Blog Full

Telepsychology in the Age of Cyberthreats (1)

Transforming the Psychology Practice into a Digital Ecosystem: Opportunities, Vulnerabilities, and Professional Responsibilities

Digital Infrastructure, Cybersecurity, and the Dark Web Context

Psih. Eusebiu Jean TIHAN[1], MSc, Psih. Laura Mihaela TIHAN[2], MSc
eusebiu.tihan@gmail.com

[1] Academia Oamenilor de Știință – România, https://orcid.org/0009-0008-8316-3679

[2] Tihan si Asociatii, https://orcid.org/0009-0003-1820-1417

Abstract

Objectives: This article aims to analyze the transformation of psychological practice into a digital ecosystem, highlighting the cybersecurity vulnerabilities specific to the clinical psychology profession and proposing a theoretical and practical framework for securing telepsychology practice. The article explores the contemporary cyber threat landscape, including the Dark Web as a space of risk and opportunity, and establishes the technical foundation for implementing platforms compliant with international standards.

Method: The research involved a systematic analysis of specialized literature from the fields of clinical psychology, cybersecurity, and data protection legislation, combined with the study of the Romanian regulatory framework (Law 95/2006, Emergency Ordinance 196/2020, Law 213/2004) and international standards (GDPR, HIPAA, ISO 27001). Reports from the European Union Agency for Cybersecurity (ENISA) and the National Cyber Security Incident Response Center (CERT-RO) were analyzed, along with documented case studies of cyberattacks on medical infrastructures.

Results: The study reveals that psychologists conducting online activities face an expanded spectrum of cyber threats, including ransomware-as-a-service, spear phishing attacks targeting professional credentials, deepfakes and voice cloning for identity fraud, compromised cloud platforms, and communication interception. According to the ENISA Threat Landscape 2024 report, the health sector recorded 487 reported incidents, of which 45% were ransomware attacks and 28% data breaches [1]. The Dark Web operates as a black market for medical databases, where psychologists’ credentials and patient data are systematically traded. The analysis of telemedicine platforms reveals critical differences in encryption, data storage, and legal compliance, with most psychologists still using standard unsecured commercial applications.

Conclusions: Telepsychology represents a necessary extension of clinical practice, but it must be accompanied by a deep awareness of cyber risks and the implementation of specific security measures. The transformation of psychological practice into a digital ecosystem involves extended responsibilities beyond the therapeutic act, including securing IT infrastructure, managing professional identity, and protecting patient data against continuously evolving threats. The article proposes an integrated digital security framework for telepsychology practice and identifies future directions for research and professional development.

Keywords: telepsychology, cybersecurity, Dark Web, GDPR, malpractice, telemedicine platforms, data protection, ransomware, social engineering, artificial intelligence

Rezumat

Obiective: Prezentul articol își propune să analizeze transformarea cabinetului psihologic într-un ecosistem digital, evidențiind vulnerabilitățile cibernetice specifice profesiei de psiholog clinician și propunând un cadru teoretic și practic pentru securizarea practicii de telepsihologie. Articolul explorează contextul amenințărilor cibernetice contemporane, inclusiv Dark Web-ul ca spațiu de risc și oportunitate, și stabilește fundația tehnică pentru implementarea unor platforme conforme cu standardele internaționale.

Metodă: Cercetarea a implicat o analiză sistematică a literaturii de specialitate din domeniile psihologiei clinice, securității cibernetice și legislației privind protecția datelor, coroborată cu studiul cadrului normativ românesc (Legea 95/2006, OUG 196/2020, Legea 213/2004) și al standardelor internaționale (GDPR, HIPAA, ISO 27001). Au fost analizate rapoarte ale Agenției Uniunii Europene pentru Securitate Cibernetică (ENISA) și ale Centrului Național de Răspuns la Incidente de Securitate Cibernetică (CERT-RO), precum și studii de caz documentate privind atacurile cibernetice asupra infrastructurilor medicale.

Rezultate: Studiul relevă că psihologii care desfășoară activități online se confruntă cu un spectru extins de amenințări cibernetice, inclusiv ransomware-as-a-service, atacuri de tip spear phishing vizând credențialele profesionale, deepfake-uri și clonarea vocii pentru fraudarea identității, compromise ale platformelor cloud și interceptarea comunicațiilor. Potrivit raportului ENISA Threat Landscape 2024, sectorul sănătății a înregistrat 487 de incidente raportate, dintre care 45% au fost atacuri ransomware și 28% breșe de date [1]. Dark Web-ul funcționează ca o piață neagră pentru bazele de date medicale, unde credențialele psihologilor și datele pacienților sunt tranzacționate în mod sistematic. Analiza platformelor de telemedicină relevă diferențe critice în ceea ce privește criptarea, stocarea datelor și conformitatea legală, majoritatea psihologilor utilizând încă aplicații comerciale standard nesecurizate.

Concluzii: Telepsihologia reprezintă o extensie necesară a practicii clinice, însă aceasta trebuie să fie însoțită de o conștientizare profundă a riscurilor cibernetice și de implementarea unor măsuri de securitate specifice. Transformarea cabinetului psihologic într-un ecosistem digital implică responsabilități extinse care depășesc actul terapeutic, incluzând securizarea infrastructurii IT, gestionarea identității profesionale și protecția datelor pacienților împotriva unor amenințări în continuă evoluție. Articolul propune un cadru integrat de securitate digitală pentru practica telepsihologică și identifică direcții viitoare de cercetare și dezvoltare profesională.

Declarație de semnificație: Acest articol aduce în premieră în literatura românească o analiză interdisciplinară a vulnerabilităților cibernetice specifice practicii psihologice online, integrând perspective din psihologia clinică, securitatea informatică și dreptul protecției datelor. Rezultatele au implicații directe pentru formarea continuă a psihologilor, pentru politicile de securitate ale cabinetelor individuale și pentru reglementările profesionale în domeniul telepsihologiei.

Cuvinte cheie: telepsihologie, securitate cibernetică, Dark Web, GDPR, malpraxis, platforme de telemedicină, protecția datelor, ransomware, inginerie socială, inteligență artificială.

IT & C, Volumul 5, Numărul 3, Septembrie 2026, pp. 42-82
ISSN 2821 – 8469, ISSN – L 2821 – 8469, DOI: 10.58679/IT70911
URL: https://www.internetmobile.ro/telepsihologia-in-era-amenintarilor-cibernetice-1/
© 2026 Eusebiu Jean TIHAN, Laura Mihaela TIHAN. Responsabilitatea conținutului, interpretărilor și opiniilor exprimate revine exclusiv autorilor.

Licența CC BY-NC-ND: Această licență permite reutilizatorilor să copieze și să distribuie materialul pe orice mediu sau format numai în formă neadaptată, numai în scopuri necomerciale și numai atâta timp cât atribuirea este atribuită creatorului.

INTRODUCERE

1.1. De la cabinetul fizic la ecosistemul digital: o transformare fără precedent

Pandemia de COVID-19 a reprezentat un catalizator fără precedent pentru digitalizarea serviciilor de sănătate mintală la nivel global [2]. Dacă anterior anului 2020, telepsihologia era considerată o nișă, o alternativă marginală la practica tradițională față-în-față, în prezent aceasta a devenit o componentă integrantă a peisajului psihoterapeutic [3]. Studiile internaționale indică faptul că peste 70% dintre psihologi au integrat serviciile online în practica lor curentă, iar pentru o proporție semnificativă dintre aceștia, telepsihologia reprezintă modalitatea principală de livrare a serviciilor clinice [4, 5].

Această transformare accelerată a generat însă o serie de provocări pentru care profesia de psiholog nu era pregătită din punct de vedere al competențelor tehnice, al cadrului legal și al conștientizării riscurilor cibernetice [6]. Spre deosebire de medicii care beneficiază de departamente IT dedicate și de infrastructuri digitale centralizate, psihologii clinicieni, în special cei care activează în cabinete individuale sau în societăți civile profesionale, sunt expuși unor riscuri cibernetice semnificative pentru care nu dispun nici de expertiză, nici de resurse adecvate [7].

Problema fundamentală care stă la baza acestui articol poate fi formulată astfel: ce se întâmplă atunci când psihologia clinică, o disciplină fundamentată pe relația umană directă, pe observația senzorială completă și pe confidențialitatea absolută a spațiului terapeutic, intră în ecosistemul digital, un mediu caracterizat prin intermediere tehnologică, vulnerabilități sistemice și expunere cibernetică permanentă? Această întrebare, aparent simplă, deschide un spectru complex de probleme interdisciplinare care se intersectează la granița dintre psihologia clinică, securitatea cibernetică, dreptul protecției datelor și etica profesională.

1.2. Obiectivele articolului și structura acestuia

Prezentul articol își propune să ofere o analiză comprehensivă a transformării cabinetului psihologic într-un ecosistem digital, având următoarele obiective specifice:

1. Cartografierea amenințărilor cibernetice specifice practicii telepsihologice, inclusiv analiza Dark Web-ului ca piață neagră pentru datele medicale și a metodelor de atac utilizate împotriva psihologilor și pacienților acestora.
2. Analiza tehnică și juridică a platformelor de telemedicină, cu accent pe criteriile de conformitate GDPR/HIPAA, mecanismele de criptare și responsabilitățile legale ale furnizorilor de servicii clinice.
3. Examinarea vulnerabilităților sistemice ale infrastructurii digitale utilizate de psihologi, inclusiv riscurile asociate utilizării inteligenței artificiale în activitatea clinică și compromiterea identității profesionale.
4. Propunerea unui cadru integrat de securitate digitală pentru practica telepsihologică, bazat pe standarde internaționale (ISO 27001, NIST) și adaptat specificității profesiei de psiholog clinician.

Articolul este structurat în două părți consecutive, publicabile în numere distincte ale revistei.

Partea I, prezentată în acest număr, se concentrează pe infrastructura digitală și securitatea cibernetică, explorând contextul amenințărilor (Dark Web, criminalitate informatică), analiza platformelor și vulnerabilitățile sistemice.

Partea a II-a, care va fi publicată în numărul următor, abordează aspectele juridice, deontologice și managementul riscului clinic, incluzând răspunderea pentru malpraxis, protocoalele de urgență, limitările observației clinice prin intermediul ecranului și ghidul comparativ de riscuri.

1.3. Cadrul teoretic și epistemologic

Pentru a înțelege pe deplin implicațiile transformării digitale a psihologiei clinice, este necesar să adoptăm o perspectivă interdisciplinară care să integreze cel puțin trei domenii fundamentale:

Psihologia clinică oferă cadrul teoretic pentru înțelegerea relației terapeutice, a proceselor de evaluare și diagnostic, precum și a dimensiunii etice a practicii profesionale [8]. Din această perspectivă, confidențialitatea, integritatea relației și siguranța pacientului reprezintă valori fundamentale care trebuie protejate indiferent de mediul de livrare a serviciilor.

Securitatea cibernetică aduce în discuție concepte precum confidențialitatea, integritatea și disponibilitatea datelor (triada CIA), evaluarea riscurilor și implementarea măsurilor de protecție adecvate [9]. În contextul telepsihologiei, securitatea cibernetică nu reprezintă doar o cerință tehnică, ci o extensie a obligației profesionale de a proteja datele pacienților și integritatea actului terapeutic.

Dreptul protecției datelor stabilește cadrul legal pentru prelucrarea datelor cu caracter personal, inclusiv datele sensibile privind sănătatea [10]. Regulamentul General privind Protecția Datelor (GDPR) și legislația națională conexă impun obligații specifice pentru operatorii de date, incluzând psihologii care prelucrează datele pacienților în mediul digital. Conform GDPR, datele privind sănătatea mintală sunt incluse în categoria „datelor privind sănătatea”, definită ca „toate datele având legătură cu starea de sănătate a persoanei vizate care dezvăluie informații despre starea de sănătate fizică sau mentală trecută, prezentă sau viitoare” [11][1].

Intersecția acestor trei domenii generează un spațiu epistemologic nou, pe care îl putem numi „securitatea digitală a practicii psihologice”, care necesită competențe hibride și o conștientizare a riscurilor care depășește cu mult ceea ce era necesar în cabinetul fizic tradițional.

1.4. Metodologia cercetării și sursele documentare

Prezentul articol se bazează pe o analiză sistematică a următoarelor categorii de surse:

1. a) Cadrul legal și normativ românesc:

• Legea nr. 95/2006 privind reforma în domeniul sănătății, cu modificările și completările ulterioare [12]
• Ordonanța de Urgență nr. 196/2020 privind telemedicina, integrată în Legea 95/2006 [13]
• Legea nr. 213/2004 privind exercitarea profesiei de psiholog, cu drept de liberă practică [14]
• Regulamentul (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (GDPR) [15]
• Hotărârea Guvernului nr. 1133/2022 pentru aprobarea Normelor metodologice de aplicare a prevederilor OUG 196/2020 [16]

1. b) Standarde și ghiduri internaționale:

• Health Insurance Portability and Accountability Act (HIPAA) – SUA [17]
• Standardul ISO/IEC 27001:2022 – Information security, cybersecurity and privacy protection [18]
• Ghidul Asociației Psihologilor din România (APR) privind Telepsihologia [19]
• American Psychological Association (APA) Guidelines for the Practice of Telepsychology [20]
• EFPA (European Federation of Psychologists’ Associations) Guidelines on Telepsychology [21]

1. c) Rapoarte de securitate cibernetică:

• ENISA Threat Landscape 2024 – European Union Agency for Cybersecurity [1]
• ENISA Threat Landscape 2025 – European Union Agency for Cybersecurity [22]
• CERT-RO Raportul anual privind securitatea cibernetică în România [23]
• Verizon Data Breach Investigations Report 2024 [24]

1. d) Literatură științifică interdisciplinară:

• Studii publicate în jurnale de psihologie clinică, securitate cibernetică și etică medicală
• Lucrări de referință în domeniul telepsihologiei și medicinei digitale

1.5. Limite și precauții epistemologice

Este important să precizăm câteva limite ale prezentei analize. În primul rând, peisajul amenințărilor cibernetice este într-o continuă evoluție, iar tehnicile și instrumentele utilizate de atacatori se schimbă rapid [25]. Recomandările și analizele prezentate în acest articol sunt valabile la momentul redactării, dar necesită actualizare periodică.

În al doilea rând, cadrul legal și normativ este, de asemenea, supus modificărilor. Deși am utilizat cele mai recente versiuni ale actelor normative disponibile la momentul redactării, este posibil ca unele prevederi să fie modificate ulterior. În special, directiva NIS2 (Network and Information Security Directive), adoptată în decembrie 2022, recunoaște sectorul sănătății ca „sector de înaltă criticitate” și impune cerințe de securitate cibernetică pentru facilitățile medicale [26]. Transpunerea acestei directive în legislația națională poate aduce obligații suplimentare pentru psihologi.

În al treilea rând, analiza se concentrează în principal asupra contextului românesc și european, recunoscând că în alte jurisdicții pot exista prevederi legale și standarde profesionale diferite. Pentru psihologii care oferă servicii transfrontaliere, este necesară verificarea specifică a legislației aplicabile în fiecare caz în parte.

POZIȚIONARE METODOLOGICĂ ȘI LIMITE EPISTEMOLOGICE

2.1. Interdisciplinaritatea ca necesitate metodologică

Analiza transformării cabinetului psihologic într-un ecosistem digital necesită o abordare metodologică interdisciplinară care să depășească granițele tradiționale ale psihologiei clinice. Această constatare decurge din natura obiectului de studiu: infrastructura digitală, amenințările cibernetice și cadrul legal care le reglementează nu pot fi analizate în mod adecvat doar din perspectiva unei singure discipline.

Limita epistemologică fundamentală este că psihologia clinică, prin tradiția sa, nu include în curriculum-ul de formare competențe în securitatea cibernetică sau în dreptul protecției datelor [27]. Această lacună formativă se traduce într-un deficit de conștientizare a riscurilor digitale și în implementarea inadecvată a măsurilor de securitate.

În același timp, specialiștii în securitate cibernetică nu dispun, de regulă, de înțelegerea specificității relației terapeutice, a dimensiunii etice a practicii psihologice și a protocoalelor clinice care ghidează activitatea psihologului [28]. Această breșă de comprehensiune poate duce la recomandări tehnice care nu sunt compatibile cu fluxul de lucru clinic sau care ignoră aspecte cruciale ale confidențialității și siguranței pacientului.

În consecință, articolul de față adoptă o metodologie hibridă, care integrează:

1. Analiza documentară – examinarea sistematică a cadrului legal, a standardelor profesionale și a rapoartelor de securitate
2. Analiza comparativă – evaluarea și compararea platformelor de telemedicină și a soluțiilor de securitate
3. Abordarea bazată pe caz – utilizarea studiilor de caz și a scenariilor pentru ilustrarea riscurilor și a soluțiilor
4. Sinteza interdisciplinară – integrarea perspectivelor din psihologia clinică, securitatea cibernetică și drept

2.2. Provocări în definirea conceptelor operaționale

O altă limită epistemologică semnificativă se referă la ambiguitatea conceptuală din jurul termenilor utilizați în domeniul telepsihologiei. Termeni precum „consultație online”, „terapie digitală”, „telepsihologie” sau „servicii de sănătate mintală la distanță” sunt adesea utilizați interschimbabil, deși pot desemna realități clinice și tehnice diferite [29].

Pentru claritate, în acest articol utilizăm telepsihologia pentru a desemna „furnizarea de servicii psihologice prin intermediul tehnologiilor informației și comunicațiilor, inclusiv evaluarea psihologică, consilierea, psihoterapia și intervențiile clinice, în condiții de confidențialitate și siguranță comparabile cu cele din cabinetul fizic” [20].

Această definiție subliniază două aspecte esențiale:

• Continuitatea actului clinic – serviciile online sunt echivalente din punct de vedere profesional cu cele din cabinet
• Responsabilitatea extinsă – confidențialitatea și siguranța trebuie să fie menținute în mediul digital, ceea ce implică responsabilități suplimentare

2.3. Statutul epistemologic al securității cibernetice în practica psihologică

O provocare suplimentară se referă la statutul epistemologic al securității cibernetice în raport cu practica psihologică. Unii psihologi consideră că aspectele tehnice nu țin de competența lor profesională, ci sunt responsabilitatea furnizorilor de platforme sau a specialiștilor IT.

Această poziționare este însă insustenabilă din perspectiva legislației și a standardelor profesionale. Conform OUG 196/2020 [13], psihologul care oferă servicii de telemedicină este direct responsabil pentru:

• Calitatea și securitatea canalului de comunicare utilizat
• Conformitatea platformei cu standardele de protecție a datelor
• Gestionarea riscurilor asociate infrastructurii tehnice

Această responsabilitate extinsă nu poate fi externalizată către furnizorii de platforme [30]. Deși aceștia au obligații contractuale și legale, operatorul de date (psihologul) rămâne responsabil în fața pacientului și a autorităților pentru modul în care sunt prelucrate datele cu caracter personal.

Limita epistemologică constă în faptul că psihologul nu are, în mod obișnuit, cunoștințele tehnice necesare pentru a evalua în mod independent securitatea unei platforme sau pentru a implementa măsuri tehnice de protecție [31]. Acest decalaj între responsabilitate și competență reprezintă o vulnerabilitate sistemică care trebuie abordată prin formare profesională continuă și prin dezvoltarea unor resurse și ghiduri accesibile.

2.4. Dimensiunea temporală a riscurilor cibernetice

Spre deosebire de riscurile din cabinetul fizic, care sunt în general statice și predictibile, riscurile cibernetice sunt dinamice și evolutive. Atacatorii își actualizează constant tehnicile, iar vulnerabilitățile apar și dispar odată cu actualizările de software [32].

Această dimensiune temporală introduce o provocare epistemologică suplimentară: recomandările de securitate care sunt valabile astăzi pot deveni inadecvate într-un interval relativ scurt de timp. De exemplu, recomandarea de a utiliza o anumită platformă de telemedicină poate deveni periculoasă dacă aceasta este compromisă sau dacă apar vulnerabilități noi [33].

În consecință, articolul de față pune mai puțin accent pe recomandări specifice pentru platforme și mai mult pe criterii și principii generale care pot ghida psihologul în evaluarea continuă a securității infrastructurii digitale. Această abordare este mai durabilă din punct de vedere epistemic și oferă un cadru de gândire care poate fi aplicat indiferent de evoluția tehnologică.

2.5. Precauții etice în utilizarea cazurilor și scenariilor

Articolul utilizează studii de caz și scenarii ilustrative pentru a evidenția riscurile și pentru a sugera soluții practice. Este important de precizat că aceste scenarii sunt constructe teoretice, bazate pe sinteza unor situații documentate în literatură și în rapoarte de securitate, și nu descriu cazuri reale specifice [34].

Această precauție metodologică este necesară din motive de confidențialitate și de etică profesională. Nu am utilizat date despre pacienți reali și nu am divulgat informații care ar putea compromite identitatea vreunei persoane sau a vreunui cabinet.

În cazurile în care am făcut referire la situații concrete, acestea sunt descrise la un nivel de generalitate care nu permite identificarea persoanelor implicate, conform standardelor de etică în cercetare și publicare [35].

ANALIZĂ

Capitolul 1: Evoluția telepsihologiei după pandemie

1.1. Contextul epidemiologic și transformarea bruscă a practicii

Pandemia de COVID-19 a reprezentat un punct de inflexiune pentru psihologia clinică, accelerând cu câteva decenii procesul de digitalizare al profesiei [2, 36]. În martie 2020, majoritatea cabinetelor psihologice din România și din întreaga lume au fost forțate să își închidă temporar ușile fizice, iar psihologii au fost nevoiți să își mute practica în mediul online într-un interval de câteva zile sau săptămâni [37, 38].

Această tranziție forțată a avut multiple implicații:

Pentru psihologi: Mulți au fost nevoiți să învețe rapid cum să utilizeze platformele video, cum să gestioneze consimțământul informat în format digital și cum să abordeze situații clinice complexe la distanță [39]. Lipsa unor ghiduri clare și a unei pregătiri prealabile a generat un nivel ridicat de stres profesional și o incertitudine juridică semnificativă [6].

Pentru pacienți: Accesul la servicii psihologice a devenit mai ușor pentru unii (cei cu mobilitate redusă, cei din zone izolate, cei cu program încărcat), dar mai dificil pentru alții (cei fără acces la tehnologie, cei cu dificultăți de concentrare în mediul online, cei care preferau interacțiunea directă) [40].

Pentru profesia psihologică în ansamblu: Telepsihologia a trecut brusc de la o practică marginală, utilizată de un număr restrâns de specialiști, la o modalitate principală de livrare a serviciilor [41]. Această schimbare a generat necesitatea dezvoltării unui cadru normativ și a unor standarde profesionale adaptate noului context.

1.2. Adopția telepsihologiei în România: date și tendințe

În România, adoptarea telepsihologiei a urmat o traiectorie similară cu cea din alte țări europene, dar cu particularități legate de infrastructura digitală și de cadrul legal [42]. Conform datelor Colegiului Psihologilor din România, ponderea psihologilor care oferă servicii online a crescut de la sub 10% în 2019 la peste 65% în 2022, menținându-se la un nivel ridicat și după încheierea restricțiilor pandemice [43].

Această adoptie masivă ridică însă întrebări serioase cu privire la pregătirea tehnică și juridică a psihologilor pentru practica online. Studiile efectuate în rândul psihologilor români indică faptul că [44]:

• Sub 20% dintre psihologii care oferă servicii online utilizează platforme dedicate de telemedicină
• Peste 60% folosesc aplicații comerciale standard precum Zoom, Skype sau WhatsApp
• Mai puțin de 30% au un acord de consimțământ informat specific pentru serviciile online
• Aproximativ 15% au verificat conformitatea GDPR a platformelor utilizate

Aceste date indică o vulnerabilitate sistemică semnificativă, care expune atât psihologii, cât și pacienții la riscuri considerabile.

1.3. Beneficiile telepsihologiei: o evaluare echilibrată

În ciuda riscurilor menționate, telepsihologia oferă beneficii substanțiale care justifică dezvoltarea sa continuă, în condiții de siguranță adecvată:

Accesibilitate crescută: Telepsihologia elimină barierele geografice și logistice, permițând accesul la servicii psihologice pentru persoanele din zone izolate sau pentru cele cu mobilitate redusă [45]. În România, unde accesul la servicii de sănătate mintală este inegal distribuit, această extensie este deosebit de valoroasă.

Flexibilitate și comoditate: Pacienții pot beneficia de servicii psihologice din confortul propriei locuințe, la ore care se potrivesc mai bine cu programul lor de activitate [46]. Această flexibilitate poate reduce rata de abandon terapeutic și poate crește aderența la tratament.

Continuatea îngrijirii: În situații de criză (pandemii, dezastre naturale, conflicte), telepsihologia asigură continuitatea serviciilor, prevenind deteriorarea stării pacienților [47]. Această reziliență a sistemului de sănătate mintală este esențială pentru protejarea sănătății publice.

Reducerea stigmei: Pentru unii pacienți, accesarea serviciilor online reduce bariera psihologică asociată vizitei la cabinetul unui psiholog [48]. Anonimatul relativ al interacțiunii online poate încuraja persoanele care altfel nu ar căuta ajutor.

Eficiență terapeutică: Studiile meta-analitice indică faptul că eficacitatea psihoterapiei online este comparabilă cu cea a terapiei față-în-față pentru o gamă largă de tulburări [49, 50]. Depresia, tulburările de anxietate, stresul post-traumatic și alte afecțiuni comune pot fi tratate eficient în mediul online.

1.4. Limitele telepsihologiei: recunoașterea cazurilor nepotrivite

Cu toate beneficiile sale, telepsihologia are limite clare care trebuie recunoscute și respectate pentru a proteja siguranța pacienților. Aceste limite sunt de natură clinică, tehnică și relațională [51, 52]:

Limite clinice: Anumite condiții clinice nu sunt potrivite pentru terapia online, în special cele care implică risc crescut de autovătămare, episoade psihotice acute, tulburări severe de personalitate decompensate sau comportamente violente [53]. În aceste cazuri, lipsa intervenției directe și a posibilității de a controla mediul reprezintă un risc inacceptabil.

Limite tehnice: Calitatea conexiunii, întreruperile de comunicare și limitările senzoriale ale interacțiunii prin intermediul ecranului pot afecta calitatea actului terapeutic [54]. Observarea subtilă a indicilor non-verbali este compromisă, iar gestionarea tehnică a sesiunii poate distrage atenția de la procesul terapeutic.

Limite relaționale: Pentru unii pacienți, stabilirea unei alianțe terapeutice solide este mai dificilă în mediul online [55]. Lipsa prezenței fizice a terapeutului, a contactului vizual direct și a spațiului terapeutic protejat poate afecta profunzimea și autenticitatea relației.

1.5. Implicațiile pentru formarea psihologilor

Digitalizarea practicii psihologice implică necesitatea reformării curriculei de formare a psihologilor, pentru a include competențe specifice în telepsihologie [56, 57]. Aceste competențe ar trebui să acopere cel puțin următoarele domenii:

1. Competențe tehnice: Utilizarea platformelor de telemedicină, cunoașterea mecanismelor de criptare, gestionarea securității datelor
2. Competențe juridice: Înțelegerea cadrului legal (GDPR, Legea 95/2006, OUG 196/2020), întocmirea consimțământului informat, gestionarea responsabilității profesionale
3. Competențe etice: Evaluarea cazurilor adecvate pentru online, gestionarea dilemelor etice specifice, menținerea standardelor profesionale
4. Competențe clinice adaptate: Tehnici de evaluare și intervenție adaptate mediului online, gestionarea crizelor la distanță, triajul cazurilor

Capitolul 2: De ce psihologul a devenit o țintă informatică

2.1. Valoarea datelor medicale pe piața neagră

Unul dintre cele mai puțin înțelese aspecte ale securității cibernetice în domeniul medical este valoarea economică ridicată a datelor de sănătate pe piețele ilegale. Contrar percepției comune, datele medicale sunt adesea mai valoroase decât datele financiare pentru atacatori [58, 59].

Conform rapoartelor de securitate cibernetică [60, 61]:

Datele medicale sunt mai valoroase pentru mai multe motive:

1. Completitudinea informației: Un dosar medical complet conține nume, CNP, adresă, istoric medical, diagnostice, tratamente, rezultate de laborator – toate informațiile necesare pentru furtul de identitate complex [62].
2. Imposibilitatea schimbării: Spre deosebire de numărul unui card bancar, care poate fi anulat și reemis, datele medicale și de identitate sunt permanente și nu pot fi modificate [63].
3. Utilitatea pentru șantaj: Informațiile despre sănătatea mintală, în special, pot fi utilizate pentru șantaj, extorcare sau compromitere profesională [64].
4. Durata lungă de exploatare: Datele medicale pot fi utilizate pentru furt de identitate sau fraudă pe o perioadă de ani de zile, fără ca victima să conștientizeze imediat [65].

Acest context economic explică de ce atacatorii cibernetici vizează din ce în ce mai mult psihologii și cabinetele de psihologie. Infrastructura digitală a acestor cabinete este adesea mai puțin securizată decât cea a spitalelor sau marilor clinici, dar conține date extrem de valoroase [66].

2.2. Profilul vulnerabilității cabinetului individual

Cabinetele individuale de psihologie și societățile civile profesionale prezintă un profil de vulnerabilitate specific, care le face ținte atractive pentru atacatori:

Resurse financiare limitate: Majoritatea cabinetelor nu dispun de bugete pentru securitate cibernetică, personal IT dedicat sau soluții enterprise de protecție [67]. Această limitare le face mai vulnerabile la atacuri și mai puțin capabile să își revină după un incident.

Infrastructură digitală fragmentată: Psihologii utilizează adesea o combinație de soluții disparate: un laptop personal, un cont Gmail gratuit, un cloud public, aplicații de mesagerie standard și platforme video comerciale [68]. Această fragmentare creează multiple puncte de vulnerabilitate.

Lipsa conștientizării riscurilor: Majoritatea psihologilor nu sunt conștienți de amenințările cibernetice specifice și nu au beneficiat de formare în securitatea digitală [69]. Această lipsă de conștientizare îi expune la atacuri de inginerie socială, phishing și alte tehnici de manipulare.

Valoarea datelor: Cabinetul individual conține dosare complete ale pacienților, cu istoric psihologic detaliat, note clinice, diagnostice și date personale. Aceste date sunt extrem de valoroase pentru atacatori [70].

Reglementări stricte: Datele medicale sunt protejate de reglementări stricte (GDPR), iar o breșă de securitate poate atrage amenzi semnificative și pierderea licenței profesionale. Aceasta face ca psihologii să fie mai dispuși să plătească răscumpări în cazul atacurilor ransomware [71].

2.3. Datele psihologice: o categorie deosebit de sensibilă

Datele psihologice sau psihiatrice sunt considerate o categorie specială de date cu caracter personal conform GDPR, ceea ce înseamnă că beneficiază de un nivel de protecție sporit [15]. Această categorizare reflectă sensibilitatea deosebită a acestor informații, care pot include:

• Diagnostice psihologice și psihiatrice
• Istoricul tratamentului și al internărilor
• Note clinice și evaluări psihologice
• Rezultatele testelor psihometrice
• Informații despre viața personală și relațională
• Gânduri, sentimente și experiențe intime

Compromiterea acestor date poate avea consecințe devastatoare pentru pacient, incluzând [72, 73]:

• Discriminarea în angajare, asigurări sau educație
• Stigmatizarea și excluziunea socială
• Șantajul și extorcarea
• Distrugerea relațiilor personale și profesionale
• Deteriorarea sănătății mintale și a încrederii în sistemul de sănătate

Aceste consecințe subliniază importanța critică a securizării datelor psihologice și responsabilitatea profesională a psihologului de a le proteja cu maximum de diligență.

Capitolul 3: Contextul actual al criminalității informatice

3.1. Ransomware: de la atacuri generale la țintirea sistemelor medicale

Ransomware-ul reprezintă una dintre cele mai grave amenințări cibernetice pentru sistemele de sănătate, incluzând cabinetele de psihologie [74]. Acest tip de malware criptează datele victimei și solicită o răscumpărare pentru cheia de decriptare.

Evoluția ransomware-ului:

Ransomware-ul a evoluat semnificativ în ultimii ani, de la atacuri generale, la întâmplare, la atacuri țintite asupra organizațiilor cu date valoroase și capacitate de plată [75]. Sistemul medical, inclusiv cabinetele individuale de psihologie, a devenit o țintă preferată din mai multe motive [76]:

• Disponibilitatea redusă a datelor poate fi letală sau poate afecta grav sănătatea pacienților
• Datele medicale sunt extrem de valoroase și greu de înlocuit
• Organizațiile medicale sunt adesea sub-securizate din punct de vedere cibernetic
• Există o probabilitate mai mare de plată, deoarece pierderea datelor este inacceptabilă

Ransomware în sectorul sănătății – date și tendințe:

Potrivit raportului ENISA Threat Landscape 2024, sectorul sănătății a înregistrat 487 de incidente raportate, dintre care 45% au fost atacuri ransomware și 28% breșe de date [1]. La nivel global, un atac ransomware are loc la fiecare 11 secunde, ritm estimat să ajungă la un atac la fiecare 2 secunde până în 2031 [26][2].

Ransomware-as-a-Service (RaaS):

O dezvoltare îngrijorătoare este apariția modelului Ransomware-as-a-Service, în care dezvoltatorii de ransomware oferă malware-ul „la licență” altor atacatori, care își aleg țintele și execută atacurile [77]. Acest model a democratizat accesul la atacuri ransomware sofisticate, crescând semnificativ numărul și complexitatea acestora.

Cazuri concrete de atacuri ransomware în domeniul sănătății:

Un exemplu emblematic este atacul asupra clinicii de fertilizare in vitro Genea, din Australia, unde datele medicale sensibile ale pacienților au fost publicate pe Dark Web după un atac ransomware. Datele compromise au inclus nume complete, adrese, numere de telefon, numere de card Medicare, diagnostice medicale și informații clinice detaliate [78]. Specialistul în securitate cibernetică Richard Buckland a declarat că „informațiile medicale sunt în categoria de top a informațiilor sensibile și este șocant că au fost pierdute în mâinile criminalilor”, putând duce la șantaj, fraudă medicală și pierderea încrederii în sistemul de sănătate [78][3].

3.2. Phishing și spear phishing: vectori de atac primari

Phishing-ul reprezintă principala metodă prin care atacatorii obțin acces la sistemele informatice ale organizațiilor, inclusiv ale cabinetelor psihologice [79, 80]. Acest tip de atac implică trimiterea unor mesaje frauduloase (email, SMS, mesaje în aplicații) care par a proveni din surse de încredere, dar care induc victima să divulghe informații sensibile sau să acceseze linkuri/atașamente malițioase.

Phishing vs. Spear Phishing:

Pentru un psiholog, spear phishing-ul reprezintă un risc deosebit, deoarece atacatorii pot investi timp în cercetarea profesională (site-ul cabinetului, publicații, conferințe, profiluri sociale) pentru a crea mesaje extrem de convingătoare [81].

Tehnici specifice de spear phishing îndreptate împotriva psihologilor:

1. Email fals de la un „pacient”: „Bună ziua, am găsit datele dumneavoastră de contact și aș dori să programez o ședință. Puteți să îmi confirmați disponibilitatea? Atașez formularul completat.” (atașamentul conține malware)
2. Email fals de la Colegiul Psihologilor: „Stimate coleg, vă informăm că trebuie să vizăm parafa într-un termen de 3 zile. Accesați linkul pentru procedură.” (linkul duce la un site fals care capturează credențiale)
3. Email fals de la platforma de telemedicină: „Actualizare importantă de securitate. Pentru a continua să utilizați platforma, vă rugăm să vă actualizați parola.” (linkul duce la un site de phishing)
4. Email fals de la „Asociația de Psihologie”: „Vă invităm să participați la conferința internațională de telepsihologie. Accesați linkul pentru program și înscriere.” (linkul instalează malware)
5. SMS de la o „persoană apropiată”: Mesajul pare a fi de la un contact cunoscut, dar numărul a fost spoofed (falsificat): „Am pierdut telefonul. Acesta este noul meu număr. Am nevoie urgentă de ajutor. Poți să accesezi linkul pentru detalii.”

Atacuri AI-driven phishing:

Utilizarea inteligenței artificiale de către atacatori produce mesaje de phishing extrem de convingătoare, fără greșeli gramaticale, care imită perfect stilul instituțiilor vizate [82]. Aceste atacuri sunt mult mai greu de detectat decât cele generate manual și reprezintă o amenințare în creștere pentru sectorul sănătății [82].

3.3. Identity theft și compromiterea identității profesionale

Furtul de identitate profesională reprezintă o amenințare specifică pentru psihologi, cu consecințe potențial devastatoare [83, 84].

Ce presupune furtul identității profesionale:

Atacatorii fură credențialele psihologului (email, parolă, date de autentificare pentru platforme) și le folosesc pentru:

• Accesarea dosarelor pacienților
• Modificarea sau ștergerea notițelor clinice
• Trimiterea de mesaje false pacienților
• Facturarea frauduloasă a serviciilor
• Obținerea de prescripții sau recomandări falsificate
• Șantajarea pacienților cu datele lor personale

Cum este compromisă identitatea profesională:

1. Phishing-ul – capturarea credențialelor prin site-uri false
2. Breșe de date – parolele și datele de autentificare sunt expuse în urma compromiterii unor servicii
3. Atacuri de tip credential stuffing – reutilizarea parolelor compromise pe alte site-uri
4. Inginerie socială – manipularea psihologică pentru obținerea de informații
5. Malware – keylogger-e sau alte programe care capturează date de autentificare

Consecințe pentru psiholog:

• Pierderea încrederii pacienților
• Proceduri disciplinare din partea Colegiului Psihologilor
• Acțiuni legale din partea pacienților afectați
• Amenzi GDPR pentru neprotejarea datelor
• Pierderea reputației profesionale
• Suferința personală asociată compromiterii profesionale

3.4. Atacuri bazate pe inteligență artificială

Inteligența artificială a introdus o nouă dimensiune în peisajul amenințărilor cibernetice, oferind atacatorilor instrumente sofisticate pentru a crea atacuri mai convingătoare și mai greu de detectat [85, 86].

Deepfake-uri video și audio:

Deepfake-urile (conținut generat sau manipulat prin AI) pot fi utilizate împotriva psihologilor în mai multe moduri [87]:

• Clonarea vocii – atacatorii clonează vocea unui pacient sau a unui coleg pentru a solicita informații sensibile
• Video deepfake – o persoană se prezintă la o ședință video folosind un deepfake, ascunzându-și adevărata identitate
• Falsificarea acreditărilor – generarea de diplome sau certificate false pentru a câștiga încrederea psihologului

AI-generated phishing:

Atacatorii folosesc modele lingvistice AI (precum ChatGPT) pentru a genera mesaje de phishing extrem de convingătoare, în limba română, fără greșeli gramaticale și cu un nivel de personalizare ridicat [82]. Aceste mesaje sunt mult mai greu de detectat decât cele generate manual.

Suplinirea identității prin AI (,,AI impersonation”):

Atacatorii pot utiliza AI pentru a se da drept psihologi în conversații online cu pacienții, oferind „consiliere” falsă sau cerând informații personale [88]. Această tehnică este deosebit de periculoasă deoarece pacienții se bazează pe identitatea profesională a psihologului.

Riscuri pentru psihologi:

• Imposibilitatea de a verifica autenticitatea comunicațiilor
• Prezentarea unor „pacienți” falși care colectează informații despre tehnicile terapeutice
• Înregistrarea și replicarea vocii psihologului pentru atacuri ulterioare
• Dificultatea de a distinge între un pacient real și un deepfake

Capitolul 4: Dark Web-ul și ecosistemul său

4.1. Ce este Dark Web-ul: infrastructură și acces

Dark Web-ul (sau Rețeaua Întunecată) reprezintă acea parte a internetului care nu este indexată de motoarele de căutare convenționale și care necesită software specific pentru acces [89]. Această rețea este construită pe protocoale de anonimizare și criptare care protejează identitatea și locația utilizatorilor.

Infrastructura tehnică:

Dark Web-ul funcționează pe baza unor rețele de tip „onion” (ceapă), care direcționează traficul prin mai multe straturi de criptare și prin noduri distribuite în întreaga lume [90]. Cele mai cunoscute rețele sunt:

Pentru a accesa Dark Web-ul, utilizatorii trebuie să [91]:

1. Descărceze software-ul specific (de obicei, Tor Browser)
2. Să se conecteze prin rețeaua de noduri anonimizante
3. Să utilizeze adrese .onion (în loc de .com) pentru a accesa site-urile

Confuzii și clarificări terminologice:

Este important să clarificăm terminologia, deoarece există frecvent confuzii:

• Clear Web / Surface Web – partea indexată a internetului (Google, site-uri obișnuite)
• Deep Web – partea neindexată, dar accesibilă prin browsere normale (conținut din baze de date, site-uri cu autentificare)
• Dark Web – partea care necesită software special (Tor) și oferă anonimat

Dark Web-ul nu este sinonim cu „internetul ilegal”. Deși găzduiește piețe negre și activități ilegale, este utilizat și de jurnaliști, activiști, persoane din regimuri represive și, așa cum vom vedea, de anumiți profesioniști pentru comunicare securizată [92].

4.2. Economia Dark Web-ului: piețe de date, brokeri de identitate și marketplace-uri

Dark Web-ul a dezvoltat o economie complexă și sofisticată, cu piețe specializate, sisteme de rating, suport pentru clienți și chiar garanții de tip escrow [93]. Această economie este alimentată de criptomonede (în special Bitcoin și Monero), care asigură anonimatul tranzacțiilor.

Piețele de date medicale:

Un segment semnificativ al economiei Dark Web-ului este reprezentat de vânzarea datelor medicale [94]. Pe aceste piețe, atacatorii oferă:

Brokerii de identitate:

Brokerii de identitate sunt intermediari care colectează, agregă și vând informații despre persoane [95]. Ei combină date din multiple surse pentru a crea profiluri complete, care pot fi utilizate pentru furtul de identitate sau pentru atacuri țintite. Pentru un psiholog, un asemenea profil poate include:

• Datele profesionale complete
• Afilierile instituționale
• Colaboratorii și pacienții
• Vulnerabilități personale (financiare, relaționale, de sănătate)
• Obiceiuri digitale și parole

Ransomware-as-a-Service (RaaS) pe Dark Web:

Unul dintre cele mai îngrijorătoare fenomene este profesionalizarea ransomware-ului prin intermediul Dark Web-ului. Atacatorii nu mai trebuie să fie programatori experți; pot cumpăra sau închiria malware-ul gata de utilizare [77]. Ofertele de RaaS includ adesea:

• Kituri de malware gata de utilizare
• Panouri de control pentru gestionarea atacurilor
• Sisteme de suport pentru victime (chat pentru negocierea răscumpărării)
• Instrucțiuni pentru extragerea datelor
• Consultanță pentru optimizarea atacurilor

4.3. Forumurile underground și social engineering

Forumurile underground (Dark Web forums) sunt centre de comunitate și schimb de informații între atacatori [96]. Acestea funcționează ca platforme sociale unde actorii malitioși:

• Împărtășesc tehnici și instrumente
• Oferă sfaturi și consultanță
• Vând servicii (scriere malware, hostare, analiză)
• Recrutează colaboratori pentru atacuri
• Vând baze de date compromise

Specializarea pe Dark Web:

Forumurile underground au dezvoltat o diviziune sofisticată a muncii, cu roluri specializate:

Social engineering pe Dark Web:

Ingineria socială este o disciplină bine dezvoltată în comunitatea underground, cu ghiduri, tutoriale și studii de caz dedicate [97]. Atacatorii împărtășesc tehnici pentru:

• Crearea de scenarii convingătoare pentru phishing
• Manipularea emoțională a țintelor
• Colectarea de informații despre ținte (OSINT)
• Construirea de relații de încredere cu țintele
• Exploatarea vulnerabilităților psihologice

Implicațiile pentru psihologi:

Paradoxal, expertiza psihologilor în înțelegerea comportamentului uman nu îi face imuni la atacurile de inginerie socială. De fapt, atacatorii sunt conștienți de această expertiză și își adaptează tehnicile pentru a depăși scepticismul profesional [98]. Un psiholog poate fi manipulat prin:

• Apeluri la autoritate profesională
• Exploatarea dorinței de a ajuta pacienții
• Trigger-e emoționale legate de etica profesională
• Informații aparent relevante din domeniul psihologic

4.4. Psihologul în Dark Web: oportunități și capcane

Paradoxul Dark Web pentru psiholog:

Dark Web-ul reprezintă atât o sursă de risc, cât și o posibilă unealtă pentru psihologi. Acest paradox trebuie înțeles în profunzime [99].

Oportunități oferite de Dark Web:

1. Protejarea identității pacienților vulnerabili – În cazuri excepționale (victime ale abuzurilor, avertizori de integritate, persoane publice) care necesită confidențialitate absolută, canalele de comunicare găzduite pe Dark Web pot oferi un nivel superior de anonimat [100].
2. Acces la cercetări și documente cenzurate – Dark Web-ul oferă acces la studii și documente din țări cu regimuri totalitare, utile pentru cercetarea traumei legate de opresiunea politică.
3. Înțelegerea psihologiei comunităților underground – Observarea forumurilor anonime poate oferi perspective unice asupra mecanismelor psihologice ale adicțiilor, radicalizării sau comportamentelor deviante [101].
4. Consiliere în zone de criză – În țări unde terapia sau anumite subiecte (cum ar fi identitatea LGBTQ+) sunt criminalizate, Dark Web-ul poate fi singurul spațiu sigur pentru ajutor psihologic [102].

Capcanele Dark Web pentru psiholog:

1. Riscuri legale și etice – Discuțiile cu pacienți pe platforme complet anonime pot ridica probleme de malpraxis dacă nu se poate verifica identitatea reală în caz de urgență [103].
2. Expoziția la materiale traumatizante – Dark Web-ul nu are filtre de conținut; psihologul poate da accidental peste imagini sau materiale traumatizante.
3. Escrocherii și malware – Dark Web-ul este plin de site-uri clone și viruși care pot compromite dispozitivele.
4. Imposibilitatea intervenției în criză – Anonimatul total împiedică localizarea pacientului în caz de risc vital, transformând confidențialitatea într-o capcană.
5. Probleme de asigurare – Majoritatea asigurărilor de malpraxis nu acoperă serviciile oferite prin Dark Web.

Concluzia paradoxului:

Pentru majoritatea psihologilor, Dark Web-ul nu este un instrument practic sau recomandabil pentru practica curentă. Canalele ultra-securizate din Clear Web (precum Signal, Threema, ProtonMail) oferă un nivel suficient de securitate și confidențialitate pentru aproape toate situațiile clinice, fără riscurile și complexitatea asociată Dark Web-ului [104].

4.5. Modul de operare: cercetarea țintelor (OSINT) și selecția victimelor

Atacatorii investesc timp și resurse semnificative în cercetarea prealabilă a țintelor lor, utilizând tehnici de Open Source Intelligence (OSINT) [105]. Acest proces este similar cu o „reconnaissance” militară și permite atacatorilor să își personalizeze atacurile pentru a maximiza șansele de succes.

OSINT (Open Source Intelligence) – ce este:

OSINT reprezintă colectarea și analiza informațiilor disponibile public, din surse deschise, în scopuri de intelligence. În contextul atacurilor cibernetice, OSINT este utilizat pentru a construi profiluri detaliate ale țintelor [106].

Informații colectate despre psihologi:

Atacatorii pot colecta informații despre psihologi din multiple surse:

Profilul țintei ideale pentru atacatori:

Pe baza informațiilor colectate, atacatorii construiesc un profil al țintei și evaluează [107]:

• Valoarea datelor – câți pacienți, ce tip de date, valoarea potențială pe piața neagră
• Vulnerabilitatea – nivelul de securitate, utilizarea de platforme nesigure, obiceiuri digitale slabe
• Capacitatea de plată – posibilitatea de a plăti răscumpărări, valoarea asigurării
• Probabilitatea raportării – tendința de a raporta atacurile autorităților
• Reputația – impactul public al unei breșe de securitate

Selecția victimelor:

Pe baza profilurilor create, atacatorii selectează victimele care oferă cel mai bun raport risc/recompensă. Cabinetele individuale de psihologie sunt adesea țintite pentru că [108]:

• Au date valoroase (dosare psihologice)
• Au securitate slabă
• Au capacitate de plată limitată, dar suficientă pentru răscumpărări mici
• Sunt mai puțin probabil să aibă echipe de securitate sau planuri de recuperare
• Sunt mai puțin probabil să raporteze incidentele (din teamă de repercusiuni profesionale)

Consecințe pentru psihologi:

Înțelegerea acestui proces de selecție este crucială pentru conștientizarea riscurilor. Cabinetul fiecărui psiholog este o țintă potențială, iar măsurile de securitate trebuie să fie proporționale cu riscul evaluat. Este esențial să se adopte o mentalitate de „securitate prin design” (security by design), în care protecția datelor este integrată în toate aspectele practicii, nu adăugată ulterior.

Capitolul 5: Analiza platformelor de telemedicină și securitatea comunicațiilor

5.1. Criterii tehnice și juridice pentru alegerea platformei

Alegerea platformei de telemedicină reprezintă una dintre cele mai importante decizii tehnice pentru un psiholog care oferă servicii online. Această alegere are implicații semnificative pentru securitatea datelor, conformitatea legală și calitatea serviciilor [109, 110].

Criterii tehnice esențiale:

1. Criptarea end-to-end (E2EE) – Asigură că numai psihologul și pacientul pot accesa conținutul comunicației. Fără E2EE, datele sunt accesibile platformei sau unor terțe părți [111].
2. Stocarea datelor în UE – Conform GDPR, datele cu caracter personal trebuie stocate în Uniunea Europeană (sau în țări cu nivel echivalent de protecție). Serverele din afara UE pot expune datele la jurisdicții cu protecție mai scăzută [15].
3. Autentificare securizată – Suport pentru autentificare în doi pași (2FA/MFA), parole puternice și metode de autentificare moderne (FIDO2, YubiKey) [112].
4. Gestionarea sesiunilor – Capacitatea de a controla cine participă la sesiune (sali de așteptare, coduri de acces unice), protecție împotriva „Zoom bombing” [113].
5. Înregistrare și stocare – Politici clare privind înregistrarea sesiunilor (de preferat dezactivată implicit) și stocarea datelor.

Criterii juridice esențiale:

1. Conformitatea GDPR – Platforma trebuie să respecte toate cerințele GDPR, inclusiv evaluarea impactului asupra protecției datelor (DPIA), notificarea breșelor și respectarea drepturilor utilizatorilor [114].
2. Business Associate Agreement (BAA) – Pentru standardele HIPAA (relevante pentru pacienți din SUA), platforma trebuie să semneze un BAA, care stabilește responsabilitățile legale ale furnizorului de servicii [115].
3. Clauze contractuale standard – Pentru transferurile de date în afara UE, sunt necesare clauze contractuale standard aprobate de Comisia Europeană [116].
4. Politica de confidențialitate – Trebuie să fie clară, transparentă și conformă cu GDPR, descriind exact cum sunt prelucrate datele.
5. Notificarea breșelor de securitate – Platforma trebuie să aibă proceduri clare pentru notificarea utilizatorilor în cazul unei breșe de securitate.

5.2. Platforme dedicate vs. aplicații comerciale standard

Una dintre cele mai frecvente erori ale psihologilor care încep practica online este utilizarea aplicațiilor comerciale standard pentru sesiunile clinice [117]. Diferențele dintre aceste categorii sunt substanțiale:

De ce aplicațiile comerciale standard sunt neconforme pentru telepsihologie:

1. Lipsa criptării end-to-end – Zoom, Skype și WhatsApp standard nu oferă criptare end-to-end pentru toate comunicațiile; în unele cazuri, datele sunt accesibile furnizorului [118].
2. Stocarea datelor în afara UE – Datele sunt adesea stocate în SUA, unde nu beneficiază de protecția GDPR.
3. Absența BAA – Platformele standard nu semnează acorduri de asociat pentru afaceri, esențiale pentru conformitatea HIPAA.
4. Utilizarea datelor în scopuri proprii – Datele pot fi utilizate pentru antrenarea modelelor AI, analiză sau publicitate [119].
5. Riscul de interceptare – În lipsa criptării end-to-end, sesiunile pot fi interceptate de terțe părți.

Argumentul „dar este mai ușor pentru pacient”:

Unii psihologi susțin că aplicațiile comerciale standard sunt „mai ușor de utilizat” pentru pacienți, care sunt deja familiarizați cu ele. Acest argument este insustenabil din perspectiva legală și etică. Securitatea și conformitatea nu pot fi sacrificate pentru comoditate. În plus, pacienții se adaptează rapid la platformele dedicate, iar majoritatea acestora sunt intuitive și nu necesită descărcarea de aplicații (funcționează direct în browser) [120].

5.3. Comparativă tehnică între platforme

Pentru a oferi o perspectivă tehnică asupra opțiunilor disponibile, prezentăm o analiză comparativă a principalelor platforme utilizate în telepsihologie [121, 122, 123]:

Doxy.me:

• Tip: Platformă dedicată de telemedicină
• Criptare: End-to-end (DTLS-SRTP)
• Conformitate: GDPR, HIPAA (BAA disponibil)
• Stocare date: UE pentru utilizatorii europeni
• Avantaje: Gratuit pentru varianta de bază, nu necesită instalare, sală de așteptare
• Limitări: Nu are partajare ecran în varianta gratuită, calitate video standard (SD)
• Preț: Gratuit (varianta de bază), plătit pentru funcționalități avansate

Zoom for Healthcare:

• Tip: Platformă enterprise adaptată pentru medicină
• Criptare: AES 256-bit, E2EE disponibil
• Conformitate: GDPR, HIPAA (BAA disponibil pentru varianta Healthcare)
• Stocare date: Configurabilă; poate fi în UE
• Avantaje: Stabil, funcționalități avansate, recunoaștere globală
• Limitări: Costisitor (abonament dedicat), necesită atenție la configurare
• Preț: Abonament Healthcare (peste 200 USD/an)

Google Meet (Google Workspace):

• Tip: Platformă generală cu opțiuni enterprise
• Criptare: AES 256-bit în tranzit; criptare la nivel de server pentru datele stocate
• Conformitate: GDPR; HIPAA doar cu BAA semnat (Google Workspace plătit)
• Stocare date: Poate fi în UE (configurabil)
• Avantaje: Integrare cu ecosistemul Google, recunoaștere globală
• Limitări: Necesită configurare atentă pentru conformitate, BAA necesită abonament plătit
• Preț: Inclus în Google Workspace (variază)

TheraPlatform:

• Tip: Platformă dedicată pentru psihologi și terapeuți
• Criptare: End-to-end (DTLS-SRTP)
• Conformitate: GDPR, HIPAA (BAA disponibil)
• Stocare date: Azure, localizat în UE pentru utilizatorii europeni
• Avantaje: Instrumente clinice integrate (whiteboard, fișe clinice), funcționalități administrative
• Limitări: Platformă plătită, mai puțin cunoscută în România
• Preț: Abonament (de la 30 USD/lună)

TeleMind:

• Tip: Platformă românească de telemedicină pentru sănătate mintală
• Criptare: End-to-end (WebRTC standard)
• Conformitate: GDPR, aliniată cu OUG 196/2020
• Stocare date: În România/UE
• Avantaje: Platformă locală, integrare cu sistemul medical românesc, suport în limba română
• Limitări: Platformă în dezvoltare, funcționalități limitate față de competitori
• Preț: Variabil; contact direct

Signal:

• Tip: Aplicație de mesagerie ultra-securizată
• Criptare: End-to-end (protocol Signal)
• Conformitate: GDPR conformă, nu este HIPAA specifică (nu este platformă clinică)
• Stocare date: Minimă (doar metadate critice)
• Avantaje: Standardul de aur în securitate, gratuit, open-source
• Limitări: Nu este platformă de telemedicină, nu are funcționalități clinice
• Preț: Gratuit

Session:

• Tip: Aplicație de mesagerie descentralizată
• Criptare: End-to-end (protocol Signal bazat pe Oxen)
• Conformitate: GDPR conformă
• Stocare date: Minimală; mesajele sunt stocate în rețea descentralizată
• Avantaje: Anonimat complet (nu cere număr de telefon), open-source
• Limitări: Nu este platformă clinică, mai puțin cunoscută
• Preț: Gratuit

Threema:

• Tip: Aplicație de mesagerie ultra-securizată (elvețiană)
• Criptare: End-to-end (NaCl)
• Conformitate: GDPR conformă
• Stocare date: În Elveția (protecție ridicată, dar nu UE)
• Avantaje: Nu cere număr de telefon sau email, anonimat, plată unică
• Limitări: Nu este platformă clinică, nu este gratuită
• Preț: Plată unică (2-5 euro)

5.4. Analiza riscurilor specifice pentru fiecare tip de platformă

Fiecare categorie de platformă prezintă riscuri specifice care trebuie înțelese și gestionate:

Riscuri pentru platformele dedicate de telemedicină:

Riscuri pentru aplicațiile comerciale standard:

Riscuri pentru soluțiile ultra-securizate (Signal, Threema, Session):

Capitolul 6: Securitatea stocării datelor și conformitatea GDPR

6.1. Soluții de stocare securizată

Stocarea securizată a datelor pacienților este o obligație legală și o necesitate profesională în telepsihologie [124]. Conform GDPR, toate datele personale identificabile deținute despre un pacient într-un dosar electronic, email sau document sunt supuse reglementărilor, chiar dacă sunt pseudonimizate. Aceasta include notele clinice, emailurile referitoare la pacienți, notele de supervizare (chiar dacă sunt pe hârtie), notele de proces, fotografiile și schimburile din rețelele sociale [125].

Principii de bază pentru stocarea datelor:

1. Criptarea în repaus – Datele stocate trebuie criptate, nu doar cele în tranzit
2. Controlul accesului – Accesul la date trebuie limitat doar la persoanele autorizate
3. Backup-ul regulat – Datele trebuie copiate regulat pentru prevenirea pierderii
4. Autentificarea securizată – Accesul la date trebuie protejat prin MFA
5. Monitorizarea accesului – Toate accesările trebuie înregistrate pentru audit

Soluții de stocare recomandate pentru psihologi:

Recomandări practice pentru stocarea securizată:

1. Stocarea în cloud UE – Utilizarea unui cloud cu servere în UE (Google Workspace, Microsoft, NextCloud)
2. Criptarea suplimentară – Pentru date extrem de sensibile, criptarea înainte de încărcare (utilizarea Veracrypt, Cryptomator)
3. Backup-ul 3-2-1 – 3 copii, 2 medii diferite, 1 copie offline [126]
4. Auditul periodic – Verificarea periodică a accesărilor și a permisiunilor

6.2. Backup-ul datelor în cabinetul psihologic

Pierderea datelor pacienților din cauza unui atac ransomware, a unui defect hardware sau a unui dezastru natural poate avea consecințe devastatoare [127].

Strategii de backup pentru psihologi:

1. Backup-ul local – Copii pe dispozitive fizice (hardware extern criptat), păstrate într-o locație securizată, separată de calculatorul principal
2. Backup-ul în cloud – Copii în cloud securizat (Google Drive, OneDrive, NextCloud), cu servere în UE
3. Backup-ul offline – Copii pe suporturi offline (hardware extern, CD/DVD, bandă), actualizate periodic
4. Backup-ul immutable – Backup-uri care nu pot fi modificate sau șterse, protejate împotriva ransomware-ului

Regula 3-2-1 pentru backup-uri:

• 3 – Cel puțin trei copii ale datelor
• 2 – Stocate pe cel puțin două medii diferite (local și cloud)
• 1 – Cel puțin o copie offline (nu conectată la rețea)

Plan de backup pentru cabinetul psihologic:

1. Zilnic – Backup automat în cloud (Google Drive, OneDrive, NextCloud)
2. Săptămânal – Backup manual pe hardware extern criptat (păstrat în locație separată)
3. Lunar – Backup offline (hardware extern stocat într-o locație externă sigură)
4. Testare – Verificarea periodică a integrității backup-urilor prin restaurare test

6.3. Protecția împotriva ransomware-ului

Ransomware-ul reprezintă o amenințare semnificativă pentru cabinetele psihologice, cu potențialul de a bloca accesul la toate datele pacienților [128, 129]. Comunitatea internațională, inclusiv Organizația Mondială a Sănătății, a recunoscut ransomware-ul ca o amenințare gravă pentru infrastructura de sănătate [130][4].

Măsuri de protecție împotriva ransomware-ului:

1. Backup-uri offline – Copii ale datelor care nu sunt conectate la rețea (nu pot fi criptate de ransomware)
2. Securitatea perimetrului – Firewall-uri, sisteme de detecție a intruziunilor, protecție endpoint
3. Educația utilizatorilor – Conștientizarea amenințărilor și prevenirea phishing-ului (principala metodă de infectare)
4. Actualizări constante – Toate sistemele și aplicațiile trebuie să fie actualizate cu patch-uri de securitate
5. Politici de execuție – Restricționarea executării fișierelor din locații nesigure
6. Protecția email-urilor – Filtrarea atașamentelor și a linkurilor malițioase

Plan de răspuns la un atac ransomware:

1. Izolarea – Deconectarea imediată a sistemului infectat de rețea
2. Evaluarea – Determinarea amplorii atacului și a datelor afectate
3. Raportarea – Notificarea autorităților (CERT-RO, Poliție) conform obligațiilor legale
4. Restaurarea – Restaurarea datelor din backup-urile offline (dacă sunt afectate)
5. Comunicarea – Informarea pacienților conform GDPR (dacă datele lor au fost compromise)
6. Investigarea – Analiza cauzei atacului pentru prevenirea viitoarelor incidente

Decizia de a plăti răscumpărare:

Experții în securitate recomandă neplata răscumpărării în majoritatea cazurilor [131], deoarece:

• Nu garantează recuperarea datelor (atacatorii pot să nu ofere cheia de decriptare)
• Alimentează economia criminală și încurajează viitoarele atacuri
• Poate fi ilegală în anumite jurisdicții
• Nu elimină vulnerabilitățile care au permis atacul

Pentru cabinetele psihologice, alternativa este de a avea backup-uri offline solide și de a utiliza soluții de securitate endpoint.

6.4. GDPR și stocarea datelor medicale

Regulamentul GDPR stabilește cerințe stricte pentru prelucrarea datelor cu caracter personal, inclusiv datele medicale și psihologice [15, 132].

Principii GDPR relevante pentru stocarea datelor în cabinetul psihologic:

Obligații specifice pentru psihologi:

1. Evaluarea impactului – Pentru prelucrarea datelor psihologice, este necesară o evaluare a impactului asupra protecției datelor (DPIA) [133]
2. Notificarea breșelor – Breșele de securitate care implică date personale trebuie notificate autorității de supraveghere în termen de 72 de ore [134]
3. Drepturile pacienților – Pacienții au dreptul de acces, rectificare, ștergere și restricționare a prelucrării datelor lor [125]
4. Înregistrarea prelucrărilor – Trebuie păstrată o evidență a tuturor prelucrărilor de date cu caracter personal (Registrul de activități de prelucrare)

Stocarea datelor în cloud conform GDPR:

Pentru stocarea datelor în cloud, psihologul trebuie să se asigure că [135]:

• Serverele sunt localizate în UE (sau într-o țară cu nivel echivalent de protecție)
• Furnizorul de servicii respectă cerințele GDPR (clauze contractuale standard)
• Datele sunt criptate atât în tranzit, cât și în repaus
• Există proceduri clare pentru notificarea breșelor de securitate

CONCLUZII

9.1. Transformarea cabinetului psihologic: de la vulnerabilitate la reziliență

Prima parte a acestui articol a cartografiat amenințările cibernetice cu care se confruntă psihologii care oferă servicii online și a analizat infrastructura digitală necesară pentru o practică sigură. Concluzia fundamentală este că telepsihologia este posibilă și necesară, dar nu poate fi realizată în siguranță fără o conștientizare profundă a riscurilor și fără implementarea unor măsuri de securitate adecvate.

Principalele constatări ale analizei:

1. Psihologii au devenit ținte preferate ale atacatorilor cibernetici, datorită valorii ridicate a datelor psihologice și a vulnerabilității sistemice a cabinetelor individuale. Dark Web-ul funcționează ca o piață pentru datele medicale, iar atacatorii utilizează tehnici sofisticate (phishing, spear phishing, ransomware-as-a-service, AI-generated attacks) pentru a compromite infrastructura digitală. Datele psihologice sunt deosebit de valoroase, iar un dosar psihologic complet poate ajunge la prețuri de 500-2.000 USD pe piețele ilegale [61].
2. Aplicațiile comerciale standard (Zoom, Skype, WhatsApp) sunt inadecvate pentru telepsihologie, deoarece nu oferă nivelul necesar de criptare, conformitate GDPR și protecție a datelor. Platformele dedicate de telemedicină (me, Zoom for Healthcare, TheraPlatform) sunt esențiale pentru o practică legală și sigură.
3. Securitatea accesului este critică, iar autentificarea multifactorială (MFA) trebuie să fie obligatorie pentru toate conturile profesionale. YubiKey-urile și metodele FIDO2 oferă cel mai ridicat nivel de protecție împotriva compromiterii conturilor.
4. Stocarea securizată a datelor necesită un plan de backup 3-2-1, criptarea în repaus și măsuri de protecție împotriva ransomware-ului. Cloud-urile cu servere în UE și semnarea BAA (pentru HIPAA) sunt esențiale pentru conformitatea legală.
5. Dark Web-ul reprezintă atât un risc, cât și o oportunitate pentru psihologi. Deși oferă anonimat și acces la informații, riscurile (malware, materiale traumatizante, dificultatea intervenției în criză) depășesc de obicei beneficiile pentru practica curentă. Canalele ultra-securizate din Clear Web (Signal, Threema, ProtonMail) oferă un nivel suficient de securitate pentru majoritatea situațiilor.
6. Configurarea corectă a platformelor este la fel de importantă ca și alegerea lor. Setările implicite ale Google Workspace sau menu sunt suficiente; ele trebuie configurate pentru conformitate (BAA, GDPR) și pentru securitate maximă.
7. Amenințările cibernetice sunt în creștere în sectorul sănătății, iar Uniunea Europeană recunoaște această problemă la cel mai înalt nivel. Directiva NIS2, adoptată în decembrie 2022, recunoaște sectorul sănătății ca „sector de înaltă criticitate”, impunând cerințe stricte de securitate cibernetică pentru facilitățile medicale [26]. Comisia Europeană s-a angajat să dezvolte un Plan de Acțiune European pentru securitatea cibernetică a spitalelor și furnizorilor de sănătate [136].

9.2. Calea spre excelența în securitate digitală: recomandări acționabile

Pe baza analizei prezentate, formulăm următoarele recomandări acționabile pentru psihologii care doresc să își securizeze practica online:

Nivelul fundamental (toți psihologii):

1. Tranziția la platforme dedicate de telemedicină – Utilizarea exclusivă a platformelor conforme cu GDPR (me, Zoom for Healthcare, TheraPlatform, TeleMind). Nu se mai utilizează aplicații comerciale standard pentru sesiuni clinice.
2. Activarea MFA pentru toate conturile profesionale – Autentificarea în doi pași este obligatorie pentru email, platforma de telemedicină și orice cont care stochează date ale pacienților.
3. Utilizarea managerului de parole – Parole puternice și unice pentru fiecare cont, gestionate printr-un manager de parole securizat (Bitwarden, 1Password).
4. Criptarea dispozitivelor – Toate dispozitivele care stochează date ale pacienților trebuie să aibă criptare activată (BitLocker pentru Windows, FileVault pentru macOS, criptare nativă pentru mobile).
5. Backup-ul regulat – Implementarea unei strategii de backup 3-2-1 pentru toate datele pacienților.

Nivelul avansat (psihologii cu practică online extensivă):

6. YubiKey pentru conturile critice – Utilizarea token-urilor hardware pentru conturile principale de autentificare (Google Workspace, platforma de telemedicină).
7. Securizarea comunicațiilor cu pacienții – Utilizarea Signal sau Threema pentru comunicații sensibile, cu dezactivarea preview-urilor notificărilor.
8. Formarea continuă în securitate cibernetică – Participarea la workshop-uri și cursuri de specialitate, urmărirea ghidurilor ENISA și CERT-RO.
9. Auditul periodic de securitate – Evaluarea periodică a infrastructurii digitale (dispozitive, aplicații, setări, backup-uri) pentru identificarea și remedierea vulnerabilităților.

Nivelul expert (unități cu mai mulți psihologi, clinici):

10. Responsabil cu securitatea cibernetică – Desemnarea unei persoane responsabile cu securitatea datelor în cadrul organizației.
11. Politici formale de securitate – Elaborarea și implementarea unor politici scrise de securitate cibernetică pentru toți angajații.
12. Plan de răspuns la incidente – Un plan scris pentru gestionarea breșelor de securitate, atacurilor ransomware și altor incidente cibernetice.
13. Certificarea conformității – Obținerea certificării ISO 27001 sau a altor standarde de securitate relevante.

9.3. Direcții viitoare pentru practica psihologică și cercetare

Transformarea cabinetului psihologic într-un ecosistem digital este un proces în desfășurare, care va continua să evolueze odată cu tehnologia și cu peisajul amenințărilor. Câteva direcții viitoare care merită atenție:

Dezvoltarea de ghiduri și standarde profesionale:

Este necesară dezvoltarea unor ghiduri specifice pentru psihologii din România, care să integreze cerințele legale, standardele de securitate și specificitățile clinice. Colegiul Psihologilor din România și Asociația Psihologilor din România ar trebui să joace un rol activ în acest proces.

Formarea profesională continuă:

Curriculum-ul de formare a psihologilor trebuie să includă competențe în securitate digitală, protecția datelor și telepsihologie. Workshop-urile și cursurile de specialitate sunt esențiale pentru actualizarea cunoștințelor psihologilor aflați în practică.

Cercetarea interdisciplinară:

Este nevoie de cercetare interdisciplinară care să exploreze impactul securității cibernetice asupra practicii psihologice, eficacitatea măsurilor de securitate și adaptarea psihologilor la mediul digital.

Dezvoltarea de instrumente specifice pentru psihologi:

Piața instrumentelor de securitate pentru profesioniștii din sănătatea mintală este încă în dezvoltare. Există oportunități pentru dezvoltarea de soluții adaptate nevoilor specifice ale psihologilor, care să fie accesibile, ușor de utilizat și eficiente.

Inteligența artificială și telepsihologia:

Utilizarea inteligenței artificiale în practica psihologică (asistență la diagnostic, redactare de rapoarte, analiză de date) va crește semnificativ în următorii ani. Acest fenomen va aduce oportunități, dar și provocări în materie de securitate, confidențialitate și etică [137].

9.4. Apel la acțiune pentru comunitatea psihologică

Transformarea cabinetului psihologic într-un ecosistem digital nu este doar o opțiune tehnică, ci o responsabilitate profesională. Fiecare psiholog care oferă servicii online trebuie să își asume această responsabilitate și să acționeze proactiv pentru securizarea practicii sale.

Mesajul central:

Securitatea cibernetică nu este un lux sau o opțiune, ci o componentă esențială a practicii psihologice în era digitală.

Ignorarea amenințărilor sau amânarea măsurilor de securitate nu este o strategie viabilă. Atacatorii nu așteaptă; ei își targetează activ victimele, iar datele psihologice sunt deosebit de valoroase. Fiecare zi de întârziere în implementarea măsurilor de securitate crește expunerea psihologului și a pacienților săi.

Ce poate face fiecare psiholog începând de astăzi:

• Astăzi: Verificați dacă utilizați platforme conforme pentru telepsihologie
• Săptămâna aceasta: Activați MFA pentru toate conturile profesionale
• Luna aceasta: Configurați un manager de parole și schimbați parolele slabe
• Trimestrul acesta: Auditați infrastructura digitală și implementați un plan de backup 3-2-1
• Anul acesta: Participați la un curs de formare în securitate cibernetică pentru profesioniști

Implicarea colectivă:

Pe lângă acțiunile individuale, comunitatea psihologică din România trebuie să acționeze colectiv pentru:

• Dezvoltarea de resurse și ghiduri comune
• Crearea unei culturi a securității digitale în profesie
• Colaborarea cu autoritățile (CERT-RO, ANSPDCP) pentru protejarea datelor pacienților
• Educarea pacienților cu privire la securitatea comunicării online

În Partea a II-a a acestui articol, care va fi publicată în numărul următor al revistei, vom explora capcanele juridice, deontologice și clinice ale telepsihologiei, inclusiv răspunderea pentru malpraxis, protocoalele de urgență, limitările observației clinice prin intermediul ecranului și managementul riscului în practica online.

BIBLIOGRAFIE

1. European Union Agency for Cybersecurity (ENISA). ENISA Threat Landscape 2024. Heraklion: ENISA; 2024.
2. Wind TR, Rijkeboer M, Andersson G, Riper H. The COVID-19 pandemic: The ‘black swan’ for mental health care and a turning point for e-health. Internet Interv. 2020;20:100317.
3. Békés V, Aafjes-van Doorn K. Psychotherapists’ attitudes toward online therapy during the COVID-19 pandemic. J Clin Psychol. 2020;76(11):2086-2099.
4. Pierce BS, Perrin PB, Tyler CM, McKee GB, Watson JD. The COVID-19 telepsychology revolution: A national study of pandemic-based changes in U.S. mental health care delivery. Am Psychol. 2021;76(1):14-25.
5. Sucala M, Schnur JB, Constantino MJ, Miller SJ, Brackman EH, Montgomery GH. The therapeutic relationship in e-therapy for mental health: A systematic review. J Med Internet Res. 2012;14(4):e110.
6. Watt T, Dempsey P, Shah S. Risks and responsibilities in providing telepsychology services. Prof Psychol Res Pr. 2022;53(3):245-253.
7. VandenBos GR, Williams S. The internet and professional psychology: A summary of the APA’s task force report on the internet and the practice of psychology. Prof Psychol Res Pr. 2000;31(1):23-31.
8. Norcross JC, Lambert MJ. Psychotherapy relationships that work. 3rd ed. New York: Oxford University Press; 2019.
9. Stallings W, Brown L. Computer security: Principles and practice. 4th ed. Boston: Pearson; 2018.
10. Voigt P, Von dem Bussche A. The EU General Data Protection Regulation (GDPR): A practical guide. 1st ed. Cham: Springer; 2017.
11. Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date. Jurnalul Oficial al Uniunii Europene, L 119/1, Motivul 35.
12. Legea nr. 95/2006 privind reforma în domeniul sănătății. Monitorul Oficial al României, Partea I, nr. 372/2006.
13. Ordonanța de Urgență nr. 196/2020 privind telemedicina. Monitorul Oficial al României, Partea I, nr. 1080/2020.
14. Legea nr. 213/2004 privind exercitarea profesiei de psiholog, cu drept de liberă practică. Monitorul Oficial al României, Partea I, nr. 482/2004.
15. Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (GDPR). Jurnalul Oficial al Uniunii Europene, L 119/1.
16. Hotărârea Guvernului nr. 1133/2022 pentru aprobarea Normelor metodologice de aplicare a prevederilor OUG 196/2020. Monitorul Oficial al României, Partea I, nr. 1185/2022.
17. S. Department of Health and Human Services. Summary of the HIPAA Privacy Rule. Washington, DC: HHS; 2022.
18. International Organization for Standardization. ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection – Information security management systems – Requirements. Geneva: ISO; 2022.
19. Asociația Psihologilor din România. Ghidul de telepsihologie. București: APR; 2021.
20. American Psychological Association. Guidelines for the practice of telepsychology. Washington, DC: APA; 2013.
21. European Federation of Psychologists’ Associations. EFPA guidelines on telepsychology. Brussels: EFPA; 2020.
22. European Union Agency for Cybersecurity (ENISA). ENISA Threat Landscape 2025. Heraklion: ENISA; 2025.
23. Centrul Național de Răspuns la Incidente de Securitate Cibernetică (CERT-RO). Raportul anual privind securitatea cibernetică în România 2023. București: CERT-RO; 2024.
24. Data Breach Investigations Report 2024. New York: Verizon; 2024.
25. Anderson R. Security engineering: A guide to building dependable distributed systems. 3rd ed. Indianapolis: Wiley; 2020.
26. European Union. EU Statement – UN Security Council: Briefing on Threats Posed by Ransomware Attacks against Hospitals and Other Healthcare Facilities. New York: EEAS; 2024.
27. Phelps A, Taylor J, Simkiss N. The need for digital competencies in psychology curricula. Teach Psychol. 2023;50(2):112-120.
28. Parker J, Johnson M, Smith R. Bridging the cybersecurity-psychology gap: Interdisciplinary approaches to digital safety. Cyberpsychol Behav Soc Netw. 2022;25(6):345-352.
29. Hilty DM, Ferrer DC, Parish MB, Johnston B, Callahan EJ, Yellowlees PM. The effectiveness of telemental health: A 2013 review. Telemed J E Health. 2013;19(6):444-454.
30. Muench F, Baumel A. The role of technology in mental health care: A review of current and future applications. J Technol Behav Sci. 2020;5(2):117-127.
31. Whelan P, Booth R. Cybersecurity challenges in small healthcare practices. J Med Internet Res. 2021;23(8):e28315.
32. Schneier B. Secrets and lies: Digital security in a networked world. New York: Wiley; 2015.
33. Cybersecurity and Infrastructure Security Agency (CISA). Telehealth cybersecurity. Washington, DC: CISA; 2022.
34. Kvale S, Brinkmann S. InterViews: Learning the craft of qualitative research interviewing. 3rd ed. Thousand Oaks: Sage; 2015.
35. American Psychological Association. Ethical principles of psychologists and code of conduct. Washington, DC: APA; 2017.
36. Rosen CS, Glassman LH, Morland LA. Telehealth for mental health during COVID-19: A review of the evidence and recommendations. Psychiatr Serv. 2021;72(7):818-826.
37. Kola L, Kohrt BA, Hanlon C, Naslund JA, Sikander S, Balaji M, et al. COVID-19 mental health impact and responses in low-income and middle-income countries: Reimagining global mental health. Lancet Psychiatry. 2021;8(6):535-550.
38. Moreno C, Wykes T, Galderisi S, Nordentoft M, Crossley N, Jones N, et al. How mental health care should change as a consequence of the COVID-19 pandemic. Lancet Psychiatry. 2020;7(9):813-824.
39. Bear HA, Dalzell K, Roberts L, Blore D, Crome E. Psychologists’ experiences of transitioning to telepsychology during the COVID-19 pandemic. Clin Psychol. 2021;25(3):235-245.
40. Bantjes J, Kessler D, Hunt X. The digital divide in mental health care. Lancet Digital Health. 2021;3(9):e530-e531.
41. Shore JH, Schneck CD, Mishkind MC. Telepsychiatry and the COVID-19 pandemic: A rapid response. Psychiatr Clin North Am. 2020;43(3):543-553.
42. Păduraru A, Dumitrescu L. Telepsihologia în România: adoptare și provocări. Psihologia. 2023;36(2):156-168. [Verificat]
43. Colegiul Psihologilor din România. Raport anual 2023. București: CPR; 2024.
44. Tihan LM, Tihan EJ. Securitatea digitală în practica psihologică online: un studiu exploratoriu. Rev Psihol Apl. 2023;14(3):45-62.
45. Shore JH, Yellowlees P, Caudill R, Johnston B, Turvey C, Mishkind M, et al. Best practices in delivering telehealth mental health services. Telemed J E Health. 2020;26(4):415-424.
46. Backhaus A, Agha Z, Maglione ML, Repp A, Ross B, Zuest D, et al. Videoconferencing psychotherapy: A systematic review. Psychol Serv. 2012;9(2):111-131.
47. Torous J, Myrick KJ, Rauseo-Ricupero N, Firth J. Digital mental health and COVID-19: Using technology today to accelerate the curve on access and quality tomorrow. JMIR Ment Health. 2020;7(3):e18848.
48. Aref-Adib G, O’Hanlon P, Fullarton K, Morant N, Sommerlad A, Johnson S, et al. A qualitative study of online mental health information seeking behaviour by those with psychosis. BMC Psychiatry. 2016;16(1):232.
49. Barak A, Hen L, Boniel-Nissim M, Shapira N. A comprehensive review and a meta-analysis of the effectiveness of internet-based psychotherapeutic interventions. J Technol Hum Serv. 2008;26(2-4):109-160.
50. Andersson G, Cuijpers P, Carlbring P, Riper H, Hedman E. Guided internet-based vs. face-to-face cognitive behavior therapy for psychiatric and somatic disorders: A systematic review and meta-analysis. World Psychiatry. 2014;13(3):288-295.
51. Simpson S, Reid C, eds. Telepsychology: A guide for practitioners. Abingdon: Routledge; 2020.
52. Glueckauf RL, Maheu MM, Drude KP, Wells BA, Wang Y, Gustafson DJ, et al. Survey of psychologists’ telebehavioral health practices: Technology use, ethical issues, and training needs. Prof Psychol Res Pr. 2018;49(3):205-214.
53. Shore JH, Yellowlees P, Caudill R, Johnston B, Turvey C, Mishkind M, et al. Best practices in delivering telehealth mental health services. Telemed J E Health. 2020;26(4):415-424.
54. Simpson S, Richardson L, Pietrabissa G, Castelnuovo G, Cattivelli R. Videotherapy and therapeutic alliance in the age of COVID-19. Clin Psychol Psychother. 2021;28(2):409-421.
55. Hilty DM, Yellowlees PM, Parrish MB, Chan S. Telepsychiatry: Effective, evidence-based, and at a tipping point in health care delivery? Psychiatr Clin North Am. 2015;38(3):559-584.
56. Maheu MM, Drude KP, Hertlein KM, Lipschutz R, Wall K, Hilty DM. A framework for interprofessional telebehavioral health competencies. J Technol Behav Sci. 2020;5(2):128-141.
57. Moussa S, Gagnon MP, Kandiah S. Telepsychology training and education: A systematic review. J Clin Psychol. 2022;78(7):1250-1268.
58. Martin G, Martin P, Hankin C, Darzi A, Kinross J. Cybersecurity and healthcare: How safe are we? BMJ. 2017;358:j3179.
59. Coventry L, Branley D. Cybersecurity in healthcare: A narrative review of the literature. Cyberpsychol Behav Soc Netw. 2018;21(5):283-293.
60. Cybersecurity Ventures. Healthcare data breach report 2023. New York: Cybersecurity Ventures; 2023.
61. Kruse CS, Frederick B, Jacobson T, Monticone DK. Cybersecurity in healthcare: A systematic review of modern threats and trends. J Healthc Risk Manag. 2017;37(2):20-31.
62. Seh AH, Zarour M, Alenezi M, Sarkar AK, Agrawal A, Kumar R, et al. Healthcare data breaches: Insights and implications. Healthcare. 2020;8(2):133.
63. Humer E, Stippl P, Pieh C, Probst T. Psychotherapy in the digital age: Risks and opportunities. Front Psychiatry. 2022;13:879367.
64. Kamerow D. Hackers, data breaches and ransomware in healthcare. BMJ. 2018;361:k2018.
65. Jayanthi P. Data breaches in healthcare: A growing concern. J Healthc Inf Manag. 2021;35(2):42-49.
66. Gordon WJ, Fairhall A, Landman A. Threats to information security in healthcare. J Healthc Inf Manag. 2018;32(3):44-51.
67. Zeadally S, Siddiqui F, Baig Z, Ibrahim A. Smart healthcare: Challenges and potential solutions using internet of things (IoT) and big data analytics. Pervasive Mob Comput. 2020;65:101075.
68. Wynn D, May C. Telehealth and cybersecurity in the post-pandemic era. J Med Syst. 2022;46(5):29.
69. Nifakos S, Chandramouli K, Nikolaou CK, Papachristou P, Koch S, Panaousis E, et al. Influence of human factors on cyber security within healthcare organisations: A systematic review. Sensors. 2021;21(15):5119.
70. Srivastava A, Mittal S, Kaur S. Healthcare data security and privacy: A review of challenges and solutions. Int J Med Inform. 2021;148:104394.
71. He Y, Zamani ED, Liu Y. Ransomware attacks in healthcare: A review and future directions. J Med Syst. 2022;46(6):44.
72. Gostin LO, Halabi SF, Wilson K. Health data and privacy in the digital age. JAMA. 2018;320(22):2303-2304.
73. Tene O, Polonetsky J. Big data for all: Privacy and user control in the age of analytics. Northwest J Technol Intell Prop. 2012;11(5):239-273.
74. Al-Emran M, Malik SI, Che Zainal AR. Ransomware attacks in healthcare: A survey of threats and mitigation strategies. Health Informatics J. 2022;28(2):146045822210943.
75. Brewer R. Ransomware attacks: Detection, prevention and cure. Netw Secur. 2016;2016(9):5-9.
76. Mohammed M, Hasan R, Atia M, Shorman N. Ransomware in healthcare: A comprehensive analysis and future directions. Int J Med Inform. 2023;170:104958.
77. Huang K, Siegel M, Madnick S. Systematically understanding the cyber attack business: A survey. ACM Comput Surv. 2018;51(4):1-36.
78. ABC News. Sensitive IVF patient data published after cyber attack. Sydney: Australian Broadcasting Corporation; 2025.
79. Jansson K, von Solms R. Phishing for phishing awareness. Behav Inf Technol. 2013;32(6):584-593.
80. Alnajjar A, Hossain MS, Muhammad G. A review of phishing attacks and countermeasures. IEEE Access. 2021;9:146724-146746.
81. Vishwanath A, Herath T, Chen R, Wang J, Rao HR. Why do people get phished? Testing individual differences in phishing vulnerability within an integrated, information processing model. Decis Support Syst. 2011;51(3):576-586.
82. Χάπι Δεν Υπάρχει – Αλλά η Συνταγή Είναι Αποτελεσματική. IT Security Pro. 2026.
83. Jain AK, Gupta BB. A survey of identity theft: Attacks, detection, and prevention. Int J Inf Secur. 2021;20(4):459-485.
84. Hoar SB. Identity theft: A review of the literature. Soc Sci Comput Rev. 2011;29(4):435-450.
85. Brundage M, Avin S, Clark J, Toner H, Eckersley P, Garfinkel B, et al. The malicious use of artificial intelligence: Forecasting, prevention, and mitigation. ArXiv. 2018;1802.07228.
86. Mirsky Y, Lee W. The creation and detection of deepfakes: A survey. ACM Comput Surv. 2021;54(1):1-41.
87. Westerlund M. The emergence of deepfake technology: A review. Technol Innov Manag Rev. 2019;9(11):39-49.
88. Seymour J, Tully G. Weaponizing AI: Cybersecurity implications of large language models. IEEE Secur Priv. 2023;21(4):72-79.
89. Moore D, Rid T. Cryptopolitik and the darknet. Survival. 2016;58(1):7-38.
90. Dingledine R, Mathewson N, Syverson P. Tor: The second-generation onion router. In: Proceedings of the 13th USENIX Security Symposium. San Diego: USENIX; 2004. p. 303-320.
91. Winter P, Lindskog S. A study of the effectiveness of Tor’s anonymity. Int J Inf Secur. 2020;19(4):447-466.
92. Chen H. Dark web: Exploring and data mining the dark side of the web. New York: Springer; 2012.
93. Christin N. Traveling the silk road: A measurement analysis of a large anonymous online marketplace. In: Proceedings of the 22nd International Conference on World Wide Web. Rio de Janeiro: ACM; 2013. p. 213-224.
94. Maimon D, Sobesto B. A new frontier in digital crime: The dark web and its implications for cybersecurity. In: Holt TJ, editor. Cybercrime and digital deviance. London: Routledge; 2017. p. 185-203.
95. Wang Y, Wang J, Luo X. Cybercrime in the dark web: A systematic review. Comput Secur. 2021;108:102321.
96. Jardine E. The dark web: A guide for policy makers. J Cybersecur. 2021;7(1):tyab004.
97. Hadnagy C. Social engineering: The science of human hacking. 2nd ed. Indianapolis: Wiley; 2018.
98. Pöyhönen J, Haasio A, Razi N, Oksanen A. Dark web and social engineering: A psychological perspective. Comput Hum Behav. 2023;142:107664.
99. Barratt MJ, Maddox A. The dark web as a space for mental health support: A qualitative study. J Med Internet Res. 2020;22(6):e18712.
100. Fagan M, Fagan J. The dark web and mental health: A review of the literature. Cyberpsychol Behav Soc Netw. 2021;24(6):377-384.
101. Oksanen A, Miller BL, Savolainen I, Sirola A, Demant J, Kaakinen M, et al. Dark web as a forum for mental health discussions. J Med Internet Res. 2020;22(10):e21619.
102. Shor E, Roelfs D. The dark web and mental health in repressive regimes. Soc Sci Med. 2022;296:114733.
103. Fisher CB, Fried AL. The ethics of telepsychology and the use of technology in mental health. In: Koocher GP, Norcross JC, Greene BA, editors. Psychologists’ desk reference. 3rd ed. New York: Oxford University Press; 2013. p. 213-218.
104. Whelan P, Booth R. Secure messaging for mental health: A review of applications. J Med Internet Res. 2021;23(9):e29813.
105. Bazzell M. Open source intelligence techniques: Resources for searching and analyzing online information. 8th ed. Charleston: IntelTechniques; 2022.
106. Pastor-Galindo J, Nespoli P, Marmol FG, Perez GM. The not yet exploited goldmine of OSINT: Opportunities, open challenges and future trends. IEEE Access. 2020;8:10282-10304.
107. Kaspersky Lab. The anatomy of a cyberattack: How attackers select and target victims. Moscow: Kaspersky; 2021.
108. IBM X-Force. Threat intelligence index 2024. Armonk: IBM; 2024.
109. Maheu MM, Pulier ML, McMenamin JP, Posen L. The future of telepsychology: A guide to selecting and implementing video platforms. J Clin Psychol. 2021;77(7):1528-1543.
110. Krupinski EA, Bernard J, Darras KE. Choosing the right telehealth platform. Telemed J E Health. 2022;28(4):472-479.
111. Melnick ER, Dyrbye LN, Sinsky CA, Trockel M, West CP, Nedelec L, et al. The association between perceived electronic health record usability and professional burnout among US physicians. Mayo Clin Proc. 2020;95(3):476-487.
112. Das A, Joseph N. Multi-factor authentication in healthcare: A systematic review. J Healthc Eng. 2021;2021:8846945.
113. Waseem M, Khokhar MN, Rizvi SM. Zoom bombing: A threat to online education and healthcare. Int J Inf Secur. 2022;21(4):789-802.
114. Icoz N, Kaya M. GDPR compliance in healthcare: A systematic review. Health Policy Technol. 2022;11(3):100630.
115. S. Department of Health and Human Services. Business associate agreements and HIPAA compliance. Washington, DC: HHS; 2021.
116. European Data Protection Board. Guidelines on the use of standard contractual clauses for data transfers. Brussels: EDPB; 2021.
117. Price M, Yuen EK, Gros DF. The use of commercial video platforms for mental health care: A review and recommendations. J Technol Behav Sci. 2020;5(3):223-233.
118. Van der Walt E, Eloff JH. The security of commercial video conferencing applications. Comput Secur. 2022;116:102668.
119. Tene O, Polonetsky J. Privacy in the age of AI: A framework for the future. Harv J Law Technol. 2023;36(2):431-498.
120. Yellowlees P, Shore JH, Rege S. Telepsychiatry: A review of the evidence and best practices. Psychiatr Clin North Am. 2022;45(3):539-553.
121. Yellowlees P, Shore JH, Rege S. Telepsychiatry: A review of the evidence and best practices. Psychiatr Clin North Am. 2022;45(3):539-553.
122. Waseem M, Khokhar MN, Rizvi SM. Security and privacy in telemedicine platforms. J Med Syst. 2023;47(2):18.
123. Smith AC, Thomas E, Snoswell CL, Haydon H, Mehrotra A, Clemensen J, et al. Telehealth for global emergencies: Implications for coronavirus disease 2019 (COVID-19). J Telemed Telecare. 2020;26(5):309-313.
124. Khera A, Singh G. Secure data storage in healthcare: A review. J Med Syst. 2021;45(8):79.
125. British Psychological Society. Record keeping and data protection in psychology practice. Leicester: BPS; 2022.
126. Burrington D. The 3-2-1 backup strategy: A comprehensive guide. Backblaze Blog. 2023.
127. Gualtieri M. Data loss in healthcare: Causes and prevention. Healthc Inf Manag. 2022;36(2):45-52.
128. Lallie HS, Shepherd LA, Nurse JRC, Erola A, Epiphaniou G, Maple C, et al. Cyber security in the age of COVID-19: A timeline and analysis of cyber-crime and cyber-attacks during the pandemic. Comput Secur. 2021;105:102248.
129. Richardson R, North M. Ransomware: Evolution, mitigation and prevention. Int Manag Rev. 2017;13(1):10-21.
130. World Health Organization. WHO Director-General briefs the UN Security Council on ransomware attacks on healthcare. Geneva: WHO; 2024.
131. Sood AK, Enbody RJ. The art of ransomware: A review of the evolution and mitigation strategies. Comput Secur. 2020;97:101951.
132. European Data Protection Board. Guidelines on data protection impact assessment. Brussels: EDPB; 2021.
133. European Data Protection Board. Guidelines on the processing of personal data in health sector. Brussels: EDPB; 2022.
134. European Data Protection Board. Guidelines on breach notification. Brussels: EDPB; 2021.
135. European Data Protection Board. Guidelines on the use of cloud services. Brussels: EDPB; 2020.
136. European Union Agency for Cybersecurity (ENISA). Prioritising eHealth cybersecurity against emerging challenges. Heraklion: ENISA; 2024.
137. Fiske A, Henningsen P, Buyx A. Your robot therapist will see you now: Ethical implications of embodied artificial intelligence in psychiatry, psychology, and psychotherapy. J Med Internet Res. 2019;21(5):e13216.

Note

[1] Conform GDPR, datele privind sănătatea mintală sunt incluse în categoria „datelor privind sănătatea” și beneficiază de protecție sporită. Această categorie include „informații despre starea de sănătate fizică sau mentală trecută, prezentă sau viitoare” [11].

[2]  Potrivit declarației Uniunii Europene în fața Consiliului de Securitate al ONU din 8 noiembrie 2024, un atac ransomware are loc la fiecare 11 secunde la nivel global, ritm estimat să ajungă la un atac la fiecare 2 secunde până în 2031 [26].

[3] Cazul Genea IVF demonstrează valoarea deosebită a datelor medicale pe Dark Web și impactul devastator pe care o breșă de securitate îl poate avea asupra pacienților. Datele compromise au inclus informații genetice și despre sănătatea mintală, care „ar putea fi folosite împotriva ta și ar putea schimba cu adevărat cursul vieții tale”, potrivit declarațiilor unei paciente afectate [78].

[4] Organizația Mondială a Sănătății a recunoscut ransomware-ul ca o amenințare gravă pentru infrastructura de sănătate, iar Directorul General al OMS a prezentat un raport în fața Consiliului de Securitate al ONU în noiembrie 2024 privind „amenințările reprezentate de atacurile ransomware împotriva spitalelor și altor facilități și servicii de sănătate” [130].

Tihan, Eusebiu Jean; Tihan, Laura Mihaela (2026), Telepsihologia în era amenințărilor cibernetice (1) – Transformarea cabinetului psihologic într-un ecosistem digital: oportunități, vulnerabilități și responsabilități profesionale – Infrastructura digitală, securitatea cibernetică și contextul Dark Web, IT & C, 5:3, 42-82, DOI: 10.58679/IT70911, https://www.internetmobile.ro/telepsihologia-in-era-amenintarilor-cibernetice-1/