Breșa Legal Aid Agency din Marea Britanie: de la „din 2010” la înregistrări din 1978. Ce ne învață despre retenția datelor și despre scopul care crește

• LAA a aflat de atac pe 23 aprilie 2025, iar pe 16 mai 2025 a constatat că acesta fusese mai amplu, cu acces la „o cantitate mare de informații” despre solicitanții de asistență; sistemele au fost scoase din funcțiune în aceeași zi. Pagina GOV.UK (versiunea pe care am putut-o citi, din 31 iulie 2025) spune că au putut fi accesate date de la solicitanți din 2007 încolo, plus informații despre partenerii solicitanților, și menționează o ordonanță care interzice publicarea datelor.
• Actualizarea din octombrie 2026, relatată de The Record și BleepingComputer, spune că circa 250.000 de înregistrări sunt anterioare lui 2007, în mare parte din anii ’90 și 2000, și că cea mai veche verificată este din 1978. Majoritatea datelor se referă la cereri, solicitări sau plăți din ianuarie 2007 până la 16 mai 2025 sau la cauze active în acea perioadă. LAA precizează că înregistrările dinainte de 2007 nu înseamnă că toți cei care au avut contact cu sistemul de justiție înainte de 2007 sunt afectați.
• Categoriile de date, potrivit LAA și presei: date de contact, date de naștere, numere de identificare națională, istoric penal, statut de angajare, sume contribuite, datorii și plăți; pentru furnizori, contracte, sedii, informații financiare, date de contact și acreditări ale portalului online (nume și adrese de e-mail). The Record adaugă evaluări financiare, detalii bancare și de proprietate, în unele cazuri carduri parțial mascate, nume ale unor judecători, avocați și grefieri, date de probațiune. LAA spune că datele sunt „nestructurate, fragmentate sau incomplete”, iar conținutul variază de la caz la caz.
• Ministrul justiției a numit incidentul „semnificativ și complex” într-o declarație scrisă către Parlament și a spus că infractori au exploatat vulnerabilități în sistemele LAA, au copiat și au exfiltrat date, potrivit The Record. Ministerul spune că nu există indicii că datele au fost publicate sau distribuite.
• Măsuri anunțate: autentificare și controale de acces întărite, monitorizare îmbunătățită, scoaterea din uz sau izolarea sistemelor vechi cu risc mai mare, plus o investiție de peste 200 de milioane de lire pentru modernizare, potrivit BleepingComputer.

• Numărul total de persoane afectate: LAA nu l-a confirmat. The Record relatează că atacatorii au susținut că au date despre peste două milioane de persoane și că au cerut bani; BleepingComputer nu numește niciun grup și nu relatează o revendicare.
• Dacă datele au fost publicate sau vândute: ministerul spune că nu are dovezi de publicare, dar absența dovezilor nu garantează că datele nu circulă.
• Cine sunt persoanele concrete cu înregistrări dinainte de 2007: LAA nu a publicat o listă.
• Textul actualizării din octombrie de pe GOV.UK: nu l-am putut citi direct, pentru că versiunea accesibilă nouă era cea din iulie 2025. Detaliile de mai sus vin din The Record și BleepingComputer, care îl citează.

Prima estimare vorbea despre solicitanți din 2010. Apoi a devenit 2007. Acum este 1978, cu 250.000 de înregistrări anterioare lui 2007. Nu putem spune că cineva a ascuns ceva: investigațiile criminalistice se extind pe măsură ce se analizează date vechi și nestructurate. Dar un comunicat inițial care pare definitiv costă încredere când se revizuiește.

Pentru conducere, concluzia este practică: în primele zile spui ce știi, ce nu știi și când revii; datezi fiecare actualizare; nu promiți un scop definitiv înainte să fie verificat; și pregătești din timp mesajele pentru situația „scopul s-a dublat peste șase luni”.

Cea mai veche înregistrare e din 1978 și a ajuns într-un sistem accesibil unui atacator în 2025. Orice organizație are o versiune a acestei situații: arhive din vechi sisteme migrate, exporturi vechi, foldere partajate, copii de siguranță pe care nimeni nu le mai deschide.

GDPR cere ca datele personale să fie păstrate doar cât este necesar scopului (art. 5(1)(e)). Datele despre condamnări și infracțiuni au reguli speciale (art. 10). Nu spunem că LAA a încălcat ceva; ancheta ICO nu a fost raportată în sursele citite. Spunem că fiecare an de păstrare în plus mărește suprafața pe care o apărăm.

• Care este cea mai veche înregistrare cu date personale pe care o avem și unde se află? Cine știe răspunsul?
• Există un program de retenție aprobat, cu termene de ștergere sau anonimizare, și se aplică efectiv, inclusiv în arhive și copii?
• Ce sisteme vechi sunt încă accesibile prin portaluri online sau interfețe pentru furnizori, și când au fost ținte ale unui test de securitate?
• Dacă un furnizor sau un partener se loghează într-un portal, acreditările lui sunt protejate cu autentificare multifactor și pot fi revocate rapid? În cazul LAA au fost furate și acreditări ale portalului online.
• Ce categorii sensibile avem (istoric penal, date de sănătate, evaluări financiare) și unde sunt separate de restul?
• Cine redactează, aprobă și datează actualizările publice ale unui incident, și cum arătăm că scopul poate fi revizuit?
• Am exersat un scenariu în care raportul criminalistic dublează scopul după șase luni?

Dacă ai o breșă de date personale supusă GDPR, art. 33 cere notificarea autorității de supraveghere (în România, ANSPDCP) fără întârziere nejustificată și, dacă este posibil, în 72 de ore, iar art. 34 cere informarea persoanelor când riscul este ridicat. Dacă ești entitate esențială sau importantă sub NIS2, se adaugă termenele de 24 și 72 de ore pentru incidente semnificative. Marea Britanie are propriul regim (UK GDPR și ICO); articolul nu tratează dreptul britanic. Aplicabilitatea depinde de situația ta; verifică cu juristul sau cu responsabilul cu protecția datelor.

Declarațiile LAA și ale ministerului sunt sursa pentru ce a fost accesat; ele ajung la noi prin The Record și BleepingComputer, care coincid pe cifrele-cheie (250.000, 1978, 2007). Revendicarea atacatorilor apare doar la The Record și rămâne neverificată.

Awarely Learning poate transforma întrebările de mai sus într-un exercițiu pentru conducere, juridic și comunicare: ce spunem în ziua 3, ce spunem în luna 6 și cum arătăm că scopul poate crește. Articolul nu este consultanță juridică și nu garantează conformitatea.