Art. 30 din GDPR îi cere fiecărui operator să țină o evidență a activităților de prelucrare a datelor personale. În practică i se spune registrul activităților de prelucrare sau, mai scurt, registrul prelucrărilor. E documentul care arată ce date prelucrezi, de ce, cu cine le împarți, cât le păstrezi și cum le protejezi.
Pe scurt
- Îl ține fiecare operator, iar persoanele împuternicite țin o evidență separată (art. 30 alin. (1) și (2) GDPR).
- Se ține în scris, inclusiv în format electronic (art. 30 alin. (3)).
- Se pune la dispoziția ANSPDCP, la cererea acesteia (art. 30 alin. (4)).
- Firmele cu mai puțin de 250 de angajați sunt scutite numai în condițiile stricte de la art. 30 alin. (5).
De ce contează
GDPR îi cere operatorului nu doar să respecte principiile protecției datelor, ci și să poată demonstra că le respectă (art. 5 alin. (2) și art. 24 alin. (1)). Registrul e o piesă de bază în această demonstrație: fără el, e greu de arătat că știi ce date ai și ce faci cu ele.
ANSPDCP îl numără printre obligațiile principale ale operatorului, alături de desemnarea DPO-ului, securitatea datelor, notificarea breșelor și evaluarea de impact (Întrebări frecvente ANSPDCP, întrebarea 6).
Ce trebuie să conțină
Pentru operator, art. 30 alin. (1) cere toate informațiile de mai jos:
- numele și datele de contact ale operatorului și, după caz, ale operatorului asociat, ale reprezentantului și ale DPO-ului;
- scopurile prelucrării;
- categoriile de persoane vizate și categoriile de date personale;
- categoriile de destinatari cărora le-au fost sau le vor fi divulgate datele, inclusiv cei din țări terțe sau organizații internaționale;
- transferurile către o țară terță sau o organizație internațională, dacă există, cu identificarea lor și, pentru transferurile de la art. 49 alin. (1) al doilea paragraf, documentația garanțiilor;
- unde e posibil, termenele de ștergere pentru fiecare categorie de date;
- unde e posibil, o descriere generală a măsurilor de securitate de la art. 32 alin. (1).
Forma o alegi tu: tabel, document sau aplicație. Legea cere doar să fie în scris, inclusiv electronic (art. 30 alin. (3)), iar ANSPDCP precizează că modul de păstrare e la latitudinea operatorului (întrebarea 18).
Cum arată un rând din registru
Un exemplu pentru formularul de contact al unui site. Valorile sunt orientative; fiecare firmă le stabilește pe ale ei.
| Rubrica | Exemplu |
|---|---|
| Scopul | răspunsul la cererile de ofertă primite prin site |
| Persoanele vizate | persoanele care completează formularul |
| Datele | nume, email, telefon, firma, mesajul |
| Destinatarii | firma de găzduire a site-ului și furnizorul de email |
| Transferuri către țări terțe | nu există (dacă există, se trec țara și garanțiile) |
| Termenul de ștergere | de exemplu, 12 luni de la ultimul contact, dacă nu urmează un contract |
| Măsurile de securitate | acces cu parolă, conexiune criptată (HTTPS), copii de siguranță |
Persoana împuternicită are evidența ei
Dacă prelucrezi date în numele altor firme, de exemplu ca furnizor de servicii IT sau de găzduire, ții și o evidență separată a prelucrărilor făcute pentru fiecare client (art. 30 alin. (2)). Ea cuprinde:
- numele și datele de contact ale tale și ale fiecărui operator în numele căruia acționezi, plus ale reprezentanților și ale DPO-ului, după caz;
- categoriile de prelucrări făcute pentru fiecare operator;
- transferurile către țări terțe, dacă există;
- unde e posibil, descrierea generală a măsurilor de securitate.
Scutirea pentru firmele sub 250 de angajați
Art. 30 alin. (5) scutește întreprinderile și organizațiile cu mai puțin de 250 de angajați. Scutirea nu se mai aplică însă dacă prelucrarea:
- e susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor vizate;
- nu e ocazională;
- include categorii speciale de date (art. 9 alin. (1)) sau date despre condamnări penale și infracțiuni (art. 10).
Ajunge una dintre cele trei situații. Gândește-te la prelucrările care se repetă lună de lună în firma ta: greu de susținut că sunt ocazionale. Iar datele privind sănătatea sunt o categorie specială, deci intră aici și documentele medicale ale angajaților.
Înainte să te consideri scutit, verifică fiecare prelucrare după aceste trei criterii. Chiar și pentru o firmă mică, un registru simplu te ajută să-ți vezi datele dintr-o privire și pregătește terenul pentru celelalte obligații.
Cum îl faci, practic
- Faci lista activităților care implică date personale, pe zone: personal, clienți, furnizori, site, supraveghere video și altele.
- Pentru fiecare activitate, completezi rubricile de la art. 30 alin. (1).
- Stabilești termenele de ștergere și descrii măsurile de securitate.
- Îl ții la zi: orice activitate nouă sau orice furnizor nou intră în registru.
Registrul te ajută și la restul. Scopurile, destinatarii și termenele de păstrare sunt aceleași informații pe care le ceri în politica de confidențialitate a site-ului. Iar dacă apare o breșă de securitate, știi din prima ce date sunt în joc.
Vrei registrul făcut corect de la început?
Facem împreună cu tine inventarul prelucrărilor și îți predăm registrul completat, plus lista lucrurilor de pus la punct.
Surse
- Regulamentul (UE) 2016/679 (GDPR), text consolidat în limba română: art. 5 alin. (2), art. 9 alin. (1), art. 24 alin. (1), art. 30 și art. 32 alin. (1).
- ANSPDCP, Întrebări frecvente: întrebările 6 și 18.
Articolul prezintă textul legii și explicațiile oficiale ale ANSPDCP, la 10 noiembrie 2026. Nu înlocuiește analiza situației concrete a firmei tale.