Dacă lucrezi într-o instituție publică și folosești o adresă de Gmail, Yahoo sau Outlook personal pentru comunicări oficiale, ai un termen limită. Senatul României a votat deja. Camera Deputaților urmează. Iar după promulgare, ceasul pornește: 12 luni pentru a migra la un sistem nou, centralizat, sub autoritate națională.
Nu e o recomandare. Nu e un ghid de bune practici. E lege.
Context: de unde vine această lege și ce a determinat-o
Statisticile din documentele legislative sunt clare și, pentru oricine lucrează în digitalizarea instituțiilor publice, deloc surprinzătoare: peste 67% dintre instituțiile publice din România folosesc adrese comerciale — Gmail, Yahoo, Outlook personal — pentru comunicări oficiale. Documente administrative, notificări către cetățeni, corespondență între instituții. Totul pe infrastructură privată, controlată de corporații americane, supusă unor legi care nu sunt cele românești.
Proiectul de lege a fost adoptat în Senat cu 79 de voturi pentru, 22 de abțineri și un singur vot împotrivă. Acum se află la Camera Deputaților, forul decizional. Toate semnalele indică adoptare.
Ce introduce legea, concret
Sistemul Național de Comunicare Electronică (SNCE)
O platformă unică, gestionată centralizat, pe care o vor folosi toate instituțiile publice vizate. Nu mai vorbim de soluții locale improvizate — un cont Gmail creat de un angajat priceput, un server de mail configurat acum zece ani și niciodată actualizat, un domeniu cumpărat și abandonat.
SNCE înseamnă infrastructură standardizată, audituri posibile, responsabilitate trasabilă.
Registrul Național al Adreselor de Email Oficiale (RNAEO)
Fiecare instituție va fi înregistrată cu adresa sa oficială. Cetățeanul, partenerul, orice terț va putea verifica dacă o adresă de email aparține cu adevărat unei instituții publice.
Din perspectivă practică, asta elimină una dintre cele mai eficiente vectori de atac social: impersonarea instituțiilor prin adrese similare create pe domenii comerciale gratuite.
Obligația de auto-reply în perioada de tranziție
Prevederea e inteligentă operațional: adresele vechi nu dispar brusc. Pe durata celor 12 luni de tranziție, instituțiile care mai primesc mesaje pe adresele comerciale sunt obligate să configureze răspunsuri automate care să informeze expeditorul despre noua adresă oficială.
Continuitate în comunicare, fără goluri operative.
Cine intră sub incidența legii
Instituții vizate:
- Primării și consilii locale
- Consilii județene
- Ministere și agenții guvernamentale
- Școli, spitale, instituții publice finanțate de stat
- Orice entitate care exercită funcții de autoritate publică
Instituții exceptate:
- Apărare națională
- Ordine publică (poliție, jandarmerie, structuri similare)
- Securitate națională
Excepțiile sunt logice: aceste structuri dispun deja de sisteme proprii, clasificate, cu standarde superioare celor prevăzute de lege. Nu au nevoie de SNCE.
De ce contează din perspectivă tehnică și juridică
Jurisdicția datelor
Un email trimis prin Gmail trece prin serverele Google din SUA. Intră automat sub incidența CLOUD Act — legislație americană care permite autorităților federale să solicite accesul la date stocate de companii americane, indiferent de locația fizică a serverelor sau de naționalitatea utilizatorilor.
Datele administrative ale statului român — cereri, notificări, documente — circulând prin infrastructură supusă altei jurisdicții reprezintă o vulnerabilitate structurală, nu o problemă ipotetică.
Suprafața de atac prin phishing
Când instituțiile oficiale comunică de pe @gmail.com, atacatorii au o fereastră perfectă. Nu există nicio diferență vizuală între un email legitim al primăriei și unul creat de un actor malițios pe o adresă similară. Cetățeanul nu are cum să distingă. RNAEO rezolvă exact această problemă: adresa fie e în registru, fie nu e oficială.
Responsabilitate și auditabilitate
Un sistem centralizat înseamnă că emailurile oficiale pot fi arhivate conform legislației GDPR și a normelor privind arhivarea documentelor publice, pot fi verificate în caz de litigiu și nu mai depind de contul personal al unui angajat care poate pleca din instituție ducând cu el istoricul comunicărilor.
Calendarul legislativ și operațional
| Etapă | Status |
|---|---|
| Adoptare Senat | ✅ Finalizat — 79 voturi pentru |
| Camera Deputaților | ⏳ În dezbatere |
| Promulgare | ⏳ Urmează adoptării |
| Start perioadă tranziție | ߓ堉mediat după promulgare |
| Termen final implementare | ߓ報2 luni de la promulgare |
Douăsprezece luni este un termen realist, dar nu generos. Migrarea unui sistem de comunicare la nivelul unei instituții publice presupune: evaluarea infrastructurii existente, achiziție sau configurare conform SNCE, migrarea conturilor și adreselor active, instruirea personalului, actualizarea tuturor documentelor și șabloanelor care conțin adresa veche, configurarea auto-reply pe adresele în retragere, notificarea partenerilor instituționali.
Instituțiile care încep planificarea acum sunt cu un pas înaintea celor care vor reacționa când legea e deja în vigoare.
Ce ar trebui să facă o instituție publică acum
Chiar înainte ca legea să fie promulgată, există pași de pregătire care nu comportă niciun risc și reduc semnificativ presiunea la momentul implementării efective.
Inventarierea adreselor active. Câte adrese comerciale folosește instituția în prezent? Cine le administrează? Există un cont unic sau fiecare departament și-a creat propriul Gmail? Răspunsul la aceste întrebări durează câteva zile și e esențial pentru orice plan de migrare.
Evaluarea infrastructurii IT existente. Instituția are deja un domeniu propriu? Există un server de mail configurat? Sau totul a funcționat până acum exclusiv pe conturi comerciale gratuite? Situația de pornire determină volumul de muncă necesar.
Documentarea comunicărilor critice. Care sunt partenerii instituționali, furnizorii, organismele supraordonate cu care se comunică pe adresele actuale? Lista aceasta va fi baza notificărilor de tranziție.
Contactul cu furnizori de servicii specializați. Implementarea corectă a unui sistem de email instituțional — configurare server, securizare, conformitate GDPR, integrare cu eventualele sisteme existente — necesită expertiză tehnică. Nu e un proiect de rezolvat intern dacă instituția nu are resursele umane adecvate.
Concluzie
Legea care interzice Gmail și Yahoo în instituțiile publice nu e o surpriză pentru nimeni care a urmărit evoluția legislației privind securitatea cibernetică și suveranitatea digitală în ultimii ani. E consecința logică a NIS2, a presiunii DNSC pentru conformitate și a realității că o administrație publică nu poate funcționa pe infrastructură pe care nu o controlează.
Întrebarea nu mai e dacă se va implementa. E cât de pregătită va fi instituția ta când termenul expiră.
Cei 12 ani de implementare a proiectelor web pentru instituții publice din România mi-au arătat un tipar constant: instituțiile care planifică din timp navighează schimbările legislative fără turbulențe. Cele care reacționează în ultima lună plătesc dublu — în bani, în timp și în stres instituțional.
Surse: juridice.ro (5 martie 2026), sibiu100.ro, maramuresonline.ro, salajeanul.ro.