Legea 195/2024 și baza de date a firmei: ce verifici

Pe acest site am tratat până acum Legea nr. 195/2024 din perspectiva angajatorului — ce date despre angajați prelucrezi și ce ai de recuperat ca firmă. Dar la majoritatea companiilor din Moldova, cea mai mare parte a datelor cu caracter personal nu stă într-un dosar de HR, ci în sistemele de zi cu zi: CRM-ul de vânzări, 1C sau programul de contabilitate, platforma de e-commerce, fișierele Excel cu liste de clienți și prospecți. Acolo se întâmplă, de fapt, cea mai mare parte a prelucrării — și acolo ajunge și cea mai mare parte a riscului, pentru că o bază de date sau un CRM prost configurat expune date mult mai multor persoane din firmă decât un dosar ținut sub cheie la resurse umane. Acest ghid tratează exact acel capitol: ce date despre clienți conține de fapt o bază de date obișnuită, cine ar trebui să aibă acces la ele, cum decizi cât timp le păstrezi și ce verifici înainte de a semna cu un furnizor de CRM sau de bază de date.

Ce date despre clienți ajung, de fapt, într-o bază de date obișnuită

Orice firmă care vinde ceva — produse, servicii, abonamente — acumulează, fără să se gândească neapărat în acești termeni, mai multe categorii de date despre oameni reali:

• Date de identificare: nume, telefon, e-mail, adresă de livrare sau de facturare, uneori IDNP atunci când factura o cere.
• Date tranzacționale: istoricul comenzilor, valoarea lor, statusul plăților, metoda de livrare folosită.
• Date comportamentale: activitate pe site, puncte de loialitate, deschideri de tichete de suport, reclamații.
• Date de marketing: ce campanii a primit un client, dacă s-a abonat sau dezabonat, canalul preferat de contact.
• Notițe libere, scrise de agenți de vânzări sau de suport — adesea cea mai sensibilă categorie, pentru că nu are o structură fixă și poate conține detalii personale pe care nimeni nu le-a introdus intenționat ca „date cu caracter personal".

Fiecare dintre aceste categorii trăiește, de obicei, într-un sistem diferit — CRM, platforma de magazin online, programul de contabilitate — și rareori există o singură persoană din firmă care știe exact unde se află toate.

Ce este, de fapt, în vigoare de la 23 august 2026 — și ce nu acoperă acest ghid

La 23 august 2026 a intrat în vigoare Legea nr. 195/2024 privind protecția datelor cu caracter personal, alături de Legea nr. 160/2026, care reglementează separat prelucrarea datelor de către autoritățile de prevenire și combatere a infracțiunilor — nu activitatea unei firme obișnuite; cele două nu trebuie confundate. Potrivit Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), autoritatea care administrează Legea 195/2024, noul cadru legal „consolidează drepturile persoanelor vizate și responsabilitățile celor care prelucrează date cu caracter personal", cu accent sporit pe legalitatea, echitatea și transparența prelucrării, precum și pe responsabilitatea și securitatea datelor. CNPDCP a elaborat și un set de îndrumări/explicații destinate operatorilor, persoanelor împuternicite și altor părți interesate, menite să ajute la interpretarea și aplicarea corectă a noilor prevederi — acel document, nu un articol de blog, este referința pentru orice interpretare punctuală a legii.

Acest ghid nu reproduce textul articolelor legii și nu dă cifre sau termene pe care nu le-am verificat direct — pentru asta, sursa este CNPDCP, la datepersonale.md. Ce facem aici este altceva: traducem obligația generală de a proteja datele cu caracter personal în decizii concrete despre sistemele care le conțin la tine în firmă. Pentru partea de angajați și recrutare, avem un ghid dedicat; pentru tranziția legală de la Legea 133/2011 la Legea 195/2024, ghidul general. Acesta se concentrează pe CRM, bază de date și programul de facturare — sistemele care conțin date despre clienți, nu despre angajați.

Controlul accesului: cine vede, de fapt, datele clienților

Întrebarea cea mai des ignorată într-o firmă mică nu este „avem o bază de date cu clienți", ci „cine, concret, poate să o vadă și să o exporte". În practică, acces larg la toate înregistrările — pentru toată echipa de vânzări, suport și contabilitate deopotrivă — este norma, nu excepția, pur din comoditate la configurare. Câteva principii simple schimbă asta fără să încetinească activitatea:

• Acces pe roluri, nu pe persoane: un agent de vânzări vede clienții din zona lui, nu întreaga bază; contabilitatea vede datele de facturare, nu notițele de vânzări.
• Revizuirea accesului când se schimbă un rol sau pleacă un angajat — cont dezactivat în aceeași zi, nu „la următorul audit".
• Loguri de acces și export — cine a scos un raport cu date de clienți și când, suficient de clar pentru a reconstrui un incident dacă e nevoie.
• Acces separat pentru furnizori externi (agenție de marketing, freelancer) — cont dedicat, revocabil, nu parola partajată a unui angajat.

Serviciile noastre de securitate cibernetică acoperă exact configurarea acestui tip de control al accesului — roluri, autentificare multi-factor, loguri — peste sistemele existente ale firmei, fără să fie nevoie de o migrare completă pentru a-l implementa.

Cât timp păstrezi datele unui client care nu mai cumpără

Aici nu există o cifră universală pe care s-o aplici mecanic — și orice articol care îți dă una, fără sursă, îți dă o presupunere, nu o regulă. Ce poți face, în schimb, este o politică internă, scrisă și consecventă: definești câteva categorii (client activ, client inactiv de un an, prospect care nu a cumpărat niciodată) și o perioadă rezonabilă, legată de un scop real — de exemplu, intervalul obișnuit în care un client inactiv mai poate fi reactivat prin marketing, nu „pentru totdeauna, ca să nu pierdem nimic". Odată stabilită, politica trebuie aplicată la fel pentru toți clienții dintr-o categorie, nu decisă ad-hoc de fiecare agent de vânzări.

Un detaliu care creează confuzie frecvent: documentele contabile și fiscale legate de un client — facturi, chitanțe, documente de livrare — au propriile termene de păstrare, stabilite separat prin legislația contabilă, diferite de datele de contact și marketing. Ștergerea unui profil de client din CRM nu înseamnă automat că poți sau trebuie să distrugi și documentele financiare asociate lui; aceea este o discuție separată, pentru contabilul firmei sau pentru Serviciul Fiscal de Stat, nu pentru administratorul CRM-ului.

Backup-urile conțin aceleași date — și aceleași riscuri

O copie de rezervă a bazei de date de clienți este, din perspectiva protecției datelor, o a doua bază de date, nu un detaliu tehnic separat. Dacă producția are acces restricționat pe roluri dar backup-ul stă necriptat pe un disc extern accesibil oricui din birou, sau într-un cont cloud cu o singură parolă partajată, firma nu a redus riscul — l-a mutat într-un loc mai puțin verificat. Ghidul nostru despre backup de date pentru companii tratează partea tehnică a unei strategii de backup care rezistă la scenariile reale; din perspectiva datelor cu caracter personal, aceeași copie trebuie criptată, cu acces la fel de restricționat ca sistemul din care provine, și inclusă explicit în orice discuție despre cine poate vedea datele clienților firmei.

Ce întrebi un furnizor de CRM sau de bază de date înainte să semnezi

O discuție despre protecția datelor cu un furnizor de CRM, de e-commerce sau de bază de date ar trebui să includă, concret:

• Unde este găzduită baza de date și dacă furnizorul poate confirma exact în ce țară sau regiune.
• Dacă datele sunt criptate, atât în repaus (pe disc), cât și în tranzit (între server și utilizatori).
• Cum exporți și ștergi o înregistrare specifică, nu doar o exportare completă a bazei — un răspuns de genul „nu se poate separat" e un semnal de precauție.
• Ce loguri de acces oferă platforma — cine a văzut sau a modificat o înregistrare, și pe cât timp se păstrează acele loguri.
• Ce subcontractori sau servicii terțe au acces la date (găzduire, suport tehnic, analiză) și ce clauze contractuale guvernează acel acces.
• Ce prevede contractul în cazul unui incident de securitate care implică date ale clienților tăi — cine notifică pe cine și în ce termen.

Un furnizor serios răspunde la aceste întrebări clar și documentat, nu cu promisiuni generale de genul „suntem conformi".

De unde începi, practic, dacă nu ai făcut asta până acum

• 1. Fă un inventar real: ce sisteme conțin date de clienți — CRM, platforma de magazin, programul de facturare, fișiere Excel — și cine administrează fiecare.
• 2. Revizuiește accesul: cine poate vedea și exporta datele în fiecare sistem, pe roluri, nu pe persoane.
• 3. Scrie o politică de retenție scurtă, pe categorii de clienți, și aplică-o consecvent.
• 4. Verifică backup-urile: sunt criptate și la fel de restricționate ca sistemul de producție?
• 5. Pentru orice interpretare punctuală a legii, consultă îndrumările CNPDCP la datepersonale.md sau un specialist în protecția datelor — nu un articol generic.

Acest articol este informativ și nu reprezintă consultanță juridică sau fiscală. Pentru interpretarea exactă a Legii nr. 195/2024 și pentru situații punctuale din firma ta, verifică textul legii și îndrumările Centrului Național pentru Protecția Datelor cu Caracter Personal (datepersonale.md) sau consultă un specialist.

Întrebări frecvente

Trebuie să cer din nou consimțământul clienților deja existenți în CRM? Depinde de temeiul legal folosit inițial. Dacă datele au fost colectate pentru executarea unui contract sau a unei comenzi, temeiul este contractul, nu consimțământul. Dacă singurul temei a fost consimțământul pentru marketing, verifică dacă acesta este încă valid și documentat — se stabilește caz cu caz, nu printr-o regulă universală.

Cât timp trebuie să păstrez datele unui client care nu mai cumpără de la noi? Nu există o cifră universală pentru datele de contact și marketing. Stabilește o perioadă rezonabilă, legată de un scop real, documentează-o și aplică-o consecvent.

IDNP-ul unui client din factură este dată cu caracter personal? Da, ca orice informație care identifică o persoană fizică, indiferent de sistemul în care este introdus.

Lista de clienți dintr-un fișier Excel e tratată diferit de un CRM? Nu — legea nu face excepție pentru format. Riscul e, de obicei, mai mare în Excel, din cauza controlului de acces mai slab.

Trebuie să șterg și facturile vechi ale unui client dacă îi șterg profilul din CRM? Nu automat — documentele contabile au termene de păstrare proprii, separate de datele de marketing; verifică acea parte cu contabilul firmei.

Cum diferă acest ghid de cel despre protecția datelor angajaților? Acela tratează datele de HR și recrutare; acesta tratează datele de clienți din CRM, baze de date și facturare — un set diferit de sisteme și de responsabili.

Pasul de făcut acum

Diferența dintre o firmă expusă și una pregătită nu este mărimea bugetului alocat protecției datelor, ci dacă a verificat, concret, cine are acces la baza ei de clienți și cât timp păstrează ce nu mai folosește.

Serviciile noastre de baze de date acoperă inventarierea, controlul accesului și structurarea retenției pentru sistemele care conțin date de clienți. Solicită o evaluare gratuită a sistemelor firmei tale și află, concret, ce rămâne de făcut.