Când este obligatoriu un DPO? Ce spune GDPR și Legea 190/2018

Nu orice firmă are nevoie de un DPO, adică de un responsabil cu protecția datelor. GDPR îl face obligatoriu în trei situații precise, iar Legea 190/2018 adaugă una, pentru cine prelucrează CNP-ul pe temeiul interesului legitim. Mai jos le găsești pe toate, cu articolul de lege la fiecare, plus ce ai de făcut după ce l-ai desemnat.

Ce face un DPO

DPO vine din engleză, de la Data Protection Officer. În textul oficial al GDPR în limba română se numește „responsabil cu protecția datelor”.

Sarcinile lui minime sunt la art. 39 alin. (1). Informează și consiliază firma și angajații care prelucrează date. Monitorizează respectarea regulilor, inclusiv instruirea personalului și auditurile. Dă consiliere, la cerere, pentru evaluările de impact. Cooperează cu autoritatea de supraveghere și este punctul ei de contact. În România, autoritatea de supraveghere este ANSPDCP.

Cele trei situații din GDPR

Art. 37 alin. (1) din GDPR spune că operatorul și persoana împuternicită de operator desemnează un DPO ori de câte ori se află în una dintre situațiile de mai jos.

1. Autoritățile și organismele publice

Orice prelucrare făcută de o autoritate sau de un organism public cere un DPO. Singura excepție sunt instanțele, atunci când acționează în exercițiul funcției lor jurisdicționale (art. 37 alin. (1) lit. a)).

Cine intră aici? Lista e în Legea 190/2018, la art. 2 alin. (1) lit. a): de la Parlament, Administrația Prezidențială, Guvern și ministere până la autoritățile administrației publice locale și instituțiile din subordinea sau coordonarea lor. ANSPDCP precizează că sunt asimilate acestora și unitățile de cult, precum și asociațiile și fundațiile de utilitate publică (Întrebări frecvente ANSPDCP, întrebarea 5).

Mai multe autorități sau organisme publice pot avea un DPO comun, ținând seama de structura și dimensiunea lor (art. 37 alin. (3)).

2. Monitorizarea periodică și sistematică, pe scară largă

A doua situație privește operatorii ale căror activități principale constau în prelucrări care, prin natura, domeniul de aplicare sau scopurile lor, necesită o monitorizare periodică și sistematică a persoanelor vizate, pe scară largă (art. 37 alin. (1) lit. b)).

Două expresii decid dacă te afli aici:

• Activitățile principale. Considerentul 97 al regulamentului explică faptul că, în sectorul privat, sunt activitățile de bază ale operatorului, nu prelucrarea datelor făcută ca activitate auxiliară.
• Scara largă. GDPR nu dă un prag numeric. ANSPDCP indică patru factori de analizat: numărul persoanelor vizate (ca cifră sau ca procent din populația relevantă), volumul și varietatea datelor, durata sau permanența prelucrării și aria geografică (întrebarea 8).

Condițiile se îndeplinesc împreună: monitorizarea trebuie să țină de activitatea de bază și să se facă pe scară largă.

3. Date sensibile sau date despre condamnări, pe scară largă

A treia situație: activitățile principale constau în prelucrarea pe scară largă a categoriilor speciale de date (art. 9) sau a datelor privind condamnările penale și infracțiunile (art. 10), conform art. 37 alin. (1) lit. c).

Categoriile speciale sunt originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice, apartenența sindicală, datele genetice, datele biometrice folosite pentru identificarea unică a unei persoane, datele privind sănătatea și cele privind viața sexuală sau orientarea sexuală (întrebarea 14).

Ce adaugă Legea 190/2018: CNP-ul

Legea 190/2018 stabilește măsurile de aplicare a GDPR în România. Art. 4 se ocupă de numărul de identificare național: CNP-ul, seria și numărul actului de identitate și alte numere de identificare cu aplicabilitate generală (definiția e la art. 2 alin. (1) lit. b)).

Când prelucrezi aceste numere pe temeiul interesului legitim (art. 6 alin. (1) lit. f) GDPR), art. 4 alin. (2) cere patru garanții:

• măsuri tehnice și organizatorice adecvate, în special reducerea datelor la minimum și securitatea lor;
• numirea unui responsabil pentru protecția datelor;
• termene de stocare și termene de ștergere sau de revizuire;
• instruirea periodică a celor care prelucrează datele.

Regula privește prelucrările făcute pe temeiul interesului legitim. Dacă temeiul e altul, de exemplu o obligație legală (art. 6 alin. (1) lit. c) GDPR), cerința de la art. 4 alin. (2) nu se aplică acelei prelucrări.

Separat, art. 10 din aceeași lege confirmă că operatorii și persoanele împuternicite desemnează un DPO în situațiile și condițiile de la art. 37–39 din GDPR.

DPO angajat sau DPO extern

GDPR lasă ambele variante. Responsabilul poate fi un membru al personalului sau își poate îndeplini sarcinile în baza unui contract de servicii (art. 37 alin. (6)). Considerentul 97 adaugă că DPO-ul trebuie să-și poată face treaba independent, indiferent dacă este sau nu angajat al operatorului.

Ce cere legea de la el, în ambele cazuri:

• cunoștințe de specialitate în dreptul și practicile din domeniul protecției datelor (art. 37 alin. (5));
• nu primește instrucțiuni privind îndeplinirea sarcinilor, nu poate fi demis sau sancționat pentru că și le îndeplinește și răspunde direct în fața celui mai înalt nivel de conducere (art. 38 alin. (3));
• păstrează secretul sau confidențialitatea (art. 38 alin. (5));
• poate avea și alte sarcini, dar fără conflict de interese (art. 38 alin. (6)).

Un grup de întreprinderi poate numi un DPO unic, cu condiția să fie ușor accesibil din fiecare întreprindere (art. 37 alin. (2)).

După desemnare: publici datele și anunți ANSPDCP

Datele de contact ale DPO-ului se publică și se comunică autorității de supraveghere (art. 37 alin. (7)). Un loc firesc pentru publicare este politica de confidențialitate, unde art. 13 alin. (1) lit. b) cere oricum datele de contact ale DPO-ului.

Comunicarea către ANSPDCP se face online, prin formularul de declarare a responsabilului cu protecția datelor (întrebarea 11). Dacă un DPO comun lucrează pentru mai multe firme sau autorități, fiecare dintre ele completează formularul.

Dacă nu ești obligat

Dacă niciuna dintre situații nu te privește, poți desemna totuși un DPO, voluntar (art. 37 alin. (4)).

Celelalte obligații GDPR rămân: informarea persoanelor, securitatea datelor, notificarea breșelor de securitate și, cu excepțiile de la art. 30 alin. (5), registrul activităților de prelucrare.

Surse

• Regulamentul (UE) 2016/679 (GDPR), text consolidat în limba română: art. 6, 9, 13, 37, 38, 39 și considerentul 97.
• Legea nr. 190/2018, forma consolidată: art. 2, 4 și 10.
• ANSPDCP, Întrebări frecvente: întrebările 5, 8, 11 și 14.
• ANSPDCP, formularul de declarare a responsabilului cu protecția datelor.

Articolul prezintă textul legii și explicațiile oficiale ale ANSPDCP, la 10 noiembrie 2026. Nu înlocuiește analiza situației concrete a firmei tale.