En resumen
- El Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) de Moldavia ha abierto una investigación sobre el incidente que afectó a los servicios electrónicos gubernamentales.
- Quien sospeche un acceso indebido a sus datos puede dirigirse primero a la Agenția de Guvernare Electronică (AGE) y, después, presentar una reclamación ante el CNPDCP o acudir a los tribunales.
- El caso ofrece lecciones sobre comunicación pública, trazabilidad de accesos y reparto de funciones entre operador y autoridad de control.
El Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), autoridad de protección de datos de Moldavia, ha publicado una guía para quienes temen que sus datos personales se hayan visto afectados por el ciberataque contra servicios públicos digitales. Importa porque convierte un incidente técnico en un camino práctico para ejercer derechos.
Qué ha dicho la autoridad
El CNPDCP recuerda que las personas tienen derecho a obtener información sobre cómo pudieron verse afectados sus datos y a ejercer los derechos de la Legea nr. 195/2024 privind protecția datelor cu caracter personal (Ley n.º 195/2024 de protección de datos personales). Precisa que medir el impacto exige comprobaciones técnicas y la confirmación de las instituciones implicadas, cada una dentro de sus competencias. Anuncia que se informará sobre el restablecimiento de los servicios, las medidas de seguridad adoptadas, los resultados confirmados y la forma de avisar a las personas afectadas.
Además, el Centro ha iniciado una investigación para esclarecer cómo se produjo el incidente y si las entidades que gestionan los sistemas cumplieron sus obligaciones legales. Dice que comunicará públicamente las circunstancias constatadas y las medidas que disponga.
Los tres caminos para el ciudadano
- Primero, el operador. Quien haya notado accesos sospechosos puede dirigirse a la Agenția de Guvernare Electronică (AGE), responsable de los servicios electrónicos gubernamentales, mediante petición firmada electrónicamente (office@egov.md) o en papel con firma manuscrita. Puede pedir información sobre los accesos señalados, las instituciones que los realizaron, sus fines y bases jurídicas, y las posibles consecuencias del incidente. El CNPDCP subraya que solo el operador conoce las operaciones de tratamiento y puede comprobar si los datos de una persona fueron afectados.
- Después, la reclamación ante el CNPDCP. Puede usarse el formulario del Centro (no es obligatorio), pero debe cumplir el art. 79 de la Ley n.º 195/2024. El Centro avisa de que solo podrá pronunciarse sobre el fondo cuando termine la investigación, con una decisión motivada.
- La vía judicial. Según el art. 74 de la misma ley, quien considere vulnerados sus derechos puede demandar al operador o a su encargado. Es una vía distinta de la reclamación administrativa.
El CNPDCP aconseja conservar notificaciones, capturas de pantalla con fecha y hora de los accesos y las respuestas recibidas, porque pueden servir de prueba.
Reparto de papeles
La autoridad insiste en que no administra bases de datos ni garantiza directamente su seguridad. Esa responsabilidad corresponde a los operadores, que deben aplicar medidas técnicas y organizativas adecuadas y poder demostrar su cumplimiento. El Centro supervisa y, en su caso, investiga.
La mirada de CEA Digital Law
Desde el Comité Euro Americano de Derecho Digital - CEA Digital Law valoramos que una autoridad explique, en lenguaje llano, a quién dirigirse, en qué orden y con qué pruebas. Esa claridad reduce la incertidumbre en los primeros días de una crisis. La estructura recuerda a la del RGPD de la Unión Europea (derecho de acceso, reclamación ante la autoridad y recurso judicial), lo que facilita la comparación con otros países.
Proponemos tres ideas que otros países de Europa, América Latina y el Caribe, y África pueden considerar. Primera, que los organismos públicos tengan preparado un canal único y plazos orientativos de respuesta antes de que ocurra el incidente. Segunda, que los registros de acceso permitan responder con precisión a «quién accedió, cuándo y con qué base». Tercera, que la comunicación a los afectados sea proactiva y no dependa de que cada persona pregunte.
Quedan cuestiones abiertas: cuándo se informará individualmente a los afectados, qué plazos tendrá la investigación y cómo se coordinarán la autoridad de datos y los organismos de ciberseguridad. Seguiremos con interés las decisiones que el CNPDCP anuncia que hará públicas.
Fuentes
CEA Digital Law
Boletín
Eventos, noticias y análisis sobre derecho digital, en tu correo. Solo cuando hay algo que contar.
