Breșă gravă pe platforma lansată de Guvern: CNP-uri, serii de buletin și adrese de domiciliu, lăsate la liber pe internet. Posibile consecințe juridice, inclusiv pentru cei care au coordonat proiectul

Noua platformă prin care Guvernul și-a propus să aducă „transparență” în companiile de stat a debutat cu o problemă de o gravitate cu totul diferită, după ce date personale dintre cele mai sensibile ale unor persoane aflate în conducerea întreprinderilor publice au fost puse la dispoziția oricărui utilizator de internet.

CNP-uri valide, serii și numere ale cărților de identitate, adrese de domiciliu și, într-un caz, inclusiv număr de telefon, adresă de e-mail și data nașterii apar în documente încărcate pe guvernanta.gov.ro, platformă lansată oficial joi, 24 septembrie, de Guvernul României, la inițiativa vicepremierului Oana Gheorghiu.

Stiripesurse.ro a identificat cel puțin zece documente în care apar asemenea informații. Toate cele zece fișiere erau încă accesibile public vineri, 25 septembrie 2026, la ora 11:14. În patru dintre ele, datele sunt vizibile direct pe pagină. În alte șase, informațiile au fost acoperite cu o bandă neagră numai din punct de vedere vizual, textul real rămânând însă în interiorul PDF-ului și putând fi recuperat.

Situația deschide o serie de probleme juridice serioase, de la legalitatea publicării CNP-urilor și respectarea principiului minimizării datelor, până la securitatea prelucrării, publicarea unor date privind afilierea politică și obligațiile care apar în cazul unei breșe de securitate.

CNP, buletin și adresa de acasă ale unor directori, publicate de stat

La Radioactiv Mineral Măgurele SA, contractul de mandat al directorului general conține CNP-ul, seria și numărul cărții de identitate și domiciliul, toate vizibile direct în document.

La Uzina Mecanică București SA, filială ROMARM, un act adițional conține aceleași categorii de informații referitoare la președinta Consiliului de Administrație, care reprezintă societatea în document.

La Active Conexe SA, un model de contract de mandat al directorului general păstrează CNP-ul, seria și numărul actului de identitate și domiciliul reprezentantului societății, deși numele acestuia nu mai apare. La OPCOM, un alt model contractual păstrează CNP-ul și domiciliul.

La Oil Terminal, Fabrica de Arme Cugir și Carpatica Feroviar România, datele par la prima vedere anonimizate, pentru că sunt acoperite cu dreptunghiuri negre. În realitate, potrivit analizei documentelor, informația a rămas în fișier.

În cazul Fabricii de Arme Cugir, un contract atribuit președintei CA conține, sub mascarea vizuală, nu doar CNP, seria și numărul CI și domiciliul, ci și telefonul, e-mailul și data nașterii. La Carpatica Feroviar sunt identificate două contracte de mandat care păstrează CNP-uri și adrese de domiciliu.

Cu alte cuvinte, nu este vorba numai despre documente publicate accidental fără anonimizare, ci și despre documente asupra cărora s-a încercat aparent anonimizarea, fără eliminarea efectivă a informației din fișier.

Legea obligă la transparență. Nu obligă la publicarea CNP-ului și a adresei de acasă

Platforma invocă drept temei juridic art. 51 din OUG 109/2011 privind guvernanța corporativă a întreprinderilor publice. Chiar pagina principală precizează că datele sunt publicate în baza acestei dispoziții.

Articolul 51 impune într-adevăr un grad ridicat de transparență, astfel că întreprinderile publice trebuie să publice, între altele, componența consiliilor, CV-urile, durata mandatelor, afilierea politică a membrilor CA, CS și directoratului, remunerațiile, anumite declarații și contractele de mandat.

Textul legal nu spune însă nicăieri că trebuie făcute publice CNP-ul, seria și numărul actului de identitate ori adresa exactă de domiciliu.

Obligația de a face public un contract nu elimină obligația autorității de a proteja informațiile personale din acel contract care nu sunt necesare scopului transparenței.

Legea nr. 190/2018 tratează expres CNP-ul, seria și numărul actului de identitate drept „numere de identificare națională”. Art. 4 prevede că prelucrarea unui asemenea număr, inclusiv dezvăluirea documentelor care îl conțin, trebuie să se încadreze într-unul dintre temeiurile legale prevăzute de art. 6 alin. (1) GDPR.

În paralel, art. 5 GDPR impune principiul „reducerii la minimum a datelor”, informațiile făcute publice trebuie să fie adecvate, relevante și limitate la ceea ce este necesar pentru scopul urmărit.

Este dificil de identificat ce nevoie de transparență privind administrarea unei companii de stat ar putea necesita ca publicul să cunoască CNP-ul unui director, seria cărții sale de identitate ori adresa exactă la care locuiește.

„Anonimizarea” cu o bandă neagră poate ridica o problemă distinctă de securitate

Pentru o parte dintre documente, situația este cu atât mai serioasă cu cât cineva a încercat să ascundă informația, dar a făcut-o doar grafic.

Dacă textul rămâne incorporat în PDF și poate fi selectat, copiat, extras sau citit programatic, informația nu este anonimizată.

Art. 32 GDPR obligă operatorul să instituie măsuri tehnice și organizatorice adecvate riscului pentru asigurarea securității datelor.

Faptul că o instituție publică documente în care datele sunt doar acoperite vizual, fără a fi efectiv eliminate din fișier, poate indica tocmai insuficiența acestor măsuri tehnice.

Situația poate intra, de asemenea, în noțiunea GDPR de „încălcare a securității datelor cu caracter personal”. Dacă operatorul constată existența unei astfel de încălcări, art. 33 GDPR prevede notificarea autorității de supraveghere fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la momentul în care operatorul a luat cunoștință de breșă, exceptând situațiile în care este improbabil să existe un risc pentru drepturile și libertățile persoanelor.

Dacă riscul este ridicat, art. 34 introduce și obligația informării persoanelor afectate, fără întârzieri nejustificate.

Publicarea simultană a CNP-ului, datelor actului de identitate și domiciliului este tocmai genul de combinație care poate amplifica riscurile pentru persoana vizată.

Afilierea politică, publicată și pentru oameni pe care art. 51 nu îi menționează

Anexa analizată identifică 16 directori executivi pentru care platforma indică o afiliere politică, deși aceștia nu apar, potrivit bazei de date a platformei, ca membri ai consiliilor de administrație, consiliilor de supraveghere sau directoratelor. Printre cazuri apar directorul general al Oil Terminal, directorul general adjunct al CONPET, directorul general al Poștei Române și directori din alte întreprinderi publice.

Or, art. 51 alin. (1) lit. d) din OUG 109/2011 formulează expres obligația publicării afilierii politice în privința „fiecărui membru al consiliului de administrație/consiliului de supraveghere/directoratului”.

Directori executivi care nu fac parte din aceste organisme nu sunt incluși în enumerarea respectivă.

Situația trebuie analizată și prin prisma art. 9 GDPR. Regulamentul acordă protecție specială datelor care dezvăluie opiniile politice și interzice, ca regulă, prelucrarea acestora, în afara excepțiilor prevăzute expres de regulament.

Prin urmare, pentru directorii care nu intră în categoria persoanelor pentru care OUG 109 impune publicarea afilierii, Guvernul trebuie să poată indica un temei juridic distinct pentru o asemenea prelucrare, mai mult decât simpla trimitere generală la art. 51.

Guvernul a greșit inclusiv salariile: netul Hidroelectrica apare drept „brut”

Potrivit datelor analizate, la Hidroelectrica, șase dintre cei șapte membri ai Consiliului de Supraveghere sunt prezentați cu o indemnizație de 11.642 lei, etichetată drept sumă „BRUT”.

Raportul de remunerare al societății indică însă o indemnizație brută de 19.902 lei lunar. Suma de 11.642 de lei corespunde aproximativ valorii nete rezultate după taxare. Cu alte cuvinte, platforma ar fi prezentat o valoare netă drept venit brut.

Și la Nuclearelectrica sunt semnalate neconcordanțe: directorul general și directorul financiar apar cu câte 53.788 lei, în timp ce raportul companiei indică pentru fiecare o remunerație de 49.755 lei începând cu 17 decembrie 2025.

Problema are și ea dimensiune juridică, având în vedere că art. 5 alin. (1) lit. d) GDPR prevede că datele cu caracter personal trebuie să fie „exacte” și, atunci când este necesar, actualizate, iar informațiile inexacte trebuie rectificate sau șterse fără întârziere.

CCR a avertizat încă din 2010 asupra expunerii excesive a vieții private pe internet

În Decizia nr. 415/2010, Curtea Constituțională a analizat publicarea online a declarațiilor de avere și interese și a pornit tocmai de la art. 26 alin. (1) din Constituție, potrivit căruia autoritățile publice „respectă și ocrotesc viața intimă, familială și privată”.

CCR a constatat atunci că publicarea pe internet a datelor privind averea și interesele poate reprezenta o atingere a vieții private printr-o expunere nejustificată obiectiv și rațional și a declarat neconstituționale dispozițiile analizate în acea cauză în măsura indicată în decizie.

Decizia din 2010 nu înseamnă că orice informație despre un demnitar sau administrator public este astăzi interzisă la publicare, dar principiul constituțional spune că existența unui interes public nu transformă automat orice informație privată într-o informație destinată publicității. Cu atât mai puțin CNP-ul și domiciliul.

Ce poate face Autoritatea pentru Protecția Datelor

Guvernul este calificat expres drept „autoritate/organism public” de Legea nr. 190/2018. În cazul în care Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal constată încălcări ale GDPR de către o autoritate publică, regimul românesc prevede, într-o primă etapă, avertisment și un plan de remediere. Autoritatea stabilește măsurile ce trebuie luate și un termen de remediere, care poate ajunge până la 90 de zile.

Dacă măsurile nu sunt îndeplinite, ANSPDCP poate reveni în control și poate aplica amenzi.

Pentru încălcările privind obligațiile operatorului (categorie în care intră și dispozițiile privind securitatea de la art. 32-34 GDPR), Legea nr. 190/2018 prevede amenzi între 10.000 și 100.000 de lei după parcurgerea mecanismului legal de remediere. Pentru încălcarea principiilor de bază prevăzute de art. 5-7 GDPR ori a regimului special al art. 9, amenda poate ajunge la 200.000 de lei.

Pe lângă sancțiunea contravențională, Autoritatea poate dispune măsuri corective: eliminarea datelor, restricționarea prelucrării sau aducerea operațiunilor de prelucrare în conformitate cu GDPR.

Persoanele expuse pot cere despăgubiri

Există și o răspundere distinctă față de persoanele ale căror date au fost publicate. Art. 82 GDPR permite oricărei persoane care a suferit un prejudiciu material sau moral ca urmare a încălcării regulamentului să solicite despăgubiri.

Curtea de Justiție a Uniunii Europene a stabilit că această despăgubire are funcție compensatorie și trebuie să permită repararea integrală a prejudiciului concret suferit.

Prin urmare, administratorii sau directorii ale căror CNP-uri, domicilii și date de identitate au fost expuse ar putea, dacă demonstrează condițiile răspunderii și un prejudiciu, să se adreseze instanței.

Ce răspundere poate exista pentru Oana Gheorghiu

Comunicatul oficial al Guvernului spune explicit că guvernanta.gov.ro a fost creată „la inițiativa viceprim-ministrului Oana Gheorghiu”. Platforma conține informații despre 121 de companii și peste 1.350 de documente, dintre care peste 600 de contracte de mandat.

Oana Gheorghiu declara la lansare că transparentizarea este necesară pentru a vedea „oamenii care iau deciziile-cheie” în companiile statului.

Dacă proiectul a fost implementat instituțional de Guvern sau de o structură din subordinea sa, răspunderea GDPR revine, în primul rând, operatorului instituțional.

Situația s-ar schimba însă în privința răspunderii personale dacă s-ar dovedi că un anumit demnitar sau funcționar a dat instrucțiuni concrete privind publicarea, a aprobat documentele în forma respectivă, a fost avertizat asupra riscurilor și nu a intervenit ori a încălcat o obligație legală individuală care îi revenea.

În acest caz ar putea fi analizate, după împrejurări, răspunderea administrativă, disciplinară, patrimonială sau, în condiții mult mai stricte, chiar penală.

Inclusiv o eventuală răspundere penală trebuie analizată

Codul penal conține o infracțiune care poate deveni relevantă în anumite situații de divulgare: art. 304 privind divulgarea informațiilor secrete de serviciu sau nepublice.

Textul sancționează divulgarea fără drept a unor informații „care nu sunt destinate publicității”, de către cel care le cunoaște datorită atribuțiilor de serviciu, dacă prin aceasta sunt afectate interesele sau activitatea unei persoane. Pedeapsa prevăzută pentru ipoteza principală este închisoarea de la 3 luni la 3 ani sau amenda.

Mai mult, art. 305 alin. (2) extinde răspunderea și asupra unor asemenea fapte săvârșite din culpă.

Asta nu înseamnă că simpla apariție a unui CNP pe site-ul Guvernului constituie automat infracțiune și cu atât mai puțin că Oana Gheorghiu ar fi comis o infracțiune.

Pentru aplicarea textului penal trebuie stabilite concret autorul actului de divulgare, atribuțiile sale, caracterul nepublic al informațiilor, lipsa dreptului de divulgare, forma de vinovăție și afectarea efectivă a intereselor unei persoane.

În funcție de împrejurările stabilite într-o eventuală anchetă, pot deveni relevante și normele privind încălcarea culpabilă a unor îndatoriri de serviciu atunci când este produsă o vătămare a drepturilor unei persoane. Art. 298 Cod penal sancționează neglijența în serviciu atunci când încălcarea din culpă a unei îndatoriri produce o pagubă ori o vătămare a drepturilor sau intereselor legitime.