paginilor de Facebook).
2. CJUE, cauza C-673/17, Planet49, 1 octombrie 2019 (consimțământul pentru cookie-uri).

 **Rapoarte și documente ale autorităților**

 
1. ANSPDCP, Raportul de activitate pentru anul 2025, publicat la 14 septembrie 2026.
2. ANSPDCP, comunicatele de presă din 06.03.2024 (Sectorul 1), 07.02.2025 (supraveghere video, unitate de învățământ) și 07.05.2025 (camere body-cam).
3. DNSC, Raportul de activitate pentru anul 2025, aprobat prin Hotărârea CSAT nr. 117/07.08.2026.
4. DNSC, comunicatele privind atacul ransomware asupra sistemului Hipocrate (februarie 2024) și asupra Administrației Naționale Apele Române (decembrie 2025).
5. EDPB, Opinia 28/2024 privind modelele AI, 17 decembrie 2024.
6. EDPB, Proiectele de Ghiduri 02/2026 (anonimizare) și 03/2026 (scraping pentru AI generativ), consultare publică până la 30 octombrie 2026.
7. EDPB, decizia privind tema acțiunii coordonate de aplicare 2026: transparența și obligațiile de informare (art. 12–14 GDPR).

 **Analize**

 
1. Prodefence și CysNis, „Ghidul practic pentru verificarea încadrării primăriilor în NIS2", iulie 2026.
2. „ANSPDCP aplică o amendă cominatorie de 159.000 lei unei instituții publice", JURIDICE.ro, martie 2024.
3. „Noi reguli privind consimțământul pentru cookie-uri", JURIDICE.ro, aprilie 2026.
4. Future of Privacy Forum, „EU AI Act Implementation Timeline", actualizat în iulie 2026.

---

 *Notă de transparență: acest articol a fost redactat cu asistența, pe baza unei cercetări bibliografice verificate, și a fost revizuit editorial de autor. Informațiile reflectă stadiul legislativ de la 24 septembrie 2026 și nu constituie consultanță juridică.*

 
---