DPO, registre, breșe de date: obligațiile din Legea 195/2024 pe înțelesul unui business mic

Ai citit despre Legea 195/2024 și te-ai împiedicat de cuvinte ca „operator", „RoPA", „DPO", „DPIA". Sună a birocrație pentru corporații. Nu e.

Hai să le luăm pe rând, pe limba unui patron care are treabă, nu timp de citit legi.

Ești operator de date? Probabil da

Operator e oricine decide ce date personale colectează și la ce le folosește. Nu trebuie să fii bancă.

Ai clienți cu nume și telefon în agendă sau în CRM? Operator. Ai angajați cu contracte de muncă? Operator. Ai un formular de contact pe site? Tot operator.

Legea se aplică oricărui business care prelucrează date ale persoanelor din Moldova. Nu doar celor cu clienți din UE. Deci da — e și despre tine.

Vestea bună: pentru un business mic, obligațiile de mai jos înseamnă câteva documente și un pic de ordine. Nu un departament nou.

RoPA — registrul prelucrărilor. Un document, nu un soft

RoPA e registrul activităților de prelucrare. Sună pompos, dar e un tabel în care scrii:

• Ce date colectezi — nume, telefon, email, date din contracte
• Pe ce temei — contract cu clientul, obligație legală, consimțământ
• Cât le ții — și când le ștergi
• Cui le dai — contabilul, firma de curierat, platforma de email

Atât. Un document pe care-l ții la zi. Nu-ți trebuie un soft scump și nici un consultant care să ți-l vândă ca pe un proiect de jumate de an.

De ce contează? Pentru că e prima hârtie pe care o cere CNPDCP dacă vine un control sau o plângere. Fără el, discuția pornește prost. Cu el, arăți că știi ce faci cu datele oamenilor.

DPO — obligatoriu doar uneori. Nu te lăsa vândut de panică

DPO e responsabilul cu protecția datelor. Și aici circulă cea mai mare sperietoare: „toată lumea trebuie să aibă DPO".

Fals. DPO-ul e obligatoriu doar în anumite cazuri:

• ești autoritate publică
• faci monitorizare sistematică la scară largă — gândește-te la platforme care urmăresc comportamentul a mii de oameni
• prelucrezi date sensibile la scară largă — sănătate, date biometrice și altele din categoria asta

Un magazin, un salon, o firmă de construcții sau de servicii cu câțiva angajați? De regulă, nu intră în niciuna din situațiile astea.

Dacă cineva te presează să plătești lunar pentru un DPO „că altfel iei amendă" — cere-i să-ți arate în care din cele trei cazuri te încadrezi. De multe ori, conversația se termină acolo. Iar dacă ai dubii reale, o verificare punctuală la un jurist costă mult mai puțin decât un abonament de care nu ai nevoie.

DPIA — doar la prelucrări cu risc ridicat

DPIA e evaluarea de impact asupra protecției datelor. Se face doar când pornești o prelucrare cu risc ridicat pentru oameni — nu pentru fiecare formular de contact.

Pentru un business mic obișnuit, DPIA e mai degrabă excepția decât regula. Reține doar atât: dacă plănuiești ceva nou care implică date multe sau sensibile, întreabă întâi dacă îți trebuie o evaluare. Nu după.

Breșe de date: 72 de ore și un plan simplu

Aici legea devine foarte concretă. O breșă de date e orice incident prin care datele personale ajung unde nu trebuie sau se pierd:

• un laptop pierdut cu baza de clienți pe el
• cineva intră neautorizat în sistemul sau baza ta de date
• un email cu date trimis greșit — la alt client, la altă listă

Când se întâmplă, ai 72 de ore să notifici CNPDCP — Centrul Național pentru Protecția Datelor.

72 de ore trec repede. Dacă afli vineri seara și abia luni începi să te întrebi „și acum ce fac?", ai pierdut deja jumate din termen. De asta îți trebuie un plan scris dinainte, de o pagină:

1. Cine anunță incidentul intern — și cui
2. Cine evaluează ce date au fost afectate
3. Cine trimite notificarea la CNPDCP
4. Ce spui persoanelor afectate, dacă e cazul

Îl scrii o dată, într-o oră. Și speri să nu-ți trebuiască niciodată.

Drepturile oamenilor: acces, ștergere, portabilitate

Legea dă oamenilor drepturi asupra datelor lor. Cele pe care le vei întâlni:

• Acces — „ce date aveți despre mine?"
• Ștergere — „ștergeți-mi datele"
• Portabilitate — „dați-mi datele într-un format pe care-l pot lua cu mine"

Obligația ta: un proces prin care răspunzi la cererile astea. Nimic sofisticat — o adresă de email unde vin cererile, cineva responsabil să răspundă și RoPA din care vezi rapid ce date ai despre om și unde. Vezi cum se leagă? Registrul făcut o dată te scapă de panica la fiecare cerere.

Cât te costă dacă ignori partea asta

Obligațiile operatorului — registre, DPO acolo unde trebuie, securitate — sunt în tier-ul 2 de amendă: până la 1.000.000 lei sau 1% din cifra de afaceri anuală, care e mai mare.

Aplicarea e graduală: în primul an amenzile se aplică la 10% din cuantum, în al doilea la 40%, din al treilea la 100%. Deci nu vine nimeni pe 24 august să-ți dea amenda maximă. Dar obligația există din prima zi — iar presiunea crește an de an. Detaliile despre amenzi le-am desfăcut într-un articol separat.

Concluzia: disciplină, nu cost

Uite ce NU-ți cere partea asta a legii: servere noi, softuri scumpe, un angajat în plus.

Ce-ți cere: un registru scris, un plan de breșe de o pagină, un proces de răspuns la cereri și onestitatea de a verifica dacă ai nevoie de DPO înainte să plătești pentru unul. Documente și ordine. Cam atât.

Partea tehnică — site-ul, cookie-urile, formularele — e alt capitol, cu checklist-ul lui separat.

Un ultim lucru, spus cinstit: articolul ăsta e informare generală, nu sfat juridic. Registrele, temeiurile și situația ta concretă le validezi cu un avocat — noi îți pregătim terenul, el semnează. Iar legea o găsești oricând în varianta la zi pe legis.md.