Legea 195/2024 — ghid pentru site-uri din Moldova

1. Cine intră sub incidența legii

Legea se aplică oricărui operator sau împuternicit stabilit în Republica Moldova care prelucrează date personale — indiferent de dimensiune. Se aplică și operatorilor din afara Moldovei atunci când oferă bunuri/servicii persoanelor din Moldova sau monitorizează comportamentul lor (art. 3).

• Site-uri de e-commerce care înregistrează clienți
• Clinici, cabinete, saloane cu formulare de programare online
• SaaS-uri și aplicații care stochează conturi de utilizatori
• Magazine fizice cu newsletter sau card de fidelitate digital
• Instituții publice și ONG-uri cu baze de date de beneficiari

2. Ce se schimbă față de Legea 133/2011

3. Obligații pentru operatori

• Registrul activităților de prelucrare — obligatoriu pentru operatori cu peste 250 de angajați și pentru cei care prelucrează categorii speciale de date.
• Politică de confidențialitate completă — identitate operator, scopuri, temei legal, destinatari, transferuri, retenție, drepturi, contact DPO.
• Consimțământ documentat — cu dovadă (timestamp, versiune, IP) când e temeiul folosit.
• Evaluarea impactului asupra protecției datelor (DPIA) — pentru prelucrări cu risc ridicat (profilare, monitorizare, date sensibile la scară largă).
• Măsuri tehnice și organizatorice — HTTPS, criptare, control acces, backup, plan de răspuns la breșe.
• Contracte cu procesatorii (DPA) — pentru fiecare furnizor care primește date personale (analytics, email, plăți, cloud).

4. Drepturile persoanei vizate

Persoana ale cărei date sunt prelucrate are dreptul la: acces, rectificare, ștergere („dreptul de a fi uitat"), restricționare, portabilitate, opoziție, retragerea consimțământului, dreptul de a nu fi supus deciziilor automate. Termenul de răspuns este de 30 de zile, cu posibilitate de prelungire în cazuri justificate.

5. Amenzi și sancțiuni

Art. 88 stabilește două praguri. Se aplică valoarea mai mare dintre suma fixă și procent:

• Până la 1.000.000 MDL sau 1% din cifra de afaceri — obligațiile operatorului (registre, securitate, notificarea incidentelor, DPO, contracte).
• Până la 2.000.000 MDL sau 2% din cifra de afaceri — principii și consimțământ, drepturile persoanelor, transferuri, nerespectarea prescripțiilor CNPDCP.

Aplicare eșalonată (art. 90 alin. 4): în primul an de la 23 august 2026 se aplică 10% din amenda stabilită, în al doilea an 40%, iar din al treilea an 100%. Pentru încălcări minore, CNPDCP poate aplica un avertisment.

6. Checklist practic

1. Publică o politică de confidențialitate conformă (link vizibil în footer, pe toate paginile).
2. Publică termeni și condiții actualizați.
3. Instalează un banner de consimțământ pentru cookies cu opțiuni „Accept / Refuz / Setări" egale.
4. Blochează scripturile non-esențiale (analytics, pixels) până la consimțământ.
5. Adaugă bifă de consimțământ pe fiecare formular (nebifată din start), cu link la politică.
6. Semnează DPA cu fiecare furnizor terț (analytics, email, plăți, cloud, CRM).
7. Elimină furnizori din jurisdicții fără decizie de adecvare (Rusia, Belarus).
8. Numește DPO dacă e cazul; documentează contactul lui în politică.
9. Creează registrul activităților de prelucrare (chiar și simplificat).
10. Stabilește un plan intern de răspuns la breșe (cine, ce, în cât timp).