Гид
Ответственный за защиту данных (DPO): когда он обязателен в Молдове
Закон № 195/2024, действующий с 23 августа 2026 года, переносит правила GDPR об ответственном за защиту данных (DPO). Не каждой компании нужен DPO — но если вы попадаете в обязательные случаи, его отсутствие является нарушением, которое CNPDCP может санкционировать.
Обновлено: 2026-10-16
Когда назначение DPO обязательно
Статья 37 закона предусматривает, что оператор и уполномоченное лицо (обработчик) назначают ответственного за защиту данных в трёх случаях:
- Обработку осуществляет публичный орган или учреждение (кроме судов при осуществлении правосудия).
- Основная деятельность предполагает регулярный и систематический мониторинг людей в большом масштабе — например поведенческое профилирование для рекламы, отслеживание местоположения, крупные программы лояльности, масштабное видеонаблюдение.
- Основная деятельность предполагает масштабную обработку особых категорий данных (здоровье, биометрия, религия и т. д.) или данных о судимостях — например клиники, лаборатории, медицинские страховщики.
Когда не обязательно
Небольшой интернет-магазин, сайт-визитка или сервисная компания, собирающая только имя, email и телефон для заказов, как правило, не попадает в обязательные случаи. Можно назначить DPO добровольно — тогда действуют те же правила.
Даже без DPO в политике конфиденциальности нужно указать контактное лицо или адрес для запросов о персональных данных.
Задокументируйте решение: внутренняя записка о том, почему DPO не нужен, полезна при проверке CNPDCP.
Кто может быть DPO
- Собственный сотрудник или внешний исполнитель по договору.
- Человек должен знать законодательство и практику защиты данных.
- Без конфликта интересов — как правило, это не директор, руководитель IT или маркетинга, которые определяют цели обработки.
- Группа компаний может назначить одного DPO, если он легко доступен из каждого офиса.
Что делает DPO
DPO должен заранее участвовать во всех решениях о данных, не получает указаний о выполнении своих задач и подчиняется напрямую высшему руководству.
- Информирует и консультирует руководство и сотрудников об обязанностях.
- Контролирует соответствие: политики, обучение, внутренние аудиты, реестр обработок.
- Консультирует при оценке воздействия на защиту данных (DPIA).
- Является контактным лицом для CNPDCP и для людей, реализующих свои права.
Как назначить и сообщить о DPO
- Назначьте лицо внутренним актом (приказ или решение) или договором оказания услуг.
- Опубликуйте контакты DPO (лучше отдельный email, напр. dpo@firma.md) в политике конфиденциальности.
- Сообщите контакты DPO в CNPDCP. Актуальный канал и форму уточните на datepersonale.md.
- Внесите данные DPO в реестр обработок.
Частые вопросы
- Нужен ли DPO моей небольшой компании?
- Как правило, нет, если вы не ведёте масштабный мониторинг людей и не обрабатываете чувствительные данные в большом объёме. Но понятный контакт для запросов о данных нужен.
- Можно ли передать роль DPO на аутсорс?
- Да. Закон допускает внешнего DPO по договору при наличии экспертизы и отсутствии конфликта интересов.
- Несёт ли DPO личную ответственность за нарушения?
- Нет. Ответственность за соответствие остаётся на операторе или уполномоченном лице. DPO консультирует и контролирует.
Проверьте, какие данные собирает ваш сайт
Бесплатное сканирование покажет трекеры, формы и третьих лиц, обрабатывающих данные на сайте, — отправная точка для решения о DPO.
Проверить сайт бесплатно