Un laptop uitat în tren sau un telefon furat din geantă poate expune ani de dosare clinice. Ce ne spun sursele oficiale, de ce se întâmplă și cum ne protejăm
Nu toate breșele de date încep cu un hacker. Multe încep cu un gest banal: laptopul lăsat pe scaunul din mașină, telefonul uitat pe masa unei cafenele, stick-ul rămas în imprimanta de la birou. Pentru un psiholog, acel dispozitiv poate conține rapoarte de evaluare, notițe de ședință, scale aplicate și conversații cu clienții.
Context și definiții
Când pierdem un dispozitiv, ce contează nu e aparatul, ci datele și conturile accesibile prin el.
| Termen | Ce înseamnă | De ce contează |
|---|---|---|
| Pierdere vs. furt | Pierderea e accidentală; furtul e intenționat | Efectul asupra datelor e același: altcineva are acces fizic |
| Date în repaus | Fișierele stocate pe disc, telefon, stick | Sunt expuse direct dacă dispozitivul nu e criptat |
| Criptarea discului | Tot conținutul devine ilizibil fără parolă sau cheie | Diferența dintre „am pierdut un laptop” și „am pierdut dosarele clienților” |
| Autentificare | Cod, parolă, amprentă la deblocare | NIST o consideră, alături de criptare, principalul control pentru datele stocate |
| Sesiuni deschise | Conturi rămase conectate: e-mail, WhatsApp, cloud, platforme de ședințe | Acces la date care nici nu sunt pe dispozitiv |
| Ștergere de la distanță | Comanda care curăță dispozitivul când se conectează la internet | Limitează pagubele, dar nu e garantată |
| Medii amovibile | Stick-uri USB, carduri, hard-diskuri externe | Mici, ușor de pierdut, rar criptate |
Regula de bază: un dispozitiv criptat și blocat cu un cod solid e o pierdere materială. Unul necriptat e o breșă de confidențialitate.
O amenințare recunoscută de standarde
Publicația NIST SP 800-111 tratează pierderea și furtul ca amenințare comună pentru laptopuri, telefoane și medii amovibile. Soluția recomandată e combinația dintre criptare și autentificare: criptarea discului întreg, a unui volum sau a fișierelor individuale. Ghidul subliniază și rolul politicilor și al conștientizării utilizatorilor.
Erorile umane domină raportările
Autoritatea britanică pentru protecția datelor (ICO) publică trimestrial incidentele raportate de organizații. Datele ICO arată că o mare parte a breșelor nu sunt atacuri, ci greșeli: e-mailuri trimise greșit, documente pierdute sau lăsate nesupravegheate. O analiză a acestor date arată 588 de raportări în 2025 doar pentru documente pierdute, furate sau lăsate în locuri nesigure, iar pierderile de dispozitive au rămas relativ constante de la un an la altul. Cifrele reflectă doar incidentele descoperite și raportate.
Laptopurile necriptate, sancționate în sănătate
În SUA, Oficiul pentru Drepturi Civile (HHS OCR) a sancționat în mod repetat furtul de laptopuri necriptate cu date medicale:
| Caz | Ce s-a întâmplat | Persoane afectate | Sumă plătită |
|---|---|---|---|
| Lifespan Health System | Laptopul necriptat al unui angajat, furat | 20.431 | 1,04 mil. USD [3] |
| Hospice of North Idaho | Laptop necriptat furat | 441 | 50.000 USD [4] |
Cazul Hospice of North Idaho a fost primul acord pentru o breșă cu sub 500 de persoane afectate. Mesajul pentru cabinetele mici e clar: dimensiunea redusă nu scutește de obligația de a proteja datele.
România: și pierderea documentelor e sancționată
ANSPDCP a amendat Poșta Română cu 2.000 de euro pentru pierderea unor documente cu date personale. Logica e aceeași pentru un laptop sau un stick: operatorul răspunde pentru măsurile de protecție, nu doar pentru intenția de a le proteja.
Dispozitivul personal folosit și profesional
Raportul Verizon DBIR 2025 a constatat că 46% dintre sistemele compromise care conțineau date de autentificare ale firmelor erau dispozitive personale, nesupravegheate. Telefonul personal pe care răspundeți și clienților intră exact în această categorie. Dacă îl pierdeți, pierdeți și accesul la conturile profesionale.
De ce pierdem dispozitive: unghiul psihologic
Pierderea unui laptop nu e semn de neglijență personală. Este, de cele mai multe ori, o eroare cognitivă previzibilă, care apare în condiții previzibile.
Greșelile de execuție și omisiunile
James Reason distinge între greșelile de plan și „alunecările” sau „omisiunile” care apar când acțiunea e corectă, dar execuția scapă atenției. Uitarea laptopului în tren e o omisiune tipică: știm perfect că trebuie să-l luăm, dar atenția e în altă parte. Aceste erori apar mai ales în rutine automatizate, când suntem obosiți, grăbiți sau preocupați.
Eroarea de „după finalizare”
Byrne și Bovair au descris un tip special de eroare: omiterea unui pas care urmează după atingerea scopului principal [9]. Exemplul clasic e originalul uitat în copiator, după ce ai luat copiile. Laptopul rămas în tavă la controlul de securitate de pe aeroport urmează același tipar: scopul (să treci controlul) e atins, iar pasul final „cade” din memoria de lucru.
Tranzițiile, momentele cu risc maxim
Dispozitivele se pierd rar în timpul activității. Se pierd la tranziții: coborul din taxi, ridicarea de la masa din cafenea, schimbarea sălii, plecarea grăbită după o ședință grea. În aceste momente, sarcina cognitivă e mare și atenția e deja la următoarea activitate.
„Mie nu mi se întâmplă”
Optimismul nerealist ne face să credem că suntem mai puțin expuși decât alții la evenimente negative. De aceea amânăm activarea criptării sau a funcției de localizare. Oboseala de securitate descrisă de NIST adaugă încă un strat: prea multe setări și avertismente duc la resemnare și la alegerea variantei comode.
După pierdere: rușinea care întârzie reacția
Primele ore contează cel mai mult, dar tocmai atunci reacția emoțională poate bloca acțiunea. Panica, rușinea și speranța că „se găsește” pot amâna schimbarea parolelor sau anunțarea pierderii. Pentru psihologi, mecanismul e cunoscut: evitarea reduce anxietatea pe termen scurt și crește costul pe termen lung. Un plan scris dinainte reduce nevoia de decizii luate la cald.
Implicații pentru psihologi
Pentru un cabinet, pierderea unui dispozitiv cu date de clienți poate fi o încălcare a securității datelor în sensul GDPR. Datele despre sănătate, inclusiv cea mentală, sunt categorie specială.
Notificarea autorității. Dacă pierderea prezintă un risc pentru drepturile persoanelor, operatorul trebuie să notifice ANSPDCP în cel mult 72 de ore de la constatare. Psihologul cu cabinet individual este, de regulă, operator de date.
Informarea clienților. Când riscul e ridicat, persoanele vizate trebuie informate direct. Regulamentul prevede însă o excepție importantă: informarea nu e necesară dacă datele erau protejate prin măsuri care le fac neinteligibile, cum ar fi criptarea. Practic, criptarea poate face diferența dintre un incident gestionat discret și o scrisoare către fiecare client.
Documentarea. Orice încălcare se documentează intern, chiar dacă nu se notifică. O fișă simplă cu data, dispozitivul, datele afectate și măsurile luate e suficientă pentru un cabinet mic.
Dimensiunea deontologică. Ghidul pentru furnizarea serviciilor psihologice online (2022) tratează confidențialitatea și securitatea datelor ca responsabilități ale psihologului, în acord cu Codul deontologic. Pierderea unui telefon cu conversații terapeutice nu e doar o problemă legală, ci și una de încredere în relația cu clientul.
Recomandări practice
Măsurile se împart în trei momente: ce faceți acum, ce faceți în prima oră după pierdere și ce faceți în zilele următoare. Cele mai multe se configurează o singură dată.
Înainte: pregătiți pierderea care nu s-a produs încă
- Activați criptarea discului pe laptop: BitLocker (Windows) sau FileVault (macOS). Este măsura de bază recomandată de NIST.
- Puneți telefonului un cod de minimum 6 cifre. Pe telefoanele moderne, codul activează și criptarea.
- Setați blocarea automată a ecranului după 1–2 minute pe telefon și 5 minute pe laptop.
- Activați localizarea și ștergerea de la distanță: Find My (Apple) sau Găsește-mi dispozitivul (Google, Microsoft).
- Ascundeți conținutul notificărilor pe ecranul blocat, ca mesajele clienților să nu fie vizibile.
- Nu țineți dosare pe stick-uri. Dacă e nevoie, folosiți doar stick-uri criptate.
- Faceți backup regulat, ca pierderea dispozitivului să nu însemne și pierderea datelor.
- Activați autentificarea în doi pași pentru e-mail, cloud și platformele de ședințe.
- Faceți o listă cu dispozitivele, numerele de serie și conturile conectate. O veți căuta exact când aveți cel mai puțin timp.
Un obicei care previne omisiunile
Intențiile de implementare de tip „dacă… atunci…” transformă un scop vag într-un automatism legat de un context. Aplicat aici: „De fiecare dată când mă ridic de pe un scaun într-un loc public, verific: telefon, laptop, portofel.” Regula ocolește eroarea de după finalizare, pentru că leagă verificarea de momentul tranziției, nu de memorie.
În prima oră după pierdere
- Blocați dispozitivul și afișați pe ecran un mesaj cu un număr de contact.
- Dacă nu există șanse de recuperare sau dispozitivul nu era criptat, inițiați ștergerea de la distanță.
- Schimbați parolele conturilor accesibile de pe dispozitiv, începând cu e-mailul.
- Deconectați dispozitivul din sesiunile active: WhatsApp, Google, Microsoft, platformele de ședințe.
- Anunțați operatorul de telefonie pentru blocarea cartelei SIM.
- Notați ora constatării. Termenul de 72 de ore pentru notificarea ANSPDCP curge de aici.
În zilele următoare
- Faceți plângere la Poliție în caz de furt.
- Evaluați ce date erau pe dispozitiv și dacă erau criptate.
- Decideți, pe baza riscului, dacă notificați ANSPDCP și informați clienții.
- Documentați incidentul într-o fișă internă, chiar dacă nu notificați.
- Puteți raporta incidentele cibernetice către DNSC la numărul 1911.
- Revedeți ce a lipsit și corectați. Tratați incidentul ca pe un caz de supervizare, nu ca pe un eșec personal.
Concluzie
Pierderea unui dispozitiv e aproape inevitabilă într-o carieră lungă. Expunerea datelor nu este. Criptarea, un cod solid și un plan de reacție scris dinainte transformă un incident de confidențialitate într-o pierdere materială.
Psihologii au un avantaj: înțeleg de ce atenția cedează la tranziții, de ce amânăm setările și de ce rușinea întârzie reacția. Aceeași cunoaștere poate fi folosită pentru a construi obiceiuri care ne protejează pe noi și pe clienți.
Pasul următor: verificați astăzi dacă laptopul și telefonul sunt criptate și dacă ștergerea de la distanță e activă. Apoi scrieți pe o foaie cei șase pași din „prima oră” și păstrați-o în cabinet. Sunt 20 de minute care pot proteja ani de confidențialitate.
Referințe
- Scarfone, K., Souppaya, M., Sexton, M., NIST SP 800-111, „Guide to Storage Encryption Technologies for End User Devices”, NIST, 2007.
- ICO, „Data security incident trends”, date actualizate până la T4 2025. https://ico.org.uk/action-weve-taken/data-security-incident-trends
- Avocatnet.ro, „Amendă de 2.000 euro pentru Poșta Română, de la ANSPDCP, pentru pierderi de documente”. https://www.avocatnet.ro/articol_62931/Amend%C4%83-de-2000-euro-pentru-Po%C8%99ta-Roman%C4%83-de-la-ANSPDCP-pentru-pierderi-de-documente.html
- ServNet, „UK data breach statistics 2026” (analiză a datelor ICO), septembrie 2026. https://www.servnetuk.com/research/uk-data-breach-statistics-2026