Legea explicată o dată, într-un singur loc.

Ce s-a schimbat la 23 august 2026

Legea nr. 195/2024 privind protecția datelor cu caracter personal a fost publicată în Monitorul Oficial nr. 367–369 și se aplică integral din 23 august 2026. La aceeași dată, Legea 133/2011 a fost abrogată: nu mai există un regim de tranziție în care un dosar întocmit sub legea veche să fie suficient.

Diferența practică nu este de vocabular. Regimul anterior se rezuma, pentru majoritatea companiilor, la o formalitate făcută o dată. Legea nouă cere o dovadă permanentă: trebuie să puteți arăta, în orice moment, ce date prelucrați, pe ce bază legală, cât timp le păstrați și cui le transmiteți. Documentul central nu este un formular depus cândva, ci un registru ținut la zi.

Perioada de pregătire s-a încheiat. Ce a rămas este aplicarea graduală a sancțiunilor, descrisă mai jos, care reduce cuantumul amenzii — nu obligația.

Cui se aplică: operator și împuternicit

Legea nu se adresează doar companiilor mari. Se aplică oricui decide ce se face cu datele unor persoane fizice — angajați, candidați, clienți, furnizori, vizitatori. Acela este operatorul, și calitatea nu depinde de numărul de angajați.

Cine prelucrează date în numele altcuiva este împuternicit: contabilul extern, furnizorul de salarizare, platforma de facturare, firma care administrează supravegherea video, agenția care trimite newsletterul. Articolul 28 cere ca relația dintre operator și împuternicit să fie stabilită printr-un acord de prelucrare scris, care fixează obiectul, durata, natura și scopul prelucrării, categoriile de date și obligațiile împuternicitului.

Pentru un birou de contabilitate sau de avocatură consecința este dublă: este operator pentru datele propriilor angajați și clienți, și împuternicit pentru datele pe care le prelucrează în numele clienților. Ambele calități cer documente, iar documentele nu sunt aceleași.

Ce documente trebuie să existe

Patru piese formează minimul de la care poate porni o discuție cu autoritatea.

• Registrul activităților de prelucrare — articolul 30. Fiecare activitate, de la salarizare și recrutare la facturare, supraveghere video și marketing, cu scopul, baza legală, categoriile de persoane vizate și de date, destinatarii, termenul de păstrare și măsurile de securitate. Este documentul din care se nasc toate celelalte.
• Nota de informare. Textul pe care îl primește persoana vizată înainte sau în momentul colectării: cine prelucrează, în ce scop, pe ce bază, cât timp, cui se transmite, ce drepturi are și cum le exercită.
• Consimțământul, acolo unde el este baza legală. Trebuie să fie liber, specific, informat și retractabil, iar retragerea trebuie să fie la fel de simplă ca acordarea. Consimțământul nu este baza potrivită pentru salarizare sau pentru obligațiile contabile: acolo baza este legea sau contractul.
• Acordul de prelucrare cu fiecare împuternicit, potrivit articolului 28.

Un registru completat cu grijă face restul aproape mecanic: nota de informare și acordul de prelucrare repetă, în alt format și pentru alt cititor, informația deja consemnată în registru. Aceasta este și logica platformei: chestionarul construiește registrul, iar documentele se generează din registru.

Când este obligatoriu un responsabil cu protecția datelor

Articolele 37–39 reglementează desemnarea, statutul și atribuțiile responsabilului cu protecția datelor. Obligația nu este generală: ea apare în cazurile prevăzute de lege, iar în afara lor desemnarea rămâne o opțiune. Când obligația există, ea nu se epuizează cu numirea. Responsabilul trebuie să poată raporta la nivelul cel mai înalt de conducere, să nu primească instrucțiuni privind modul de îndeplinire a atribuțiilor și să nu fie sancționat pentru exercitarea lor; datele lui de contact se publică și se comunică autorității.

Recomandarea practică este simplă: decideți explicit, în scris, dacă vă încadrați, și păstrați motivarea. O decizie documentată de a nu desemna un responsabil este o poziție care se poate apăra. Absența oricărei analize nu este.

Drepturile persoanei vizate și termenul de 30 de zile

Persoana vizată are dreptul de acces la datele sale, de rectificare, de ștergere, de restricționare a prelucrării, de opoziție și de portabilitate. O cerere poate veni pe orice canal — e-mail, scrisoare, formular de pe site — și termenul de răspuns este de 30 de zile.

Termenul curge indiferent dacă cererea a fost recunoscută ca atare la primire. De aceea riscul real nu este refuzul, ci cererea rămasă într-o cutie poștală comună. Două măsuri reduc acest risc aproape complet: o adresă unică pentru cererile privind datele personale și un registru în care fiecare cerere primește o dată de intrare și o scadență. În PrivacyBox MD, cronometrul de 30 de zile și avertizările la șapte, trei și o zi înainte de scadență intră în producție cu etapa F2.

Incidentele și cele 72 de ore

Un incident de securitate care afectează date personale se notifică autorității — Centrul Național pentru Protecția Datelor cu Caracter Personal — în cel mult 72 de ore din momentul constatării, nu din momentul producerii. Notificarea se face pe formularul aprobat prin Ordinul 40/2026.

Două detalii decid dacă notificarea este valabilă. Primul: formularul trebuie semnat cu semnătură electronică calificată. Potrivit Legii 124/2022, doar semnătura electronică calificată este echivalentă semnăturii olografe; o semnătură simplă sau o scanare nu produce același efect. Al doilea: cele 72 de ore includ weekendul. Un incident constatat vineri seara are termenul luni seara.

Pregătirea utilă se face înainte, nu în cele 72 de ore: cine constată, cine decide, cine semnează și de pe ce dispozitiv. O procedură de o pagină și un instrument de semnare care funcționează valorează mai mult decât orice document redactat sub presiune.

Securitatea prelucrării, articolul 32, în termeni practici

Articolul 32 cere măsuri tehnice și organizatorice adecvate riscului. Legea nu impune o listă de produse, dar în practică patru întrebări acoperă cea mai mare parte a discuției.

• Cine are acces la ce date, și cum se retrage accesul când cineva pleacă din companie?
• Datele sunt cifrate în repaus și în tranzit, iar copiile de rezervă sunt testate prin restaurare, nu doar create?
• Există o urmă a operațiunilor — cine a văzut, cine a modificat, cine a exportat — care nu poate fi rescrisă discret?
• Furnizorii cu acces la date sunt cunoscuți, contractați și enumerați într-o listă care se poate arăta?

Măsura adecvată se justifică prin risc, nu prin buget. Un registru de acces ținut într-un fișier partajat, fără versionare și fără istoric, este greu de apărat la un control.

Sancțiunile și aplicarea graduală

Plafonul amenzii pentru încălcările grave este de 2.000.000 MDL sau 2 % din cifra de afaceri anuală, aplicându-se suma mai mare. Legea prevede însă o aplicare graduală a cuantumului: până la 23 august 2027 se aplică 10 % din suma calculată, în intervalul următor 40 %, iar ulterior 100 %.

Reducerea privește cuantumul, nu obligația. O încălcare constatată în această perioadă rămâne o încălcare constatată, cu măsuri corective și cu un istoric la autoritate — iar anul de 10 % este exact fereastra în care punerea în ordine costă cel mai puțin.

Ce trebuie făcut în primele treizeci de zile

1. Inventariați. Scrieți, într-o singură listă, ce date personale intră în companie și de unde: angajați, candidați, clienți, furnizori, vizitatori, camere de supraveghere, formulare de pe site.
2. Stabiliți baza legală pentru fiecare activitate — contract, obligație legală, interes legitim, consimțământ — și abia apoi scrieți documentele, nu invers.
3. Fixați termenele de păstrare. Un termen absent este, în practică, o păstrare nelimitată, care nu se poate justifica.
4. Deschideți registrul activităților de prelucrare, în forma cerută de articolul 30.
5. Emiteți nota de informare pentru angajați și pentru clienți, în limba în care comunicați efectiv cu ei.
6. Identificați împuterniciții și semnați acordurile de prelucrare prevăzute la articolul 28.
7. Decideți, în scris, dacă vă încadrați în cazurile care cer un responsabil cu protecția datelor, potrivit articolelor 37–39.
8. Stabiliți o adresă unică pentru cererile persoanelor vizate și un registru cu scadența de 30 de zile.
9. Scrieți procedura de incident: cine constată, cine decide, cine semnează în 72 de ore și cu ce instrument de semnătură calificată.
10. Programați o revizuire. Un dosar corect în luna aceasta și neatins șase luni nu mai este un dosar corect.