La 23 august 2026 au intrat în vigoare, în Republica Moldova, noile prevederi ale Legii nr. 195/2024 privind protecția datelor cu caracter personal și ale Legii nr. 160/2026 privind protecția datelor cu caracter personal prelucrate în scopul prevenirii și combaterii infracțiunilor. Noile reguli impun operatorilor de date să își adapteze procedurile și modul de administrare a datelor la cerințe sporite de securitate și conformitate, ceea ce generează o serie de provocări practice pentru organizații.
Amenzile prevăzute de legislație sunt impunătoare (de până la 1 000 000 de lei / 2 000 000 de lei), cerințele de conformitate sunt anevoioase, iar sancțiunile pecuniare pot fi aplicate indiferent de faptul dacă încălcările admise de operatori au fost comise intenționat sau din neglijență.
Astfel, noile reguli privind protecția datelor cu caracter personal impun operatorilor o conduită bazată pe principii precum legalitatea, transparența, minimizarea datelor, limitarea perioadei de stocare, exactitatea, integritatea și confidențialitatea, însă dificultatea majoră de conformare nu constă doar în cunoașterea acestor principii, ci în transpunerea lor într-un sistem operațional aplicabil fiecărui tip de activitate.
În practică, operatorii se confruntă cu întrebări la care o normă juridică generală nu poate oferi întotdeauna un răspuns unic: cât timp trebuie păstrată o anumită categorie de date, când trebuie acestea șterse, cine poate avea acces la ele, în ce condiții pot fi transmise unui terț, cum se realizează rectificarea, ce date trebuie criptate, când trebuie făcută anonimizarea și cum poate fi demonstrat faptul că operatorul și-a îndeplinit aceste obligații?
Mai mult, diversitatea operatorilor face dificilă aplicarea unei soluții standard. Modul de gestionare a datelor într-o instituție publică, într-o instituție medicală, într-o bancă, într-o societate comercială, într-o companie IT sau într-un cabinet profesional este fundamental diferit. Prin urmare, conformitatea nu poate fi redusă la existența unei politici generale de protecție a datelor, ci presupune elaborarea unor proceduri interne proporționale cu natura, volumul, scopul și riscurile prelucrării. Aceste măsuri obligă operatorul să-și revizuiască fluxul efectiv de lucru.
În aceste condiții, principala provocare este trecerea de la norma abstractă la procedura concretă pentru un operator.
De ce este dificilă aplicarea noilor reguli? Răspunsul este că acțiunile pe care urmează să le întreprindă operatorii de date, sau inacțiunile acestora, implică anumite riscuri. În acest context, cele mai importante vulnerabilități sunt:
- lipsa unor proceduri standardizate de păstrare și ștergere a datelor, ceea ce poate conduce fie la păstrarea datelor mai mult decât este necesar, fie la ștergerea prematură a unor informații care trebuie conservate în temeiul altor obligații legale;
- acordarea unor drepturi de acces excesive personalului, fără delimitarea clară a principiului „need to know”;
- absența unor mecanisme automate de identificare și ștergere a datelor devenite inutile;
- utilizarea unor sisteme informatice în care rectificarea datelor nu este urmărită și documentată corespunzător;
- transmiterea datelor către terți fără o evaluare prealabilă a temeiului juridic și a riscurilor;
- stocarea datelor în sisteme insuficient securizate, inclusiv lipsa criptării acolo unde nivelul de risc o impune;
- insuficienta instruire a angajaților, deoarece eroarea umană poate deveni una dintre principalele surse ale incidentelor de securitate.
O problemă aparte este și informarea subiectului datelor. Obligația de informare poate deveni dificil de aplicat în mod uniform. Operatorul trebuie să ofere persoanei vizate informații suficiente și accesibile privind prelucrarea datelor, însă volumul și complexitatea informațiilor pot transforma informarea într-un document formal, greu de înțeles pentru persoana vizată. De aceea, provocarea operatorului nu este doar „să informeze”, ci să demonstreze că informarea este clară, inteligibilă, accesibilă și efectivă.
Stocarea și ștergerea este probabil cea mai dificilă zonă, fiind incertă noțiunea de „ștergere a datelor”, care, tehnic vorbind, nu înseamnă întotdeauna eliminarea imediată a informației vizate din toate sistemele. La fel, operatorul trebuie să coreleze legislația privind protecția datelor cu alte obligații legale: arhivare, contabilitate, fiscalitate, evidența documentelor, litigii, raporturi de muncă etc. De aceea, soluția corectă ar fi instituirea unei politici de retenție a datelor, în care pentru fiecare categorie de date să fie stabilite clar: categoria datelor, scopul prelucrării, temeiul juridic, perioada de păstrare, persoanele autorizate să acceseze datele, modalitatea de arhivare, momentul declanșării ștergerii/anonimizării, modalitatea de verificare și documentare a ștergerii.
În esență, problema fundamentală pentru operatori va fi nu existența unor reguli privind protecția datelor, ci capacitatea de a demonstra aplicarea lor efectivă. Un operator nu va putea să se limiteze la afirmația „respectăm legislația privind protecția datelor”. El trebuie să poată demonstra cine are acces la date, de ce are acces, cât timp sunt păstrate datele, când sunt șterse, ce se întâmplă atunci când o persoană solicită rectificarea, cum sunt protejate datele și ce procedură se aplică în cazul unui incident.
În situația în care demonstrarea conformității devine iminentă, o consultanță juridică calificată poate oferi soluții concrete în scopul realizării celor mai importante măsuri de protecție a datelor cu caracter personal, care să facă față noilor provocări, așa cum reiese și din concluzia de mai jos.
„În esență, problema fundamentală pentru operatori nu este existența unor reguli privind protecția datelor, ci capacitatea de a demonstra aplicarea lor efectivă.”