Articolul 21
Art. 21 din INSTRUCȚIUNI nr. 112 din 30 iulie 2025 privind măsurile de natură organizatorică și tehnică pentru asigurarea securității prelucrărilor de date cu caracter personal efectuate de către structurile/unitățile/instituțiile Ministerului Afacerilor Interne
- Titlul II Măsuri tehnice
(1) Pentru fiecare utilizator de date cu caracter personal, administratorul sistemului de evidență automat care prelucrează date cu caracter personal stabilește un cont unic de acces în sistem care să permită identificarea, autentificarea și autorizarea operațiunilor, asigurând totodată înregistrarea operațiunilor efectuate.
(2) Identificarea și autentificarea utilizatorului într-un sistem informatic care prelucrează date cu caracter personal se poate realiza prin introducerea unui cod de identificare de la tastatură (nume de utilizator) însoțit de introducerea unei parole și/sau prin utilizarea unui dispozitiv electronic de tip smart card/token însoțit de introducerea unui cod PIN.
(3) Operatorii stabilesc modalitatea concretă de identificare și autentificare folosită, în funcție de importanța datelor cu caracter personal deținute, volumul acestora, numărul de utilizatori, frecvența interogărilor și operațiunile de prelucrare, precum și măsurile de protecție fizică a locației, aceștia având posibilitatea să opteze, după caz, pentru instituirea unei autentificări multiple, combinând oricare dintre modalitățile prevăzute la alin. (2) .
(4) Smartcardurile, tokenurile, codurile de identificare, numele de utilizator, parolele și codurile PIN sunt unice, personale și netransmisibile. Se interzice folosirea lor în comun de către mai mulți utilizatori.
(5) Parolele trebuie să aibă minimum 10 caractere alfanumerice - litere mari, litere mici, cifre, semne și caractere speciale -, iar introducerea acestora nu trebuie să conducă la identificarea lor prin afișarea pe ecran. Se interzice păstrarea parolei la vedere astfel încât să nu fie accesibilă altor persoane.
(6) Parolele se schimbă ori de câte ori este nevoie, dar cel puțin o dată la 3 luni pentru utilizatori și la 6 luni pentru administratorii aplicației.
(7) La generarea contului unic utilizatorul primește parola/codul PIN și codul de identificare sau numele de utilizator. Utilizatorul are obligația să schimbe parola în următoarele situații:
a) la prima accesare a contului unic;
b) în cazurile prevăzute de alin. (6) ;
c) ori de câte ori apreciază ca fiind necesar pentru asigurarea securității prelucrării datelor cu caracter personal.
(8) Administratorul sistemului informatic care prelucrează date cu caracter personal ia măsurile necesare pentru activarea unui mesaj de avertizare după a patra introducere greșită a parolei și blocarea contului la a cincea introducere greșită. Mesajul pentru utilizator va cuprinde următorul text: „Atenție, ați introdus greșit parola de 4 ori. La a cincea introducere greșită, contul va fi blocat“. După cea de-a cincea introducere greșită a parolei, pe ecran va fi afișat următorul mesaj: „Atenție! Contul este blocat. Vă rugăm să contactați administratorul de sistem.“ Aceste măsuri sunt obligatorii și în fazele de proiectare și implementare a sistemelor informatice ce prelucrează date cu caracter personal.
(9) La începutul sesiunii de lucru, interfața grafică a sistemului informatic care prelucrează date cu caracter personal trebuie să afișeze un mesaj de avertizare privind obligativitatea păstrării confidențialității datelor cu caracter personal prelucrate, precum și referitor la auditarea tuturor operațiunilor efectuate de către operator. Mesajul afișat la începutul sesiunii va cuprinde următorul text: „Atenție! Ați accesat un sistem informatic proprietatea MAI care prelucrează date cu caracter personal. Aveți obligativitatea respectării legislației privind prelucrarea datelor cu caracter personal, orice activitate fiind auditată. Nerespectarea acestor norme atrage, potrivit legii, răspunderea disciplinară, civilă sau materială, după caz.“
(10) În situația în care pe sistemul informatic sunt gestionate și informații clasificate, mesajul afișat la începutul sesiunii va cuprinde următorul text: „Atenție! Ați accesat un sistem informatic proprietatea MAI care prelucrează date cu caracter personal și informații clasificate de nivel secrete de serviciu/secrete de stat de nivel secret/strict secret/strict secret de importanță deosebită, după caz. Aveți obligativitatea respectării legislației în vigoare, orice activitate fiind auditată. Nerespectarea acestor norme atrage, potrivit legii, răspunderea disciplinară, civilă sau materială, după caz.“