Un post de DPO sau un ordin de desemnare are sens după examinarea proceselor reale ale companiei. Începeți cu datele prelucrate, amploarea operațiunilor și persoana care poate verifica independent această activitate.
Necesitatea DPO depinde de prelucrare, nu de numărul angajaților
- Existența clienților, a angajaților sau a unui CRM nu înseamnă automat că DPO este obligatoriu. Trebuie verificate criteriile legale și particularitățile prelucrării.
- DPO poate fi angajat sau specialist extern, în baza unui contract de servicii. În ambele cazuri sunt necesare cunoștințe, resurse și independență.
- Cumularea atribuțiilor este permisă doar fără conflicte de interese: o persoană nu poate verifica independent propriile decizii privind prelucrarea.
- Desemnarea DPO nu înlătură obligațiile organizației de a proteja datele.
DPO este responsabilul cu protecția datelor, numit și RPD. Acesta consiliază organizația și monitorizează respectarea regulilor. În Moldova se aplică Legea nr. 195/2024, în vigoare din 23 august 2026. Data este confirmată de CNPDCP — Centrul Național pentru Protecția Datelor cu Caracter Personal.
Când este obligatorie desemnarea DPO
Articolul 37 prevede trei temeiuri principale. Regula se aplică atât operatorului, care stabilește scopurile și mijloacele prelucrării, cât și persoanei împuternicite de operator, care prelucrează date în numele acestuia.
- Prelucrarea este efectuată de o autoritate sau instituție publică. Excepția privește instanțele de judecată în exercitarea atribuțiilor de înfăptuire a justiției.
- Activitățile principale necesită monitorizarea regulată și sistematică a persoanelor pe scară largă. De exemplu, acest temei trebuie evaluat pentru un serviciu bazat pe crearea continuă de profiluri ale unui public numeros.
- Activitățile principale includ prelucrarea pe scară largă a categoriilor speciale de date sau a datelor privind condamnările penale și infracțiunile. Categoriile speciale includ, între altele, datele privind sănătatea și datele biometrice utilizate pentru identificarea unică a unei persoane.
Pentru al doilea și al treilea temei contează atât natura activității, cât și amploarea acesteia. Prezența unor documente medicale în dosarele de personal nu dovedește, singură, încadrarea în al treilea caz. Articolul 37 alin. (4) permite și desemnarea obligatorie în temeiul altor acte normative: cerințele sectoriale trebuie verificate separat. Temeiurile și condițiile desemnării, publicate de CNPDCP.
Nu există un prag universal de angajați pentru desemnarea DPO. Numărul 250 apare în articolul 30, într-o regulă distinctă privind evidențele activităților de prelucrare, dar nu este un criteriu al articolului 37. Prin urmare, explicația „avem puțini angajați” nu înlocuiește evaluarea. Textul Legii nr. 195/2024.
Cum evaluați amploarea: patru situații pentru afaceri
Examinați numărul și proporția persoanelor vizate, volumul și diversitatea datelor, durata prelucrării și întinderea geografică. Aceste repere apar în orientările europene WP29, publicate de CNPDCP. Ele ajută la interpretarea unor noțiuni similare, fără a constitui un test numeric stabilit pentru Moldova.
Următoarele situații ipotetice arată logica evaluării:
- Un magazin mic cu evidența personalului și datele de contact ale cumpărătorilor. Aceste împrejurări nu stabilesc, singure, obligația de a desemna DPO. Trebuie examinate și programul de fidelitate, crearea de profiluri, camerele și alte procese. Concluzia privind evidența personalului nu se extinde automat asupra întregii afaceri.
- O rețea de clinici cu o bază comună de pacienți. Datele privind sănătatea sunt legate de serviciul principal. Dacă prelucrarea este pe scară largă, intervine temeiul articolului 37 alin. (1) lit. c). Numărul filialelor și al pacienților, precum și conținutul bazei ajută la evaluare; simpla denumire „clinică” nu oferă răspunsul final.
- O platformă de analiză comportamentală. Urmărirea continuă și crearea de profiluri ale unui public numeros, ca activitate centrală a serviciului, impun evaluarea temeiului privind monitorizarea regulată și sistematică. Un site obișnuit sau un CRM nu dovedește, singur, o asemenea activitate.
- Un prestator care prelucrează date pentru mulți clienți. Numărul mic al propriilor angajați nu reflectă volumul prelucrării. Trebuie analizate activitatea sa principală și datele persoanelor prelucrate în baza contractelor cu clienții, inclusiv categoriile speciale.
Pregătiți o schemă a datelor: de unde provin, cine le utilizează, în ce scop, pentru cât timp și cui le transmite. Activitatea principală trebuie deosebită de cea auxiliară: calculul salariilor, de exemplu, sprijină de regulă funcționarea afacerii. CNPDCP explică această diferență la punctul 96 al considerentelor legii.
Nu știți dacă trebuie să desemnați un DPO?
Colenco Legal vă poate ajuta să evaluați temeiurile desemnării, să verificați conflictele de interese și să stabiliți cum să organizați funcția DPO potrivit proceselor companiei.
Ce atribuții are DPO și ce obligații rămân companiei
DPO ajută la respectarea legii și verifică organizarea protecției datelor. Potrivit articolului 39, atribuțiile sale includ:
- informarea și consilierea organizației și a angajaților;
- monitorizarea respectării legii și a regulilor interne, inclusiv alocarea responsabilităților, instruirea și auditurile aferente;
- consilierea, la cerere, privind evaluarea impactului asupra protecției datelor și monitorizarea efectuării acesteia;
- cooperarea cu CNPDCP și îndeplinirea rolului de punct de contact pentru autoritate.
Evaluarea impactului analizează riscurile prelucrării planificate pentru drepturile persoanelor. Dacă organizația trebuie să efectueze o astfel de evaluare, DPO oferă consiliere și monitorizează desfășurarea ei; desemnarea lui nu înlocuiește analiza. În exercitarea atribuțiilor, acesta ține cont de riscurile prelucrării concrete. Articolele 38–39.
De exemplu, înaintea lansării unui CRM nou, DPO trebuie implicat în timp util în aspectele privind datele: accesul, termenele de păstrare și drepturile clienților. Conducerea alocă resurse și ia decizii organizatorice, IT implementează măsurile tehnice, iar angajații aplică procedurile. Specialistul care monitorizează nu trebuie să devină unicul executant al tuturor acestor sarcini.
Organizația își păstrează obligațiile de respectare și de demonstrare a respectării legii. Formula „DPO răspunde de tot”, inclusă într-un ordin, nu transferă asupra lui întreaga răspundere a operatorului sau a persoanei împuternicite. Aceasta rezultă din repartizarea obligațiilor în articolele 5, 24 și 39 ale legii.
Pe cine desemnați: un angajat sau un specialist extern
Ambele variante sunt permise de articolul 37 alin. (6). Alegerea depinde de complexitatea prelucrării, timpul disponibil și posibilitatea de a lucra independent. Legea cere calități profesionale, cunoștințe de specialitate privind legislația și practicile de protecție a datelor, precum și capacitatea de a îndeplini atribuțiile DPO. Un singur certificat nu dovedește îndeplinirea tuturor acestor cerințe. Articolul 37.
Verificați dacă persoana poate explica fluxurile dumneavoastră de date, evalua contractele cu prestatorii, gestiona solicitările persoanelor și comunica eficient cu echipa IT. Cereți exemple de abordare a unor procese similare, fără divulgarea informațiilor confidențiale ale altora.
Riscul principal al cumulului este verificarea propriilor decizii. Dacă șeful IT stabilește el însuși mijloace esențiale ale prelucrării, desemnarea sa ca DPO poate crea un conflict. Aceeași întrebare apare pentru administrator, șeful HR sau al marketingului, dacă stabilește scopurile și mijloacele prelucrării în domeniul său. Contează atribuțiile reale, nu doar denumirea postului. Interdicția conflictului este prevăzută la articolul 38 alin. (6), iar abordarea evaluării este explicată în orientările WP29, secțiunea 3.5.
Pentru un DPO extern, conveniți din timp accesul la informațiile necesare, procedura consultărilor, disponibilitatea și comunicarea cu conducerea. Un contract extern nu exclude, singur, conflictele de interese și nu garantează resurse suficiente. Legea permite unui grup de întreprinderi să desemneze un singur DPO dacă acesta este ușor accesibil din fiecare sediu.
Cum formalizați desemnarea și asigurați independența
O desemnare funcțională presupune atribuții clare, acces la informații și raportare bine stabilită. Pași practici:
- Documentați temeiul și forma colaborării. Pregătiți decizia de desemnare a angajatului sau contractul de servicii; stabiliți în scris atribuțiile și verificați posibilele conflicte.
- Asigurați resursele. Prevedeți timp de lucru, instruire și accesul la date și operațiuni necesar îndeplinirii atribuțiilor DPO.
- Stabiliți raportarea directă către cel mai înalt nivel al conducerii. Responsabilii de departamente trebuie să implice DPO în timp util în chestiunile de protecție a datelor.
- Publicați datele de contact și comunicați-le CNPDCP. Articolul 37 alin. (7) impune această obligație. Pentru acces practic, indicați un canal de serviciu, de exemplu o adresă dedicată de e-mail; nu este necesar să publicați în locul acesteia numărul personal al angajatului.
- Testați canalul în practică. Cine primește solicitările, cum ajung la DPO și cum se păstrează confidențialitatea? Păstrați dovada comunicării contactelor către autoritate.
Lista ajută la organizarea activității; nu este un formular aprobat de stat. Garanțiile obligatorii sunt stabilite de articolele 37–38: DPO nu trebuie să primească instrucțiuni privind exercitarea atribuțiilor sale și nu poate fi demis sau sancționat pentru îndeplinirea acestora. Este protejată independența funcției; nu se acordă imunitate pentru orice comportament.
Un ordin fără timp, acces și posibilitatea de a informa conducerea despre probleme nu asigură poziția DPO prevăzută de lege. La rândul său, specialistul trebuie să păstreze confidențialitatea informațiilor obținute în exercitarea atribuțiilor.
Ce faceți dacă DPO nu este încă obligatoriu
Consemnați procesele examinate și motivele pentru care nu ați identificat temeiuri de desemnare obligatorie. Este o recomandare practică: evaluarea scrisă vă permite să explicați decizia și să o reexaminați după schimbări. Nu vă limitați la „compania este mică”. Orientările WP29 recomandă documentarea acestei analize.
Reveniți la evaluare dacă introduceți crearea de profiluri, extindeți serviciile medicale, uniți baze de clienți sau încheiați un nou contract important de prelucrare. Absența unui DPO obligatoriu nu înlătură celelalte cerințe: temeiurile legale ale prelucrării, informarea persoanelor, protejarea accesului și gestionarea solicitărilor și a incidentelor.
Puteți desemna un coordonator intern pentru chestiuni privind datele, cu atribuții clar descrise. Dacă însă desemnați voluntar un DPO, trebuie să țineți cont de poziția acestei funcții potrivit articolelor 37–39, inclusiv independența și absența conflictelor de interese. Caracterul voluntar nu transformă DPO într-un post formal lipsit de condițiile necesare.
Începeți cu evaluarea prelucrării și a distribuției atribuțiilor. Rezultatul va arăta dacă DPO este obligatoriu, cine poate exercita funcția și ce schimbări organizatorice sunt necesare.