Când trebuie desemnat un responsabil cu protecția datelor?

Un responsabil cu protecția datelor nu devine obligatoriu fiindcă organizația a depășit un anumit număr de angajați sau o anumită cifră de afaceri. Decizia corectă verifică, pentru aceeași entitate juridică și prelucrarea ei reală, patru căi: statutul public, monitorizarea pe scară largă, datele sensibile prelucrate pe scară largă și cerințele suplimentare ale dreptului aplicabil ¹.

Răspuns rapid: Responsabilul cu protecția datelor este obligatoriu dacă oricare dintre cele patru căi legale conduce la „da”. Un rezultat pozitiv cere un rol protejat, independent și dotat efectiv; un rezultat negativ cere o evaluare datată, bazată pe fapte, cu proprietar și declanșatori de revizuire. Dimensiunea întreprinderii nu înlocuiește acest test.

Ultima actualizare: 5 septembrie 2026

Porniți de la patru căi, nu de la numărul de angajați

Analiza începe prin delimitarea entității juridice și a operațiunilor pe care aceasta le controlează sau le execută ca persoană împuternicită de operator. Nu este suficientă o descriere a grupului, a mărcii ori a platformei, deoarece operatorul și persoana împuternicită de operator au fiecare propria obligație de a verifica articolul 37 ¹. Un răspuns afirmativ închide numai întrebarea necesității; implementarea rolului rămâne o etapă distinctă.

Înaintea atelierului de decizie, proprietarii proceselor confirmă ce se întâmplă în practică, nu doar ce permite politica. Contractele, configurațiile, volumele, traseele datelor și planurile de extindere trebuie să poată fi puse lângă fiecare răspuns. Astfel, patru întrebări juridice corecte nu sunt aplicate unei descrieri comerciale prea generale pentru a susține concluzia.

Diagrama exprimă o ordine practică, nu o ierarhie între temeiuri. Fiecare răspuns negativ trimite analiza către calea următoare, iar fiecare răspuns pozitiv converge către aceeași desemnare. După înregistrarea rezultatului, ambele ramuri ajung la revizuire, deoarece o schimbare de scop, volum, tehnologie, populație ori lege poate modifica răspunsul.

O întreprindere mică poate intra în oricare dintre aceste situații, după cum o organizație mare poate obține un „nu” bine motivat. De aceea, registrul deciziei trebuie să păstreze faptele folosite și să evite formule precum „suntem prea mici” sau „furnizorul se ocupă”. Externalizarea unei operațiuni nu elimină analiza propriului rol și nici nu transferă automat obligația.

Verificați cele trei cazuri din articolul 37

Prima cale privește autoritățile și organismele publice, cu excepția instanțelor atunci când își exercită atribuțiile judiciare. Ea este autonomă: odată confirmat statutul pentru entitatea analizată, nu mai trebuie demonstrate activitatea principală ori scara largă. Celelalte două căi cer ca prelucrarea relevantă să facă parte din activitățile principale și să atingă scara largă: fie monitorizare periodică și sistematică, fie date din categoriile speciale ale articolului 9 ori date privind condamnări și infracțiuni din articolul 10 ¹.

Condițiile trebuie citite împreună: dovada că prelucrarea este esențială pentru serviciu stabilește caracterul principal, nu și scara largă; separat, volumele mari dintr-o funcție auxiliară nu transformă acea funcție în activitate principală. Un cabinet care prelucrează ocazional date medicale pentru un angajat nu intră automat pe ruta datelor sensibile, deoarece trebuie analizate caracterul principal și scara largă. În schimb, un serviciu a cărui funcție esențială presupune urmărirea persistentă a unui număr mare de utilizatori nu poate evita testul numind operațiunea „analiză tehnică”.

Articolul 37 nu oferă o formulă numerică pentru scară și nu autorizează un prag universal inventat. Concluzia trebuie să lege natura, domeniul și scopurile operațiunii de populația observată, durata și întinderea geografică. Dacă datele lipsesc, decizia nu este încă un „nu”; este o investigație incompletă, cu un proprietar care trebuie să obțină faptele.

Testați operatorul și persoana împuternicită separat, chiar când participă la același serviciu. Fiecare poate avea activități principale, populații și volume diferite, iar concluzia contractuală a celeilalte părți nu îi este transferată. Înregistrați pentru fiecare cine stabilește ori execută prelucrarea, ce parte a serviciului este esențială și ce dovezi susțin amploarea; comparația trebuie să arate și de ce aceeași operațiune poate fi principală pentru furnizor, dar auxiliară pentru client, evitând răspunsul colectiv care nu descrie nicio entitate juridică.

Statutul public se stabilește prin dreptul aplicabil

RGPD nu definește în mod autonom noțiunea de „autoritate sau organism public”. Clasificarea se face potrivit dreptului național aplicabil entității, fără a importa definiții din alt stat și fără a presupune că orice organizație care îndeplinește o sarcină de interes public are, doar din acest motiv, statutul cerut de articolul 37.

Dosarul trebuie să identifice întrebarea juridică precisă și materialele oficiale care o rezolvă. Actul de înființare, temeiul atribuțiilor, forma juridică și calificarea expresă din dreptul intern pot fi relevante, însă greutatea lor depinde de sistemul național. Echipa consemnează sursa, versiunea și raționamentul, astfel încât un reviewer să poată reproduce concluzia.

Excepția instanțelor este îngustă: ea privește activitatea desfășurată în capacitate judiciară, nu transformă orice prelucrare a unei instanțe într-o zonă exceptată ¹. Pentru operațiunile administrative trebuie refăcută analiza, raportată la funcția concretă. O etichetă instituțională nu substituie delimitarea activității.

Atunci când statutul depinde de mai multe instrumente, fișa explică traseul dintre ele, în loc să păstreze numai concluzia finală. Notați cine a interpretat sursa, ce versiune era în vigoare și ce fapt despre entitate a fost determinant. Dacă reorganizarea, delegarea unei atribuții sau schimbarea formei juridice poate modifica încadrarea, includeți evenimentul între declanșatorii de revizuire și nu presupuneți că analiza inițială rămâne valabilă permanent.

Definiți activitatea principală, scara și monitorizarea

Activitatea principală este o funcție esențială pentru atingerea obiectivelor entității, nu orice operațiune auxiliară inevitabilă. Orientările WP243 arată că prelucrarea poate fi intrinsecă serviciului chiar dacă organizația descrie altfel produsul final ⁴. Un spital nu oferă „date”, dar prelucrarea informațiilor medicale este inseparabilă de îngrijire; salarizarea internă obișnuită rămâne, de regulă, o funcție de sprijin.

Pentru scara largă se examinează împreună numărul persoanelor și proporția lor din populația relevantă, volumul și gama datelor, durata sau permanența operațiunii și întinderea geografică ⁴. Niciun factor nu oferă singur o frontieră sigură. Evaluați configurația reală și creșterea previzibilă, nu doar o fotografie convenabilă din ziua verificării.

Monitorizarea este periodică atunci când se repetă ori revine la intervale, iar caracterul sistematic rezultă dintr-un plan, o organizare sau o strategie. Urmărirea comportamentului online, profilarea pentru predicții, observarea prin dispozitive conectate și programele de fidelitate pot ridica întrebarea, dar eticheta tehnologiei nu decide rezultatul. Notați cine este urmărit, ce semnale sunt reunite, cât timp, pentru ce decizie și cu ce acoperire.

O analiză robustă păstrează separat fiecare element. „Folosim analiză la scară” nu arată că activitatea este principală, că persoanele sunt monitorizate sau că amploarea este suficientă. La fel, „avem date medicale” nu dovedește o prelucrare pe scară largă. Concluzia trebuie să explice legătura dintre faptele observabile și toate condițiile rutei invocate.

Pentru monitorizare, descrieți și modul în care observațiile sunt reunite ori folosite pentru decizii, nu doar frecvența colectării. Un semnal tehnic izolat poate avea altă semnificație decât un profil construit în timp din mai multe surse. Pentru datele sensibile, delimitați categoriile din articolele 9 și 10, proporția populației afectate, persistența și accesul; expresii precum „date cu risc” sunt prea vagi pentru a reproduce testul legal.

Verificați distinct dreptul statului membru

Articolul 37 alineatul (4) permite dreptului Uniunii sau dreptului unui stat membru să impună desemnarea și în alte cazuri ¹. Această ramură este separată de cele trei situații ale alineatului (1), astfel încât un „nu” la testele europene nu finalizează evaluarea înaintea verificării normei suplimentare aplicabile.

Pentru entitatea și activitatea concretă, identificați statul membru relevant, consultați sursa oficială actuală și înregistrați citarea, versiunea sau data, domeniul personal și material, precum și concluzia. Nu transformați un rezumat secundar într-o autoritate și nu generalizați în Uniune un prag găsit într-o singură jurisdicție. Dacă echipa nu a stabilit ce lege se aplică ori nu a verificat forma în vigoare, rezultatul rămâne deschis.

Fișa trebuie să permită actualizarea ulterioară. Includeți data verificării, proprietarul concluziei și evenimente precum o nouă entitate, o schimbare de sediu, extinderea prelucrării sau modificarea legii. Astfel, ramura națională devine un control reproductibil, nu o notă vagă că departamentul juridic „a verificat cândva”.

Documentați și domeniul rezultatului: entitatea, activitățile și perioada pentru care sursa a fost analizată. O concluzie limitată nu trebuie reutilizată automat pentru altă societate din grup sau pentru o operațiune lansată ulterior. Dacă sursa oficială conține o obligație mai largă decât articolul 37 alineatul (1), consemnați diferența și treceți la implementare; dacă nu o conține, păstrați totuși dovada verificării, deoarece tocmai aceasta susține ramura negativă.

Desemnarea voluntară păstrează toate garanțiile

Organizația poate desemna voluntar un responsabil cu protecția datelor, dar titlul atrage integral regimul articolelor 37–39, nu o versiune informală a funcției ⁴. Persoana trebuie selectată pentru calități profesionale, cunoașterea dreptului și practicilor de protecție a datelor și capacitatea de a executa sarcinile prevăzute de articolul 39 ¹.

Dacă organizația dorește coordonare internă fără a activa rolul protejat, alternativa onestă este o funcție denumită clar, precum „responsabil pentru programul de confidențialitate”, fără titlul de responsabil cu protecția datelor. Mandatul, escaladarea și limitele sale trebuie comunicate, astfel încât angajații și persoanele vizate să nu creadă că beneficiază de garanțiile legale ale DPO.

Un singur responsabil poate deservi un grup, iar serviciul poate fi furnizat extern, dacă persoana rămâne ușor accesibilă din fiecare sediu și are capacitatea necesară ¹. Accesibilitatea înseamnă timp, canale, limbă, cunoașterea operațiunilor și posibilitatea reală de a interveni, nu doar un nume într-un contract.

Înaintea alegerii titlului, comparați mandatul propus cu realitatea organizațională. Dacă funcția conduce operațiunile pe care ar trebui să le monitorizeze, stabilește scopurile ori mijloacele esențiale sau poate fi evaluată negativ pentru recomandări incomode, conflictul nu dispare printr-o organigramă. Reproiectați atribuțiile și linia de raportare înainte de desemnare, iar pentru un serviciu extern stabiliți substituția, continuitatea și accesul la informații.

Pentru un răspuns pozitiv, faceți rolul efectiv

Desemnarea este începutul implementării. Operatorul sau persoana împuternicită de operator trebuie să implice responsabilul corespunzător și la timp în toate chestiunile privind datele, să îi ofere resurse și acces și să îi păstreze expertiza ². Dovezile operaționale arată accesul efectiv la sisteme, proprietari și ședințe înaintea deciziei, nu doar existența unei invitații formale. Rolul nu primește instrucțiuni despre exercitarea sarcinilor, nu poate fi sancționat pentru acestea și raportează direct celui mai înalt nivel de conducere.

Sarcinile minime includ informarea și consilierea organizației și a angajaților, monitorizarea conformității și a politicilor, alocarea responsabilităților, conștientizarea, formarea și auditurile ³. Responsabilul oferă, la cerere, consultanță privind evaluarea impactului asupra protecției datelor și monitorizează realizarea acesteia. De asemenea, cooperează cu autoritatea de supraveghere și este punctul ei de contact, inclusiv pentru consultarea prealabilă.

Prioritățile trebuie stabilite ținând seama de riscul asociat naturii, domeniului, contextului și scopurilor prelucrării ³. Abordarea bazată pe risc nu autorizează eliminarea unei sarcini; ea organizează atenția și resursele. Conducerea rămâne responsabilă pentru decizii, iar responsabilul consiliază și monitorizează fără a deveni proprietarul tuturor obligațiilor.

Persoanele vizate trebuie să poată contacta responsabilul în chestiuni legate de prelucrare și exercitarea drepturilor ². Canalul trebuie să fie ușor de găsit, funcțional și protejat. Publicarea unei adrese fără proces de triere, termen intern și continuitate în absențe nu îndeplinește scopul practic al accesibilității.

Conducerea trebuie să poată arăta cum tratează recomandările fără a transforma responsabilul în factorul care aprobă singur prelucrarea. Păstrați recomandarea, decizia managerului, eventualele divergențe și acțiunea convenită; această urmă demonstrează implicarea și independența. Pentru audit, formare și monitorizare, definiți un plan bazat pe riscuri, rezultate observabile și acces la dovezi, apoi asigurați suficientă capacitate pentru incidente și consultări neplanificate. Când cererile concurente depășesc timpul disponibil, registrul de priorități trebuie să arate riscul, amânarea, proprietarul deciziei și escaladarea către conducere.

Pentru un răspuns negativ, documentați evaluarea

Un „nu” bine fundamentat este un produs de conformitate, nu absența unui document. El arată că toate cele patru căi au fost analizate pe fapte actuale și că o persoană competentă deține concluzia. Pentru fiecare ramură, fișa separă faptele confirmate de ipotezele încă valabile, numește proprietarul care le poate reconfirma și explică de ce absența unui element conduce la rezultatul negativ. Evaluarea trebuie să poată fi reluată de cineva care nu a participat la discuția inițială.

Separarea proprietarului de confidențialitate de rolul protejat previne confuzia. Organizația are în continuare nevoie de cineva care să coordoneze cererile persoanelor, incidentele, evidențele activităților de prelucrare, contractele și schimbările. Mandatul poate fi puternic și vizibil fără a pretinde că persoana este responsabil cu protecția datelor.

Declanșatorii trebuie formulați observabil. „Revizuire când este necesar” nu spune nimănui ce eveniment deschide fișa, pe când lansarea monitorizării comportamentale, adăugarea datelor biometrice, extinderea în alt stat sau transformarea unei activități auxiliare într-un serviciu principal pot fi urmărite. Un control periodic proporționat poate completa aceste evenimente, dar nu le înlocuiește.

Înregistrați și ipotezele care au menținut fiecare răspuns negativ: volumul actual, populația, frecvența, funcția auxiliară ori absența anumitor categorii. La schimbare, proprietarul compară noile fapte cu aceste ipoteze, nu reia o discuție fără reper. Pragul intern de reexaminare trebuie legat de sursa măsurii și de persoana care observă schimbarea, iar închiderea revizuirii consemnează ce ipoteză a rămas adevărată. Dacă un factor se apropie de o zonă neclară, stabiliți ce informație suplimentară este necesară și cine o obține, fără a folosi incertitudinea drept motiv pentru închiderea dosarului.

Testați cazurile de frontieră pe fapte

Modelele de mai jos sunt puncte de pornire, nu concluzii universale. Fiecare organizație trebuie să confirme entitatea, rolul, activitatea principală, scara, monitorizarea, datele și dreptul aplicabil înainte de a decide.

O platformă cumpărată de la un furnizor nu schimbă automat rolul. Entitatea trebuie să analizeze propriile decizii și operațiuni, iar furnizorul își verifică separat activitățile de persoană împuternicită de operator. Dacă una dintre părți are nevoie de desemnare, accesibilitatea și conflictele se evaluează în raport cu activitatea acelei părți.

Pentru organizațiile care operează și sub regimul britanic, analiza juridică este distinctă; consultați ghidul privind responsabilul cu protecția datelor în Regatul Unit^EN(articol în engleză). Linkul oferă o prezentare separată, nu introduce o definiție britanică în evaluarea RGPD a Uniunii.

În cazurile de frontieră, formulați atât argumentul afirmativ, cât și pe cel negativ înainte de aprobare, indicând separat faptele certe și incertitudinile care încă pot schimba rezultatul. Această disciplină scoate la iveală elementul care decide cu adevărat: statutul juridic, caracterul principal, amploarea, regularitatea ori norma suplimentară. Concluzia finală trebuie să spună ce fapt a înclinat analiza, câtă încredere susține dovada și ce schimbare concretă ar inversa-o, astfel încât tabelul să fie un instrument de lucru, nu o colecție de analogii convenabile.

Întrebări frecvente

Când este obligatoriu un responsabil cu protecția datelor potrivit RGPD?

Desemnarea este obligatorie când entitatea este autoritate sau organism public, cu excepția limitată a instanțelor în capacitate judiciară, când activitățile principale cer monitorizare periodică și sistematică pe scară largă ori prelucrare pe scară largă a datelor din articolele 9 sau 10, sau când dreptul suplimentar aplicabil o cere ¹. Cele patru rute se verifică distinct și se păstrează în aceeași fișă. Un singur răspuns afirmativ este suficient pentru necesitate, însă organizația trebuie apoi să implementeze efectiv poziția, resursele, independența și sarcinile rolului.

Numărul de angajați impune desemnarea unui responsabil cu protecția datelor?

Nu. Articolul 37 nu stabilește un prag general de angajați, cifră de afaceri sau volum. O întreprindere mică poate avea o activitate principală de monitorizare la scară, iar una mare poate rămâne în afara celor trei rute, sub rezerva verificării dreptului suplimentar. Faptele juridice și operaționale decid, iar fișa explică acele fapte în loc să folosească dimensiunea drept scurtătură.

Ce înseamnă prelucrare pe scară largă pentru desemnarea DPO?

Scara largă rezultă din evaluarea combinată a numărului și proporției persoanelor, volumului și gamei datelor, duratei sau permanenței și întinderii geografice ⁴. Nu există un prag numeric universal. Dosarul explică de ce factorii concreți, priviți împreună, ating sau nu nivelul relevant și păstrează sursele volumelor, populației și acoperirii, pentru ca judecata să poată fi refăcută după o extindere.

Poate fi externalizat sau împărțit responsabilul cu protecția datelor?

Da. Responsabilul poate lucra pe baza unui contract de servicii ori poate deservi mai multe entități ale unui grup, dacă rămâne ușor accesibil din fiecare sediu și dispune de expertiză, independență și capacitate reală ¹. Contractul nu compensează timpul insuficient, conflictele sau lipsa accesului la conducere și operațiuni. Înainte de desemnare, testați disponibilitatea în limbile și fusurile orare relevante, timpul de răspuns și mecanismul prin care recomandările ajung direct la conducerea fiecărei entități.

Ce se întâmplă dacă desemnăm voluntar un responsabil cu protecția datelor?

Articolele 37–39 se aplică integral rolului desemnat voluntar ⁴. Dacă organizația nu dorește acest regim, poate numi o funcție internă de coordonare a confidențialității, dar trebuie să evite titlul protejat și să explice clar mandatul. O denumire ambiguă poate crea așteptări false pentru angajați și persoane vizate, în timp ce atribuțiile incompatibile pot compromite independența unui rol care a fost totuși desemnat.

Poate dreptul național extinde obligația de desemnare a DPO?

Da. Dreptul Uniunii sau dreptul unui stat membru poate merge mai departe decât cele trei situații din articolul 37 alineatul (1) și poate impune desemnarea în cazuri suplimentare ¹. Pentru entitatea și prelucrarea concretă, identificați legea aplicabilă, consultați sursa oficială curentă și consemnați citarea, versiunea sau data, domeniul și concluzia. Nu generalizați pragul unei jurisdicții în toată Uniunea; cât timp sursa aplicabilă rămâne nerezolvată, decizia nu poate fi închisă negativ.