Pentru organizații

Ghid pentru operatori: obligațiile organizațiilor

Legea nr. 195/2024 se aplică oricărei organizații care prelucrează date despre persoane fizice: clienți, angajați, pacienți, beneficiari, voluntari sau vizitatori. Contează mai puțin forma juridică și mai mult natura prelucrării și riscurile pe care le generează.

Cui se aplică legea

• Operator: organizația care stabilește scopurile și mijloacele prelucrării, de exemplu angajatorul pentru datele angajaților sau magazinul pentru datele clienților art. 4.
• Persoana împuternicită de operator: organizația care prelucrează date în numele operatorului, cum ar fi firma de contabilitate, furnizorul de cloud, call-center-ul sau firma de pază care operează camerele video.
• Operatori asociați: două sau mai multe organizații care stabilesc împreună scopurile și mijloacele. Ele trebuie să-și împartă responsabilitățile printr-un acord art. 26.
• Operatorii din străinătate care vizează persoane din Moldova trebuie să desemneze, de regulă, un reprezentant în Republica Moldova art. 3, art. 27.

Legea nu se aplică prelucrărilor efectuate de o persoană fizică în activități exclusiv personale sau domestice, datelor persoanelor decedate (cu excepția art. 52) și datelor atribuite la secret de stat art. 2 alin. (2). Prelucrările efectuate de organele de drept pentru prevenirea și combaterea infracțiunilor sunt reglementate de Legea nr. 160/2026.

Cele șapte principii

Sursa: art. 5 din Legea nr. 195/2024.

Temeiurile legale ale prelucrării

Orice prelucrare are nevoie de cel puțin unul dintre cele șase temeiuri art. 6 alin. (1):

1. consimțământul persoanei, pentru scopuri specifice;
2. executarea unui contract cu persoana sau demersuri precontractuale la cererea ei;
3. o obligație legală a operatorului, de exemplu în domeniul fiscal, al muncii sau al evidenței contabile;
4. interesele vitale ale persoanei sau ale altei persoane fizice;
5. o sarcină de interes public sau exercitarea autorității publice;
6. interesul legitim al operatorului sau al unui terț, dacă nu prevalează drepturile persoanei, mai ales când persoana este un copil.

Categorii speciale de date

Datele care dezvăluie originea rasială sau etnică, opiniile politice, convingerile religioase sau filozofice și apartenența sindicală, precum și datele genetice, datele biometrice folosite pentru identificare, datele privind sănătatea și cele privind viața sau orientarea sexuală, pot fi prelucrate doar în una dintre excepțiile de la art. 9 alin. (2). Exemple de excepții sunt consimțământul explicit, obligațiile din dreptul muncii, medicina și asistența socială sau un interes public major prevăzut de lege.

Datele privind condamnările penale și infracțiunile se prelucrează numai sub controlul unei autorități publice sau dacă legea o permite cu garanții adecvate art. 10.

Numărul de identificare național (IDNP)

IDNP-ul, seria și numărul buletinului, ale pașaportului sau ale permisului de conducere sunt „numere de identificare naționale”. Ele pot fi prelucrate, inclusiv prin copierea documentelor care le conțin, doar în baza unuia dintre temeiurile de la art. 6. Dacă temeiul este interesul legitim, operatorul trebuie să instituie garanții suplimentare: minimizarea datelor, securitate, termene de stocare și instruirea periodică a personalului art. 53.

Copiii

Pentru serviciile online oferite direct copiilor și bazate pe consimțământ, copilul își poate da singur consimțământul de la 14 ani. Sub această vârstă este necesar acordul reprezentantului legal, iar operatorul trebuie să depună eforturi rezonabile pentru a-l verifica art. 8.

Transparența: notele de informare

La colectarea datelor, persoanele trebuie informate despre art. 13–14:

• identitatea operatorului și contactele DPO, dacă există;
• scopurile și temeiul legal, iar în cazul interesului legitim, care este acesta;
• destinatarii și eventualele transferuri în străinătate, cu garanțiile aplicate;
• perioada de stocare;
• drepturile persoanei, inclusiv dreptul de a retrage consimțământul și de a depune plângere la CNPDCP;
• dacă furnizarea datelor este obligatorie și consecințele nefurnizării;
• existența deciziilor automatizate sau a profilării.

Practic, ai nevoie de o politică de confidențialitate pe site, de note de informare pe formulare și în contracte, de o notă pentru angajați și de panouri de informare pentru supravegherea video.

Site-uri, cookie-uri și marketing electronic

Pe lângă Legea nr. 195/2024, capitolul XVIII din Legea comunicațiilor electronice nr. 72/2025 conține două reguli care se aplică oricărei organizații, nu doar furnizorilor de telecomunicații Legea nr. 72/2025, art. 114 alin. (3).

Cookie-uri și alte tehnologii de urmărire

Stocarea de informații pe dispozitivul vizitatorului sau accesul la informațiile de pe acesta (cookie-uri, pixeli, local storage, identificatori ai dispozitivului) este permisă doar dacă vizitatorul a primit informații clare și complete despre scopuri art. 116 alin. (5). Fac excepție operațiunile strict necesare pentru transmiterea comunicației sau pentru un serviciu cerut expres de utilizator, de exemplu coșul de cumpărături sau sesiunea de autentificare art. 116 alin. (6). Când cookie-urile permit identificarea vizitatorului și sunt folosite pentru analiză sau publicitate, ai nevoie și de un temei legal din Legea nr. 195/2024, în practică consimțământul art. 6, art. 7.

E-mailuri, SMS-uri și apeluri publicitare

• Apelurile automate fără intervenție umană, faxurile și mesajele electronice (e-mail, SMS) în scop publicitar se trimit doar cu consimțământul prealabil al abonatului art. 124 alin. (1). Și celelalte comunicări comerciale nesolicitate au nevoie de consimțământ, iar refuzul nu poate implica costuri pentru abonat art. 124 alin. (3).
• Excepție pentru clienții proprii: dacă ai obținut adresa de e-mail în contextul unei vânzări, o poți folosi pentru oferte la produse sau servicii proprii similare, cu condiția ca clientul să poată refuza simplu și gratuit, atât la colectare, cât și în fiecare mesaj ulterior art. 124 alin. (2).
• Este interzis să ascunzi identitatea expeditorului, să folosești o identitate falsă sau să nu indici o adresă validă pentru dezabonare art. 124 alin. (4).
• Regulile se aplică abonaților persoane fizice și juridice, deci și mesajelor B2B art. 124 alin. (5).

Opoziția la marketing direct prevăzută de Legea nr. 195/2024 se aplică în paralel: după opoziție, datele nu mai pot fi folosite în acest scop art. 21 alin. (2)–(3).

Gestionarea cererilor persoanelor vizate

Stabilește o procedură internă: cine primește cererile, cum se verifică identitatea, cine caută datele și cine răspunde. Termenul este de o lună, cu prelungire posibilă de încă două luni pentru cereri complexe sau numeroase. Persoana trebuie informată despre prelungire în prima lună art. 12. Răspunsul este gratuit. Refuzul trebuie motivat și trebuie să menționeze dreptul la plângere și la acțiune în instanță.

Protecția datelor de la concepție și implicit

Când proiectezi un produs, un serviciu, un formular sau un sistem informatic, integrează protecția datelor din start, prin pseudonimizare, minimizare și acces restrâns. Setările implicite trebuie să fie cele mai protective art. 25. De exemplu, profilurile nu sunt publice în mod implicit, iar câmpurile opționale sunt marcate clar ca opționale.

Evidența activităților de prelucrare

Operatorii și persoanele împuternicite țin o evidență scrisă, care poate fi și electronică, a activităților de prelucrare art. 30. Pentru operator, evidența cuprinde:

• numele și datele de contact ale operatorului și ale DPO;
• scopurile prelucrării;
• categoriile de persoane vizate și de date;
• categoriile de destinatari;
• transferurile în alte state și garanțiile aplicate;
• termenele de ștergere, dacă este posibil;
• descrierea generală a măsurilor de securitate, dacă este posibil.

Securitatea prelucrării

Măsurile tehnice și organizatorice trebuie să fie proporționale cu riscul art. 32. Exemplele includ:

• pseudonimizarea și criptarea, de exemplu pe laptopuri și pe stick-uri USB;
• confidențialitatea, integritatea, disponibilitatea și reziliența sistemelor;
• capacitatea de a restabili rapid accesul la date după un incident, prin copii de rezervă testate;
• testarea și evaluarea regulată a eficacității măsurilor.

Măsurile minime, pentru orice organizație, sunt: conturi individuale cu parole puternice și autentificare în doi pași, drepturi de acces după principiul „nevoii de a cunoaște”, actualizări de securitate la zi, copii de rezervă offline, dulapuri încuiate pentru dosarele pe hârtie, distrugerea sigură a documentelor și instruirea personalului împotriva phishing-ului. Personalul cu acces la date trebuie să le prelucreze doar conform instrucțiunilor operatorului art. 29.

Încălcările securității datelor

Notificarea CNPDCP se face în 72 de ore, pe formularul tipizat obligatoriu din Ordinul CNPDCP nr. 40/2026, transmis electronic cu semnătură electronică calificată la [email protected]. Persoanele afectate se informează dacă riscul este ridicat. Detaliile sunt pe pagina dedicată: Incidente de securitate: ce faci în 72 de ore.

Furnizorii de servicii de comunicații electronice accesibile publicului au în plus obligații speciale: notifică CNPDCP fără întârzieri nejustificate, informează abonații sau utilizatorii când încălcarea le-ar putea afecta datele sau viața privată și țin evidența tuturor încălcărilor. Informarea abonaților nu este necesară dacă furnizorul demonstrează CNPDCP că datele afectate erau protejate, de exemplu prin criptare Legea nr. 72/2025, art. 115 alin. (5)–(11).

Evaluarea impactului asupra protecției datelor (DPIA)

Înainte de o prelucrare susceptibilă să genereze un risc ridicat, mai ales când folosește tehnologii noi, operatorul efectuează o evaluare a impactului art. 35. Evaluarea este obligatorie în special pentru:

• evaluarea sistematică și cuprinzătoare a aspectelor personale, inclusiv profilarea, care stă la baza unor decizii cu efecte juridice sau similare;
• prelucrarea pe scară largă a datelor speciale sau penale;
• monitorizarea sistematică pe scară largă a unei zone accesibile publicului.

Cum stabilești dacă evaluarea este obligatorie

Ordinul CNPDCP nr. 27/2022, în redacția Ordinului nr. 39/2026, stabilește nouă criterii pentru evaluarea preliminară a unei prelucrări planificate:

1. evaluarea sistematică și extinsă a aspectelor personale sau scoring, inclusiv profilare și previziuni;
2. decizii automate cu efect juridic sau cu un efect similar semnificativ;
3. monitorizarea sistematică a persoanelor, inclusiv a zonelor accesibile publicului;
4. categorii speciale de date și date privind condamnări penale și infracțiuni;
5. prelucrarea pe scară largă;
6. corelarea sau combinarea unor seturi de date, peste așteptările rezonabile ale persoanelor;
7. date ale persoanelor vulnerabile: copii, angajați în raport cu angajatorul, pacienți, vârstnici, solicitanți de azil;
8. utilizarea inovatoare sau aplicarea unor soluții tehnologice ori organizaționale noi;
9. prelucrarea care împiedică persoanele să-și exercite un drept sau să folosească un serviciu ori un contract.

Ce înseamnă „pe scară largă”

Exemple din lista CNPDCP

• Profilare și decizii automate: verificarea tranzacțiilor pentru detectarea fraudelor, evaluarea automată a personalului, sisteme de IA care selectează candidați sau stabilesc bonitatea.
• Date speciale pe scară largă: evidența medicală a pacienților, controlul accesului prin amprentă, recunoașterea facială în spații publice, date biometrice la care producătorul are acces de la distanță.
• Monitorizarea zonelor publice: supravegherea video în centre comerciale, stadioane, piețe, parcuri sau pe un campus universitar deschis publicului, supravegherea video „inteligentă”.
• Persoane vulnerabile: date ale copiilor, evaluarea elevilor în școli și grădinițe, evaluarea bonității vârstnicilor fără garanții suplimentare.
• Tehnologii noi: recunoașterea facială la intrare, IA pentru evaluarea persoanelor, recrutarea prin rețele sociale, dispozitive medicale implantate.
• Internetul lucrurilor: smart TV, vehicule conectate, contoare, jucării sau case inteligente.
• Date de trafic și localizare: analiza traficului în rețelele mobile, geolocalizarea pasagerilor, brățări de fitness, monitorizarea GPS a curierilor cu sancțiuni automate.

Lista CNPDCP nu este exhaustivă, iar exemplele au rol de orientare.

Evaluarea conține cel puțin: descrierea prelucrării și a scopurilor, analiza necesității și proporționalității, evaluarea riscurilor pentru persoane și măsurile de atenuare. Dacă riscul rămâne ridicat după aplicarea măsurilor, operatorul consultă CNPDCP înainte de a începe prelucrarea art. 36.

Responsabilul cu protecția datelor (DPO)

Desemnarea unui DPO este obligatorie când art. 37 alin. (1):

• prelucrarea este efectuată de o autoritate sau instituție publică, cu excepția instanțelor în activitatea de înfăptuire a justiției;
• activitățile principale constau în monitorizarea periodică și sistematică pe scară largă a persoanelor, de exemplu la operatorii de telecomunicații, în publicitatea comportamentală online sau la serviciile de pază cu supraveghere extinsă;
• activitățile principale constau în prelucrarea pe scară largă a datelor speciale sau penale, de exemplu în spitale, la asigurătorii de sănătate sau în laboratoare.

DPO-ul poate fi angajat propriu sau extern, prin contract de servicii. Un grup de întreprinderi sau mai multe instituții publice pot desemna un DPO comun. Datele de contact ale DPO se publică și se comunică CNPDCP art. 37 alin. (7).

DPO-ul trebuie implicat din timp, nu primește instrucțiuni privind îndeplinirea sarcinilor, nu poate fi sancționat pentru îndeplinirea lor, raportează direct conducerii la cel mai înalt nivel și nu trebuie să se afle în conflict de interese art. 38. Sarcinile sale sunt: informarea și consilierea, monitorizarea conformității, avizarea evaluărilor de impact și cooperarea cu CNPDCP art. 39.

Persoanele împuternicite (furnizorii)

Lucrează doar cu furnizori care oferă garanții suficiente și încheie cu ei un contract scris, care poate fi și electronic. Contractul stabilește obiectul, durata, natura și scopul prelucrării, tipurile de date și categoriile de persoane art. 28. Furnizorul se obligă:

• să prelucreze datele numai pe baza instrucțiunilor documentate ale operatorului;
• să asigure confidențialitatea personalului;
• să aplice măsurile de securitate prevăzute la art. 32;
• să nu angajeze subcontractanți fără autorizarea scrisă a operatorului;
• să asiste operatorul la cererile persoanelor, la incidente și la evaluările de impact;
• să șteargă sau să returneze datele la încetarea contractului;
• să permită audituri și inspecții.

CNPDCP poate aproba clauze contractuale standard pentru acest tip de contract art. 28 alin. (7). Pentru furnizorii din state fără nivel adecvat de protecție, contractul standard din Ordinul nr. 31/2026 (modulele 2 și 3) acoperă atât transferul, cât și cerințele art. 28. Un furnizor care stabilește el însuși scopurile și mijloacele prelucrării devine operator pentru acea prelucrare art. 28 alin. (9).

Transferurile de date în străinătate

Către alte state sau organizații internaționale, datele pot fi transferate numai dacă se respectă condițiile din capitolul V art. 44:

1. Decizie de adecvare a CNPDCP, adică statul figurează pe lista statelor care asigură un nivel adecvat de protecție art. 45. Lista în vigoare este aprobată prin Decizia CNPDCP nr. 41 din 20.08.2026 și cuprinde: Andorra, Argentina, Canada (organizațiile comerciale), Insulele Feroe, Guernsey, Israel, Insula Man, Japonia, Jersey, Noua Zeelandă, Republica Coreea, Elveția, Uruguay, Regatul Unit, Brazilia și Organizația Europeană de Brevete.
2. Garanții adecvate: clauze contractuale standard aprobate de CNPDCP sau adoptate de Comisia Europeană (contractul standard al CNPDCP este aprobat prin Ordinul nr. 31/2026), reguli corporatiste obligatorii aprobate, coduri de conduită sau certificări, ori clauze autorizate de Centru art. 46–47.
3. Derogări pentru situații specifice, cum ar fi consimțământul explicit după informarea privind riscurile, executarea unui contract sau apărarea unui drept în instanță. Ele se aplică restrictiv, nu pentru transferuri repetitive art. 49.

Contractul standard pentru transferuri (Ordinul nr. 31/2026)

Pentru transferurile către state care nu asigură un nivel adecvat de protecție, Ordinul CNPDCP nr. 31/2026, în vigoare din 23.08.2026, aprobă un contract standard care preia clauzele contractuale standard ale UE (Decizia (UE) 2021/914). El înlocuiește contractul aprobat prin Ordinul nr. 33/2022, abrogat. De reținut:

• are patru module, după rolul părților: operator → operator, operator → persoană împuternicită, persoană împuternicită → persoană împuternicită, persoană împuternicită → operator;
• clauzele nu pot fi modificate. Se aleg modulele potrivite și se completează anexele: descrierea transferului, măsurile de securitate și lista subcontractanților. Contractul poate face parte dintr-un contract mai amplu, cu clauze suplimentare care nu îl contrazic;
• se încheie în scris, pe hârtie sau ca document electronic cu semnătură electronică avansată calificată, în limba română și/sau engleză;
• părțile evaluează și documentează legislația și practicile statului de destinație, inclusiv accesul autorităților publice la date, și pun evaluarea la dispoziția autorității de supraveghere, la cerere (clauza 14);
• persoanele vizate pot invoca clauzele ca terți beneficiari. Se aplică legislația Republicii Moldova, iar litigiile se soluționează de instanțele din Moldova;
• CNPDCP poate dispune suspendarea transferurilor dacă importatorul nu respectă contractul sau este obligat de legea sa să nu-l respecte.

Verifică unde se află serverele furnizorilor tăi de e-mail, CRM, cloud, contabilitate sau marketing. Folosirea lor este, foarte des, un transfer internațional.

Investigațiile CNPDCP: ce trebuie să știți

Procedura este stabilită de Regulamentul privind efectuarea investigației, aprobat prin Ordinul CNPDCP nr. 48/2026 art. 77–85.

• Cum începe: la plângerea unei persoane, după examinarea preliminară, sau din oficiu, de exemplu în urma unei notificări de incident, a unor informații din presă sau internet, a sesizărilor altor autorități ori în cadrul unor audituri sectoriale. Organizația este informată în 5 zile lucrătoare de la dispoziția de inițiere.
• De regulă, în scris: Centrul cere mai întâi documente și explicații. Termenul de răspuns este de cel puțin 5 zile lucrătoare și poate fi prelungit cu încă 5, la cerere motivată.
• Cooperarea este obligatorie: lipsa răspunsului se ia în calcul la stabilirea amenzii art. 31, art. 82. Răspundeți factual și cu documente, chiar dacă acestea pot dovedi o încălcare. Nu puteți fi obligați însă să recunoașteți o încălcare.
• Controlul la fața locului are loc doar dacă documentele nu sunt suficiente. Îl efectuează cel puțin doi inspectori, cu o delegație semnată, în orele de program sau între 09:00 și 17:00. Domiciliul unei persoane fizice poate fi inspectat fără acordul ei doar cu mandat judecătoresc.
• Avocatul: puteți fi asistați de avocat, iar comunicările cu avocatul legate de apărare nu pot fi folosite ca probă.
• Măsuri provizorii: în cazurile cu risc, Centrul poate limita temporar sau interzice prelucrarea până la decizia finală. Actul se poate contesta în instanță în 30 de zile.
• Termene: investigația durează până la 6 luni, cu prelungiri de câte o lună, cel mult 12 luni. Proiectul de decizie vă este comunicat cu 30 de zile pentru obiecții, iar decizia se emite în 30 de zile după aceea și poate fi contestată direct în instanță art. 73.

Pregătiți din timp o persoană de contact pentru solicitările CNPDCP și țineți la zi documentele care demonstrează conformitatea: evidența prelucrărilor, politicile, evaluările de impact, contractele și registrul incidentelor.

Coduri de conduită și certificare

Asociațiile profesionale pot elabora coduri de conduită aprobate de CNPDCP, iar organizațiile pot obține certificări de protecție a datelor art. 40–43. Aderarea la acestea ajută la demonstrarea conformității și este luată în considerare la stabilirea amenzilor art. 87 alin. (2) lit. j).

Consimțămintele obținute în baza legii vechi

Dacă o prelucrare se bazează pe un consimțământ obținut în temeiul Legii nr. 133/2011, el rămâne valabil numai dacă modul în care a fost obținut respectă condițiile noii legi: liber, specific, informat, neechivoc și demonstrabil art. 90 alin. (8). Altfel, trebuie obținut un nou consimțământ sau identificat alt temei legal.

Deschide lista de verificare Vezi amenzile

DataProtection.md · dataprotection.md/ro/organizatii/ · Informație actualizată la 10 octombrie 2026
DataProtection.md este un portal informativ independent, neafiliat CNPDCP. Informațiile publicate nu constituie consultanță juridică. Textele oficiale ale actelor normative sunt disponibile în Monitorul Oficial și pe legis.md.