Legea nr. 195/2024: ce s-a schimbat pe 23 august pentru afacerile cu site

Pe 23 august 2026 a intrat în vigoare Legea nr. 195/2024 privind protecția datelor cu caracter personal. Ea a înlocuit Legea nr. 133/2011 și a adus la noi regulile europene — cele cărora în Europa li se spune GDPR. Pentru o afacere cu site nu este «încă o hârtie»: obligații au apărut la toți cei care culeg un nume și un telefon printr-un formular.

Ce s-a schimbat de fapt

Înainte totul se învârtea în jurul notificării autorității: te-ai înregistrat — și lucrezi mai departe. Acum logica este alta. Răspundeți dvs. pentru ce culegeți și de ce, și trebuie să puteți arăta asta. Întrebarea la un control nu mai sună «aveți autorizație?», ci «arătați temeiul, acordul și evidențele».

A doua schimbare sunt sancțiunile. Centrul Național pentru Protecția Datelor cu Caracter Personal poate aplica amenzi direct, iar sumele au ajuns la ordinul de mărime european.

Pe cine privește

Datele personale nu înseamnă doar buletinul. Înseamnă tot ce duce la o persoană: nume, telefon, email, adresă, IP, numărul mașinii, o înregistrare de la cameră. Deci legea vă privește dacă aveți măcar una dintre acestea:

• un formular de solicitare, de apel invers sau de programare pe site
• abonare la buletinul informativ
• magazin online cu plasarea comenzii
• o bază de clienți — în CRM, într-un tabel sau într-un caiet
• camere de supraveghere în sală sau în birou
• angajați: și datele lor sunt personale

Mărimea companiei nu contează. Scutirea pentru organizațiile sub 250 de angajați din articolul 30 sună liniștitor, dar se aplică rar: ea nu funcționează când prelucrarea este regulată — iar primirea solicitărilor de pe site este regulată prin natura ei.

Ce se vede pe site din afară

O parte din cerințe se verifică fără niciun control: e de ajuns să deschideți site-ul și să vă uitați. De aici merită început.

• Bifa de acord din formular — și ea nu trebuie să fie bifată dinainte. Acordul este, prin lege, o acțiune conștientă a omului, nu starea implicită a unui câmp.
• Politica de confidențialitate. Nu una luată de la vecin, ci una care descrie procesele dvs. reale: cine este operatorul, de ce se culeg datele, unde ajung, cât se păstrează.
• Datele operatorului: denumirea, IDNO, adresa și un contact la care omul poate întreba despre datele lui.
• Contoare și pixeli care pornesc înainte ca omul să apese ceva.
• Fonturi și scripturi străine. Google Fonts, legate printr-un link, trimit IP-ul vizitatorului la terți încă înainte de primul clic — și asta este deja un transfer de date peste hotare.

Ce nu se vede, dar se cere

• Registrul activităților de prelucrare — un document intern: ce date, pentru ce, cui se transmit, unde se păstrează, cât timp și cum sunt protejate. Îl cere articolul 30.
• Contractele cu împuterniciții: găzduirea, serviciul de email, CRM-ul. Oricine atinge datele dvs. trebuie să o facă pe bază de contract.
• Procedura în caz de scurgere de date. Notificarea centrului are termen de 72 de ore din momentul în care ați aflat.
• Procedura de răspuns la cererile persoanelor. Omul are dreptul să întrebe ce știți despre el și să ceară ștergerea. Răspunsul se dă în cel mult o lună; în cazuri complicate termenul se prelungește cu încă două.
• Dovada acordului. Nu ajunge să puneți bifa în formular — trebuie să puteți arăta că o anumită persoană a bifat-o.

Despre amenzi, fără dramatizare

Încălcările sunt împărțite în două grupe. Prima — până la 1 milion de lei sau 1 % din cifra de afaceri anuală, a doua — până la 2 milioane de lei sau 2 %; se ia valoarea mai mare. Cifrele sunt serioase, dar au o intrare treptată: în primul an de la intrarea legii în vigoare se încasează 10 % din suma stabilită, în al doilea — 40 %, și abia din al treilea — integral.

Și ceea ce se spune mai rar: constatarea unei încălcări nu înseamnă amendă automată. Centrul are și avertismentul, și dispoziția de a remedia. Primul an este, practic, timpul de a pune lucrurile în ordine, nu un sezon de vânătoare.

Cookie-urile sunt o poveste separată

Cuvântul «cookie» nu apare în Legea nr. 195/2024. Obligația de a dezvălui urmărirea și de a cere acordul vine din Legea nr. 284/2004 privind serviciile societății informaționale — aceeași care cere acord pentru scrisorile comerciale. În practică sunt două lucruri: un banner cu categorii, dacă aveți statistică sau un pixel de publicitate, și o bifă separată pentru buletinul informativ.

Reciproca este la fel de adevărată. Dacă site-ul nu pune niciun cookie și nu numără vizitatorii, bannerul nu are rost — nu ai ce întreba. Pentru un site de servicii este o variantă care merge, și pe deasupra grăbește paginile.

Ce nu cere legea

Ca să nu cumpărați lucruri de care nu aveți nevoie:

• Un responsabil cu protecția datelor nu îi trebuie unei afaceri obișnuite. El este obligatoriu pentru autorități, iar dintre companii — pentru cele care fac monitorizare sistematică la scară mare sau prelucrează masiv categorii speciale de date: medicale, biometrice.
• Nu se cere ca datele să fie ținute doar în Moldova. Transferul în țările Spațiului Economic European merge fără o autorizare separată; pentru restul sunt necesare clauze contractuale standard sau o altă garanție prevăzută de lege.
• Nu mai trebuie obținută în avans o autorizație de prelucrare — modelul acesta a plecat odată cu legea veche.

De unde începeți săptămâna asta

Ordinea care economisește timp:

• Scrieți toate locurile prin care ajung la dvs. datele oamenilor: formulare, email, mesagerie, tabele, camere.
• Pentru fiecare răspundeți la patru întrebări: de ce, pe ce temei, unde ajunge, cât păstrăm.
• Din răspunsurile astea se adună registrul — el devine și ciorna politicii.
• Verificați formularele: bifa nu este pusă dinainte, linkul spre politică merge, acordul se păstrează împreună cu solicitarea.
• Uitați-vă la ce domenii străine se adresează site-ul când se încarcă. Tot ce e de prisos — scos sau mutat la dvs.
• Adunați contractele cu serviciile prin care trec datele.

Pe scurt

Dacă aveți un site cu formular, legea vă privește — indiferent de mărimea afacerii. Partea tehnică se face în câteva zile, iar documentele sunt în mare parte descrierea a ceea ce faceți oricum. Noi nu suntem juriști și nu oferim consultanță juridică: acoperim partea tehnică și dăm documentele-șablon, pe care rămâne să le arătați juristului dvs. Puteți începe cu pasul cel mai ieftin — deschideți-vă site-ul și uitați-vă la bifa din formular.