Din 23 august se schimbă regulile: ce trebuie să știe conducătorul

  • La 23 august 2026 intră în vigoare Legea nr. 195/2024 privind protecția datelor cu caracter personal și înlocuiește Legea nr. 133/2011.
  • Cerințele nu vizează doar băncile, clinicile și companiile IT. Dacă o afacere are angajați, clienți, un CRM, newslettere, camere video sau un contabil externalizat, aceasta deja lucrează cu date personale.
  • Sancțiunea pecuniară maximă poate ajunge la 2.000.000 MDL sau la 2% din cifra totală de afaceri a întreprinderii, însă aceasta este limita maximă, nu o amendă automată pentru orice eroare.
  • O singură politică de confidențialitate nu este suficientă. Compania trebuie să organizeze procesele și să poată demonstra că regulile funcționează în realitate.

Noul regim este numit deseori „GDPR-ul moldovenesc”. Formula explică simplu logica sa, însă, din punct de vedere juridic, afacerilor din Moldova li se aplică Legea națională nr. 195/2024, care transpune standardele GDPR în dreptul Republicii Moldova. Ministerul Justiției confirmă intrarea legii în vigoare la 23 august 2026.

Cât de serioasă este schimbarea: amenda este doar o parte a riscului

Este riscant ca legea să fie tratată ca o formalitate. Ideea sa centrală este responsabilitatea: compania trebuie nu doar să protejeze datele, ci și să arate de ce le colectează, cine are acces, cât timp le păstrează și ce măsuri de protecție aplică.

Amenda maximă este într-adevăr importantă: până la 2.000.000 MDL sau până la 2% din cifra totală de afaceri a întreprinderii. Regulatorul nu este însă obligat să aplice maximul pentru prima inexactitate dintr-un document. Potrivit explicațiilor CNPDCP, la alegerea între avertisment și amendă și la stabilirea cuantumului sunt luate în calcul gravitatea încălcării, măsurile adoptate, prejudiciul produs persoanelor și felul în care compania a redus consecințele.

Aceasta nu înseamnă că riscul poate fi ignorat. După plângerea unui client sau angajat, afacerea va trebui să reconstruiască rapid situația: care a fost temeiul prelucrării, cui i-au fost transmise datele, de ce nu au fost șterse la timp și cine a răspuns solicitării. Persoanele se pot adresa și instanței pentru repararea prejudiciului.

Cea mai slabă poziție este „am încercat, dar nu am documentat nimic”. Cea mai puternică este prezentarea hărții datelor, deciziilor, contractelor, registrelor de solicitări și incidente, instruirii echipei și măsurilor tehnice executate. Auditul timpuriu nu este necesar pentru a crea un dosar voluminos, ci pentru a obține dovezile unui proces controlat.

Implementarea începe cu harta datelor, nu cu un șablon de politică

Achiziționarea unui set de documente înainte de analiză seamănă cu comandarea unei chei înainte de a vedea încuietoarea. Textul poate părea solid și totuși să nu aibă legătură cu activitatea reală a companiei.

Porniți de la procesele în care apar datele persoanelor:

  • vânzări și CRM;
  • formulare pe site, cookie-uri și analiză web;
  • livrare și plăți;
  • recrutare, dosare de personal și salarizare;
  • newslettere, programe de loialitate și publicitate;
  • supraveghere video și controlul accesului;
  • solicitări ale clienților și înregistrări ale convorbirilor;
  • contabilitate, suport IT și servicii cloud.

Pentru fiecare proces trebuie să răspundeți la opt întrebări simple: ale cui date sunt folosite, ce date, în ce scop, în baza cărui temei juridic, unde sunt păstrate, cine are acces, cui sunt transmise și când sunt șterse. Marcați separat serviciile din străinătate și procesele care implică minori, sănătate, biometrie, monitorizare permanentă sau evaluarea automatizată a persoanelor.

Harta scoate rapid la iveală problemele reale. De exemplu, un formular cere data nașterii fără un scop clar; un fost angajat încă are acces la CRM; CV-urile candidaților sunt păstrate fără termen; baza de clienți este exportată într-un Google Drive personal; contabilul primește documente prin email obișnuit; agenția de marketing lucrează cu contacte fără clauze privind protecția datelor.

Nu este necesar ca totul să fie corectat simultan. Se închid mai întâi procesele care implică multe persoane, date sensibile, acces larg sau consecințe grave. Apoi sunt actualizate documentele standard și regulile zilnice.

Nu știți ce cerințe se aplică afacerii dumneavoastră?

Colenco Legal va analiza procesele, site-ul, CRM-ul, HR-ul, furnizorii și serviciile cloud, va identifica lacunele și vă va ajuta să implementați documentele și procedurile de lucru prevăzute de Legea nr. 195/2024.

Scrieți pe Telegram

Ce documente și procese de lucru trebuie să existe

O implementare bună leagă fiecare document de o acțiune concretă și de o persoană responsabilă. Dacă politica spune că „datele sunt șterse după atingerea scopului”, dar nimeni nu știe cine și când le șterge, regula nu funcționează.

Setul de bază include, de regulă:

  1. Evidența activităților de prelucrare. Aceasta consemnează scopurile, categoriile de persoane și date, destinatarii, transferurile în străinătate, termenele de ștergere și măsurile generale de securitate. Excepția pentru organizațiile cu până la 250 de angajați este limitată: dacă prelucrarea este regulată, riscantă sau include categorii speciale de date, evidența rămâne necesară. CNPDCP subliniază că, în majoritatea companiilor, prelucrarea nu este ocazională.
  2. Informări clare. Clientul, angajatul sau candidatul trebuie să înțeleagă ce date primește compania, de ce, cât timp le păstrează, cui le transmite și ce drepturi are persoana. Nu orice prelucrare necesită consimțământ: temeiul poate fi contractul, o obligație legală sau un alt temei prevăzut de lege.
  3. Reguli de păstrare și ștergere. CRM-ul, documentele de personal, înregistrările video, cererile și bazele de marketing au nevoie de termene justificate. „Păstrăm pentru totdeauna, poate va fi util” nu este un scop normal.
  4. Contracte cu furnizorii. Dacă un contabil, o companie IT, un serviciu HR, o agenție de marketing sau un furnizor cloud prelucrează date în numele afacerii, relația trebuie reglementată în scris. Contractul trebuie să stabilească obiectul, durata, scopul prelucrării, măsurile de protecție și ce se întâmplă după încetarea serviciilor.
  5. Procedura de răspuns persoanelor. O cerere de acces, rectificare sau ștergere poate veni la emailul general, în chat sau pe Instagram. Aceasta trebuie recunoscută și înregistrată, identitatea solicitantului trebuie verificată, iar răspunsul trebuie oferit, de regulă, în termen de o lună.
  6. Gestionarea accesurilor și incidentelor. Sunt necesare reguli pentru acordarea și închiderea accesului, copii de rezervă, actualizări, transmiterea fișierelor și înregistrarea încălcărilor de securitate. Plecarea unui angajat trebuie să ducă la închiderea accesurilor printr-un proces controlat, nu să depindă de memoria managerului.

După pregătirea documentelor, echipa trebuie să le testeze: să proceseze o cerere de probă a unui client, să închidă un acces de test, să găsească înregistrarea necesară și să simuleze pe scurt o încălcare de securitate. Aici se vede dacă sistemul este implementat sau doar redactat.

DPO, evaluarea impactului și incidentele nu se aplică tuturor la fel

Trei cerințe provoacă cel mai des fie panică, fie o simplificare periculoasă. Ele se aplică în funcție de criteriile legii și de nivelul riscului.

Când este necesar un DPO

DPO este responsabilul cu protecția datelor care monitorizează independent respectarea regulilor și interacționează cu CNPDCP. El este obligatoriu pentru autoritățile publice, iar în mediul privat atunci când activitatea principală presupune monitorizarea periodică și sistematică pe scară largă a persoanelor sau prelucrarea pe scară largă a datelor sensibile ori a informațiilor privind condamnările și infracțiunile.

Pentru un magazin obișnuit sau o companie mică de servicii, DPO poate să nu fie obligatoriu. Totuși, cineva trebuie să gestioneze procesul: să primească solicitările, să actualizeze evidența și să implice juristul și IT-ul în caz de incident. DPO poate fi angajat sau specialist extern dacă sunt respectate cerințele privind rolul și independența sa.

Când este necesară evaluarea impactului

Evaluarea impactului asupra protecției datelor, sau DPIA, analizează cum poate afecta un proces riscant drepturile persoanelor și cum poate fi redus riscul înainte de lansare. Ea este importantă mai ales pentru decizii automatizate și profilare cu efect semnificativ, prelucrarea pe scară largă a datelor sensibile sau monitorizarea sistematică pe scară largă a unei zone accesibile publicului.

Nu orice cameră video sau tabel HR impune automat o DPIA. Trebuie evaluate amploarea, regularitatea, tipul datelor, tehnologia și posibilele consecințe. Și un sistem cu risc ridicat deja funcțional poate necesita o evaluare dacă aceasta nu a fost făcută anterior.

Ce înseamnă termenul de 72 de ore

Dacă o încălcare a securității creează un risc pentru drepturile și libertățile persoanelor, compania trebuie, dacă este posibil, să notifice CNPDCP în cel mult 72 de ore din momentul în care a aflat despre incident. Dacă riscul este ridicat, trebuie informate fără întârzieri nejustificate și persoanele afectate. Toate incidentele trebuie documentate, inclusiv atunci când evaluarea arată că notificarea regulatorului nu a fost necesară.

De aceea, decizia nu trebuie discutată pentru prima dată în a treia zi după incident. Stabiliți din timp cine oprește accesul, păstrează dovezile, evaluează riscul și pregătește notificarea.

Dacă timpul este scurt, implementați în ordinea corectă

Până la intrarea în vigoare a legii a rămas puțin timp, însă rescrierea haotică a tuturor documentelor este mai puțin utilă decât lucrul în funcție de risc.

Prima etapă — definiți perimetrul. Identificați procesele și sistemele, desemnați conducătorul proiectului și găsiți accesurile și transferurile critice. Opriți imediat practicile evident periculoase: parole comune, accesul foștilor angajați, tabele publice, exporturi necontrolate și colectarea datelor fără scop.

A doua etapă — închideți lacunele obligatorii. Alegeți temeiurile legale, pregătiți evidența, informările și termenele de păstrare, actualizați contractele cu furnizorii esențiali. Adoptați și documentați separat deciziile privind DPO, evaluarea impactului și serviciile din străinătate.

A treia etapă — puneți sistemul în funcțiune. Desemnați executanții, instruiți angajații, testați răspunsul la o solicitare și la un incident, apoi adunați dovezile măsurilor realizate. Munca continuă și după 23 august: evidența și documentele trebuie actualizate când apar produse, servicii sau moduri noi de folosire a datelor.

Colenco Legal poate prelua partea juridică și organizatorică a proiectului: interviuri cu echipele, harta datelor, identificarea cerințelor și riscurilor, foaia de parcurs, evidența, informările, procedurile interne și clauzele contractuale. Putem verifica necesitatea unui DPO și a evaluării impactului, analiza serviciile din străinătate, organiza o sesiune de lucru pentru echipă și sprijini lansarea noilor reguli.

Implementarea necesită și participarea afacerii: IT configurează accesurile și jurnalele, HR schimbă procesele de personal, marketingul corectează formularele și comunicările, iar conducătorii desemnează responsabili. Rolul nostru este să legăm aceste acțiuni de lege, să stabilim prioritățile și să ducem proiectul la un sistem funcțional, nu să lăsăm clientului un set de fișiere fără instrucțiuni.

Pregătirea poate fi încă gestionată

Legea nr. 195/2024 este serioasă, dar nu cere același proiect complex fiecărei companii. Porniți de la fluxurile reale de date, închideți zonele cu cel mai mare risc și documentați deciziile. Colenco Legal poate analiza modelul afacerii, separa măsurile obligatorii de birocrația inutilă și ajuta la implementarea regulilor în activitatea zilnică a companiei.