Articole

Noua lege privind protecția datelor cu caracter personal: amenzi de până la 2 milioane de lei — cum se poate proteja afacerea dumneavoastră. Ghid pas cu pas

Pe 23 august 2026, în Republica Moldova intră în vigoare Legea nr. 195/2024 privind protecția datelor cu caracter personal — versiunea națională a Regulamentului european (UE) 2016/679, cunoscut mai bine sub numele de GDPR. Pentru majoritatea companiilor care lucrează cu date ale clienților, angajaților sau partenerilor, aceasta nu este o formalitate, ci un nou set de obligații juridice reale, cu amenzi de până la 2.000.000 de lei sau 2% din cifra de afaceri anuală. În acest material analizăm ce cere legea în practică: pe cine vizează, ce documente sunt necesare, ce drepturi capătă clienții și angajații și ce se întâmplă în caz de încălcare.

Ce este GDPR și de ce a apărut în Moldova

GDPR (General Data Protection Regulation) este regulamentul Uniunii Europene, în vigoare din 2018, care a stabilit reguli unitare de prelucrare a datelor cu caracter personal pe teritoriul UE. Legea nr. 195/2024 precizează chiar în preambulul său că transpune Regulamentul (UE) 2016/679 în legislația moldovenească — cu alte cuvinte, preia logica și structura GDPR-ului european în dreptul național. Aceasta face parte dintr-un proces mai amplu de armonizare a legislației Moldovei cu dreptul UE, în cadrul procesului de integrare europeană. Legea înlocuiește precedenta Lege privind protecția datelor cu caracter personal nr. 133/2011, care era considerabil mai puțin strictă și nu corespundea standardelor actuale ale UE.

Cui i se aplică legea

Legea are un domeniu de aplicare mult mai larg decât s-ar putea crede. Conform articolului 3, ea se aplică:

• tuturor operatorilor și persoanelor care prelucrează date cu caracter personal și care se află fizic în Republica Moldova — indiferent unde are loc prelucrarea propriu-zisă a datelor;
• companiilor străine fără reprezentanță în Moldova, dacă acestea oferă bunuri sau servicii persoanelor vizate aflate în Moldova sau le monitorizează comportamentul (de exemplu, un magazin online din străinătate care livrează produse în Moldova și folosește pe site etichete publicitare pentru vizitatorii moldoveni).

Cu alte cuvinte, legea vizează nu doar companiile „tradiționale” înregistrate în Moldova, ci și orice afacere care lucrează online cu clienți din Moldova.

Este important să se înțeleagă diferența dintre cele două roluri-cheie:

• operatorul — cel care stabilește scopurile și mijloacele prelucrării datelor (de regulă, compania însăși);
• persoana împuternicită de operator — un contractant care prelucrează datele conform instrucțiunilor operatorului (de exemplu, un furnizor de CRM, un procesator de plăți, o firmă de contabilitate externalizată).

Ce date protejează legea

Datele cu caracter personal reprezintă orice informație despre o persoană fizică identificată sau identificabilă: nume, telefon, adresă, adresă IP, identificator online (de exemplu, un cookie), fotografie, date de localizare și așa mai departe.

Legea evidențiază separat categoriile speciale de date (art. 9) — apartenența rasială/națională, opiniile politice, convingerile religioase, datele privind sănătatea, datele biometrice și genetice, informațiile despre viața intimă sau orientarea sexuală. Prelucrarea acestora este, în principiu, interzisă și este permisă doar dacă există unul dintre temeiurile enumerate expres în lege — de regulă, consimțământul explicit al persoanei vizate.

Temeiurile juridice pentru prelucrarea datelor

O companie nu poate prelucra date cu caracter personal „pur și simplu pentru că are nevoie”. Articolul 6 din lege enumeră o listă exhaustivă de temeiuri legale, printre care:

• consimțământul persoanei vizate;
• necesitatea pentru executarea unui contract cu persoana vizată;
• îndeplinirea unei obligații legale a operatorului;
• protejarea intereselor vitale ale persoanei vizate;
• interesul legitim al operatorului sau al unui terț (dacă acesta nu prevalează asupra drepturilor persoanei vizate).

Prelucrarea fără cel puțin unul dintre aceste temeiuri reprezintă o încălcare directă a legii, indiferent cât de „inofensiv” pare scopul.

Ce drepturi capătă persoanele vizate

Legea acordă clienților, angajaților și oricăror alte persoane vizate un set concret de drepturi (capitolul III din lege), pe care compania este obligată să le poată realiza în termen de o lună de la data cererii:

• dreptul de acces — de a afla ce date despre ea sunt prelucrate și în ce scop;
• dreptul la rectificarea datelor inexacte;
• dreptul la ștergerea datelor („dreptul de a fi uitat”) — în anumite cazuri;
• dreptul la restricționarea prelucrării;
• dreptul la portabilitatea datelor — de a primi propriile date într-un format care poate fi citit automat;
• dreptul de opoziție față de prelucrare, inclusiv față de marketingul direct — în orice moment și „dintr-un singur click”;
• dreptul de a nu fi supusă unor decizii bazate exclusiv pe prelucrare automatizată (profilare), dacă acestea produc efecte juridice.

Refuzul sau lipsa de reacție la o astfel de cerere reprezintă un temei de sine stătător pentru o plângere la Centrul Național pentru Protecția Datelor cu Caracter Personal.

Ce cere legea de la afaceri, în practică

Conformitatea cu legea nu înseamnă un singur document, ci un sistem. Setul minim practic pe care ar trebui să îl aibă majoritatea companiilor:

1. Registrul activităților de prelucrare a datelor cu caracter personal (art. 30) — lista proceselor, categoriilor de date, temeiurilor, termenelor de păstrare.
2. O politică de confidențialitate care respectă cerințele art. 12–14: cine este operatorul, ce date sunt prelucrate și în ce scop, cine sunt destinatarii, ce drepturi are persoana vizată.
3. Temeiuri juridice și formulare de consimțământ — distincte, exprimate în mod clar, ușor de retras (art. 7).
4. Măsuri tehnice și organizatorice de securitate (art. 32) — delimitarea accesului, criptare, copii de rezervă.
5. Un regulament de reacție la incidente — obligația de a notifica Centrul cu privire la o încălcare a securității datelor în termen de 72 de ore (art. 33).
6. Contracte cu persoanele care prelucrează date (art. 28) — furnizori de CRM, sisteme de plată, contabilitate externalizată, hosting etc.
7. Evaluarea necesității de a numi un DPO — responsabil cu protecția datelor (art. 37–39, detaliat mai jos).

Are compania nevoie de DPO (responsabil cu protecția datelor)

Una dintre cele mai frecvente întrebări din partea afacerilor este dacă DPO este obligatoriu. Legea răspunde la aceasta în articolul 37: DPO este obligatoriu dacă societatea este o autoritate publică, sau dacă activitatea sa principală constă în monitorizarea sistematică și pe scară largă a persoanelor vizate, ori în prelucrarea pe scară largă a categoriilor speciale de date (sănătate, date biometrice etc.).

Pentru majoritatea companiilor mici și mijlocii, aceste criterii nu sunt îndeplinite, iar DPO nu este obligatoriu în mod formal — însă lipsa acestei necesități ar trebui totuși consemnată în scris, pentru ca societatea să dispună de o justificare în cazul unui control.

Dacă DPO este totuși necesar, legea nu impune ca acesta să fie angajat cu contract de muncă: DPO poate activa în baza unui contract de prestări servicii, adică externalizat (art. 37 alin. (6)). Cerința esențială privind DPO este să aibă cunoștințe profesionale în domeniul dreptului și al practicii protecției datelor (art. 37 alin. (5)) și să fie independent în îndeplinirea sarcinilor sale (art. 38 alin. (3)).

Centrul Național pentru Protecția Datelor cu Caracter Personal

Supravegherea respectării legii este exercitată de Centrul Național pentru Protecția Datelor cu Caracter Personal — autoritate publică independentă (art. 55–71).

Centrul are dreptul:

• să efectueze investigații și controale la fața locului (art. 60, 81);
• să solicite documente și acces la sistemele de prelucrare a datelor;
• să emită avertismente și dispoziții;
• să aplice amenzi (art. 86–88);
• să examineze plângerile persoanelor vizate (art. 72).

Separat, legea prevede un mecanism de consultare prealabilă cu Centrul (art. 36) — dacă evaluarea impactului asupra protecției datelor (DPIA) arată un risc ridicat pe care compania nu îl poate reduce singură, aceasta este obligată să se consulte cu Centrul înainte de a începe prelucrarea respectivă.

Amenzile pentru încălcarea legii

Articolul 88 din lege prevede două niveluri de amenzi:

• până la 1.000.000 de lei sau până la 1% din cifra de afaceri anuală a întreprinderii (în funcție de care valoare este mai mare) — pentru încălcarea obligațiilor operatorului privind aspectele organizatorice (de exemplu, documentație necorespunzătoare, lipsa unui acord de prelucrare a datelor cu împuterniciții);
• până la 2.000.000 de lei sau până la 2% din cifra de afaceri anuală — pentru încălcarea principiilor fundamentale ale prelucrării, a drepturilor persoanelor vizate, a regulilor privind transferul transfrontalier de date sau pentru neexecutarea dispozițiilor Centrului.

La stabilirea cuantumului amenzii, Centrul ia în considerare (art. 87) natura și gravitatea încălcării, intenția sau neglijența, măsurile luate pentru reducerea prejudiciului, gradul de cooperare cu Centrul și încălcările anterioare — cu alte cuvinte, comportamentul de bună-credință al companiei și existența unui plan documentat de remediere influențează semnificativ cuantumul final al sancțiunii.

Când intră legea în vigoare și ce trebuie făcut în perioada de tranziție

Legea intră în vigoare la 23 august 2026 — la 24 de luni de la publicarea în Monitorul Oficial (art. 89 alin. (1)). Dispozițiile tranzitorii (art. 90) stabilesc, printre altele, aplicarea etapizată a amenzilor: în primul an de la intrarea în vigoare — 10% din cuantumul amenzii stabilite, în al doilea an — 40%, iar din al treilea an — cuantumul integral. Aceasta oferă afacerilor o anumită marjă de timp pentru remedierea neconformităților chiar și după intrarea în vigoare a legii, dar nu scutește de necesitatea pregătirii din timp — conformitatea cu celelalte cerințe (documentație, drepturile persoanelor vizate, registrul de prelucrare) se aplică integral din prima zi.

Întrebări frecvente

Legea se aplică întreprinzătorilor individuali? Da, dacă întreprinzătorul individual prelucrează date cu caracter personal ale clienților, angajaților sau partenerilor în cadrul activității comerciale — legea nu face excepție în funcție de forma organizatorico-juridică.

Este necesar consimțământul clientului pentru orice prelucrare a datelor? Nu. Consimțământul este doar unul dintre cele șase temeiuri legale (art. 6). De exemplu, prelucrarea datelor necesară pentru executarea unui contract cu clientul nu necesită un consimțământ separat — dar necesită informarea clară a clientului cu privire la aceasta.

Ce se întâmplă dacă o companie nu apucă să se pregătească până la 23 august 2026? Formal, legea începe să se aplice integral de la această dată. Dispozițiile tranzitorii atenuează doar cuantumul amenzilor bănești în primii doi ani, dar nu anulează celelalte competențe ale Centrului — avertismente, dispoziții, restricții temporare privind prelucrarea datelor.

Este suficient să copiem un model de politică de confidențialitate găsit pe internet? Nu. Politica de confidențialitate trebuie să reflecte procesele reale ale companiei concrete — formularele de colectare a datelor utilizate, destinatarii concreți (inclusiv contractanții din străinătate), termenele efective de păstrare. Un model-tip, neadaptat la realitatea afacerii, poate constitui el însuși un temei pentru sesizări din partea Centrului.

BAA Legitimus asistă afacerile în procesul de conformare cu Legea nr. 195/2024 — de la auditul proceselor actuale până la elaborarea pachetului complet de documente și asistență juridică de abonament. Contactați-ne pentru a discuta de ce anume are nevoie compania dumneavoastră.