Articole

Legea privind Protecția Datelor cu Caracter Personal intră în vigoare. Am auditat mai multe companii din Moldova — iată ce am găsit

Pe 23 august 2026, Republica Moldova aliniază legislația la standardele europene: intră în vigoare Legea nr. 195/2024 privind protecția datelor cu caracter personal, versiunea locală a GDPR. Amenzile ajung până la 2.000.000 de lei sau 2% din cifra de afaceri anuală — se aplică suma mai mare (art. 88).

În ultimele luni am auditat mai multe companii mici și mijlocii — servicii, retail, vânzări online. Nu am lucrat doar cu documente; am mers la fața locului și am vorbit cu oamenii care ating efectiv datele clienților în fiecare zi: operatori, manageri, echipa IT.

Tabloul se repetă aproape identic de la o companie la alta. Iată ce am găsit cel mai des (detaliile sunt modificate, fără a identifica firmele reale).

1. Datele clienților ies din Moldova fără ca nimeni să-și dea seama. Cazul tipic: firma folosește un CRM găzduit pe servere într-o țară din afara Spațiului Economic European, pentru care Centrul de protecție a datelor nu a recunoscut un nivel adecvat de protecție. Practic, la fiecare comandă nouă compania trimite date acolo unde legea (cap. V) nu permite acest lucru fără garanții suplimentare. Pentru antreprenor, asta nu e „transfer internațional de date" — e doar „programul cu care lucrăm de ani de zile".

2. Calendarul de lucru trăiește pe telefonul personal al angajatului. Adresele și programările clienților apar în Google Calendar personal, nu într-un sistem al firmei. Compania nu poate nici controla, nici șterge aceste date când angajatul pleacă. Aceeași poveste cu adresele trimise prin Viber sau Telegram personal — fără un canal unic, oficial.

3. Politica de confidențialitate e scrisă pentru legea veche — sau, adesea, generată rapid cu ChatGPT. A existat pe hârtie doar ca să treacă de banca ce procesează plățile online. Nu descrie ce date se colectează azi, nu acoperă cerințele noii legi și nu corespunde formularelor reale de pe site.

4. Fiecare formular de pe site adună date, dar niciunul nu cere consimțământ. Comandă, apel invers, aplicare la job, abonare — fiecare are câmpurile lui, dar nicăieri nu apare o bifă de acord sau un link către politică. În paralel, site-urile rulează Google Ads și analytics fără banner de cookie-uri, deci colectează identificatori online fără temei legal.

5. Niciun contract cu furnizorii nu menționează prelucrarea datelor. Procesatori de plăți, contabilitate externă, hosting, parteneri de loialitate — relații vechi, fără niciun acord conform art. 28. Argumentul e mereu același: „lucrăm cu ei de mult".

Cifrele spun totul

Un audit standard la o firmă mică sau mijlocie scoate la iveală 6–9 breșe serioase, fiecare sancționabilă separat. Nicăieri nu a fost vorba de rea-credință — doar de procese construite ani de zile pe principiul „dacă merge, nu te atinge de el", fără nicio revizuire juridică.

Ce se poate face

Vestea bună: majoritatea problemelor se rezolvă fără să oprești nimic din activitate. Nu e nevoie să reconstruiești totul — ai nevoie de ordinea corectă: 2-3 lucruri de rezolvat imediat (acolo stă riscul cel mai mare), restul poate avansa în paralel, într-o lună, iar contractele cu furnizorii se renegociază pe rând.

Timpul se scurtează. De la 23 august 2026, Centrul de protecție a datelor va putea controla și amenda direct, iar „nu am știut" nu va mai conta ca scuză.

BAA Legitimus ajută companiile să se alinieze Legii nr. 195/2024 — de la un audit rapid până la pachetul complet de documente și consultanță juridică continuă. Vrei să știi câte breșe ar găsi un audit la tine în firmă? Scrie-ne.