Schimbarea pe care nimeni n-a anticipat-o (dar era evidentă)

Dacă ai o firmă de managed hosting, procesezi date ale clienților din UE sau rulezi o platformă de servicii de date, oprește-te și citește asta. Ideea că responsabilitatea GDPR cade doar pe umerii clienților tăi? S-a dus.

În primii șapte ani de la aplicarea GDPR, lucrurile erau clare: la breșe de securitate, amenda lovea compania care avea legătura directă cu utilizatorii. Furnizorul de hosting, procesatorul de cloud sau stratul de infrastructură apărea în anchetă, dar bătaia o lua altcineva. Asta între 2018 și 2024.

Din 2025, jocul s-a schimbat radical. Dovada? Două decizii oficiale care ar trebui să-ți taie somnul oricărui șef din hosting.

Cazul 1: Eșecul de securitate NHS, cu amendă de 3,07 milioane lire

În martie 2025, Oficiul Comisarului pentru Informații din UK a făcut un pas istoric: a amendat direct un procesator de date.

Advanced Computer Software Group oferă servicii IT pentru Serviciul Național de Sănătate din UK. În august 2022, atacatori cu ransomware au intrat prin contul unui client fără multi-factor authentication. Au expus date medicale pentru aproape 900 de pacienți din asistență la domiciliu, dintr-un set de 82.946 de persoane.

Cheia: amenda a venit nu pentru că dețineau relația cu pacienții, ci pentru că n-au securizat datele pe care erau obligați contractual să le protejeze.

Ancheta ICO a scos la iveală probleme tehnice grave:

• Lipsă MFA pe sistemele cu date de sănătate
• Fără scanări complete de vulnerabilități
• Management slab al patch-urilor

Amenda inițială era de 6,1 milioane lire. După negociere și cooperare, a coborât la 3,07 milioane. Mesajul? Articolul 32 din UK GDPR cere "măsuri tehnice și organizatorice adecvate". Dacă procesezi date pe contract, tu le implementezi. Punct.

Nu NHS a fost amendat. Procesatorul a plătit.

Cazul 2: Capcana retenției de date, cu 1 milion euro amendă

Cinci luni mai târziu, CNIL din Franța a dat o decizie similară împotriva Mobius Solutions, o firmă SaaS din UK care gestiona date publicitare pentru Deezer.

La finalul contractului, Mobius a comis greșeala supremă: a păstrat datele. Ba mai mult, le-a folosit să-și îmbunătățească propriul serviciu, fără acordul Deezer.

CNIL a găsit trei încălcări:

1. Păstrarea datelor după terminarea contractului (încălcare Articol 28(3)(g))
2. Procesarea datelor în afara instrucțiunilor controller-ului (încălcare Articol 28(3)(a))
3. Lipsă evidențe ale procesării (încălcare Articol 30)

Amenda: 1 milion euro.

Relevanța pentru hosting? 46 de milioane de înregistrări Deezer. Mobius n-avea sediu legal în UE, deci CNIL a acționat direct – fără complicații cu "one-stop-shop". Ancheta a durat trei ani (noiembrie 2022 – decembrie 2025) și a lovit procesatorul în plin.

De ce te afectează direct în hosting

Nu sunt cazuri izolate. Sunt precedente. Iată ce stabilesc:

Răspunzi personal pentru securitate. DPA cu clienții mută obligațiile contractuale, nu riscul regulatoriu. Dacă nu ai controale tehnice adecvate, amenda vine la tine.

Ștergerea datelor e obligatorie. La sfârșitul contractului, ștergi totul conform acordului. Să le ții "de rezervă" sau să le folosești înseamnă amenzi directe. Mobius o demonstrează clar.

Standarde de securitate obligatorii. MFA, management vulnerabilități, patch-uri, controale acces – nu opționale în 2025. Un audit le verifică. Regulatorul pedepsește lipsurile.

Documentația te salvează sau te îngroapă. Lipsa evidențelor de procesare la Mobius a fost o încălcare separată. Log-urile, auditurile tehnice, politicile de retenție sunt probe. Fără ele, ești considerat neconform.

Ce faci azi

Dacă ai hosting, managed services sau SaaS cu date UE, acționează acum:

1. Auditează securitatea. Ai MFA, criptare, segmentare rețea, scanări vulnerabilități pe toate sistemele cu date personale? Dacă nu, ești vulnerabil.

2. Verifică retenția datelor. La terminarea contractelor, ștergi automat? Back-up-urile nu le țin la infinit. Documentează și aplică perioadele.

3. Îmbunătățește DPA-urile. Definește clar obligațiile de securitate, proceduri de ștergere și drepturi de audit. Fii specific.

4. Pune logging și monitoring complet. Demonstrează ce date procesezi, cine accesează, cum protejezi. Asta e apărarea ta.

5. Lucrează cyber insurance. Amenzile GDPR cresc. Nu acoperă totul, dar face parte din strategie.

6. Chemă avocați specializați. Precedentele sunt proaspete. Ai nevoie de experți în tehnic și legal.

Adevărul incomod

Cadrul legal care face procesatorii responsabili direct există din 2018. Autoritățile au preferat controller-ii – ținte mai vizibile.

În 2025, au înțeles că pot lovi direct la cei care țin și securizează datele. Și o fac.

Advanced și Mobius au pus precedenta. Nu vor fi ultimii. Orice furnizor hosting, SaaS sau cloud cu date UE e acum țintă.

Nu mai e "dacă". E "când". Ești pregătit?

La NameOcean, am construit Vibe Hosting cu arhitectură orientată compliance. Dar conformitatea nu se cumpără. Se integrează în infrastructură, documentație și operațiuni.

Acționează acum. Precedenta e pusă.