O nouă lege privind protecția datelor cu caracter personal intră în vigoare în Republica Moldova la 23 august 2026, care aduce reguli noi pentru cetățeni, dar și pentru companii, instituții și alte organizații care colectează și folosesc date despre persoane. Legea nr. 195 din 25 iulie 2024 transpune în legislația națională prevederile europene cunoscute drept GDPR.
Pe scurt, legea spune că o companie sau o instituție nu poate colecta, păstra sau folosi datele unei persoane pur și simplu pentru că are acces la ele. Trebuie să existe un scop clar și un temei legal pentru această prelucrare.
Ce sunt, de fapt, datele cu caracter personal?
În această categorie intră orice informație prin care o persoană poate fi identificată direct sau indirect: numele, numărul de identificare, datele de localizare, identificatorii online și alte informații legate de identitatea unei persoane.
„Prelucrarea” înseamnă practic orice operațiune efectuată asupra acestor date – de la colectare și înregistrare până la păstrare, modificare, transmitere, utilizare sau ștergere. Asta înseamnă că legea poate fi relevantă pentru o firmă care are o bază de date cu clienți, pentru un angajator care păstrează dosarele salariaților, pentru o clinică ce gestionează date despre pacienți sau pentru un magazin online care colectează datele cumpărătorilor.
Nu mai pot fi colectate date „pentru orice eventualitate”
Unul dintre principiile importante ale legii este reducerea la minimum a datelor. Operatorul trebuie să colecteze doar informațiile adecvate și necesare pentru scopul declarat. Datele trebuie să fie exacte și actualizate, iar păstrarea lor nu trebuie să depășească perioada necesară scopului pentru care au fost colectate. În același timp, operatorul trebuie să asigure securitatea și confidențialitatea acestora.
De exemplu, dacă o companie are nevoie de numele și datele de contact ale unui client pentru livrarea unui produs, acest lucru nu înseamnă automat că poate colecta și alte informații fără legătură cu livrarea.
Consimțământul nu este singurul temei legal
Un aspect important pentru companii este că nu orice prelucrare a datelor trebuie să se bazeze pe acordul persoanei. Legea prevede mai multe situații în care prelucrarea poate fi legală: atunci când persoana și-a dat consimțământul, când datele sunt necesare pentru executarea unui contract, pentru îndeplinirea unei obligații legale, pentru protejarea unor interese vitale, pentru o sarcină de interes public sau, în anumite condiții, pentru interesele legitime ale operatorului.
În schimb, atunci când o companie se bazează pe consimțământ, acesta trebuie să fie liber, specific, informat și lipsit de ambiguitate. Persoana poate să-și retragă consimțământul în orice moment, iar retragerea trebuie să fie la fel de simplă precum acordarea lui.
Ce drepturi are omul?
Noua lege oferă persoanei vizate mai multe drepturi. Aceasta poate cere unei companii sau instituții să-i spună ce date are despre ea, în ce scop le folosește, cui le transmite și cât timp intenționează să le păstreze.
Persoana poate solicita, în anumite condiții:
- accesul la propriile date;
- corectarea informațiilor greșite;
- ștergerea datelor – așa-numitul „drept de a fi uitat”;
- restricționarea prelucrării;
- transferarea datelor către un alt operator, în condițiile legii;
- opoziția față de anumite forme de prelucrare, inclusiv marketingul direct.
Operatorul trebuie să răspundă unei solicitări privind exercitarea acestor drepturi, de regulă, în cel mult o lună. În cazuri complexe, termenul poate fi prelungit cu încă două luni, dar persoana trebuie informată despre această prelungire și despre motivele ei.
Ce se întâmplă dacă o companie pierde datele?
Legea introduce reguli clare pentru incidentele de securitate. Dacă, de exemplu, o bază de date este spartă, datele sunt divulgate accidental sau persoane neautorizate ajung la informații, operatorul trebuie să evalueze incidentul.
În cazul unei încălcări care prezintă risc pentru drepturile și libertățile persoanelor, operatorul trebuie să informeze Centrul Național pentru Protecția Datelor cu Caracter Personal, fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore din momentul în care a luat cunoștință de incident. Dacă termenul este depășit, întârzierea trebuie justificată.
Dacă incidentul prezintă un risc ridicat, persoanele afectate trebuie, de asemenea, informate fără întârzieri nejustificate, într-un limbaj clar și simplu. Există însă excepții, inclusiv atunci când datele au fost protejate prin măsuri eficiente, precum criptarea, sau când riscul a fost înlăturat ulterior.
Ce trebuie să facă firmele?
Pentru persoanele juridice, una dintre cele mai importante schimbări este accentul pus pe responsabilitatea operatorului. Compania trebuie să demonstreze că prelucrează datele în conformitate cu legea și să implementeze măsuri tehnice și organizatorice adecvate riscurilor. Protecția datelor trebuie luată în calcul chiar din momentul conceperii unui sistem sau serviciu, nu doar după apariția unei probleme.
În funcție de activitate, aceste măsuri pot include criptarea și pseudonimizarea datelor, protejarea accesului, capacitatea de a restabili datele după un incident și testarea periodică a măsurilor de securitate.
Legea prevede și situații în care trebuie desemnat un responsabil cu protecția datelor. Este obligatoriu, între altele, pentru autorități și instituții publice, dar și pentru operatorii ale căror activități principale presupun monitorizarea periodică și sistematică, pe scară largă, a persoanelor sau prelucrarea pe scară largă a unor categorii speciale de date.
Responsabilul are rolul de a consilia organizația, de a monitoriza respectarea legii, de a contribui la instruirea personalului și de a coopera cu Centrul.
Nu toate firmele vor avea aceleași obligații
Legea introduce și reguli proporționale cu riscul. De exemplu, evidențele anumitor activități de prelucrare nu sunt obligatorii pentru întreprinderile cu mai puțin de 250 de angajați, cu excepția unor situații – dacă prelucrarea poate genera riscuri pentru drepturile persoanelor, nu este ocazională sau implică date sensibile ori date privind condamnări și infracțiuni.
În cazul unor operațiuni care pot prezenta un risc ridicat, compania poate fi obligată să efectueze o evaluare a impactului asupra protecției datelor înainte de începerea prelucrării. Aceasta este relevantă, de exemplu, pentru anumite forme de profilare automată, prelucrarea pe scară largă a datelor sensibile sau monitorizarea sistematică pe scară largă a spațiilor accesibile publicului.
Ce se întâmplă cu firmele care încalcă legea?
Noua legislație prevede sancțiuni semnificativ mai mari. Pentru anumite încălcări, amenda poate ajunge la 1 milion de lei sau până la 1% din cifra totală de afaceri realizată în anul anterior sancționării, fiind luată în calcul valoarea mai mare.
Pentru încălcări mai grave – inclusiv încălcarea principiilor de bază privind prelucrarea datelor, a condițiilor privind consimțământul, a drepturilor persoanelor sau a regulilor privind transferurile de date – amenda poate ajunge la 2 milioane de lei sau până la 2% din cifra totală de afaceri, fiind aplicată valoarea mai mare.
Important este că amenda nu se aplică automat la valoarea maximă. Centrul trebuie să țină cont de gravitatea și durata încălcării, numărul persoanelor afectate, existența intenției sau a neglijenței, măsurile luate pentru reducerea prejudiciului și nivelul de responsabilitate al operatorului. În cazul încălcărilor minore sau atunci când o amendă ar fi disproporționată pentru o persoană fizică, poate fi aplicat un avertisment în locul amenzii.
Amenzile nu ajung imediat la nivelul maxim
Pentru a permite adaptarea la noile reguli, legea prevede o perioadă de tranziție pentru sancțiunile pecuniare. Din cuantumul final stabilit de Centru se aplică: 10% în primul an de la intrarea în vigoare, 40% în al doilea an și 100% începând cu al treilea an.
Prin urmare, noul regim nu înseamnă că firmele vor plăti din prima zi întreaga valoare maximă prevăzută de lege. Totuși, obligațiile privind protecția datelor trebuie respectate, iar companiile ar trebui să-și verifice din timp procedurile interne.
Ce trebuie să facă o companie înainte de intrarea în vigoare?
În termeni simpli, o firmă ar trebui să știe ce date colectează, de ce le colectează, unde le păstrează, cine are acces la ele, cui le transmite și când le șterge. De asemenea, trebuie verificată baza legală pentru fiecare tip de prelucrare, securitatea sistemelor, procedura de răspuns la solicitările clienților sau angajaților și modul în care compania reacționează în cazul unei breșe de securitate.
Dacă datele sunt prelucrate de o altă companie în numele operatorului – de exemplu, un furnizor de servicii IT – relația trebuie reglementată printr-un contract sau alt act juridic care stabilește clar scopul, durata, tipul datelor, categoriile de persoane vizate și obligațiile părților.
Legea nr. 195/2024 intră în vigoare la 23 august 2026, la 24 de luni de la publicarea în Monitorul Oficial. Odată cu aceasta, este abrogată actuala Lege nr. 133/2011 privind protecția datelor cu caracter personal.
