--- title: "Noua Eră a Protecției Datelor: Modificările GDPR în 2025–2026 și Impactul asupra Afacerilor" date: 2026-09-24 author: "Petru Cojocaru" categories: - name: "Law - Tech - Online - Safe" url: "https://absolutweb.ro/securitate-online.md" --- # Noua Eră a Protecției Datelor: Modificările GDPR în 2025–2026 și Impactul asupra Afacerilor **De la conformitate birocratică la reziliență digitală** În 2018, GDPR a sosit în România ca un val de formulare. Firmele au tipărit acorduri de prelucrare, instituțiile au lipit afișe despre camerele de supraveghere, iar site-urile și-au pus bannere de cookie cu un singur buton: „Am înțeles". Pentru mulți manageri, protecția datelor a devenit o bifă anuală, un dosar în dulapul contabilului și o clauză în contractul cu furnizorul de IT. Opt ani mai târziu, peisajul este altul. Nu pentru că GDPR s-ar fi schimbat fundamental: textul Regulamentului (UE) 2016/679 este, în esență, același. S-a schimbat însă ecosistemul din jurul lui. În perioada 2025–2026, protecția datelor personale a intrat într-o rețea de norme interconectate: un regulament procedural care reformează modul în care autoritățile europene își împart dosarele, AI Act cu calendarul său recalibrat, transpunerea românească a Directivei NIS2 și o propunere legislativă masivă, „Digital Omnibus", care ar putea rescrie definiții considerate până acum intangibile. Presiunea de pe teren crește vizibil. În 2025, ANSPDCP a primit 12.297 de plângeri, sesizări și notificări privind incidente de securitate, pe baza cărora a efectuat 488 de investigații și a aplicat 105 amenzi totalizând aproximativ 2,56 milioane de lei, plus 145 de avertismente și 182 de măsuri corective. Comparația cu anul anterior este grăitoare: în 2024, autoritatea primise 5.354 de astfel de sesizări, desfășurase 476 de investigații și aplicase 83 de amenzi în valoare totală de 1.855.807 lei. Volumul sesizărilor s-a dublat într-un singur an. Iar operatorii nu mai acceptă pasiv sancțiunile: din cele 55 de procese noi înregistrate în 2025, 35 au vizat contestarea proceselor-verbale de constatare și sancționare. Tema centrală a acestui articol este trecerea de la conformitatea de tip „dosar" la ceea ce am putea numi **reziliență digitală**. Datele personale nu mai pot fi tratate separat de securitatea cibernetică, de sistemele de inteligență artificială sau de designul interfețelor web. O breșă de date este simultan un incident NIS2. Un banner de cookie manipulativ este simultan o problemă de UX, de drept și de reputație. Un model AI antrenat pe date colectate fără temei legal poate contamina juridic toate utilizările sale ulterioare. Pentru o firmă din Botoșani, Iași sau Suceava, întrebarea nu mai este „suntem conformi cu GDPR?". Întrebarea corectă este „cât de repede putem demonstra, în 24 sau 72 de ore, că știm ce date avem, unde sunt, cine le accesează și ce facem când ceva merge prost?". Articolul de față trece prin cele cinci fronturi ale acestei transformări și încheie cu un ghid practic pentru manageri. Un avertisment metodologic: legislația europeană din 2026 este în plină mișcare. Unele modificări sunt adoptate și aplicabile, altele sunt adoptate, dar aplicabile abia din 2027, iar altele sunt doar propuneri aflate în negociere. Diferența contează enorm pentru bugete și priorități, așa că fiecare secțiune o marchează explicit. --- ## Accelerarea procedurilor și cazurile transfrontaliere ### Regulamentul (UE) 2025/2518 și eficientizarea investigațiilor #### Problema pe care o rezolvă Mecanismul „ghișeului unic" (one-stop-shop) a fost una dintre promisiunile GDPR. O companie cu activitate în mai multe state membre răspunde în fața unei singure autorități, cea din statul unde își are sediul principal. Pentru giganții tehnologici, această autoritate este adesea Comisia pentru Protecția Datelor din Irlanda (DPC). În practică, mecanismul s-a împotmolit. Fiecare autoritate națională aplica propriile reguli procedurale: ce înseamnă o plângere admisibilă, ce termene există, ce drepturi are reclamantul. Rezultatul a fost frustrant. Un utilizator din România care reclama o platformă cu sediul la Dublin depunea plângerea la ANSPDCP. Aceasta o transmitea autorității irlandeze, iar dosarul intra într-un proces de ani de zile. Analizele de specialitate identifică trei deficiențe structurale: standarde de admisibilitate fragmentate între cele 27 de autorități naționale, termene nedefinite care au permis unor cazuri emblematice să depășească cinci ani și drepturi procedurale atât de diferite încât operatorii și reclamanții experimentau procese fundamental diferite, în funcție de statul care conducea investigația. #### Cronologia adoptării Comisia Europeană a propus reforma în 2023, iar negocierile s-au încheiat în 2025. Consiliul a adoptat regulamentul ca ultim pas legislativ, stabilind intrarea în vigoare la 20 de zile după publicare și aplicabilitatea la 15 luni după intrarea în vigoare. Actul final este Regulamentul (UE) 2025/2518 al Parlamentului European și al Consiliului din 26 noiembrie 2025, publicat în Jurnalul Oficial la 12 decembrie 2025. Regulamentul a intrat în vigoare la 1 ianuarie 2026, dar se aplică de la 2 aprilie 2027. Această distincție este esențială. Regulamentul există juridic din 2026, dar autoritățile vor lucra după noile reguli abia din primăvara lui 2027. Perioada dintre aceste date este o fereastră de pregătire, nu o perioadă de grație pentru neconformitate. #### Ce nu schimbă Regulamentul este strict procedural. Obligațiile substanțiale ale GDPR rămân neschimbate, însă noul act introduce termene mai stricte, cerințe armonizate pentru plângeri și drepturi de apărare consolidate pentru organizații. Nu apar noi temeiuri de prelucrare, noi drepturi ale persoanelor vizate sau noi plafoane de amenzi. Criteriile de stabilire a amenzilor din articolul 83 GDPR rămân aceleași, dar autoritatea trebuie să precizeze în constatările preliminare dacă are în vedere aplicarea unei amenzi și pe ce temei. Domeniul de aplicare este limitat. Regulamentul vizează exclusiv cazurile cu element transfrontalier și lasă în mare măsură neatinsă aplicarea pur națională. O plângere a unui angajat din Botoșani împotriva unui angajator local, fără activitate în alte state, rămâne guvernată de procedura națională a ANSPDCP. #### Noutățile procedurale **Admisibilitate armonizată.** Criteriile de admisibilitate a plângerilor transfrontaliere au fost armonizate, astfel încât admisibilitatea se evaluează pe aceeași bază, indiferent unde este depusă plângerea. Mai mult, autoritățile nu mai pot impune reclamanților cerințe suplimentare în cazurile transfrontaliere. Pentru un cetățean român, depunerea unei plângeri împotriva unei platforme globale devine previzibilă. **Rezumatul problemelor-cheie.** Una dintre inovațiile centrale este obligația autorității principale de a-și comunica timpuriu viziunea asupra cazului. Autoritatea principală are trei luni de la confirmarea competenței pentru a pregăti rezumatul, iar autoritățile vizate au apoi patru săptămâni pentru comentarii, termen care poate fi prelungit cu două săptămâni în cazurile complexe. Prin acest mecanism, ANSPDCP, ca autoritate vizată, poate influența direcția unei investigații conduse de la Dublin sau Luxemburg încă din faza incipientă, nu doar la final, când proiectul de decizie este deja redactat. **Termen pentru proiectul de decizie.** Autoritatea principală trebuie, în principiu, să prezinte un proiect de decizie în termen de 15 luni de la confirmarea competenței, termen care poate fi prelungit o singură dată și doar în cazuri excepționale. După ani în care unele dosare au stagnat indefinit, este o schimbare de paradigmă. **Soluționare timpurie.** Se introduce un mecanism de soluționare rapidă a plângerilor. Dacă operatorul remediază problema, iar reclamantul nu obiectează, cazul se poate închide fără procedura completă. **Drepturi procedurale explicite.** Aici se află, poate, cea mai importantă schimbare pentru companii. După notificarea constatărilor preliminare, partea investigată are între trei și șase săptămâni pentru a răspunde în scris sau pentru a solicita o audiere. Dreptul de acces la dosarul administrativ este codificat explicit: organizațiile primesc acces la toate documentele incriminatoare și dezincriminatoare, cu excepția deliberărilor interne și a informațiilor confidențiale. #### Critici și limite Regulamentul nu este lipsit de critici. Lisette Mustert, într-o analiză publicată pe REALaw.blog în aprilie 2026, observă că textul introduce un sistem excepțional de detaliat și rigid de termene procedurale, care guvernează practic fiecare etapă, și argumentează că acest lucru riscă să submineze chiar obiectivele regulamentului. Temerea este că rigiditatea va produce decizii formal la timp, dar superficiale, sau că autoritățile vor evita deschiderea investigațiilor complexe din cauza presiunii termenelor. #### Ce înseamnă pentru firmele din România Majoritatea companiilor românești nu vor fi niciodată parte într-o investigație transfrontalieră. Totuși, trei categorii trebuie să fie atente: - **Firmele cu activitate în mai multe state membre**, precum magazinele online care livrează în Republica Moldova (non-UE, dar cu clienți UE), Ungaria sau Bulgaria, ori prestatorii de servicii IT pentru clienți din Germania. - **Subsidiarele grupurilor multinaționale**, unde sediul principal poate fi în alt stat. - **Organizațiile care depun plângeri** împotriva platformelor globale, de pildă o instituție publică ale cărei date au fost expuse printr-un serviciu cloud. Pentru prima categorie, recomandarea specialiștilor este directă: tratați data de 2 aprilie 2027 ca termen-limită pentru pregătirea internă, nu ca termen al autorității. În practică, ferestrele de trei până la șase săptămâni pentru răspuns înseamnă că documentația de conformitate (registrul prelucrărilor, evaluările de impact, jurnalele de acces) trebuie să existe *înainte* de investigație, nu să fie reconstituită în timpul ei. --- ## Simbioza dintre GDPR și inteligența artificială ### „Digital Omnibus": ce s-a adoptat, ce se negociază și ce rămâne valabil azi #### O clarificare necesară În presa de afaceri circulă ideea că Uniunea Europeană „a relaxat GDPR pentru AI". Formularea este prematură. Pachetul „Digital Omnibus", prezentat de Comisie la 19 noiembrie 2025, s-a separat între timp în două trasee legislative cu destine foarte diferite: Omnibusul pentru AI, care amână termenele pentru sistemele cu risc ridicat din AI Act, a fost adoptat de Consiliu la 29 iunie 2026. Omnibusul pentru date, care vizează GDPR, ePrivacy, NIS2 și DORA, rămâne în negociere. Modificările la GDPR privind antrenarea modelelor AI **nu sunt lege**. Ce s-a schimbat efectiv în 2026 este calendarul AI Act. #### Traseul 1: Omnibusul pentru AI (adoptat) Omnibusul pentru AI a intrat în vigoare la 27 iulie 2026, după publicarea în Jurnalul Oficial la 24 iulie 2026 ca Regulamentul (UE) 2026/1744. Cea mai importantă consecință este amânarea obligațiilor pentru sistemele cu risc ridicat. Data de aplicare pentru sistemele autonome cu risc ridicat din Anexa III (utilizări în ocuparea forței de muncă, educație, infrastructură critică sau aplicarea legii) a fost mutată de la 2 august 2026 la 2 decembrie 2027. Pentru sistemele AI integrate în produse reglementate sectorial, din Anexa I, termenul devine 2 august 2028. Nu toate obligațiile au fost amânate. Obligațiile de marcare (watermarking) pentru conținutul generat de AI se aplică de la 2 decembrie 2026, și nu de la 2 februarie 2027, cum propusese inițial Comisia. De asemenea, interdicțiile privind practicile AI cu risc inacceptabil și cerințele de alfabetizare AI sunt în vigoare din 2 februarie 2025. O firmă care folosește instrumente AI pentru recrutare sau evaluarea angajaților are deci ceva mai mult timp pentru obligațiile de „risc ridicat". Obligația de a-și instrui personalul în utilizarea AI este însă deja activă. Un detaliu relevant pentru protecția datelor: în negocieri, Consiliul a reintrodus standardul necesității stricte pentru prelucrarea categoriilor speciale de date personale în scopul corectării distorsiunilor (bias). Chiar și în versiunea simplificată a AI Act, datele sensibile rămân protejate de un prag înalt. #### Traseul 2: Omnibusul pentru date (în negociere) Aceasta este partea care ar afecta direct GDPR. Propunerea Comisiei conține mai multe elemente controversate. Potrivit fișei legislative a Parlamentului European, propunerea redefinește „datele personale" pentru a oferi companiilor AI mai multă flexibilitate: datele pseudonimizate nu ar mai fi considerate date personale pentru o entitate care nu are mijloacele de a reidentifica persoana. Companiile s-ar putea baza pe „interesul legitim" pentru a folosi date personale la antrenarea sau operarea sistemelor și modelelor AI, în anumite condiții. Regulile de consimțământ pentru cookie-uri ar fi mutate din Directiva ePrivacy în GDPR, cu extinderea listei de prelucrări scutite de consimțământ. Reacția autorităților de protecție a datelor a fost rezervată. La 10 februarie 2026, EDPB și EDPS au adoptat o opinie comună care respinge amendamentele-cheie la GDPR. Documentul recunoaște obiectivul simplificării, dar subliniază că simplificările propuse trebuie să clarifice obligațiile și să aducă securitate juridică, menținând încrederea și un nivel înalt de protecție a drepturilor și libertăților individuale. În Consiliu, textul a fost deja erodat semnificativ. O analiză a organizației EDRi din martie 2026 constată că, față de propunerea Comisiei, compromisul Consiliului pare să fi eliminat mai multe amendamente care ar fi afectat elemente structurale ale GDPR, inclusiv modificarea definiției datelor personale, a definiției cercetării științifice, a arhitecturii articolului 22 privind deciziile automatizate și a competențelor de implementare ale Comisiei privind pseudonimizarea. Nici clauza privind AI nu a ieșit intactă. Comisia plasase regula în corpul GDPR, ca nou articol 88c. Însă abordarea Consiliului din iunie a mutat-o într-un considerent (recitalul 33a), potrivit căruia dezvoltarea AI se poate califica drept interes legitim doar în anumite cazuri. Negocierile continuă: la 11 septembrie 2026, Grupul Antici pentru Simplificare al Consiliului a discutat un nou compromis al Președinției, într-o reuniune pregătitoare care nu a reprezentat nici vot ministerial, nici abordare generală, nici deschiderea trilogului. Iar adoptarea finală a acestei părți nu este așteptată înainte de sfârșitul lui 2026, în cel mai bun caz. #### Ce este valabil azi: Opinia EDPB 28/2024 Până la eventuala adoptare a Omnibusului pentru date, referința juridică pentru dezvoltatorii și utilizatorii de AI rămâne Opinia 28/2024 a Comitetului European pentru Protecția Datelor. EDPB a adoptat-o la 17 decembrie 2024, la cererea autorității irlandeze din septembrie 2024, cu scopul de a oferi îndrumări neexhaustive privind interpretarea GDPR la antrenarea și implementarea modelelor AI. Concluziile principale sunt trei. **Interesul legitim este posibil, dar nu automat.** EDPB a clarificat că, în principiu, un operator se poate baza pe interesul legitim ca temei pentru prelucrarea datelor personale în dezvoltarea sau implementarea modelelor AI. Totuși, fiecare caz cere testul în trei pași (interes legitim, necesitate, echilibrare), documentat. **Anonimatul unui model se demonstrează, nu se declară.** O simplă afirmație privind anonimatul este insuficientă; autoritățile de supraveghere își păstrează discreția de a evalua dacă anonimizarea a fost efectiv realizată. **Ilegalitatea la antrenare poate contamina utilizarea.** Când un model AI a fost dezvoltat cu date personale prelucrate ilegal, acest lucru poate afecta legalitatea implementării sale, cu excepția cazului în care modelul a fost anonimizat corespunzător. Pentru o firmă românească care integrează un model terț în produsele sale, diligența privind proveniența datelor de antrenare devine o obligație de facto. Opinia a fost criticată pentru ambiguitate. Un comentariu IAPP notează că formularea „de la caz la caz" apare de 16 ori în opinie, iar „poate" de 161 de ori, ceea ce probabil va duce la abordări divergente între autorități. #### Ce urmează: Ghidurile EDPB 02/2026 și 03/2026 Clarificările mult așteptate sunt pe drum. La 8 iulie 2026, EDPB a adoptat două proiecte de ghiduri, supuse consultării publice până la 30 octombrie 2026. Ghidurile 02/2026 privind anonimizarea urmează să înlocuiască opinia din 2014 pe această temă, iar Ghidurile 03/2026 oferă îndrumări noi privind extragerea automată (scraping) a datelor personale pentru dezvoltarea și antrenarea sistemelor AI. Pentru agențiile web și dezvoltatorii români, Ghidurile 03/2026 au o relevanță practică imediată. Orice proiect care colectează automat conținut de pe web pentru a alimenta un chatbot, un motor de recomandări sau un sistem de analiză va trebui evaluat în lumina lor. Consultarea publică este deschisă, iar asociațiile profesionale din România au ocazia să contribuie. #### Minimizarea datelor: ce s-a relaxat efectiv Structura inițială a acestui articol sugera o „flexibilizare a principiului minimizării datelor" pentru start-up-urile AI. Formularea trebuie corectată. Principiul minimizării din articolul 5 alineatul (1) litera (c) GDPR **nu a fost modificat** și nici Omnibusul pentru date nu propune abrogarea lui. Ce există este o flexibilitate interpretativă. EDPB acceptă că antrenarea unui model poate necesita volume mari de date, cu condiția ca necesitatea să fie demonstrată și să fie aplicate măsuri compensatorii: pseudonimizare, filtrarea datelor sensibile, confidențialitate diferențială, respectarea semnalelor de excludere de tip robots.txt. Minimizarea nu înseamnă „cât mai puține date", ci „nu mai multe date decât este necesar pentru scopul declarat". Cu cât scopul este definit mai precis, cu atât argumentul de necesitate devine mai solid. --- ## Războiul împotriva „dark patterns" în România ### Regulile de consimțământ pentru cookie-uri în 2026 #### Temeiul juridic actual În România, cookie-urile nu sunt reglementate în primul rând de GDPR, ci de Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, care transpune Directiva ePrivacy. Articolul 4 alineatul (5) cere, ca regulă, consimțământul utilizatorului pentru stocarea sau accesarea informațiilor pe echipamentul său. Excepția privește cookie-urile strict necesare funcționării serviciului. Consimțământul se interpretează prin prisma GDPR: liber, specific, informat și lipsit de ambiguitate. Nerespectarea regulilor atrage sancțiuni: amendă de la 5.000 la 100.000 de lei, iar pentru societățile cu cifră de afaceri de peste 5.000.000 de lei, amendă de până la 2% din cifra de afaceri. #### Practica sancționatorie a ANSPDCP (2025–2026) Autoritatea română a devenit vizibil mai activă pe acest front. Câteva cazuri recente ilustrează standardul aplicat. **Cazul calingeorgescu.ro.** ANSPDCP a aplicat două amenzi totalizând 10.000 de euro, după ce site-ul a permis, între 6 decembrie 2024 și 3 aprilie 2025, stocarea și accesarea informațiilor pe dispozitivele utilizatorilor prin module cookie, fără consimțământul lor expres și fără informare prealabilă. Sancțiunea a fost menținută în instanță: Tribunalul Ilfov a respins contestația, constatând că datele utilizatorilor fuseseră colectate fără consimțământ, prin cookie-uri și formulare de contact, fără informare și fără posibilitatea reală de refuz. **Cazul There's An AI For That SRL.** Investigația, declanșată de o sesizare din octombrie 2025, a arătat că site-ul permitea stocarea automată de module opționale fără informare completă și fără consimțământ explicit. Potrivit ANSPDCP, platforma nu avea o politică clară privind cookie-urile și nici o opțiune reală de refuz pentru modulele care nu sunt strict necesare. **Cazurile de nivel mic.** Nu doar entitățile vizibile sunt sancționate. CORAL Travel a fost amendată cu 5.000 de lei pentru folosirea cookie-urilor neesențiale fără acordul prealabil al utilizatorilor. În 2026, operatorul Aviziero S.R.L. a primit o amendă de 5.000 de lei pentru module cookie neconforme, în urma unei sesizări a unei persoane fizice. Tiparul este clar: sesizare venită de la un utilizator, verificare tehnică, sancțiune. Orice vizitator care deschide consola browserului și vede cookie-uri Google Analytics sau Meta Pixel plasate înainte de consimțământ poate declanșa o investigație. #### Inițiativa legislativă națională din 2026 Structura inițială a articolului vorbea despre „noi standarde tehnice naționale" deja aplicabile. Nu am putut confirma adoptarea unui astfel de act. Există însă o inițiativă legislativă de modificare a Legii 506/2004, analizată de juridice.ro în aprilie 2026. Potrivit analizei, cea mai semnificativă modificare propusă este introducerea unei prevederi care obligă bannerele de cookie să ofere, la primul nivel, o opțiune de refuz integral la fel de vizibilă și accesibilă ca opțiunea de acceptare integrală. Prevederea ar codifica în dreptul național standardele deja consacrate de EDPB și ANSPDCP, eliminând practica ascunderii refuzului în submeniuri. Proiectul ar acorda operatorilor un termen de conformare. Articolul II prevede 120 de zile de la intrarea în vigoare, timp în care orice companie cu site adresat utilizatorilor din România trebuie să verifice bannerul de cookie, egalitatea vizuală a opțiunilor de acceptare și refuz, absența opțiunilor pre-bifate, existența unui mecanism simplu de retragere a consimțământului și sistemul de stocare a dovezilor de consimțământ. **Recomandarea noastră:** verificați stadiul inițiativei pe site-ul Senatului și al Camerei Deputaților înainte de a o prezenta clienților ca lege în vigoare. Practic însă, adoptarea ei contează mai puțin decât pare. Standardul pe care îl codifică este deja aplicat prin ghidurile EDPB și prin practica ANSPDCP. Un banner fără „Refuză tot" la primul nivel este vulnerabil *astăzi*, nu doar după adoptarea legii. #### Standardul european: ce înseamnă concret „dark pattern" Referința europeană este formată din Ghidurile EDPB 03/2022 privind modelele de design înșelătoare în interfețele platformelor sociale (versiunea finală din 2023) și Raportul Grupului de lucru EDPB privind bannerele de cookie (ianuarie 2023). Pentru platformele online intră în joc și articolul 25 din Regulamentul privind serviciile digitale (DSA), care interzice interfețele care manipulează sau induc în eroare utilizatorii. În practica web, principalele tipare considerate problematice sunt: - **Lipsa butonului de refuz la primul nivel**, adică acceptarea este un clic, iar refuzul cere navigarea prin setări. - **Asimetria vizuală**, de pildă „Acceptă" pe un buton colorat, proeminent, și „Refuză" ca link text gri, de dimensiuni mici. - **Căsuțele pre-bifate** pentru categoriile de cookie-uri opționale. - **„Interesul legitim" ascuns** în panoul de setări, activat implicit pentru prelucrări care necesită consimțământ. - **Consimțământul prin continuarea navigării**, practică respinsă explicit de jurisprudența CJUE (cauza Planet49, C-673/17). - **Retragerea dificilă**, adică lipsa unei modalități permanente, vizibile, de a modifica preferințele. Merită observat, cu o notă de ironie, că propriul site al Senatului României afișează încă un banner cu un singur buton „OK", care afirmă că navigarea continuă echivalează cu acordul. Este exact tiparul pe care inițiativa legislativă analizată mai sus încearcă să-l elimine. #### Ce propune Omnibusul pentru date și de ce nu contează încă Propunerea „Digital Omnibus" conține idei ambițioase în privința cookie-urilor. Pachetul introduce consimțământul cu un singur clic pentru acceptare sau refuz, moratorii de șase luni după un refuz și semnale de preferință la nivel de browser. Concret, persoanele și-ar putea exprima preferințele prin browsere, sisteme de operare sau magazine de aplicații, iar site-urile ar trebui să le respecte automat. Aceste idei sunt însă departe de a deveni lege. Textul de lucru al Consiliului omite în prezent mai multe dintre prevederile centrale privind consimțământul. Cronologia publicată de ppc.land consemnează că la 18 iunie 2026 Consiliul a eliminat articolul 88b din textul de compromis. Pentru moment, bannerul de cookie rămâne obligatoriu, iar regulile din Legea 506/2004 se aplică integral. #### Lista de verificare tehnică pentru administratorii de site-uri Din perspectiva unei agenții web, conformitatea se verifică tehnic, nu declarativ: 1. **Blocarea prealabilă.** Niciun script de analiză, publicitate sau social media nu se încarcă înainte de consimțământ. Verificarea este simplă: deschideți site-ul într-o fereastră privată, cu consola de dezvoltator activă, și urmăriți ce cookie-uri și cereri de rețea apar înainte de orice clic. 2. **Simetria butoanelor.** „Acceptă tot" și „Refuză tot" apar la primul nivel, cu aceeași dimensiune, același contrast și aceeași poziție ierarhică. 3. **Granularitate.** Utilizatorul poate alege pe categorii (statistici, marketing, preferințe), fără căsuțe pre-bifate. 4. **Retragere permanentă.** Un element vizibil (iconiță, link în subsol) redeschide oricând panoul de preferințe. 5. **Jurnalizarea consimțământului.** Păstrați dovada: data, versiunea bannerului și opțiunile alese, asociate unui identificator pseudonim. 6. **Politica de cookie-uri actualizată.** O listă reală a modulelor folosite, cu scop, durată și terț, nu un text generic copiat. 7. **Atenție la „Consent Mode".** Implementările Google Consent Mode în varianta „advanced" transmit semnale fără cookie-uri înainte de consimțământ. Evaluați dacă acest lucru este compatibil cu interpretarea strictă a articolului 4 alineatul (5) din Legea 506/2004. --- ## Intersecția dintre date personale și securitate cibernetică ### Obligațiile duble din Legea nr. 124/2025 (NIS2) și GDPR #### Cadrul legislativ românesc NIS2 Directiva (UE) 2022/2555 (NIS2) trebuia transpusă de statele membre până la 17 octombrie 2024. România a transpus-o cu întârziere, prin ordonanță de urgență. OUG 155/2024 a fost adoptată la 30 decembrie 2024 și publicată în Monitorul Oficial nr. 1332 din 31 decembrie 2024. A fost apoi aprobată cu modificări și completări prin Legea nr. 124/2025, publicată în Monitorul Oficial nr. 638 din 7 iulie 2025 și intrată în vigoare la 10 iulie 2025. Legea 124/2025 nu este o simplă aprobare formală. Adoptarea ei nu s-a limitat la aprobarea OUG 155/2024, ci a adus modificări importante, menite să facă legea mai clară, mai riguroasă și mai aplicabilă. În primul rând, precizează explicit că OUG 155/2024 nu se aplică în contradicție cu alte acte normative esențiale, precum GDPR. Această clauză de coerență este fundamentul juridic al coexistenței celor două regimuri. Alte modificări relevante: - **Extinderea în sectorul sănătății.** Legea introduce două noi categorii de entități din sectorul sănătății, inclusiv entitățile care dețin autorizații de distribuție a medicamentelor. - **Definirea incidentului semnificativ.** Legea definește clar incidentul semnificativ, care se caracterizează prin îndeplinirea a cel puțin uneia dintre mai multe condiții, fără a fi necesară îndeplinirea lor cumulativă. Prima condiție privește perturbările operaționale grave ale serviciilor sau pierderile financiare semnificative, reale sau potențiale, pentru entitate. - **Responsabilitatea conducerii.** Conducerea entității nu mai poate trata securitatea cibernetică drept o responsabilitate exclusiv tehnică: cadrul impune implicarea managementului în aprobarea, supravegherea și susținerea măsurilor de securitate. #### Legislația secundară DNSC Directoratul Național de Securitate Cibernetică a emis ordinele de aplicare pe parcursul lui 2025. Ordinele DNSC 1/2025 și 2/2025, în vigoare de la 20 august 2025, au stabilit procedura de înregistrare pe platforma NIS2@RO și metodologia de evaluare a riscurilor. Entitățile vizate au avut 30 de zile de la acea dată pentru înregistrare. Ulterior, Ordinul nr. 3 din 27 noiembrie 2025 a aprobat normele privind supravegherea, verificarea și controlul respectării OUG 155/2024, precum și metodologia de prioritizare pe bază de risc a acestor activități. Un aspect îngrijorător: DNSC nu a publicat numărul entităților înregistrate și nu există o cifră oficială a organizațiilor din România care intră sub incidența legii. Estimările caselor de avocatură vorbesc despre zeci de mii. Probabil multe entități obligate nu s-au înregistrat încă. #### Două regimuri de raportare, nu o procedură unică Structura inițială a articolului vorbea despre o „procedură tehnică de raportare duală". În realitate, nu există un formular unic sau o procedură comună DNSC–ANSPDCP. Există **două obligații juridice independente**, declanșate de același eveniment, cu termene, destinatari și conținut diferite. Un atac ransomware asupra unui spital sau a unui furnizor de energie, care criptează și exfiltrează baze de date cu pacienți sau clienți, declanșează simultan ambele regimuri. **Regimul NIS2 (către DNSC).** Entitățile trebuie să transmită o avertizare timpurie în 24 de ore de la identificarea unui incident semnificativ, urmată de un raport detaliat în 72 de ore și de un raport final în cel mult o lună de la notificarea incidentului. În funcție de complexitate, pot fi solicitate și rapoarte intermediare. Canalul este platforma PNRISC. DNSC a actualizat PNRISC pentru a oferi un proces de raportare mai simplu, atât pentru persoane fizice, cât și pentru entitățile esențiale și importante cu obligații NIS2. Platforma simplificată a fost lansată în aprilie 2026. **Regimul GDPR (către ANSPDCP).** Conform articolului 33 GDPR, operatorul notifică autoritatea de supraveghere în cel mult 72 de ore de la momentul în care a luat cunoștință de încălcarea securității datelor personale, cu excepția cazului în care încălcarea nu este susceptibilă să genereze un risc pentru drepturile persoanelor. Când riscul este ridicat, articolul 34 impune informarea directă a persoanelor vizate. Plata recompensei în urma unui atac ransomware nu anulează această obligație. | Criteriu | NIS2 (OUG 155/2024 + Legea 124/2025) | GDPR (art. 33–34) | | --- | --- | --- | | Destinatar | DNSC, prin PNRISC | ANSPDCP | | Declanșator | Incident *semnificativ* de securitate cibernetică | Încălcare a securității *datelor personale* cu risc pentru persoane | | Primul termen | 24 de ore (avertizare timpurie) | 72 de ore (notificare) | | Termene ulterioare | 72 de ore (raport detaliat), 1 lună (raport final) | Informare pe etape, dacă datele nu sunt disponibile integral | | Cine este obligat | Entitățile esențiale și importante | Orice operator de date personale | | Informarea persoanelor | Destinatarii serviciilor, în anumite cazuri | Persoanele vizate, dacă riscul este ridicat | #### Miza financiară Sancțiunile NIS2 sunt comparabile ca ordin de mărime cu cele GDPR. Pentru încălcările grave, amenzile ajung până la 7.000.000 de euro sau 1,4% din cifra de afaceri anuală pentru entitățile importante și până la 10.000.000 de euro sau 2% din cifra de afaceri pentru entitățile esențiale. Legislația prevede și măsuri suplimentare, precum suspendarea temporară a activității și audituri obligatorii de securitate cibernetică. Riscul de cumul este real. Același incident poate genera o amendă NIS2 pentru măsuri de securitate inadecvate sau raportare întârziată și o amendă GDPR pentru încălcarea articolului 32 (securitatea prelucrării) și a articolului 33. Clauza de coerență din Legea 124/2025 nu elimină această posibilitate, ci doar previne conflictele de norme. Pe acest front, Omnibusul pentru date propune o simplificare utilă: un portal unic pentru raportarea incidentelor, care ar înlocui notificările separate din GDPR, NIS2, DORA și alte cadre. Propunerea este încă în negociere, așa că planurile de răspuns la incidente trebuie construite pe ideea a două raportări paralele. #### Recomandare operațională Soluția practică este un **playbook unic de răspuns la incidente** cu două ramuri de raportare declanșate în paralel. În primele ore, echipa de răspuns trebuie să stabilească două lucruri distincte: dacă incidentul este „semnificativ" în sensul Legii 124/2025 și dacă implică date personale. Dacă ambele răspunsuri sunt afirmative, ceasul de 24 de ore pentru DNSC și cel de 72 de ore pentru ANSPDCP pornesc simultan. Responsabilul cu protecția datelor (DPO) și responsabilul cu securitatea cibernetică trebuie să lucreze în aceeași celulă de criză, nu în serie. În instituțiile mici, rolurile pot fi cumulate, dar competențele trebuie documentate. --- ## Ghid practic de conformare pentru manageri ### Evaluarea de impact (DPIA) și revizuirea politicilor interne Capitolele anterioare au descris un peisaj juridic complex și încă în mișcare. Pentru un manager, întrebarea practică este ce face luni dimineață. Iată o foaie de parcurs în șase pași, ordonată după urgență. #### Pasul 1: Clarificați-vă statutul NIS2 Prima întrebare nu ține de GDPR, ci de securitatea cibernetică: intră organizația sub incidența OUG 155/2024? Criteriile sunt sectorul de activitate (energie, transport, sănătate, infrastructură digitală, administrație publică, servicii poștale, gestionarea deșeurilor, producție alimentară și altele) și dimensiunea organizației. Există și excepții de la criteriul dimensiunii, de exemplu pentru furnizorii de servicii DNS sau pentru anumite entități publice. Dacă răspunsul este afirmativ, iar entitatea nu s-a înregistrat încă la DNSC, aceasta este prioritatea absolută. Termenul de înregistrare a expirat în toamna lui 2025, iar întârzierea poate fi în sine o contravenție. #### Pasul 2: Realizați DPIA pentru tehnologiile noi Evaluarea impactului asupra protecției datelor, prevăzută de articolul 35 GDPR, este obligatorie când o prelucrare este susceptibilă să genereze un risc ridicat. ANSPDCP a publicat, prin Decizia nr. 174/2018, lista operațiunilor pentru care DPIA este obligatorie. Lista include, printre altele, monitorizarea sistematică pe scară largă, prelucrarea datelor biometrice sau genetice și evaluarea sistematică a aspectelor personale. În 2026, DPIA devine obligatorie de facto pentru o serie de tehnologii care au proliferat recent: - **Instrumentele AI pentru resurse umane** (sortarea CV-urilor, evaluarea performanței, analiza productivității). Acestea vor fi clasificate drept risc ridicat în AI Act de la 2 decembrie 2027, dar DPIA este necesară încă de acum, în temeiul GDPR. - **Sistemele de supraveghere video cu analiză automată** (recunoaștere facială, detectarea comportamentelor, numărarea persoanelor). Supravegherea video este constant printre temele principale ale plângerilor: raportul ANSPDCP pe 2025 menționează explicit prelucrarea imaginilor prin sisteme de supraveghere video de către persoane fizice și juridice. - **Chatbot-urile conectate la baze de date cu clienți**, mai ales cele bazate pe modele terțe, unde fluxul de date traversează granițe. - **Monitorizarea angajaților la distanță** (software de tip „bossware", înregistrarea ecranului, geolocalizarea). O DPIA bună nu este un formular completat o dată. Este un document viu, revizuit la fiecare schimbare semnificativă a tehnologiei sau a scopului. Iar în perspectiva Regulamentului 2025/2518, este unul dintre primele documente pe care o autoritate îl va cere într-o investigație. #### Pasul 3: Recalificați responsabilul cu protecția datelor (DPO) Rolul DPO s-a extins de facto. În 2018, un DPO trebuia să cunoască GDPR. În 2026, trebuie să înțeleagă și: - **AI Act**, cel puțin obligațiile de alfabetizare AI (articolul 4, în vigoare din februarie 2025) și clasificarea pe niveluri de risc; - **Cadrul NIS2**, pentru a coordona raportarea incidentelor cu responsabilul de securitate cibernetică; - **Legea 506/2004 și practica privind cookie-urile**, domeniu cu volum mare de sesizări; - **Noile reguli procedurale transfrontaliere**, pentru organizațiile cu activitate în mai multe state. Merită menționat și contextul european. EDPB a ales ca temă a celei de-a cincea acțiuni coordonate de aplicare conformitatea cu obligațiile de transparență și informare din GDPR, prevăzute de articolele 12, 13 și 14. Acțiunea urma să fie lansată pe parcursul lui 2026, cu participarea voluntară a autorităților naționale. În practică, notele de informare (politicile de confidențialitate) vor fi verificate mai atent. Un DPO recalificat ar trebui să înceapă cu revizuirea lor. #### Pasul 4: Auditați fluxurile de date Nu puteți proteja ce nu cunoașteți. Auditul fluxurilor de date răspunde la cinci întrebări pentru fiecare categorie de date personale: ce date colectăm, de unde, unde le stocăm (inclusiv în ce țară se află serverele furnizorului cloud), cine are acces și către cine le transferăm. Rezultatul trebuie reflectat în Registrul activităților de prelucrare (articolul 30 GDPR). Pentru multe organizații, registrul a fost redactat în 2018 și nu a mai fost actualizat. Între timp s-au adăugat platforme de marketing automatizat, CRM-uri în cloud, instrumente de colaborare, servicii AI și aplicații mobile. Fiecare este un flux nou de date care trebuie documentat. Omnibusul pentru date propune un model simplificat al registrului pentru firmele cu mai puțin de 250 de angajați, cu condiția ca activitățile lor de prelucrare să nu implice categorii de date cu risc ridicat. Până la adoptarea lui, obligația actuală se aplică integral. #### Pasul 5: Construiți playbook-ul de incident Pe baza Capitolului IV, fiecare organizație are nevoie de un plan scris de răspuns la incidente, care să conțină: - **lista de contacte** (DPO, responsabilul de securitate, conducerea, consultantul juridic, furnizorul IT, asigurătorul cyber); - **arborele de decizie** pentru clasificarea incidentului (semnificativ în sens NIS2 sau nu, cu date personale sau fără); - **șabloanele de notificare** pentru DNSC (PNRISC) și ANSPDCP, precompletate cu datele de identificare ale organizației; - **șablonul de comunicare** către persoanele vizate, pentru cazurile de risc ridicat; - **procedura de conservare a probelor**, esențială pentru investigațiile ulterioare. Planul trebuie testat printr-un exercițiu de tip „tabletop" cel puțin o dată pe an. Un plan netestat eșuează, de regulă, exact în primele ore, cele care contează pentru termenele de 24 și 72 de ore. #### Pasul 6: Pregătiți-vă pentru aprilie 2027 Pentru organizațiile cu activitate transfrontalieră, ultimul pas este pregătirea pentru aplicarea Regulamentului 2025/2518. Specialiștii recomandă explicit evaluarea proceselor interne de gestionare a cererilor persoanelor vizate și de răspuns la plângeri, pentru a fi pregătiți pentru termenele mai stricte și cerințele formale din 2027. În termeni practici, organizația trebuie să poată produce în trei săptămâni un răspuns juridic complet la constatările preliminare ale unei autorități, susținut de documente. Cine nu are documentația pregătită nu va reuși. #### O notă pentru instituțiile publice Pentru primării, consilii județene, școli și spitale, provocarea este dublă. Instituțiile publice sunt obligate să desemneze un DPO indiferent de volumul prelucrărilor. În plus, multe intră sub incidența NIS2 ca entități ale administrației publice. Bugetele sunt însă limitate, iar personalul IT este adesea format dintr-o singură persoană. Soluțiile realiste pentru o instituție dintr-un județ precum Botoșani sunt trei. Prima este partajarea DPO-ului între mai multe instituții, permisă de articolul 37 alineatul (3) GDPR. A doua este externalizarea către un prestator specializat, cu contract clar privind responsabilitățile. A treia este includerea conformității în proiectele de digitalizare finanțate din fonduri europene, unde securitatea și protecția datelor pot fi bugetate ca parte a investiției. --- ## Concluzie: Viitorul este al companiilor transparente Imaginea de ansamblu a anului 2026 este paradoxală. Pe de o parte, Uniunea Europeană vorbește despre simplificare: Omnibusul pentru AI a amânat termene, iar Omnibusul pentru date promite mai puțină birocrație. Pe de altă parte, presiunea reală asupra organizațiilor crește. Sesizările la ANSPDCP s-au dublat într-un an, DNSC trece de la faza legislativă la cea de control, noul regulament procedural impune termene stricte, iar EDPB pregătește ghiduri noi despre anonimizare și scraping. Paradoxul se rezolvă dacă observăm ce anume se simplifică. Se simplifică *forma* conformității: mai puține registre pentru firmele mici, poate un portal unic de raportare, poate semnale automate de consimțământ în browser. Nu se simplifică *substanța*: datele trebuie protejate, incidentele trebuie raportate, iar utilizatorii trebuie tratați corect. De aceea, protecția datelor nu mai este o bifă legală. Este un indicator al maturității organizaționale. O firmă care știe în orice moment ce date deține, care poate raporta un incident în 24 de ore și care își prezintă bannerul de cookie cu butoane egale transmite pieței un mesaj de încredere. Într-o economie digitală în care Shoshana Zuboff a descris modelul dominant drept „capitalism al supravegherii", transparența devine un avantaj competitiv, nu o povară. Pentru o agenție web, pentru o primărie sau pentru un producător local care vinde online, concluzia practică este aceeași: nu așteptați versiunea finală a Omnibusului. Construiți acum pe fundamentele care nu se vor schimba: documentație actualizată, securitate demonstrabilă, interfețe oneste și un plan de incident testat. Organizațiile care au tratat GDPR serios din 2018 vor absorbi aproape fără efort orice simplificare vine. Cele care au tratat totul ca pe un dosar în dulap vor constata că dosarul nu le mai protejează. --- ## Bibliografie **Legislație europeană** 1. Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 (GDPR). EUR-Lex. 2. Regulamentul (UE) 2025/2518 al Parlamentului European și al Consiliului din 26 noiembrie 2025 de stabilire a unor norme procedurale suplimentare privind aplicarea Regulamentului (UE) 2016/679. JO L, 12.12.2025. Aplicabil de la 2 aprilie 2027. 3. Regulamentul (UE) 2024/1689 (AI Act), modificat prin Regulamentul (UE) 2026/1744 (Digital Omnibus on AI), JO 24.07.2026. 4. Directiva (UE) 2022/2555 (NIS2). 5. Comisia Europeană, Propunerea „Digital Omnibus" privind datele (GDPR, ePrivacy, NIS2, Data Act), 19 noiembrie 2025. Legislative Train Schedule, Parlamentul European. **Legislație națională** 1. OUG nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, M. Of. nr. 1332/31.12.2024. 2. Legea nr. 124/2025 pentru aprobarea OUG nr. 155/2024, M. Of. nr. 638/07.07.2025, legislatie.just.ro. 3. Ordinele Directorului DNSC nr. 1/2025, 2/2025 și 3/2025, dnsc.ro/pagini/legislatie-nis2. 4. Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, cu modificările ulterioare. 5. ANSPDCP, Decizia nr. 174/2018 privind lista operațiunilor pentru care este obligatorie realizarea evaluării impactului asupra protecției datelor. **Ghiduri și opinii ale autorităților** 1. EDPB, Opinia 28/2024 privind anumite aspecte ale protecției datelor legate de prelucrarea datelor personale în contextul modelelor AI, 17 decembrie 2024. 2. EDPB, Proiectul de Ghiduri 02/2026 privind anonimizarea și Proiectul de Ghiduri 03/2026 privind extragerea automată (scraping) a datelor pentru AI generativ, 8 iulie 2026 (consultare publică până la 30 octombrie 2026). 3. EDPB–EDPS, Opinia comună 2/2026 privind propunerea Digital Omnibus, februarie 2026. 4. EDPB, Ghidurile 03/2022 privind modelele de design înșelătoare (deceptive design patterns), versiunea 2.0, 2023. 5. EDPB, Raportul Grupului de lucru privind bannerele de cookie, ianuarie 2023. 6. ANSPDCP, Raportul de activitate pentru anul 2025, publicat la 14 septembrie 2026, dataprotection.ro. 7. DNSC, comunicatul privind actualizarea PNRISC și lansarea platformei Blacklist, aprilie 2026. **Doctrină și analize** 1. Mustert, L., „Too Complex to Work? The GDPR Procedural Regulation", REALaw.blog, 10 aprilie 2026. 2. Arthur Cox LLP, „Cross-border processing complaints – What to expect with the new GDPR Procedural Regulation", decembrie 2025. 3. EDRi, „Data Omnibus – Analysis of the Council Compromise Text", martie 2026. 4. „Implementarea Directivei NIS2 în România", JURIDICE.ro, august 2025. 5. „Noi reguli privind consimțământul pentru cookie-uri: alinierea legislației române la standardele europene", JURIDICE.ro, aprilie 2026. 6. White & Case, „EU AI Omnibus enters into force, amending the AI Act", iulie 2026. --- *Notă de transparență: acest articol a fost redactat cu asistența, pe baza unei cercetări bibliografice verificate, și a fost revizuit editorial de autor. Informațiile reflectă stadiul legislativ de la 24 septembrie 2026 și nu constituie consultanță juridică.* ---