Ce s-a discutat la Conferința Națională GDPR din 10 iulie — și ce înseamnă concret pentru magazinul tău online

Pe 10 iulie, la Chișinău, a avut loc cea mai importantă conferință dedicată implementării Legii 195/2024: „Noua eră a protecției datelor: Implementarea GDPR", organizată de EU4Moldova și CNPDCP. Peste 5 ore de discuții, cu participarea directoarei CNPDCP Victoria Muntean, a reprezentanților Delegației UE și Consiliului Europei, și a lui Max Schrems — omul ale cărui plângeri au dărâmat două acorduri de transfer de date UE–SUA și au generat unele dintre cele mai mari amenzi GDPR din istorie.

Prezența lui Schrems la Chișinău e un semnal în sine: Moldova nu adoptă o lege de formă, ci intră într-un ecosistem în care conformitatea se verifică și se sancționează.

Conferința a fost însă, firesc, la nivel de principii și instituții. Noi facem aici exercițiul invers: luăm fiecare panel și îl traducem în ce ai de făcut concret dacă administrezi un magazin online în Moldova.

Panel: Drepturile persoanelor vizate → Ce faci tu

Clienții tăi capătă drepturi pe care trebuie să le poți onora operațional, nu doar declarativ: acces la datele lor, rectificare, ștergere („dreptul de a fi uitat"), portabilitate, restricționare.

Concret pentru un magazin online:

• Stabilește un canal clar pentru cereri (o adresă de email dedicată e suficient pentru început) și un termen intern de răspuns — legea nu așteaptă infrastructură sofisticată, dar așteaptă răspuns.
• Verifică dacă poți efectiv șterge un client din toate sistemele: platforma magazinului, CRM, lista de email marketing, facturare. Dacă datele lui trăiesc în 4 locuri și tu ștergi doar unul, cererea nu e onorată.
• Atenție la capcana clasică: datele de facturare au obligație legală de păstrare — ștergerea la cerere nu se aplică peste obligațiile contabile. Dreptul de a fi uitat nu bate legea contabilității.

Panel: DPIA (evaluarea de impact) → Ce faci tu

Pentru majoritatea magazinelor mici, DPIA complet nu e obligatoriu. Dar devine relevant dacă faci profilare pentru marketing la scară, folosești date sensibile sau monitorizezi sistematic comportamentul utilizatorilor.

Concret: dacă folosești retargeting agresiv, segmentare avansată pe comportament sau scoring de clienți — documentează măcar o analiză simplă: ce date, în ce scop, ce riscuri, ce măsuri. Nu trebuie să fie un raport de 40 de pagini; trebuie să existe.

Panel: Securitatea informațiilor → Ce faci tu

Concret, minimul absolut:

• HTTPS pe tot site-ul, nu doar la checkout.
• Acces la panoul de administrare cu parole unice și autentificare în doi pași — majoritatea breșelor la magazine mici încep cu o parolă compromisă, nu cu un atac sofisticat.
• Știi cine (angajați, agenții, freelanceri) are acces la datele clienților? Fă lista. Scoate accesele care nu mai au motiv să existe.
• Ai un plan minim pentru incident: pe cine anunți, în cât timp (regula celor 72 de ore pentru notificarea autorității), ce comunici clienților.

Panel: Rolul DPO → Ce faci tu

Nu orice magazin are nevoie de DPO. Obligația apare la prelucrare pe scară largă sau la monitorizare sistematică — dar chiar și fără obligație formală, cineva din firmă trebuie să fie responsabilul de facto.

Concret: decide cine răspunde de subiect. Dacă ai nevoie de DPO dar nu justifici un angajat dedicat, externalizarea e legală și practică. Un detaliu de care să ții cont la ofertele din piață: unele vin cu angajament minim de 12 luni. Nu e o cerință legală — e o clauză comercială. Poți cere flexibilitate.

Panel: Certificare și coduri de conduită → Ce faci tu

Mecanismele de certificare abia se conturează în Moldova. Concret: nimic urgent aici. Fii doar sceptic la „certificate de conformitate GDPR" vândute ca garanții — deocamdată nu există schemă națională de certificare acreditată. Ce există și contează: conformitatea reală, demonstrabilă.

Panel: Aplicare, investigații și amenzi → Ce faci tu

Acesta e panelul care schimbă jocul. Sub legea veche (133/2011), sancțiunile erau simbolice. Legea 195/2024 aduce amenzi raportate la cifra de afaceri — modelul GDPR, unde amenda doare proporțional cu businessul.

Concret:

• Primul val de verificări după 23 august va merge, cel mai probabil, spre ce e vizibil public: site-uri fără banner de consimțământ funcțional, politici lipsă sau contradictorii, formulare care colectează date fără informare. Adică exact lucrurile pe care le vede oricine — inclusiv un client nemulțumit care depune o plângere.
• O plângere costă zero și se depune online. Nu autoritatea trebuie să te găsească — e suficient un singur client iritat.
• Ordinea rațională de pregătire: întâi ce e public (site, banner, politici), apoi ce e intern (registre, proceduri, accese).

Concluzia noastră

Conferința a confirmat direcția: instituțiile sunt pregătite, cadrul e aliniat la GDPR, iar perioada de grație informală se termină pe 23 august. Ce n-a spus nimeni de pe scenă — pentru că nu era rolul lor — e de unde începi practic, luni dimineață.

Răspunsul nostru e mereu același: începi cu o măsurătoare, nu cu o presupunere.

→ Scanează-ți magazinul gratuit pe GDPRScan.md — afli în 60 de secunde care e starea reală a site-ului tău: consimțământ, cookie-uri, scripturi, transferuri. Cu soluții concrete pentru fiecare problemă, nu doar cu diagnostice.

Nu e panică, e ordine. Dar ordinea are un termen: 23 august 2026.

---

Rivosmart — conformitate cu Legea 195/2024 pentru afaceri din Moldova: documentație juridică + implementare tehnică, cu rezultate măsurabile. Serviciu DPO lunar fără angajament minim.