Orice companie din Moldova care are angajați prelucrează zilnic date cu caracter personal, chiar dacă nu se gândește la asta în acești termeni: acte de identitate și CV-uri la angajare, date salariale și bancare pentru statul de plată, certificate medicale pentru concedii, evaluări de performanță, uneori acces cu amprentă sau camere de supraveghere la sediu. Din 23 august 2026, toate aceste prelucrări intră sub incidența Legii nr. 195/2024 privind protecția datelor cu caracter personal, care a înlocuit Legea 133/2011. Legea este deja în vigoare, deci ce urmează nu mai este o listă de pregătire, ci una de recuperat.
Acest ghid tratează exclusiv perspectiva de angajator: ce date despre angajați și candidați prelucrezi de fapt, ce temei legal ai pentru fiecare categorie și ce ai de făcut, în ce ordine, înainte și după acea dată. Pentru o comparație completă a celor două legi, vezi ghidul nostru despre tranziția de la Legea 133/2011 la Legea 195/2024.
Ce date despre angajați prelucrează, de fapt, orice companie
Departamentul de HR sau contabilitatea unei firme obișnuite din Moldova gestionează, de regulă, toate categoriile de mai jos — adesea fără să le fi inventariat vreodată ca atare:
- Date de identificare: nume, IDNP, serie și număr act de identitate, adresă de domiciliu.
- Date de contact: telefon personal, e-mail personal, contact de urgență.
- Date salariale și bancare: salariu, cont IBAN, rețineri, sporuri.
- Date medicale: certificate de concediu medical, fișe de aptitudine, uneori informații despre dizabilitate.
- Date de recrutare: CV-uri, scrisori de intenție, referințe, rezultate de interviu, inclusiv ale candidaților respinși.
- Dosare disciplinare și evaluări: sancțiuni, avertismente, evaluări de performanță.
- Date biometrice sau de acces: pontaj cu amprentă sau card, coduri de acces la sediu.
- Înregistrări video și GPS: camere de supraveghere la birou sau în depozit, urmărire GPS pe mașinile companiei.
Fiecare dintre aceste categorii are un regim diferit de risc, iar unele — datele medicale și biometrice — intră în categoria specială care cere măsuri suplimentare.
Consimțământul angajatului nu rezolvă totul
Cea mai frecventă greșeală a angajatorilor este să pună un formular de consimțământ la dosarul de angajare și să considere subiectul rezolvat. Problema este că, în relația de muncă, angajatul se află într-o poziție de subordonare față de angajator, iar un consimțământ dat sub presiunea nevoii de a păstra locul de muncă nu este, de regulă, considerat liber exprimat.
Pentru prelucrările esențiale ale relației de muncă, temeiul corect nu este consimțământul, ci:
- Executarea contractului de muncă — pentru salarizare, program, atribuții.
- Obligația legală — pentru raportări către Casa Națională de Asigurări Sociale, Serviciul Fiscal de Stat, evidența concediilor medicale.
- Interesul legitim, documentat și proporțional — pentru situații precum securitatea sediului sau prevenirea fraudei, cu condiția să existe o justificare scrisă și o evaluare a impactului asupra angajatului.
Consimțământul rămâne un temei valabil doar pentru prelucrări cu adevărat opționale, unde angajatul poate refuza fără nicio consecință — de exemplu publicarea benevolă a fotografiei pe site-ul companiei.
Categorii speciale: date medicale și biometrice
Datele medicale (certificatele de concediu, fișele de aptitudine) și datele biometrice (amprentă, recunoaștere facială pentru pontaj) sunt categorii speciale, cu un nivel de protecție mai ridicat. Practic, asta înseamnă:
- Acces restricționat strict la persoanele care au nevoie de aceste date pentru atribuțiile lor (de regulă HR, nu orice manager).
- O evaluare a impactului asupra protecției datelor (DPIA) înainte de a introduce un sistem biometric la nivel de companie.
- O justificare clară de ce alternativele mai puțin intruzive (card de acces, condică de prezență) nu sunt suficiente.
Dacă firma ta folosește deja pontaj cu amprentă, nu înseamnă că trebuie renunțat la el, dar merită documentat de ce a fost ales și cum este protejat accesul la baza de date biometrică.
Monitorizarea la locul de muncă: e-mail, internet, GPS, camere
Supravegherea angajaților — e-mail de serviciu, trafic internet, camere video, GPS pe mașinile companiei — este permisă, dar nu necondiționat. Principiile de bază sunt:
- 1. Necesitate și proporționalitate: monitorizezi doar ce este strict necesar pentru scopul declarat (securitate, protecția bunurilor companiei), nu tot ce e posibil tehnic.
- 2. Transparență: angajații trebuie informați, înainte de a fi monitorizați, prin regulamentul intern sau printr-o notă separată — nu aflată ulterior, dintr-un conflict de muncă.
- 3. Fără monitorizare disproporționată: citirea sistematică a conținutului corespondenței personale sau urmărirea permanentă, în afara programului, a locației unui angajat depășește de regulă ce poate fi justificat.
- 4. DPIA pentru monitorizare sistematică pe scară largă: dacă supraveghezi video tot sediul sau urmărești GPS toată flota, această evaluare devine relevantă, nu opțională.
Cel mai frecvent punct slab pe care îl întâlnim la companiile din Moldova este absența unui regulament intern actualizat care să menționeze explicit ce se monitorizează, de ce și cine are acces la înregistrări.
Recrutarea: datele candidaților care nu sunt (încă) angajați
Procesul de recrutare generează date personale înainte chiar de a exista un contract de muncă, iar aceste date rămân adesea uitate în inboxul unui recrutor mult după ce poziția a fost ocupată. Câteva reguli practice:
- Informează candidații, la depunerea CV-ului, cât timp le păstrezi datele dacă nu sunt selectați.
- Stabilește o perioadă de retenție rezonabilă pentru CV-urile respinse și șterge-le sistematic după expirare, nu manual, „când ai timp".
- Dacă vrei să păstrezi un CV pentru poziții viitoare, cere acordul explicit al candidatului pentru asta — este exact tipul de prelucrare opțională pentru care consimțământul funcționează.
Ce are de făcut un angajator, în ordine
- 1. Inventariază toate sistemele care conțin date de angajați: salarizare, HR, evidența accesului, camere, GPS pe vehicule.
- 2. Reexaminează temeiul legal pentru fiecare categorie de date și elimină formularele de „consimțământ" acolo unde nu este temeiul potrivit.
- 3. Actualizează regulamentul intern cu politica de monitorizare (e-mail, internet, cameră, GPS) și cu informațiile despre prelucrarea datelor de personal.
- 4. Emite o notă de informare pentru angajați și una separată pentru candidați, explicând ce date se colectează, în ce scop și cât timp se păstrează.
- 5. Actualizează contractele cu furnizorii de salarizare, software HR și contabilitate externalizată, astfel încât să conțină clauzele de prelucrare cerute de lege.
- 6. Restricționează accesul la dosarele de personal și la datele medicale, pe bază de rol, nu la nivel de folder comun accesibil oricui din companie.
- 7. Stabilește o politică de retenție: cât timp păstrezi CV-uri respinse, dosare ale foștilor angajați, înregistrări video.
- 8. Pregătește procedura de notificare a incidentelor care implică date de angajați — cine decide, cine notifică CNPDCP, în principiu în 72 de ore.
- 9. Decide dacă ai nevoie de un responsabil cu protecția datelor (DPO), intern sau externalizat — pentru majoritatea IMM-urilor nu este obligatoriu, dar este util dacă volumul de date de personal este mare.
- 10. Instruiește echipa de HR și managerii care au acces la dosarele angajaților, pentru că ei sunt cei care iau deciziile zilnice de prelucrare.
Ce s-a schimbat în activitatea curentă de HR
Conformitatea nu se termină la data intrării în vigoare — de-abia atunci începe partea de întreținere. Concret, departamentul de HR trebuie să poată, la cerere:
- Actualiza registrul activităților de prelucrare de fiecare dată când apare un sistem nou (o platformă de recrutare, un nou furnizor de salarizare).
- Răspunde la cererile angajaților de acces, rectificare sau ștergere a propriilor date, în termenele legale.
- Documenta orice incident de securitate care afectează date de personal, chiar și unul minor, pentru a putea demonstra că a fost gestionat corect.
Cât costă să ignori subiectul
Legea 195/2024 permite CNPDCP să aplice amenzi direct, fără o procedură separată. În funcție de tipul încălcării, sancțiunile pot ajunge până la 1.000.000 de lei sau 1% din cifra de afaceri anuală — pentru încălcări legate de registrul de prelucrare, măsurile de securitate sau notificarea incidentelor — sau până la 2.000.000 de lei sau 2% din cifra de afaceri anuală, pentru încălcările mai grave, reținându-se suma mai mare dintre cele două variante (sursă: legitimus.md).
Dispozițiile tranzitorii prevăd și o aplicare eșalonată: în primul an de la intrarea în vigoare se încasează 10% din amenda stabilită, în al doilea an 40%, iar de la al treilea an suma integrală. Nu este un an de grație — încălcarea se constată și se sancționează de acum, doar cuantumul încasat este redus în tranziție (sursă: juridicemoldova.md). Nu am găsit procentele exacte ale acestei aplicări treptate confirmate explicit într-o sursă, așa că nu le indicăm aici — dacă ai nevoie de cifra exactă, verific-o direct în textul legii sau cu un consultant juridic.
Dincolo de amendă, riscul practic pentru un angajator este mai concret: un angajat sau fost angajat care depune o plângere la CNPDCP declanșează un control care se va uita exact la lucrurile descrise mai sus — temeiul legal, regulamentul intern, accesul la dosare.
Întrebări frecvente
Am nevoie de consimțământul angajatului ca să îi calculez salariul? Nu. Prelucrarea datelor salariale se bazează pe executarea contractului de muncă și pe obligații legale de raportare, nu pe consimțământ.
Pot monitoriza e-mailul de serviciu al angajaților? Da, dacă este necesar, proporțional și angajații sunt informați în prealabil prin regulamentul intern. Monitorizarea nedeclarată sau excesivă este riscantă.
Camerele de supraveghere de la birou intră sub incidența legii? Da. Trebuie să existe un scop clar (de regulă securitate), informare vizibilă a angajaților și vizitatorilor, și, pentru sisteme extinse, o evaluare a impactului.
Cât timp pot păstra CV-urile candidaților respinși? Legea nu îți impune o cifră fixă universală, dar trebuie să stabilești o perioadă rezonabilă, să o comunici candidaților și să o respecți — ștergere sistematică, nu la infinit.
Am nevoie obligatoriu de un responsabil cu protecția datelor pentru departamentul de HR? Nu întotdeauna. Este obligatoriu doar pentru categorii specifice de operatori; pentru majoritatea IMM-urilor este recomandat, nu obligatoriu, iar un DPO externalizat reduce costul.
Ce risc real am dacă nu fac nimic? Amenzi de până la 1.000.000–2.000.000 de lei sau 1–2% din cifra de afaceri anuală, aplicate direct de CNPDCP, plus riscul comercial al unei plângeri din partea unui angajat sau fost angajat.
Pregătește departamentul de HR la timp
Conformitatea pe partea de angajați este, de multe ori, mai laborioasă decât cea pe partea de clienți, pentru că implică sisteme diferite (salarizare, acces, supraveghere) și decizii zilnice luate de manageri, nu doar de HR. Serviciile noastre de securitate cibernetică acoperă auditul de protecție a datelor, controlul accesului la sistemele de HR și rolul de responsabil cu protecția datelor externalizat. Pentru partea de stocare, backup și restricționare a accesului la bazele de date de personal, lucrăm prin serviciile de baze de date.
*Acest articol are caracter informativ și nu constituie consultanță juridică. Pentru situația concretă a firmei tale, verifică textul legii pe datepersonale.md sau consultă un jurist.*
Solicită un audit al datelor de personal și vezi exact unde se află compania ta față de regimul aflat acum în vigoare.