Retragerea accesului la e-mail, aplicații și baze de date trebuie să facă parte din procedura de plecare a salariaților. Conturile rămase utilizabile după încetarea raporturilor de muncă pot permite consultarea neautorizată a informațiilor despre colegi sau clienți, chiar și în absența unui atac informatic.

Regulamentul (UE) 2016/679 – Regulamentul general privind protecția datelor (GDPR) impune, prin art.32, măsuri tehnice și organizatorice adecvate riscurilor. Pentru angajatori, gestionarea drepturilor de acces reprezintă o componentă a acestei obligații: informațiile personale trebuie să fie disponibile numai persoanelor autorizate, în limitele atribuțiilor lor.

În Ghidul privind protecția datelor pentru întreprinderile mici, Comitetul European pentru Protecția Datelor (EDPB) recomandă proceduri documentate pentru acordarea, modificarea și retragerea accesului la angajare, schimbarea atribuțiilor sau plecarea din organizație. Ghidul recomandă și revizuirea periodică a permisiunilor, oferind ca exemplu un interval de șase luni. Acesta este un reper de bună practică, nu un termen general obligatoriu stabilit de GDPR.

În practică, procedura poate stabili cine comunică plecarea salariatului, momentul retragerii accesului și persoana care verifică efectuarea operațiunilor. Verificarea ar trebui să acopere e-mailul profesional, aplicațiile interne, platformele de resurse umane, serviciile cloud și conexiunile la distanță. Predarea echipamentelor trebuie însoțită de verificarea drepturilor de acces, inclusiv a celor acordate prin servicii externe.

Existența unui cont activ nu dovedește, prin ea însăși, producerea unei încălcări a securității datelor. Dacă sunt identificate accesări neautorizate, compania trebuie să oprească accesul, să stabilească informațiile afectate și să evalueze consecințele pentru persoanele vizate. Simpla consultare fără drept a datelor poate constitui o încălcare, chiar dacă informațiile nu au fost copiate sau publicate.

Potrivit art.33 din GDPR, notificarea autorității competente se transmite fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la luarea la cunoștință a încălcării. Notificarea nu este obligatorie dacă este improbabil ca incidentul să genereze un risc pentru drepturile și libertățile persoanelor. Toate încălcările confirmate trebuie însă documentate. În cazul unui risc ridicat, art. 34 prevede și informarea persoanelor afectate, cu excepțiile stabilite de regulament. Pentru notificarea autorității din România este disponibil formularul ANSPDCP pentru notificarea breșelor de securitate.

Un exemplu apare în comunicatul ANSPDCP din 6 august 2026, prin care Autoritatea a anunțat sancționarea unei societăți cu amendă în cuantum de 15.000 de euro pentru încălcarea art. 32 alin. (4) din GDPR. Deficiențele privind instruirea personalului și procedurile interne au permis accesul neautorizat al unor angajați și foști angajați la date cu caracter personal, inclusiv la informații privind sănătatea. Printre măsurile corective dispuse s-au numărat stabilirea unor drepturi de acces diferențiate, în funcție de atribuțiile personalului, precum și instruirea periodică a angajaților.