Ghid
Responsabilul cu protecția datelor (DPO): când e obligatoriu în Moldova
Legea nr. 195/2024, în vigoare din 23 august 2026, preia regulile GDPR privind responsabilul cu protecția datelor (DPO). Nu orice firmă are nevoie de un DPO — dar dacă te încadrezi într-unul din cazurile obligatorii, lipsa lui este o încălcare pe care CNPDCP o poate sancționa.
Actualizat: 2026-10-16
Când desemnarea unui DPO este obligatorie
Articolul 37 din lege prevede că operatorul și persoana împuternicită (procesatorul) desemnează un responsabil cu protecția datelor în trei situații:
- Prelucrarea este efectuată de o autoritate sau instituție publică (cu excepția instanțelor în activitatea de justiție).
- Activitatea principală presupune monitorizarea periodică și sistematică, pe scară largă, a persoanelor — de exemplu profilare comportamentală pentru publicitate, urmărirea locației, programe de fidelitate mari, supraveghere video extinsă.
- Activitatea principală presupune prelucrarea pe scară largă a categoriilor speciale de date (sănătate, biometrice, religie, orientare etc.) sau a datelor despre condamnări penale — de exemplu clinici, laboratoare, asigurători de sănătate.
Când nu este obligatoriu
Un magazin online mic, un site de prezentare sau o firmă de servicii care colectează doar nume, email și telefon pentru comenzi, de regulă, nu intră în cazurile obligatorii. Poți desemna totuși un DPO voluntar — și atunci se aplică aceleași reguli ca pentru unul obligatoriu.
Chiar fără DPO, trebuie să indici în politica de confidențialitate o persoană sau o adresă de contact pentru cererile privind datele personale.
Documentează decizia: o notă internă care explică de ce nu ai nevoie de DPO este utilă la un control CNPDCP.
Cine poate fi DPO
- Un angajat propriu sau un prestator extern, pe bază de contract.
- Persoana trebuie să aibă cunoștințe de legislație și practică privind protecția datelor.
- Nu trebuie să fie în conflict de interese — de regulă nu poate fi administratorul, directorul IT sau șeful de marketing care decid scopurile prelucrării.
- Un grup de firme poate desemna un singur DPO, dacă este ușor accesibil din fiecare sediu.
Ce face un DPO
DPO-ul trebuie implicat din timp în toate deciziile despre date, nu primește instrucțiuni privind modul în care își exercită sarcinile și raportează direct celui mai înalt nivel de conducere.
- Informează și consiliază conducerea și angajații privind obligațiile legale.
- Monitorizează conformitatea: politici, instruire, audituri interne, registrul prelucrărilor.
- Oferă consultanță la evaluarea impactului asupra protecției datelor (DPIA).
- Este punctul de contact pentru CNPDCP și pentru persoanele care își exercită drepturile.
Cum desemnezi și comunici DPO-ul
- Desemnează persoana printr-un act intern (ordin sau decizie) sau contract de prestări servicii.
- Publică datele de contact ale DPO-ului (ideal un email dedicat, ex. dpo@firma.md) în politica de confidențialitate.
- Comunică datele de contact ale DPO-ului către CNPDCP. Verifică pe datepersonale.md canalul și formularul actual indicate de autoritate.
- Actualizează registrul evidenței prelucrărilor cu datele DPO-ului.
Întrebări frecvente
- Firma mea mică are nevoie de DPO?
- De regulă nu, dacă nu monitorizezi persoane pe scară largă și nu prelucrezi date sensibile pe scară largă. Ai totuși nevoie de un contact clar pentru cererile privind datele.
- Pot externaliza rolul de DPO?
- Da. Legea permite un DPO extern pe bază de contract, cu condiția să aibă expertiza necesară și să nu fie în conflict de interese.
- Este DPO-ul răspunzător personal pentru încălcări?
- Nu. Răspunderea pentru conformitate rămâne a operatorului sau a persoanei împuternicite. DPO-ul consiliază și monitorizează.
Verifică ce date colectează site-ul tău
Scanarea gratuită arată ce trackere, formulare și terți prelucrează date pe site — un punct de plecare pentru decizia privind DPO-ul.
Scanează site-ul gratuit