Часто задаваемые вопросы

Только если есть правовое основание (ст. 6) и если данные действительно необходимы для цели. IDNP, а также серия удостоверения личности являются «национальными идентификационными номерами», а копирование документа, удостоверяющего личность, является их обработкой ст. 53.

• Как правило, обоснованно: банки и другие субъекты, обязанные по законодательству о предупреждении отмывания денег, нотариусы, операторы связи при заключении договора, гостиницы в той мере, в какой закон требует от них учёта проживающих, работодатель для личного дела.
• Трудно обосновать: карта лояльности, участие в рекламном конкурсе, доступ в офисное здание, где достаточно визуальной проверки документа или пропуска посетителя.

Вы можете спросить, на каком основании требуется копия, как долго она хранится и у кого есть к ней доступ. Ответ должен содержаться в информационном уведомлении ст. 13.

Может — для законных целей, таких как безопасность людей и имущества, но с соблюдением принципов необходимости и соразмерности ст. 5:

• работники должны быть заранее проинформированы, а зоны наблюдения обозначены ст. 13;
• камеры не устанавливаются в раздевалках, туалетах, зонах отдыха и других помещениях, где ожидается приватность;
• непрерывное наблюдение за каждым работником в офисе без серьёзной причины, как правило, несоразмерно;
• записи хранятся в течение короткого, установленного и обоснованного срока, а затем автоматически удаляются;
• доступ к записям ограничивается назначенными лицами.

Видеонаблюдение за работниками, как правило, соответствует двум критериям НЦЗПД: систематический мониторинг и данные уязвимых лиц, то есть работников по отношению к работодателю. Если применимы два критерия, оценка воздействия обязательна (Приказ НЦЗПД № 27/2022, п. 3). Проверьте также положения Трудового кодекса и правила внутреннего распорядка.

Деятельность «исключительно личного или домашнего характера» не подпадает под действие закона ст. 2 ч. (2) п. b). Однако, согласно европейской судебной практике, на которую опирается закон, камера, снимающая также общественное пространство или чужую собственность, например улицу, лестничную клетку дома или двор соседа, выходит за рамки домашнего исключения. В этом случае необходимо соблюдать правила закона: законная цель, угол обзора, ограниченный строго необходимым, информирование и срок хранения.

Рекомендация: направляйте камеру только на свою собственность и избегайте записи звука. Решение об установке камер в местах общего пользования дома принимает ассоциация собственников (жильцов) с информированием жильцов.

С 14 лет — в отношении услуг информационного общества, предлагаемых непосредственно детям, когда обработка основана на согласии: социальные сети, игры, приложения. До 14 лет согласие даётся или одобряется родителем либо опекуном, а оператор должен прилагать разумные усилия, чтобы это проверить ст. 8. Собранные таким образом данные могут быть удалены по запросу ст. 17 ч. (1) п. f).

Публикация в социальных сетях фотографий, на которых ребёнка можно идентифицировать, не является необходимой для образовательного процесса. Поэтому, как правило, для неё требуется согласие родителя, которое должно быть отдельным, конкретным и легко отзываемым ст. 6, ст. 7. Вы можете отказаться без последствий для ребёнка и в любой момент отозвать своё согласие, потребовав удалить фотографии ст. 17.

Прямой маркетинг определяется в законе как прямое рекламное сообщение по телефону, почте или иным способом ст. 4. Вы можете возразить в любой момент и безусловно, а после возражения данные больше не могут использоваться для этой цели ст. 21 ч. (2)–(3). Вы также можете потребовать сообщить, откуда был получен ваш номер ст. 15 ч. (1) п. g). Кроме того, Закон об электронных коммуникациях требует предварительного согласия для автоматических звонков, факсов, рекламных e-mail и SMS, а другие нежелательные коммерческие сообщения также не допускаются без согласия абонента. Исключение: продавец, у которого вы совершили покупку, может направлять вам по e-mail предложения аналогичных товаров, если при сборе контакта и в каждом сообщении вам дана возможность бесплатно отказаться. Сообщения со скрытым отправителем или без адреса для отписки запрещены Закон № 72/2025, ст. 124. Воспользуйтесь генератором запросов, вариант «Стоп маркетинг». Если звонки продолжаются, подайте жалобу в НЦЗПД.

Закон об электронных коммуникациях устанавливает для этих поставщиков специальные правила Закон № 72/2025, гл. XVIII:

• содержание звонков и сообщений конфиденциально. Прослушивание, запись или перехват без вашего согласия запрещены, за исключением случаев, предусмотренных законом ст. 116 ч. (1)–(2);
• данные о трафике (кто, когда, сколько длился разговор) удаляются или обезличиваются, когда они больше не нужны. Для выставления счетов они могут храниться до истечения срока оспаривания счёта. Для маркетинга или дополнительных услуг поставщику нужно ваше согласие, которое вы можете отозвать в любой момент ст. 117;
• данные о местоположении используются только в обезличенном виде или с вашего согласия для дополнительной услуги, и вы можете бесплатно отказаться в любой момент ст. 120;
• для компетентных органов поставщики хранят данные, позволяющие установить источник, адресата, дату, продолжительность и местоположение связи: 12 месяцев для телефонии и 6 месяцев для интернета, после чего уничтожают их. Доступ органов допускается только в порядке, установленном законом ст. 125.

Вы также вправе получать счета без детализации ст. 118, бесплатно скрывать свой номер при каждом звонке ст. 119, бесплатно блокировать автоматическую переадресацию звонков третьих лиц на ваш телефон ст. 122 и бесплатно решать, включать ли вас в публичные списки абонентов ст. 123. В отношении своих данных вы можете направить поставщику запрос на доступ.

Взыскание долга может основываться на договоре или законном интересе. Тем не менее разглашение факта наличия долга третьим лицам (родственникам, коллегам, работодателю, соседям), как правило, нарушает принципы минимизации данных и конфиденциальности ст. 5. Вы можете запросить доступ к данным, которыми располагает коллектор, и к их источнику, возразить против обработки и подать жалобу в НЦЗПД. Деятельность по взысканию долгов регулируется также специальным законодательством.

Данные о здоровье относятся к специальной категории ст. 9. Работодатель может обрабатывать только то, что необходимо для выполнения обязанностей в области трудового права и социального страхования, например больничный лист или заключение о профпригодности, выданное службой медицины труда. Как правило, диагноз ему не нужен. Эти документы хранятся отдельно, с ограниченным доступом.

Публичные органы обрабатывают данные на основании правовых обязательств или общественного интереса, предусмотренного законом. Они не могут ссылаться на законный интерес ст. 6 ч. (3)–(4). Раскрытие данных по запросам о доступе к информации, представляющей общественный интерес, осуществляется в соответствии с Законом № 148/2023, но не в отношении специальных данных (здоровье, этническая принадлежность, религия и т. д.) ст. 52. Публикация на сайте должна ограничиваться тем, что требует закон. Адрес, IDNP или подпись, как правило, не публикуются.

К обработке в журналистских, академических, художественных или литературных целях закон не применяется при одновременном соблюдении трёх условий: есть намерение опубликовать материал, тема представляет общественный интерес, а применение закона было бы несовместимо с журналистской целью. НЦЗПД не осуществляет надзор за такой обработкой, но вы можете обратиться в суд и потребовать возмещения ущерба, если эти пределы превышены ст. 51.

Нет. Закон не применяется к данным умерших лиц ст. 2 ч. (2) п. d), за исключением правил о доступе к информации, представляющей общественный интерес (ст. 52). Другие нормы, например о врачебной тайне или о защите частной жизни родственников, могут продолжать применяться.

Предварительное рассмотрение длится 30 дней. Если начинается расследование, вас уведомляют в течение 5 рабочих дней. Расследование длится до 6 месяцев и может продлеваться каждый раз на месяц, но не более чем до 12 месяцев; о каждом продлении вас также уведомляют в течение 5 рабочих дней. Затем следует проект решения с 30 днями на возражения и само решение, выносимое не позднее чем через 30 дней ст. 80–84 (Приказ НЦЗПД № 48/2026).

Вы можете ознакомиться с материалами дела в помещении Центра. Если в течение 3 месяцев вас не информируют о ходе рассмотрения, бездействие можно обжаловать непосредственно в суде ст. 73. См. Как подать жалобу.

Нет. Система уведомления и Реестр операторов, предусмотренные Законом № 133/2011, больше не существуют. Вместо этого вы должны вести внутренний учёт (реестр) операций по обработке ст. 30 и предоставлять его по запросу Центра. НЦЗПД необходимо информировать в особых ситуациях: о контактных данных DPO (ст. 37 ч. (7)), об инцидентах безопасности — по обязательной типовой форме, утверждённой Приказом № 40/2026 (ст. 33), — и при предварительной консультации (ст. 36).

Как правило, нет. DPO обязателен только для публичных органов и учреждений, при систематическом крупномасштабном мониторинге и при крупномасштабной обработке специальных данных или данных об уголовных делах ст. 37. Небольшой стоматологический кабинет или местный магазин не обрабатывают данные «в крупном масштабе», а сеть клиник или крупная онлайн-платформа, как правило, обрабатывают. Закон не устанавливает числового порога «крупного масштаба» для DPO. Пороги из Приказа НЦЗПД № 27/2022 (5 000, 10 000 и 50 000 человек) относятся к оценке воздействия, но могут служить ориентиром. Даже без DPO кто-то в организации должен заниматься защитой данных.

Проверьте планируемую обработку по девяти критериям Приказа НЦЗПД № 27/2022, таким как профилирование, систематический мониторинг, специальные данные, крупный масштаб, уязвимые лица или новые технологии. Если применимы два и более, оценка обязательна. Если вы всё же решаете её не проводить, обоснуйте решение внутренним актом ст. 35.

Для «крупного масштаба» Приказ устанавливает пороги: 5 000 человек для специальных данных, 10 000 для данных высокого риска (платежи, карты, геолокация) и 50 000 для любых других данных. Полный перечень критериев и примеров — в руководстве для организаций.

В Молдове применяется Закон № 195/2024, построенный по модели GDPR. GDPR как европейский регламент применяется к молдавской компании напрямую, если она предлагает товары или услуги лицам, находящимся в ЕС, либо отслеживает их поведение (ст. 3 ч. (2) GDPR), например интернет-магазин с доставкой в Румынию или IT-компания, анализирующая пользователей из ЕС. В этом случае компания должна соблюдать оба режима и, как правило, назначить представителя в ЕС.

Да, но это зависит от страны, где обрабатываются данные:

• Государства ЕЭЗ (ЕС, Исландия, Лихтенштейн, Норвегия): правила о передаче данных не применяются, разрешение не требуется ст. 44 ч. (2).
• Государства с адекватным уровнем защиты согласно Решению НЦЗПД № 41/2026: например Великобритания, Швейцария, Япония, Канада (коммерческие организации), Израиль, Республика Корея или Бразилия. Передача не требует разрешения ст. 45.
• Другие государства, включая США, которые не включены в Решение № 41/2026: необходимы надлежащие гарантии — как правило, типовой договор по Приказу № 31/2026 или стандартные условия Европейской комиссии ст. 46, а также задокументированная оценка законодательства государства назначения.

Договоры по прежнему образцу из Приказа № 33/2022, утратившего силу 23.08.2026, необходимо обновить. Проверяйте, где находятся серверы поставщиков, а не только их юридический адрес.

Файлы cookie и другие инструменты отслеживания, идентифицирующие посетителей, например аналитические, рекламные или пиксели социальных сетей, предполагают обработку персональных данных и требуют правового основания. Для отслеживания в маркетинговых целях таким основанием на практике является согласие, которое должно быть свободным, а отказаться от него должно быть так же легко, как и дать его ст. 7. Строго необходимые для работы сайта cookie не требуют согласия, но должны быть упомянуты в политике конфиденциальности. Отдельно Закон об электронных коммуникациях допускает хранение информации на устройстве посетителя или доступ к ней только если он получил ясную и полную информацию о целях. Исключение составляют операции, строго необходимые для передачи сообщения или для услуги, прямо запрошенной пользователем Закон № 72/2025, ст. 116 ч. (5)–(6). Подробнее — в руководстве для организаций.

Загрузка персональных данных во внешний сервис ИИ является обработкой. Зачастую она предполагает также участие уполномоченного оператором лица (обработчика) и трансграничную передачу данных. Необходимы правовое основание, договор в соответствии со ст. 28 и информирование лиц. Если сервис обрабатывает данные за пределами ЕЭЗ, например в США, которые не включены в Решение НЦЗПД № 41/2026, передача требует надлежащих гарантий — как правило, типового договора по Приказу № 31/2026 или стандартных условий Европейской комиссии (см. вопрос об облачных сервисах). Перечень НЦЗПД операций, требующих оценки воздействия, прямо упоминает системы ИИ, которые отбирают кандидатов, оценивают людей или определяют кредитоспособность. Установите внутреннюю политику: какие инструменты одобрены и какие данные никогда не вводятся, например специальные данные, IDNP и финансовые данные.

Закон не устанавливает фиксированных сроков. Данные хранятся только столько, сколько необходимо для цели ст. 5 ч. (1) п. e). Конкретные сроки вытекают из специального законодательства, например налогового, бухгалтерского, трудового или архивного, либо из внутреннего анализа необходимости. Они указываются в учёте (реестре) операций по обработке и в информационном уведомлении.

Да. Закон применяется к любому юридическому лицу, которое обрабатывает персональные данные, независимо от того, ведёт ли оно коммерческую деятельность. НКО, обрабатывающие специальные данные о членах, например религиозные, профсоюзные или политические, пользуются особым исключением при условии, что они не передают данные третьим лицам без согласия ст. 9 ч. (2) п. d). Штрафы для «предприятий» рассчитываются исходя из оборота организаций, осуществляющих экономическую деятельность ст. 4.