Legea 195/2024 a intrat în vigoare: ce s-a schimbat

Pe 23 august 2026 a intrat în vigoare Legea nr. 195/2024 privind protecția datelor cu caracter personal, iar Legea 133/2011 a încetat să se aplice în aceeași zi. Termenul a trecut: regimul nou se aplică deja prelucrărilor pe care le faci acum, inclusiv celor începute sub legea veche.

> O precizare necesară: aici vorbim despre Legea 133/2011 privind protecția datelor cu caracter personal. Nu o confunda cu Legea 133/2016 privind declararea averii și a intereselor personale — sunt legi complet diferite, iar căutările după „legea 133" le amestecă des.

Dacă firma ta are un site cu formular de contact, o bază de clienți, un sistem de salarizare sau o cameră de supraveghere, tranziția te privește direct. Acest ghid compară cele două regimuri punct cu punct și explică ce ai de făcut concret.

De la Legea 133/2011 la Legea 195/2024: ce se schimbă

Legea 195/2024 transpune Regulamentul (UE) 2016/679 (GDPR) în legislația națională. Nu este o actualizare cosmetică a legii vechi, ci o schimbare de filosofie: de la autorizare prealabilă la responsabilitate demonstrabilă.

Cea mai importantă schimbare: de la înregistrare la responsabilitate

Sub Legea 133/2011, conformitatea era în mare parte un act administrativ: notificai autoritatea, figurai în registru și, formal, erai în regulă.

Legea 195/2024 elimină acest filtru prealabil și îl înlocuiește cu principiul responsabilității (accountability). Nimeni nu îți mai aprobă prelucrarea în avans — dar dacă CNPDCP întreabă, trebuie să poți arăta, cu documente, pe ce temei prelucrezi fiecare categorie de date, cine are acces, cât timp le păstrezi și ce măsuri de securitate ai implementat.

Diferența practică este semnificativă: efortul se mută de la un formular depus o dată la o disciplină documentară permanentă. Pentru companiile care nu au ținut niciodată evidența prelucrărilor, aceasta este partea care cere cel mai mult timp — și motivul pentru care pregătirea nu se face în ultima săptămână.

Autoritatea de supraveghere rămâne Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), dar cu competențe considerabil extinse: poate efectua audituri, poate cere acces la sisteme și încăperi, poate emite ordine și poate dispune interzicerea temporară sau definitivă a unei prelucrări.

Cui i se aplică

Legea vizează două categorii principale:

• Operatorii sunt persoanele juridice sau fizice care stabilesc scopurile și mijloacele prelucrării datelor (de exemplu, compania ta care ține evidența clienților).
• Persoanele împuternicite (procesatorii) sunt cei care prelucrează date în numele operatorului (furnizorul de contabilitate, agenția de marketing, platforma de e-mailing, providerul de cloud).

Practic, orice afacere din Moldova care prelucrează date despre persoane fizice identificabile (nume, telefon, e-mail, IDNP, date medicale, imagini video) este vizată, indiferent de mărime.

Principalele obligații pentru companii

1. Temei legal pentru fiecare prelucrare

Nu poți prelucra date „pentru orice eventualitate". Fiecare colectare trebuie să aibă un temei clar: consimțământul persoanei, executarea unui contract, o obligație legală sau un interes legitim demonstrabil.

2. Consimțământ valabil

Consimțământul trebuie să fie liber, specific, informat și dovedibil. Căsuțele bifate în avans și formulările vagi nu mai sunt acceptate. Persoana trebuie să își poată retrage consimțământul la fel de ușor cum l-a oferit.

3. Respectarea drepturilor persoanelor vizate

Clienții și angajații au dreptul de acces, rectificare, ștergere („dreptul de a fi uitat"), restricționare, portabilitate și opoziție. Compania trebuie să răspundă la aceste cereri în termenele prevăzute de lege.

4. Registrul evidenței activităților de prelucrare

Operatorii trebuie să documenteze ce date colectează, în ce scop, pe ce temei, cât timp le păstrează și cu cine le partajează.

5. Evaluarea impactului (DPIA)

Pentru prelucrările cu risc ridicat (monitorizare pe scară largă, date sensibile, profilare), este necesară o evaluare a impactului asupra protecției datelor înainte de a începe prelucrarea.

6. Notificarea incidentelor de securitate

În caz de breșă de securitate, operatorul trebuie să notifice CNPDCP, în principiu în 72 de ore, iar în cazurile cu risc ridicat, și persoanele afectate.

7. Contracte cu procesatorii

Relația cu fiecare furnizor care prelucrează date în numele tău trebuie reglementată printr-un contract de prelucrare (data processing agreement) care impune aceleași standarde de securitate.

Responsabilul cu protecția datelor (DPO)

Legea introduce funcția de responsabil cu protecția datelor (Data Protection Officer). Desemnarea unui DPO devine obligatorie în special pentru autoritățile publice, pentru companiile a căror activitate principală implică monitorizarea sistematică pe scară largă a persoanelor și pentru cele care prelucrează pe scară largă categorii speciale de date (de exemplu, date medicale).

Pentru IMM-urile care nu se încadrează obligatoriu, un DPO externalizat este adesea soluția rațională: expertiză juridică și tehnică fără costul unui angajat permanent.

Sancțiuni: aici este saltul cel mai mare

Sub Legea 133/2011, încălcările se sancționau prin procedură contravențională, cu sume fixe care, pentru o companie de dimensiune medie, rămâneau în general suportabile.

Legea 195/2024 schimbă atât mecanismul, cât și ordinul de mărime. CNPDCP aplică amenzile direct, fără să treacă prin altă procedură, iar plafoanele sunt raportate la cifra de afaceri anuală. Potrivit prevederilor legii, amenzile pot ajunge până la 1.000.000 de lei sau, pentru întreprinderi, până la 1% din cifra de afaceri anuală, iar pentru categoria mai gravă de încălcări până la 2.000.000 de lei sau până la 2% din cifra de afaceri anuală. Încadrarea în una sau alta dintre trepte depinde de tipul încălcării.

Detaliul care schimbă calculul: între suma fixă și procent se aplică valoarea mai mare, nu cea mai mică. Pentru o firmă cu venituri de câteva zeci de milioane de lei, procentul nu este o alternativă mai blândă la plafonul fix, ci pragul care contează efectiv.

Amenzile nu se încasează integral din prima zi. Dispozițiile tranzitorii prevăd o aplicare eșalonată: în primul an de la intrarea în vigoare se încasează 10% din amenda stabilită, în al doilea an 40%, iar de la al treilea an suma integrală. Asta nu înseamnă un an de grație — încălcarea se constată și se sancționează de acum, doar cuantumul încasat este redus în perioada de tranziție.

Dincolo de amendă, riscul comercial este la fel de concret: partenerii europeni cer dovada conformității înainte de a semna, iar un incident nenotificat afectează încrederea clienților mult mai durabil decât o sancțiune.

Mesajul-cheie nu este panica, ci pregătirea din timp: costul conformității este mult mai mic decât costul unei sancțiuni sau al unui incident.

Erai deja conform cu Legea 133/2011? Ce îți mai rămâne de făcut

Dacă ai tratat serios legea veche, ești într-o poziție bună, dar nu ești gata. Conformitatea sub 133/2011 acoperea în principal notificarea și temeiul prelucrării. Sub 195/2024 îți mai rămân, tipic, patru lucruri:

• 1. Construiește registrul activităților de prelucrare. Notificarea depusă cândva la CNPDCP nu ține locul acestui document — registrul este intern, viu și trebuie actualizat.
• 2. Reverifică formularele de consimțământ. Cerința ca retragerea să fie la fel de simplă ca acordarea este nouă și invalidează multe formulare existente.
• 3. Adaugă procedura de incident. Termenul de 72 de ore înseamnă că trebuie să știi dinainte cine decide, cine notifică și pe ce canal — nu se improvizează în timpul unei breșe.
• 4. Renegociază contractele cu furnizorii. Contractele semnate sub regimul vechi rareori conțin clauzele de prelucrare cerute acum.

Pentru companiile care lucrează deja după GDPR pentru clienți europeni, decalajul este mic: majoritatea cerințelor coincid, iar efortul se reduce la alinierea documentației la terminologia și specificul Legii 195/2024.

Checklist de conformitate până la 23.08.2026

• 1. Inventariază datele: ce colectezi, unde le stochezi, cine are acces.
• 2. Stabilește temeiul legal pentru fiecare prelucrare.
• 3. Actualizează politica de confidențialitate și formularele de consimțământ.
• 4. Creează registrul activităților de prelucrare.
• 5. Semnează contracte de prelucrare cu toți furnizorii (cloud, contabilitate, marketing).
• 6. Implementează măsuri tehnice: MFA, criptare, controlul accesului, backup.
• 7. Definește procedura de răspuns la incidente (72 de ore).
• 8. Desemnează un responsabil (DPO), intern sau externalizat, dacă e cazul.
• 9. Instruiește angajații care lucrează cu date personale.

Întrebări frecvente

Mai este valabilă Legea 133/2011? Nu. S-a aplicat până pe 22 august 2026 inclusiv. Din 23 august 2026 se aplică Legea 195/2024, iar legea veche și-a încetat efectele.

Legea se aplică și firmelor mici? Da. Nu există o scutire în funcție de mărime. Contează tipul, volumul și riscul prelucrărilor, nu numărul de angajați.

Ce se întâmplă cu notificarea depusă la CNPDCP sub legea veche? Nu îți mai folosește ca dovadă de conformitate. Regimul de înregistrare prealabilă este înlocuit de obligația de a documenta intern prelucrările și de a demonstra conformitatea la cerere.

Am nevoie obligatoriu de un responsabil cu protecția datelor (DPO)? Nu întotdeauna. Este obligatoriu pentru autoritățile publice, pentru operatorii a căror activitate principală presupune monitorizarea sistematică pe scară largă și pentru cei care prelucrează pe scară largă categorii speciale de date. Pentru restul este recomandat, iar un DPO externalizat reduce costul.

Cât de mari sunt amenzile? Până la 1.000.000 de lei sau 1% din cifra de afaceri anuală pentru o treaptă de încălcări și până la 2.000.000 de lei sau 2% din cifra de afaceri anuală pentru cealaltă, în funcție de gravitate. Amenda se aplică direct de către CNPDCP.

Cât timp durează aducerea la conformitate? Pentru un IMM tipic, un proiect structurat durează de la câteva săptămâni la câteva luni, în funcție de numărul de sisteme și de calitatea documentației existente.

Ce se întâmplă dacă am deja proceduri conforme cu GDPR? Ești cu un pas înainte. Majoritatea cerințelor coincid, rămâne de aliniat documentația la terminologia și specificul Legii 195/2024.

Pregătește-ți compania la timp

Tranziția de la Legea 133/2011 la Legea 195/2024 nu este doar o obligație juridică, ci și o ocazie de a pune ordine în modul în care compania ta stochează și folosește datele.

Serviciile noastre de securitate cibernetică acoperă auditul de protecție a datelor, implementarea măsurilor tehnice (MFA, IAM, protecție endpoint) și rolul de responsabil cu protecția datelor externalizat. Pentru partea de inventariere, retenție și backup — de regulă cea mai laborioasă — lucrăm prin serviciile de baze de date și infrastructură de date.

*Acest articol are caracter informativ și nu constituie consultanță juridică. Pentru situația concretă a firmei tale, verifică textul legii pe datepersonale.md sau consultă un jurist.*

Solicită un audit de conformitate și vezi exact unde te afli față de regimul aflat acum în vigoare.