La 23 august 2026 a intrat în vigoare Legea nr. 195/2024 privind protecția datelor cu caracter personal, înlocuind cadrul instituit prin Legea nr. 133/2011.¹Legea nr. 195 din 25 iulie 2024 privind protecția datelor cu caracter personal, Monitorul Oficial al Republicii Moldova nr. 367–369/574 din 23 august 2024, art. 89–90. Noua lege preia în dreptul Republicii Moldova arhitectura juridică a Regulamentului general privind protecția datelor – GDPR²Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (GDPR). și introduce un sistem bazat pe responsabilitatea operatorului, evaluarea riscurilor, transparență și protecția efectivă a drepturilor persoanelor fizice.

Pentru întreprinderi, schimbarea este importantă: conformitatea nu mai este concepută ca îndeplinirea unei formalități administrative, ci ca un sistem documentat de guvernanță a datelor personale. E necesar ca operatorul să cunoască datele pe care le prelucrează, scopurile și temeiurile juridice ale prelucrării, destinatarii, perioadele de păstrare și măsurile de securitate și, mai ales, să poată demonstra că aceste elemente sunt constituite în conformitate cu legea.³Legea nr. 195/2024, art. 5, art. 24 și art. 25.

De ce apare acum o legislație „GDPR” în Republica Moldova?

Regulamentul european (UE) 2016/679 a fost adoptat la 27 aprilie 2016 și se aplică în Statele membre ale Uniunii Europene din 25 mai 2018. Republica Moldova a adoptat Legea nr. 195/2024 la 25 iulie 2024, iar aceasta a devenit aplicabilă la 23 august 2026. Prin urmare, Republica Moldova aplică aceste standarde la aproximativ opt ani și trei luni după intrarea în aplicare a GDPR în Uniunea Europeană.⁴Regulamentul (UE) 2016/679, art. 99; Legea nr. 195/2024, art. 89.

Din perspectiva integrării europene, reforma nu este izolată. Programul Național de Aderare a Republicii Moldova la Uniunea Europeană pentru anii 2025–2029, aprobat prin Hotărârea Guvernului nr. 306 din 28 mai 2025, reprezintă principalul document de planificare și monitorizare a obligațiilor asumate în procesul de aderare și urmărește armonizarea legislației și instituțiilor naționale cu acquis-ul UE.⁵Hotărârea Guvernului nr. 306/2025 privind aprobarea Programului național de aderare a Republicii Moldova la Uniunea Europeană pentru anii 2025–2029.

În cadrul Capitolului 23 – „Sistem judiciar și drepturi fundamentale”, documentele oficiale ale procesului de aderare menționează expres adoptarea Legii nr. 195/2024 ca act prin care Republica Moldova transpune⁶Precizare: în dreptul Uniunii, un regulament european, precum GDPR, nu este „transpus” în statele membre, ci este obligatoriu și direct aplicabil. În cazul Republicii Moldova, care nu este încă stat membru al UE, legiuitorul național a preluat însă în dreptul intern normele și mecanismele GDPR. De aceea, în cazul Legii nr. 195/2024, termenul „transpunere” este utilizat de autoritățile moldovene în sensul preluării standardelor GDPR în legislația națională. Regulamentul general privind protecția datelor.⁷Programul Național de Aderare 2025–2029, Capitolul 23 – Sistem judiciar și drepturi fundamentale.

Ce schimbă, în esență, Legea nr. 195/2024?

Noua lege consacră aceleași principii fundamentale care structurează GDPR: legalitatea, echitatea și transparența prelucrării, limitarea scopului, reducerea la minimum a datelor, exactitatea, limitarea perioadei de stocare, integritatea și confidențialitatea datelor.⁸Legea nr. 195/2024, art. 5.

Pentru o întreprindere, consecința practică este trecerea la o logică bazată pe accountability: întreprinderea are obligația de a demonstra că fiecare prelucrare a datelor personale este justificată, proporțională și securizată.⁹Legea nr. 195/2024, art. 24.

Această schimbare de paradigmă este subliniată și de Centrul Național pentru Protecția Datelor cu Caracter Personal, autoritatea națională de supraveghere, care subliniază faptul că noul cadru mută accentul de la conformarea formală către evaluarea și gestionarea riscurilor și responsabilitatea proactivă a operatorului.¹⁰Legea nr. 195/2024, art. 24–25.

Ce trebuie să aibă, în practică, o ÎMM?

Pentru o întreprindere obișnuită, care prelucrează date ale angajaților, clienților, furnizorilor și partenerilor, este necesară constituirea unui sistem de conformitate de bază care poate fi structurat în mai multe componente documentare principale:

1. Politica de protecție a datelor și documentația de informare a persoanelor vizate

Acesta este documentul central al întreprinderii. El poate integra, într-o structură unitară:

• principiile aplicabile prelucrării;
• categoriile de date prelucrate;
• scopurile și temeiurile juridice;
• categoriile de persoane vizate;
• regulile privind accesul și confidențialitatea;
• perioadele și criteriile de păstrare;
• drepturile persoanelor vizate;
• modalitatea de exercitare a acestor drepturi;
• principiile de securitate și responsabilitățile interne.

Pentru website, politica necesită o adaptare astfel încât să respecte principiul transparenței și funcția de informare a persoanelor vizate cu privire la prelucrările datelor personale.¹¹Legea nr. 195/2024, art. 12–23; Regulamentul (UE) 2016/679, art. 12–14.

2. Registrul activităților de prelucrare a datelor cu caracter personal (evidența);

Este documentul intern prin care întreprinderea demonstrează ce date prelucrează și cum le prelucrează.

Pentru fiecare activitate relevantă – de exemplu, gestionarea angajaților, salarizare, relația cu clienții, facturare, recrutare, marketing, supraveghere video sau administrarea site-ului – registrul ar trebui să permită identificarea scopului, temeiului juridic, categoriilor de date și persoane vizate, destinatarilor, perioadei de păstrare și măsurilor de securitate.¹²Legea nr. 195/2024, art. 30.

Existența unei excepții pentru anumite întreprinderi cu mai puțin de 250 de angajați nu înseamnă că ÎMM-urile sunt scutite în mod general de această obligație. Excepția este limitată și nu operează, între altele, atunci când prelucrarea prezintă riscuri pentru drepturile persoanelor, nu este ocazională sau implică anumite categorii speciale de date.¹³Legea nr. 195/2024, art. 30 alin. (5).

3. Procedurile interne privind exercitarea drepturilor persoanelor vizate și gestionarea încălcărilor securității datelor

În ceea ce privește gestionarea cererilor și a incidentelor cibernetice, o ÎMM poate avea o procedură operațională unică, cu două componente:

• gestionarea cererilor persoanelor vizate – acces, rectificare, ștergere, restricționare, opoziție, portabilitate și celelalte drepturi prevăzute de lege;
• gestionarea încălcărilor securității datelor și a notificării autorității de supraveghere.

În cazul unei încălcări a securității care este susceptibilă să genereze un risc pentru datele personale, operatorul trebuie să notifice Centrul Național pentru Protecția Datelor cu Caracter Personal fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la momentul la care a luat cunoștință de încălcare.¹⁴Legea nr. 195/2024, art. 33.

În cazul când încalcarea securității datelor cu caracter personal este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, operatorul informează persoana vizată fără întârzieri nejustificate cu privire la această încălcare.¹⁵Legea nr. 195/2024, art. 34.

Prin urmare, procedura trebuie să stabilească, cine primește cererea, cine decide, cine documentează și în ce termen se acționează, astfel încât obligațiile legale să poată fi executate efectiv.

4. Contractele și clauzele privind prelucrarea datelor de către persoane împuternicite;

Atunci când o întreprindere utilizează furnizori care prelucrează date în numele său – de exemplu, servicii de contabilitate, hosting, cloud, software, salarizare, marketing, CRM sau alte servicii externalizate – trebuie analizată relația dintre operator și persoana împuternicită.

Contractul trebuie să reglementeze elementele prevăzute de lege și să impună garanții adecvate privind securitatea și confidențialitatea datelor.¹⁶Legea nr. 195/2024, art. 28.

5. Documentația privind evaluarea riscurilor și, după caz, evaluarea impactului asupra protecției datelor (DPIA), precum și documentarea necesității desemnării unui DPO.

Pentru activitățile obișnuite ale unei ÎMM, nu este necesară efectuarea automată a unei evaluări de impact.

În schimb, atunci când o prelucrare este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor, operatorul trebuie să efectueze, anterior prelucrării, o evaluare a impactului asupra protecției datelor (DPIA).¹⁷Legea nr. 195/2024, art. 35.

În mod similar, desemnarea unui responsabil cu protecția datelor (DPO – Data Protection Officer) nu este o obligație generală pentru toate întreprinderile. Ea intervine în situațiile prevăzute de lege, în special în cazul anumitor activități principale de monitorizare sistematică și pe scară largă sau de prelucrare pe scară largă a unor categorii speciale de date.¹⁸Legea nr. 195/2024, art. 37. Atunci când desemnarea este obligatorie, DPO poate fi o persoană din cadrul organizației sau poate fi externalizat în baza unui contract de servicii, iar legea impune acestuia competențe profesionale adecvate și independență în exercitarea atribuțiilor sale. ¹⁹Legea nr. 195/2024, art. 37 alin. (1), (5) și (6), art. 38.

Prin urmare, pentru o ÎMM obișnuită, nucleul documentar poate fi rezumat astfel:

1. Politica de protecție a datelor și documentația de informare a persoanelor vizate;
2. Registrul activităților de prelucrare a datelor cu caracter personal;
3. Procedurile interne privind exercitarea drepturilor persoanelor vizate și gestionarea încălcărilor securității datelor;
4. Contractele și clauzele privind prelucrarea datelor de către persoane împuternicite;
5. Documentația privind evaluarea riscurilor și, după caz, evaluarea impactului asupra protecției datelor (DPIA), precum și documentarea necesității desemnării unui DPO.

Amenzile: până la 1 sau 2 milioane de lei, cu aplicare graduală

Noua lege introduce un regim sancționator semnificativ mai apropiat de modelul GDPR.

În funcție de natura încălcării, articolul 88 prevede două niveluri principale de amenzi:²⁰Legea nr. 195/2024, art. 88.

• până la 1.000.000 de lei sau, pentru o întreprindere, până la 1% din cifra totală de afaceri realizată în anul anterior sancționării, luându-se în considerare valoarea mai mare;
• până la 2.000.000 de lei sau, pentru o întreprindere, până la 2% din cifra totală de afaceri realizată în anul anterior sancționării, de asemenea în funcție de valoarea mai mare.

Totuși, cuantumul amenzii nu se aplică integral încă din primul an. Potrivit dispozițiilor tranzitorii, din cuantumul sancțiunii pecuniare stabilite de Centru se aplică:²¹Legea nr. 195/2024, art. 90 alin. (4).

– în primul an: 10%;
– în al doilea an: 40%;
– începând cu al treilea an: 100%.

Această aplicare graduală nu reprezintă o perioadă de grație pentru conformare. Obligațiile legale sunt aplicabile de la intrarea în vigoare a legii, mecanismul privind exclusiv cuantumul sancțiunii pecuniare aplicabile în perioada tranzitorie.

Prin urmare, dacă, spre exemplu, cuantumul unei amenzi ar fi stabilit la 1.000.000 de lei, aplicarea graduală ar conduce, în funcție de anul de aplicare, la 100.000 de lei în primul an, 400.000 de lei în al doilea și 1.000.000 de lei începând cu al treilea an. Acest exemplu ilustrează mecanismul legal și nu reprezintă o estimare a cuantumului unei amenzi concrete.

Ce înseamnă jurisprudența CJUE referitor la GDPR pentru Statele membre?

Jurisprudența Curții de Justiție a Uniunii Europene (CJUE) oferă o perspectivă relevantă asupra modului în care sunt înțelese și aplicate normele europene privind protecția datelor. Hotărârile CJUE pot fi consultate ca repere comparative pentru înțelegerea unor concepte și obligații dezvoltate în cadrul GDPR, precum verificarea furnizorilor, informarea persoanelor sau asigurarea unui acces efectiv la date.²²Tratatul privind Uniunea Europeană, art. 19; TFUE, art. 267; Regulamentul (UE) 2016/679.

« Schrems II » – un contract standard nu este suficient pentru transferurile internaționale

În cauza Schrems II, C-311/18, CJUE a stabilit că transferul datelor către un furnizor din afara UE nu este legal doar pentru că firma a semnat clauze contractuale standard. În practică, întreprinderea trebuie să verifice dacă legislația și practicile din țara de destinație permit protejarea efectivă a datelor, de exemplu atunci când utilizează servicii cloud sau platforme internaționale.²³CJUE, Hotărârea din 16 iulie 2020, C-311/18, Data Protection Commissioner v Facebook Ireland și Maximillian Schrems, EU:C:2020:559.

« Fashion ID » – utilizarea unui plugin poate atrage responsabilitate

În cauza Fashion ID, C-40/17, CJUE a arătat că administratorul unui site poate fi considerat operator împreună cu furnizorul unui plugin, dacă prin integrarea acestuia contribuie la colectarea și transmiterea datelor vizitatorilor. Cu alte cuvinte, o firmă nu își pierde responsabilitatea doar pentru că prelucrarea este realizată tehnic printr-o platformă sau un instrument furnizat de un terț.²⁴CJUE, Hotărârea din 29 iulie 2019, C-40/17, Fashion ID GmbH & Co. KG v Verbraucherzentrale NRW eV, EU:C:2019:629.

Concluzie: conformarea la noul cadru legal devine o obligație pentru întreprinderi

Pentru antreprenori, intrarea în vigoare a Legii nr. 195/2024 trebuie privită mai puțin ca o obligație de a produce „formulare GDPR” și mai mult ca necesitatea de a construi un sistem coerent de guvernanță a datelor personale.

Prima etapă este identificarea fluxurilor reale de date: ce date sunt colectate, de la cine, în ce scop, în baza cărui temei juridic, cine are acces la ele, cui sunt transmise, unde sunt stocate și cât timp sunt păstrate.

După această cartografiere, poate fi determinată documentația necesară fiecărei întreprinderi. Provocarea pentru întreprinderile moldovenești este, de această dată, trecerea de la cunoașterea formală a noilor reguli la implementarea lor efectivă.