GDPR pentru firme în 2026 nu înseamnă doar existența unei politici de confidențialitate pe site. Aproape orice companie prelucrează date cu caracter personal: numele și datele de contact ale clienților, informațiile angajaților, adrese IP, date de facturare, CV-uri, imagini video, istoricul comenzilor sau informațiile introduse într-un CRM.
Protecția datelor trebuie, prin urmare, integrată în modul în care funcționează compania: ce informații colectează, de ce le colectează, unde le păstrează, cui le transmite, cât timp le păstrează și ce se întâmplă dacă datele sunt pierdute sau accesate neautorizat.
Pentru multe firme, riscul apare tocmai din procese aparent banale: un fișier Excel trimis persoanei greșite, accesul unui fost angajat rămas activ, un formular care colectează prea multe informații, cookie-uri de marketing instalate înainte de acordul utilizatorului sau un furnizor software care primește date fără ca relația să fie analizată din perspectiva GDPR.
În acest ghid explicăm principalele reguli privind protecția datelor pentru firme în 2026, documentele GDPR utile, temeiurile juridice, cookie-urile, drepturile persoanelor, relația cu furnizorii și pașii care trebuie urmați în cazul unei breșe de securitate.
Ce este GDPR și cui se aplică?
GDPR este denumirea utilizată pentru Regulamentul (UE) 2016/679 privind protecția datelor cu caracter personal.
Regulamentul stabilește reguli privind modul în care organizațiile colectează, utilizează, stochează, transmit și protejează datele persoanelor fizice.
În practică, GDPR este relevant pentru aproape orice companie care gestionează informații despre:
- clienți persoane fizice;
- potențiali clienți;
- angajați;
- candidați la recrutare;
- colaboratori persoane fizice;
- vizitatori ai site-ului;
- abonați la newsletter;
- utilizatori ai unei aplicații;
- persoane filmate de camerele de supraveghere;
- persoane de contact din cadrul partenerilor comerciali.
Protecția datelor este, așadar, relevantă chiar și pentru o companie care desfășoară exclusiv activități B2B, deoarece persoanele de contact din cadrul clienților sau furnizorilor pot fi persoane fizice identificabile.
Pentru partea juridică generală a administrării companiei poți consulta și ghidul despre obligațiile juridice ale firmelor în 2026.
Ce reprezintă o dată cu caracter personal?
O dată cu caracter personal este o informație referitoare la o persoană fizică identificată sau identificabilă.
Exemplele evidente includ:
- numele și prenumele;
- numărul de telefon;
- adresa de e-mail personală;
- adresa domiciliului;
- CNP-ul;
- datele unui document de identitate.
Dar date personale pot fi și informații precum:
- adresa IP;
- identificatorii online;
- locația;
- imaginile unei persoane;
- istoricul comenzilor asociat unui client;
- datele unui cont de utilizator;
- informații despre performanța unui angajat.
Nu contează doar dacă informația conține numele persoanei. Important este dacă persoana poate fi identificată direct sau indirect.
Există și categorii speciale de date
GDPR acordă o protecție suplimentară anumitor categorii de date personale.
Acestea pot include date privind:
- sănătatea;
- originea rasială sau etnică;
- opiniile politice;
- convingerile religioase sau filozofice;
- apartenența sindicală;
- date genetice;
- date biometrice utilizate pentru identificarea unică;
- viața sexuală sau orientarea sexuală.
Prelucrarea acestor informații este supusă unor condiții suplimentare.
De aceea, o firmă care gestionează informații medicale, biometrice sau alte date sensibile trebuie să acorde o atenție suplimentară temeiului juridic, accesului, securității și perioadei de păstrare.
GDPR nu înseamnă să ceri consimțământ pentru orice
Una dintre cele mai răspândite confuzii este că orice utilizare a datelor personale necesită consimțământ.
GDPR prevede mai multe temeiuri juridice pentru prelucrare.
În funcție de situație, acestea pot include:
- consimțământul persoanei;
- executarea unui contract;
- respectarea unei obligații legale;
- protejarea intereselor vitale;
- îndeplinirea unei sarcini de interes public;
- interesul legitim, atunci când sunt îndeplinite condițiile necesare.
Temeiul trebuie stabilit pentru fiecare scop de prelucrare.
Exemplu: magazin online
Dacă un client comandă un produs, magazinul are nevoie de numele și adresa acestuia pentru procesarea și livrarea comenzii.
Într-un asemenea context, firma nu trebuie să presupună automat că baza legală este consimțământul. Prelucrarea anumitor date poate fi necesară pentru executarea contractului.
În schimb, utilizarea aceleiași adrese de e-mail în alte scopuri trebuie analizată separat.
Consimțământul trebuie să fie real
Atunci când compania se bazează pe consimțământ, acesta trebuie să respecte condițiile GDPR.
În practică, persoana trebuie să poată lua o decizie liberă și informată, iar organizația trebuie să poată demonstra existența consimțământului.
De asemenea, retragerea consimțământului trebuie să poată fi realizată fără dificultăți nejustificate.
Un exemplu frecvent este newsletterul.
Dacă utilizatorul se abonează voluntar la comunicări comerciale, firma trebuie să păstreze informațiile necesare pentru a putea demonstra modul în care abonarea a fost realizată și trebuie să ofere posibilitatea dezabonării.
Principiile GDPR pe care orice firmă ar trebui să le înțeleagă
O abordare eficientă a protecției datelor începe cu principiile prevăzute de regulament.
Legalitate, echitate și transparență
Persoanele trebuie să înțeleagă modul în care datele lor sunt utilizate.
Limitarea scopului
Datele trebuie colectate pentru scopuri clare și legitime.
Reducerea la minimum a datelor
Compania nu ar trebui să solicite informații pe care nu le utilizează și de care nu are nevoie.
Exactitatea
Datele trebuie menținute corecte și actualizate atunci când este necesar.
Limitarea stocării
Datele nu trebuie păstrate nelimitat doar pentru că spațiul digital de stocare este ieftin.
Integritate și confidențialitate
Compania trebuie să implementeze măsuri tehnice și organizatorice adecvate pentru protejarea informațiilor.
Responsabilitate
Firma trebuie nu doar să respecte GDPR, ci să poată demonstra măsurile adoptate.
Începe cu o inventariere a datelor
Este dificil să protejezi informații despre care nu știi că există.
Primul pas practic este realizarea unei hărți a datelor prelucrate în companie.
Pentru fiecare proces întreabă:
- Ce date colectăm?
- De la cine?
- De ce le colectăm?
- Care este temeiul juridic?
- Unde sunt stocate?
- Cine are acces?
- Căror furnizori le transmitem?
- Sunt transferate în afara Spațiului Economic European?
- Cât timp sunt păstrate?
- Cum sunt șterse?
O asemenea analiză poate descoperi rapid date păstrate în conturi vechi, aplicații care nu mai sunt utilizate sau documente accesibile unui număr prea mare de persoane.
Registrul activităților de prelucrare
Un document important în programele GDPR este registrul activităților de prelucrare, cunoscut frecvent sub denumirea de ROPA – Record of Processing Activities.
Articolul 30 din GDPR stabilește condițiile privind evidențele activităților de prelucrare și prevede inclusiv anumite derogări.
Faptul că o companie are mai puțin de 250 de angajați nu trebuie interpretat automat ca o scutire totală de la orice obligație de evidență. Aplicabilitatea concretă trebuie analizată raportat la natura și frecvența prelucrărilor și la celelalte condiții prevăzute de regulament.
Chiar și atunci când o anumită evidență formală nu ar fi obligatorie într-un caz concret, inventarierea activităților de prelucrare rămâne foarte utilă pentru gestionarea conformității.
Politica de confidențialitate trebuie să descrie realitatea
O politică GDPR copiată de la o altă companie poate crea mai multe probleme decât rezolvă.
Documentul trebuie să reflecte modul real în care compania prelucrează datele.
În funcție de activitate, informarea poate include:
- identitatea operatorului;
- datele de contact;
- scopurile prelucrării;
- temeiurile juridice;
- categoriile de date;
- destinatarii datelor;
- eventualele transferuri internaționale;
- perioadele de păstrare;
- drepturile persoanelor;
- modalitatea de exercitare a drepturilor;
- informații privind deciziile automate, atunci când este cazul.
Informația trebuie prezentată într-o formă accesibilă și ușor de înțeles.
Cookie-urile și GDPR în 2026
Cookie-urile sunt unul dintre cele mai vizibile subiecte de protecția datelor pentru un site.
Regulile privind cookie-urile rezultă din interacțiunea dintre GDPR și cadrul specific privind comunicațiile electronice, inclusiv Legea nr. 506/2004.
Pentru cookie-urile sau tehnologiile care nu sunt strict necesare, consimțământul utilizatorului poate fi necesar înainte de stocarea sau accesarea informațiilor pe dispozitiv.
Cookie-urile strict necesare funcționării serviciului beneficiază de un tratament diferit.
Un banner de cookie-uri nu este suficient dacă scripturile pornesc înainte
Un site poate afișa un banner foarte bine realizat și totuși să nu respecte alegerea utilizatorului dacă scripturile de analiză, marketing sau tracking sunt încărcate înainte ca acesta să își exprime opțiunea.
Este important ca implementarea tehnică să respecte opțiunile disponibile în banner.
Pentru partea tehnică și de securitate poți consulta și ghidul despre securitatea cibernetică pentru firme în 2026.
CRM-ul, ERP-ul și aplicațiile cloud prelucrează date
O firmă poate utiliza zeci de servicii externe care primesc sau stochează date personale.
Exemple:
- CRM;
- ERP;
- platformă de facturare;
- e-mail marketing;
- hosting;
- cloud storage;
- platformă HR;
- software de suport;
- platformă e-commerce;
- instrumente de analytics;
- servicii de curierat;
- servicii de contabilitate.
Înainte de alegerea unei soluții software trebuie analizat și modul în care furnizorul gestionează datele companiei.
Pentru selectarea instrumentelor digitale poți consulta ghidul despre software pentru firme în 2026.
Operator sau persoană împuternicită?
GDPR diferențiază între operatorul de date și persoana împuternicită de operator.
În termeni simplificați, operatorul stabilește scopurile și mijloacele esențiale ale prelucrării, în timp ce persoana împuternicită prelucrează date în numele operatorului.
Rolul nu se stabilește doar prin denumirea introdusă într-un contract. Trebuie analizată relația reală dintre părți.
Atunci când un furnizor acționează ca persoană împuternicită, articolul 28 GDPR stabilește cerințe privind relația contractuală dintre părți.
Ce este DPA-ul dintre firmă și furnizor?
În limbaj comercial, acordul privind prelucrarea datelor este întâlnit frecvent sub denumirea de DPA – Data Processing Agreement.
Un astfel de document poate stabili, printre altele:
- obiectul și durata prelucrării;
- natura și scopul prelucrării;
- tipurile de date;
- categoriile de persoane vizate;
- obligațiile furnizorului;
- confidențialitatea;
- securitatea;
- subcontractanții;
- asistența în cazul cererilor GDPR;
- gestionarea datelor după încetarea contractului.
Nu orice furnizor necesită automat același tip de document. Rolurile trebuie stabilite înainte.
Transferurile de date în afara Spațiului Economic European
Utilizarea serviciilor cloud și software internațional poate implica transferuri de date către alte jurisdicții.
O companie trebuie să știe unde sunt procesate datele și dacă există transferuri internaționale.
GDPR prevede mecanisme specifice pentru astfel de transferuri, precum deciziile de adecvare și garanțiile prevăzute de regulament.
Nu este suficient să verifici unde este înregistrată compania furnizorului. Trebuie analizat modul concret în care serviciul procesează datele.
Protecția datelor angajaților
Angajatorii gestionează o cantitate semnificativă de date personale.
Dosarele de personal pot conține:
- date de identificare;
- date de contact;
- informații contractuale;
- date salariale;
- informații privind concediile;
- documente medicale, în situațiile prevăzute de lege;
- evaluări de performanță;
- date privind accesul la sistemele companiei.
Accesul la aceste informații trebuie limitat la persoanele care au nevoie de ele pentru îndeplinirea responsabilităților.
Pentru partea generală de administrare a personalului poți consulta și categoria Resurse Umane.
Monitorizarea angajaților și camerele video
Instalarea unei camere video sau a unui sistem GPS nu înseamnă că firma poate utiliza automat datele în orice scop.
În România, Legea nr. 190/2018 conține reguli specifice privind monitorizarea angajaților prin mijloace de comunicații electronice și/sau supraveghere video atunci când prelucrarea este bazată pe interesul legitim al angajatorului.
Printre aspectele care trebuie analizate se află necesitatea și proporționalitatea măsurii, informarea angajaților, existența unor alternative mai puțin intruzive și perioada de stocare.
Autoritatea română pentru protecția datelor a atras atenția în mod repetat asupra păstrării nejustificate a informațiilor provenite din sisteme de monitorizare peste perioada permisă în situațiile analizate.
Cât timp trebuie păstrate datele?
GDPR nu stabilește un termen universal precum „toate datele se șterg după trei ani”.
Perioada trebuie stabilită în funcție de:
- scopul prelucrării;
- obligațiile legale;
- termenele relevante pentru apărarea unor drepturi;
- necesitatea operațională;
- riscul pentru persoanele vizate.
Compania ar trebui să stabilească o politică de retenție a datelor și să evite păstrarea acestora pe termen nelimitat fără justificare.
Drepturile persoanelor vizate
GDPR acordă persoanelor mai multe drepturi privind informațiile lor.
În funcție de condițiile aplicabile, acestea pot include:
- dreptul de acces;
- dreptul la rectificare;
- dreptul la ștergere;
- dreptul la restricționarea prelucrării;
- dreptul la portabilitatea datelor;
- dreptul la opoziție;
- drepturi privind anumite decizii individuale automatizate.
În cât timp trebuie să răspundă firma?
Ca regulă generală, operatorul trebuie să răspundă cererii unei persoane vizate în termen de o lună.
În cazul unor cereri complexe sau numeroase, termenul poate fi prelungit cu încă două luni, în condițiile regulamentului, însă persoana trebuie informată despre prelungire în termenul inițial.
De aceea, compania trebuie să aibă o procedură clară pentru identificarea și soluționarea acestor cereri.
Nu șterge automat orice informație atunci când cineva invocă „dreptul de a fi uitat”
Dreptul la ștergerea datelor nu este absolut.
Pot exista situații în care compania trebuie să păstreze anumite informații deoarece există o obligație legală sau un alt motiv prevăzut de GDPR.
De aceea, o cerere de ștergere trebuie analizată, nu executată automat fără verificare.
Securitatea datelor face parte din GDPR
Protecția datelor nu este exclusiv responsabilitatea departamentului juridic.
Articolul 32 GDPR impune adoptarea unor măsuri tehnice și organizatorice adecvate riscului.
În practică, acestea pot include:
- autentificare multifactor;
- controlul accesului;
- backup;
- criptare, atunci când este adecvată;
- actualizarea sistemelor;
- protecția dispozitivelor;
- politici de parole;
- instruirea angajaților;
- monitorizarea incidentelor;
- proceduri pentru eliminarea accesurilor foștilor angajați.
Securitatea trebuie adaptată riscului și informațiilor gestionate de companie.
Ce este o breșă de securitate a datelor?
O încălcare a securității datelor nu înseamnă doar un atac cibernetic spectaculos.
Pot fi incidente și situații precum:
- trimiterea unui document către destinatarul greșit;
- pierderea unui laptop;
- accesarea neautorizată a unui cont;
- ștergerea accidentală a unor date;
- publicarea accidentală a unui fișier;
- ransomware;
- furtul unor documente;
- accesul unui fost angajat la sistemele companiei.
Regula celor 72 de ore
Atunci când o încălcare a securității datelor poate genera un risc pentru drepturile și libertățile persoanelor, operatorul trebuie să notifice autoritatea de supraveghere competentă fără întârzieri nejustificate și, atunci când este fezabil, în maximum 72 de ore de la momentul în care a luat cunoștință de incident.
Dacă incidentul este susceptibil să genereze un risc ridicat pentru persoanele afectate, poate exista și obligația comunicării acestuia către persoanele respective.
Nu orice incident trebuie automat raportat autorității, însă toate incidentele trebuie evaluate și documentate în conformitate cu regulile aplicabile.
În România, autoritatea competentă este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal – ANSPDCP.
Firma trebuie să aibă un plan pentru incidente
Momentul în care apare un incident nu este momentul potrivit pentru a decide pentru prima dată cine este responsabil.
Procedura internă ar trebui să stabilească:
- Cine primește raportarea incidentului.
- Cine investighează situația.
- Cine poate opri sau izola sistemele afectate.
- Cum este evaluat impactul asupra datelor personale.
- Cine decide dacă este necesară notificarea autorității.
- Cine pregătește notificarea.
- Cum sunt documentate deciziile.
- Cum sunt prevenite incidente similare.
Este obligatoriu un DPO pentru orice firmă?
Nu. Responsabilul cu protecția datelor – DPO – nu este obligatoriu pentru orice SRL.
Articolul 37 GDPR stabilește situațiile în care desemnarea acestuia devine obligatorie.
Printre acestea se află anumite situații în care activitățile principale presupun monitorizarea periodică și sistematică a persoanelor pe scară largă sau prelucrarea pe scară largă a unor categorii speciale de date.
ANSPDCP publică informații dedicate privind responsabilul cu protecția datelor.
Chiar dacă desemnarea unui DPO nu este obligatorie, compania trebuie să stabilească cine coordonează efectiv conformitatea GDPR.
Când este necesară o evaluare de impact – DPIA?
DPIA – Data Protection Impact Assessment – este o evaluare de impact asupra protecției datelor.
Aceasta trebuie analizată atunci când un tip de prelucrare este susceptibil să genereze un risc ridicat pentru drepturile și libertățile persoanelor.
Poate fi relevantă, în funcție de circumstanțe, pentru proiecte care implică:
- monitorizare extinsă;
- profilare;
- date sensibile;
- tehnologii noi;
- volume mari de date;
- decizii automatizate cu efect semnificativ.
Evaluarea trebuie făcută înainte de implementarea prelucrării cu risc ridicat, nu după apariția unei probleme.
GDPR și inteligența artificială în 2026
Utilizarea instrumentelor bazate pe inteligență artificială poate introduce noi fluxuri de date în companie.
Înainte ca angajații să introducă informații într-un instrument AI, organizația ar trebui să știe:
- dacă sunt introduse date personale;
- dacă există informații confidențiale;
- unde sunt procesate datele;
- cum sunt păstrate;
- dacă sunt utilizate pentru alte scopuri;
- ce furnizori sau subcontractanți sunt implicați;
- care este temeiul prelucrării.
O regulă simplă precum „nu introduceți date sensibile în AI” este utilă, dar nu înlocuiește o politică internă adaptată aplicațiilor utilizate.
Pentru implementarea AI în companie poți consulta ghidul despre inteligența artificială pentru firme în 2026.
Privacy by design și privacy by default
Protecția datelor trebuie analizată încă din etapa de proiectare a unui proces, site, aplicații sau produs.
În loc să adaugi GDPR la sfârșitul proiectului, întreabă de la început:
- avem nevoie de toate datele solicitate?
- cine trebuie să aibă acces?
- care trebuie să fie setările implicite?
- cât timp trebuie păstrate datele?
- cum pot fi șterse?
- cum gestionăm cererile persoanelor?
- ce se întâmplă dacă sistemul este compromis?
Această abordare este cunoscută sub principiile de protecția datelor începând cu momentul conceperii și protecția implicită a datelor.
Ce documente GDPR ar trebui să analizeze o firmă?
Nu există un dosar universal identic pentru toate companiile.
În funcție de activitate, pot fi relevante:
- registrul activităților de prelucrare;
- politica de confidențialitate;
- informări pentru clienți;
- informări pentru angajați;
- informări pentru candidați;
- politica privind cookie-urile;
- evidența consimțămintelor;
- contracte privind prelucrarea datelor;
- politica de retenție și ștergere;
- procedura pentru cererile persoanelor vizate;
- procedura privind breșele de securitate;
- registrul incidentelor;
- evaluări ale interesului legitim;
- DPIA, atunci când este necesară;
- politici de acces și securitate;
- documentația privind transferurile internaționale.
Cele mai frecvente greșeli GDPR ale firmelor
1. Copierea politicii de confidențialitate de la alt site
Documentul poate descrie procese pe care firma nu le utilizează și poate omite exact instrumentele folosite în realitate.
2. Colectarea prea multor date
Dacă un formular are nevoie doar de nume și e-mail, solicitarea CNP-ului fără justificare poate introduce un risc inutil.
3. Consimțământ pentru orice
Consimțământul nu este singurul temei juridic și nu trebuie utilizat mecanic pentru fiecare activitate.
4. Cookie-uri activate înainte de alegerea utilizatorului
Bannerul trebuie corelat cu implementarea tehnică a scripturilor și tehnologiilor de tracking.
5. Acces prea larg la date
Angajații ar trebui să aibă acces doar la informațiile necesare responsabilităților lor.
6. Conturile foștilor angajați rămân active
Procesul de offboarding trebuie să includă eliminarea sau modificarea accesurilor.
7. Furnizorii software nu sunt verificați
Adăugarea unei noi aplicații poate însemna adăugarea unui nou flux de date personale.
8. Datele sunt păstrate pentru totdeauna
Compania trebuie să stabilească termene și criterii de retenție.
9. Lipsa unui plan pentru breșe
Termenul GDPR poate începe să curgă înainte ca managementul să termine discuțiile interne despre cine este responsabil.
10. GDPR este considerat exclusiv problema avocatului
Protecția datelor implică managementul, IT-ul, HR-ul, marketingul, vânzările și persoanele care gestionează informațiile.
Checklist GDPR pentru firme în 2026
- Inventariază datele personale prelucrate.
- Stabilește scopul fiecărei prelucrări.
- Identifică temeiul juridic.
- Verifică dacă sunt colectate doar datele necesare.
- Actualizează informările de confidențialitate.
- Verifică implementarea cookie-urilor.
- Inventariază furnizorii care primesc date.
- Verifică acordurile de prelucrare necesare.
- Analizează transferurile internaționale.
- Stabilește perioade de retenție.
- Controlează accesul angajaților.
- Activează măsuri adecvate de securitate.
- Creează o procedură pentru cererile persoanelor vizate.
- Creează o procedură pentru breșele de securitate.
- Verifică dacă este necesar un DPO.
- Analizează dacă anumite proiecte necesită DPIA.
- Revizuiește utilizarea datelor în instrumentele AI.
- Instruiește periodic angajații.
Întrebări frecvente despre GDPR pentru firme în 2026
GDPR se aplică și firmelor mici?
Da. Dimensiunea companiei poate influența anumite obligații sau excepții, însă o firmă mică nu este automat exceptată de la respectarea GDPR.
Este suficient să am o politică GDPR pe site?
Nu. Politica de confidențialitate este doar o parte a conformității. Firma trebuie să respecte regulile și în procesele interne, software, HR, marketing, securitate și relațiile cu furnizorii.
Am nevoie de consimțământ pentru orice date personale?
Nu. GDPR prevede mai multe temeiuri juridice, iar temeiul corect trebuie stabilit în funcție de scopul concret al prelucrării.
Cât timp am pentru a răspunde unei cereri GDPR?
Regula generală este de o lună de la primirea cererii. În anumite situații complexe, termenul poate fi prelungit cu două luni suplimentare, cu respectarea condițiilor GDPR.
În cât timp trebuie raportată o breșă de securitate?
Atunci când sunt îndeplinite condițiile pentru notificare, autoritatea de supraveghere trebuie informată fără întârzieri nejustificate și, dacă este fezabil, în maximum 72 de ore de la luarea la cunoștință a breșei.
Este obligatoriu un DPO pentru orice firmă?
Nu. Obligația depinde de condițiile stabilite de articolul 37 GDPR și de natura activităților de prelucrare.
Cookie-urile Google Analytics sau de marketing pot porni automat?
Cookie-urile și tehnologiile care nu sunt strict necesare trebuie analizate prin prisma regulilor privind consimțământul. Implementarea tehnică trebuie să respecte opțiunea utilizatorului.
GDPR se aplică și datelor angajaților?
Da. Datele angajaților sunt date personale și trebuie prelucrate conform GDPR și legislației naționale aplicabile relațiilor de muncă.
Este obligatoriu un registru GDPR pentru orice SRL?
Articolul 30 GDPR conține reguli și anumite derogări privind evidențele activităților de prelucrare. Aplicarea trebuie analizată în funcție de caracteristicile prelucrărilor companiei, nu doar de numărul de angajați.
Concluzie
GDPR pentru firme în 2026 trebuie privit ca un proces permanent de administrare a informațiilor, nu ca un set de documente pregătite o singură dată.
Companiile introduc constant noi aplicații, angajați, formulare, furnizori și metode de marketing. Fiecare dintre acestea poate modifica modul în care sunt prelucrate datele personale.
O abordare sănătoasă începe cu inventarierea datelor, stabilirea scopurilor și temeiurilor juridice, controlul accesului și verificarea furnizorilor. Apoi trebuie construite proceduri pentru drepturile persoanelor, retenția datelor și incidentele de securitate.
Protecția datelor trebuie corelată și cu securitatea informatică. O politică GDPR nu poate proteja informațiile dacă parolele sunt slabe, conturile sunt partajate sau sistemele nu sunt actualizate.
Pentru următorul pas poți consulta ghidul despre securitatea cibernetică pentru firme în 2026 și articolul despre obligațiile juridice ale unui SRL.
Notă: Acest articol are caracter general și informativ și nu reprezintă consultanță juridică. Aplicarea GDPR depinde de activitățile concrete de prelucrare ale fiecărei organizații. Pentru situații complexe sau prelucrări cu risc ridicat este recomandată o analiză juridică și tehnică individuală.
Surse oficiale și resurse utile
- EUR-Lex – Regulamentul (UE) 2016/679 privind protecția datelor – GDPR
- European Data Protection Board – Data Protection Guide for Small Business
- European Data Protection Board – Data Breaches
- European Data Protection Board – Drepturile persoanelor vizate
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal
- ANSPDCP – Responsabilul cu protecția datelor
- Portal Legislativ – Legea nr. 506/2004
