Contractul de hosting și colocare

Contractul de hosting și colocare este un contract nenumit, cu natură hibridă, care combină locațiunea unui spațiu (de stocare sau fizic) cu prestarea de servicii (energie, răcire, conectivitate, administrare). În hosting, furnizorul pune la dispoziție propria infrastructură; în colocare, clientul își aduce serverele proprii. Miza juridică stă în SLA, în răspunderea furnizorului și în protecția datelor (GDPR), la care se adaugă noile obligații NIS2 și DSA.

Pe scurt

Contractul de hosting (găzduire) și cel de colocare (colocation) sunt contracte nenumite, cu natură juridică hibridă — combină locațiune (spațiul de stocare sau fizic) și prestare de servicii (energie, răcire, conectivitate, administrare) — guvernate de principiul libertății contractuale din Codul civil. Miza practică stă în trei clauze: SLA-ul (nivelul garantat de disponibilitate și remediile pentru nerespectare), răspunderea furnizorului (inclusiv exonerarea specială pentru conținutul stocat din Legea 365/2002) și protecția datelor (când gazda devine persoană împuternicită sub GDPR și cum se autorizează subprocesorii). La acestea se adaugă, din 2024–2025, obligații noi de securitate cibernetică (NIS2) și de reglementare (DSA, ANCOM) aplicabile operatorilor de infrastructură digitală.

Cadrul legal

Nici contractul de hosting, nici cel de colocare nu au o reglementare proprie în dreptul român — sunt contracte nenumite, cărora li se aplică, potrivit art. 1168 Cod civil, dispozițiile generale privind obligațiile și, în completare, regulile contractului cu care se aseamănă cel mai mult.

Art. 1168 Cod civil — „Contractelor nereglementate de lege li se aplică prevederile prezentului capitol, iar dacă acestea nu sunt îndestulătoare, regulile speciale privitoare la contractul cu care se aseamănă cel mai mult.” Sursa: Codul civil, Legea 287/2009 (accesat 2026-08-21)

1. Temeiul de drept comun (Codul civil)

• Libertatea contractuală și forța obligatorie — părțile stabilesc liber conținutul, iar contractul valabil încheiat are putere de lege între ele (art. 1178 și art. 1270 Cod civil).
• Calificarea hibridă — componenta de spațiu (rack, cage, U-uri, cameră dedicată în colocare; spațiu de stocare în hosting) se apropie de locațiune (art. 1777 și urm.), iar componenta de servicii (alimentare electrică, răcire, conectivitate, backup, administrare, suport) de antrepriză / prestare de servicii (art. 1851 și urm.).
• Răspunderea — neexecutarea obligațiilor atrage răspundere contractuală (art. 1350), cu remediile de drept comun (executare silită, rezoluțiune, daune-interese — art. 1516 și urm.). Clauzele de limitare a răspunderii sunt valabile în limitele art. 1355: nu se poate exclude ori limita răspunderea pentru prejudiciul cauzat prin dol sau culpă gravă.

Art. 1355 alin. (1) Cod civil — „Nu se poate exclude sau limita, prin convenții sau acte unilaterale, răspunderea pentru prejudiciul material cauzat altuia printr-o faptă săvârșită cu intenție sau din culpă gravă.” Sursa: Codul civil, Legea 287/2009 (accesat 2026-08-21)

2. Răspunderea pentru conținutul găzduit (Legea 365/2002)

Furnizorul de hosting beneficiază de o exonerare specială pentru informația stocată la cererea clientului, potrivit art. 14 din Legea nr. 365/2002 privind comerțul electronic (republicată). Este regimul de tip „notice and takedown”:

Art. 14 alin. (1) din Legea 365/2002 — Furnizorul care stochează informația furnizată de un destinatar „nu răspunde pentru informația stocată la cererea unui destinatar” dacă: a) nu are cunoștință că activitatea sau informația este nelegală (și, pentru acțiunile în daune, nu cunoaște fapte din care să rezulte vătămarea unui terț); ori b) având cunoștință, „acționează rapid în vederea eliminării sau a blocării accesului la aceasta”. Sursa: Legea 365/2002, republicată (accesat 2026-08-21)

Corelativ, art. 16 impune furnizorului obligația de a informa de îndată autoritățile despre activități/informații cu aparență nelegală și de a comunica, la cerere, datele care permit identificarea destinatarilor cu care a încheiat contracte de stocare permanentă.

⚠️ Actualizare 2024 — Art. 15 din Legea 365/2002 (lipsa unei obligații generale de monitorizare) a fost abrogat prin art. 52 pct. 3 din Legea nr. 50/2024 (MO 232/19.03.2024), care pune în aplicare Regulamentul (UE) 2022/2065 (DSA). Regimul răspunderii serviciilor de găzduire se citește astăzi coroborat cu DSA (art. 6). Detalierea normelor europene se face în secțiunea de legislație europeană. Sursa: Legea 50/2024 (accesat 2026-08-21)

3. Protecția datelor cu caracter personal

Când gazda stochează sau administrează date personale ale clientului, ea acționează ca persoană împuternicită de operator (processor) și trebuie încheiat un act adițional de prelucrare (DPA) conform art. 28 din Regulamentul (UE) 2016/679 (GDPR), cu autorizarea prealabilă a subprocesorilor. Cadrul național de aplicare este Legea nr. 190/2018. În colocarea „pură” (clientul își administrează propriile servere, iar furnizorul nu accesează datele), furnizorul nu este, de regulă, persoană împuternicită — dar acest lucru trebuie clarificat expres în contract. Dezvoltarea obligațiilor GDPR se face în secțiunea de legislație europeană.

4. Securitate cibernetică și reglementare sectorială

• NIS2 — Directiva (UE) 2022/2555 a fost transpusă prin OUG nr. 155/2024 (în vigoare 31.12.2024), aprobată prin Legea nr. 124/2025; centrele de date și furnizorii de servicii digitale sunt infrastructură digitală (entități esențiale/importante), cu obligații de gestionare a riscurilor și notificare a incidentelor către DNSC.
• Găzduire cu resurse IP — furnizorii de servicii de găzduire electronică cu resurse IP au obligații față de ANCOM, potrivit Deciziei ANCOM nr. 423/2023 (temei: art. 10^2 din OUG 111/2011).
• B2C — dacă serviciul este vândut consumatorilor, se aplică și OUG nr. 141/2021 privind contractele de furnizare de conținut digital și servicii digitale.

Explicație detaliată

Hosting vs. colocare: două modele, obligații diferite

Deși ambele privesc găzduirea de infrastructură IT, cele două contracte împart altfel riscurile:

• Hosting (găzduire) — furnizorul pune la dispoziție propria infrastructură (servere, spațiu de stocare, resurse de calcul) pe care rulează aplicațiile/datele clientului. Furnizorul controlează hardware-ul; obligația lui este una de rezultat parțial (disponibilitatea serviciului) și de mijloace pentru administrare. Aici gazda ajunge frecvent să proceseze date personale ale clientului.
• Colocare (colocation) — clientul își aduce propriile echipamente (servere pe care le deține), iar furnizorul închiriază spațiul fizic (rack partajat, rack dedicat, cage sau cameră dedicată) și furnizează utilitățile data center-ului: energie redundantă, răcire, conectivitate, securitate fizică. Echipamentele rămân proprietatea clientului; furnizorul, de regulă, nu accesează datele.

Din această diferență decurge o consecință juridică importantă: în hosting, componenta de prestare de servicii și de prelucrare de date este dominantă; în colocare, componenta de locațiune (spațiul) și de furnizare de utilități este dominantă, iar răspunderea furnizorului pentru conținutul de pe servere este, în principiu, mai redusă.

Natura juridică: contract nenumit, cu regim mixt

Ambele sunt contracte nenumite (art. 1168 Cod civil). În practică, judecătorul le va califica după prestația caracteristică și va împrumuta reguli de la contractul de locațiune (pentru spațiu) și de la antrepriză/prestare de servicii (pentru utilități și administrare). Consecințe:

• obligația de a preda și menține folosința spațiului/resursei revine furnizorului, similar locatorului (art. 1786 și urm.);
• obligația de întreținere a infrastructurii (energie, răcire, rețea) este o obligație de rezultat, măsurată prin SLA;
• neexecutarea declanșează remediile de drept comun (art. 1516 și urm.): reducerea prețului, rezoluțiunea, daune-interese — la care contractul adaugă, convențional, service credits.

SLA-ul: inima contractului

Nivelul de serviciu (SLA — Service Level Agreement) transformă promisiunea comercială de „uptime” într-o obligație juridică măsurabilă. Un SLA solid definește:

• disponibilitatea garantată — exprimată procentual (ex. 99,9% înseamnă ~8,76 ore de indisponibilitate/an; 99,99% înseamnă ~52 minute/an);
• ce se măsoară — energie, rețea, răcire, sau serviciul „end-to-end”; și cum se măsoară (la nivel de rack, de port, de aplicație);
• ferestrele de mentenanță planificată, excluse din calculul indisponibilității;
• remediile — de regulă service credits (reduceri procentuale din factură), cu un plafon (ex. maximum valoarea unei luni de abonament) și o procedură de solicitare.

Juridic, service credit-ul funcționează ca o clauză penală (evaluare anticipată a prejudiciului) sau ca o reducere de preț. Atenție: dacă contractul prevede că service credit-ul este remediul exclusiv, aceasta este o clauză de limitare a răspunderii, supusă limitei art. 1355 Cod civil — nu poate acoperi prejudiciul cauzat prin dol sau culpă gravă a furnizorului.

Răspunderea furnizorului pentru conținut

Pentru informația găzduită la cererea clientului, furnizorul de hosting beneficiază de exonerarea din art. 14 din Legea 365/2002: nu răspunde pentru conținutul ilicit dacă nu are cunoștință de el și acționează rapid la eliminarea/blocarea accesului odată notificat. Legea nu definește „a avea cunoștință”, așa că notificarea unei persoane interesate poate fi suficientă pentru a declanșa obligația de reacție. Exonerarea nu acoperă situația în care furnizorul are un rol activ asupra conținutului sau nu reacționează la o notificare validă. Din 2024, acest regim se citește împreună cu Regulamentul (UE) 2022/2065 (DSA).

Datele personale: operator, împuternicit, subprocesor

• Dacă furnizorul stochează/administrează date personale ale clientului, el este persoană împuternicită (art. 28 GDPR) și trebuie semnat un DPA care să reglementeze scopul, durata, tipul de date, măsurile de securitate (art. 32 GDPR) și lanțul de subprocesare (data center-ul, furnizorii de mentenanță etc.), fiecare subprocesor fiind autorizat de operator și legat de „aceleași obligații”.
• În colocarea pură, furnizorul care nu accesează datele nu este împuternicit — dar trebuie prevăzut expres, plus un protocol pentru situațiile de acces (intervenții fizice, „remote hands”).

Securitate cibernetică (NIS2)

Operatorii de centre de date și furnizorii de servicii digitale intră, de la sfârșitul lui 2024, în sfera OUG 155/2024 (transpunerea NIS2), ca infrastructură digitală. Aceasta înseamnă obligații de gestionare a riscurilor, măsuri tehnice/organizatorice și notificarea incidentelor semnificative către DNSC — obligații care trebuie reflectate în contract (ex. cooperare la notificarea incidentelor, măsuri minime de securitate garantate de furnizor).

Aspecte practice

Clauze care nu trebuie să lipsească

• Obiectul, descris tehnic — pentru colocare: numărul de U-uri, tipul de spațiu (rack partajat/dedicat, cage, cameră dedicată) și un inventar al echipamentelor colocate; pentru hosting: resursele alocate (CPU, RAM, stocare, IP-uri) și serviciile administrate.
• SLA cu definiții clare — procent de disponibilitate, obiectul măsurării (energie/rețea/răcire/end-to-end), metoda și punctul de măsurare, ferestrele de mentenanță excluse.
• Service credits — cuantum, plafon (ex. max. o lună de abonament), procedura și termenul de solicitare; precizați dacă sunt sau nu remediul exclusiv (cu limita art. 1355 Cod civil).
• Prețul, delimitat — separați clar spațiul de energie (contorizată la nivel de rack) și de bandă; multe oferte „ieftine” taxează separat energia și conectivitatea. Includeți regulile de indexare.
• Backup și retenție — cine face backup, frecvența, RPO/RTO (câte date se pot pierde / în cât timp se restaurează), locația copiilor; în colocarea pură, backup-ul este de regulă responsabilitatea clientului — precizați asta.
• Accesul fizic și securitatea — regimul de acces (biometrie, supraveghere, programare, „remote hands”), răspunderea pentru daune la echipamente.
• Protecția datelor — DPA (art. 28 GDPR) când furnizorul e împuternicit; lista subprocesorilor și procedura de autorizare a noilor subprocesori; localizarea datelor.
• Securitate cibernetică — măsuri minime garantate, cooperare la notificarea incidentelor (NIS2), certificări (ex. ISO 27001, TIA-942 Tier III).
• Durata, încetarea și „exit” — preaviz, procedura de retragere a echipamentelor (colocare) sau de export/ștergere a datelor (hosting) la încetare, pentru a evita blocajul („vendor lock-in”).
• Limitarea răspunderii și forța majoră — plafon de răspundere, excluderea prejudiciilor indirecte (în limitele art. 1355), definirea forței majore (întreruperi din amonte, pene de curent regionale).

Greșeli frecvente

• Confuzia hosting/colocare în alocarea răspunderii pentru backup și pentru date — clarificați cine controlează datele.
• SLA fără metodă de măsurare — un procent fără punct/metodă de măsurare este practic neexecutabil.
• Service credit prezentat ca remediu exclusiv, fără a ține cont că nu poate acoperi culpa gravă (art. 1355 Cod civil).
• Lipsa DPA-ului când furnizorul procesează date personale — expune ambele părți la sancțiuni GDPR.
• Subprocesori neautorizați — data center-ul terț și furnizorii de mentenanță trebuie incluși în lanțul autorizat.
• Ignorarea NIS2 — un operator de centru de date poate fi entitate esențială/importantă cu obligații proprii; contractul trebuie să reflecte cooperarea la incidente.
• Absența unei clauze de „exit” clare — recuperarea echipamentelor sau a datelor la finalul contractului devine sursă de litigiu.

De verificat înainte de semnare

• Este furnizorul înregistrat la DNSC (dacă intră sub NIS2) și, unde e cazul, la ANCOM (găzduire cu resurse IP — Decizia 423/2023)?
• Ce certificări are data center-ul și pot fi auditate?
• Cum se dovedește indisponibilitatea și cine ține evidența (monitorizare independentă vs. a furnizorului)?
• Există un plan de continuitate și de notificare a incidentelor de securitate?

Situații speciale și riscuri avansate

Dincolo de SLA, răspundere și protecția datelor, contractul de hosting/colocare ascunde câteva riscuri „de graniță" pe care practica le ignoră frecvent, dar care decid cine pierde bani într-un incident real.

1. Transferul internațional de date (în afara SEE)

Regimul GDPR din articolul de față (art. 28 și 32) acoperă cum prelucrează gazda datele, dar nu și unde. Dacă data center-ul, subprocesorul de mentenanță sau furnizorul însuși este stabilit ori deține infrastructură în afara Spațiului Economic European (de ex. un hyperscaler american supus US CLOUD Act), intră în joc Capitolul V GDPR (art. 44–49): orice transfer are nevoie de un temei de transfer.

• Regula Schrems II (CJUE, C-311/18, hot. 16 iulie 2020): clauzele contractuale standard (SCC — Decizia de punere în aplicare (UE) 2021/914) rămân valabile, dar transferul e legal doar după o evaluare a impactului transferului (TIA) și, dacă legea țării terțe nu oferă protecție „în esență echivalentă", după adăugarea de garanții suplimentare (criptare cu chei deținute de client, pseudonimizare, angajamente de transparență) — conform Recomandărilor EDPB 01/2020.
• Nuanță 2023–2026: transferurile către operatori din SUA certificați în cadrul EU–US Data Privacy Framework (decizia de adecvare a Comisiei din 10 iulie 2023) se pot întemeia pe adecvare, fără SCC — dar numai atât timp cât decizia rămâne în vigoare și furnizorul este efectiv certificat.

În contract: clauză de localizare a datelor (inclusiv a copiilor de backup — un backup într-o țară terță este el însuși un transfer), lista completă a subprocesorilor și a țărilor lor, SCC anexate și obligația furnizorului de a notifica orice cerere de acces a unei autorități străine.

Surse: GDPR, art. 44–49; CJUE C-311/18 (Schrems II); Decizia (UE) 2021/914 — SCC (accesat 2026-08-21)

2. Insolvența furnizorului — echipamentele și datele

Dacă furnizorul intră în insolvență (Legea nr. 85/2014), principiul-cheie este că echipamentele colocate rămân proprietatea clientului și nu intră în averea debitorului (noțiunea de „averea debitorului" din art. 5 acoperă doar bunurile aflate în proprietatea debitorului). Practic:

• Serverele proprii ale clientului nu pot fi valorificate de administratorul/lichidatorul judiciar; clientul le poate recupera printr-o cerere de restituire a bunului aparținând unui terț. Administratorul judiciar nu poate bloca definitiv accesul, dar poate condiționa predarea de plata cheltuielilor de conservare — de aceea accesul fizic trebuie garantat contractual.
• Datele găzduite (în hosting, pe hardware-ul furnizorului) sunt mult mai vulnerabile: creanța clientului pentru repunerea în posesie a datelor este, de regulă, o creanță chirografară (rang inferior), iar recuperarea depinde de cooperarea practicianului în insolvență.

Clauze care reduc riscul: drept de acces fizic garantat în caz de insolvență (cu termen ferm), data escrow (o copie a datelor/credențialelor la un terț neutru, eliberabilă la deschiderea procedurii) și o clauză de continuitate/migrare (transferul domeniului, DNS-ului și datelor către un furnizor alternativ desemnat de client).

Sursa: Legea nr. 85/2014 privind procedurile de prevenire a insolvenței și de insolvență (accesat 2026-08-21)

3. Colocarea și regimul depozitului — riscul pieirii echipamentelor

În colocare, furnizorul deține fizic serverele clientului, ceea ce adaugă calificării mixte o componentă apropiată de depozit (art. 2103 și urm. Cod civil): o obligație de pază și conservare a integrității fizice a echipamentelor, apreciată după diligența unui depozitar remunerat.

• Riscul pieirii fortuite urmează principiul res perit domino: pieirea din caz fortuit sau forță majoră (art. 1351 Cod civil), fără culpa furnizorului, este suportată de proprietar (clientul); furnizorul răspunde însă pentru pieirea cauzată din culpa sa (art. 1350).
• Plafonul de răspundere (limitat de regulă la valoarea abonamentului) nu poate acoperi culpa gravă (art. 1355 Cod civil). Într-un incident catastrofal de tip incendiu de data center — ⚠️ precedentul notoriu fiind incendiul centrului OVH SBG2 din Strasbourg, 10 martie 2021 (context de piață, sursă neoficială) — un plafon simbolic care nu acoperă valoarea hardware-ului distrus riscă să fie înlăturat dacă furnizorul a nesocotit măsuri elementare (backup, protecție la incendiu).

În contract: cine are obligația de asigurare a echipamentelor (ideal, furnizorul asigură infrastructura, iar clientul asigură propriul hardware la valoarea reală), definirea strictă a forței majore și un plafon care exclude expres ipoteza culpei grave.

Sursa: Codul civil (Legea 287/2009), art. 1350, 1351, 1355, 2103 și urm. (accesat 2026-08-21)

4. Dreptul de retenție vs. „luarea de ostatici" a datelor

O practică frecventă: furnizorul blochează accesul la servere sau la date pentru facturi neplătite. Juridic, aceasta poate fi un drept de retenție (art. 2495 și urm. Cod civil) — dar numai dacă există conexiune între creanță și bunul reținut (creanța să privească chiar acel bun, de ex. cheltuieli de conservare) și numai asupra bunurilor debitorului.

• Reținerea echipamentelor proprii ale clientului pentru datorii fără legătură cu ele, sau reținerea datelor cu caracter personal ale unor terți (clienții clientului), depășește dreptul de retenție și devine o cale de fapt abuzivă, expunând furnizorul la daune și la sancțiuni GDPR (obligația din art. 28 GDPR de a returna/șterge datele la încetare nu poate fi ținută „ostatică" pentru plată).

Clauze de protecție a clientului: interdicția expresă de a bloca datele personale ale terților, un termen de grație cu acces la export chiar și în caz de litigiu privind plata, data escrow și, eventual, plata contestată într-un cont blocat (escrow de plată).

Sursa: Codul civil, art. 2495 și urm. (dreptul de retenție); GDPR, art. 28 (accesat 2026-08-21)

5. Accesul autorităților la datele găzduite (procedură penală, e-Evidence)

Furnizorul poate primi cereri ale organelor de urmărire penală privind datele găzduite:

• Conservarea datelor informatice (art. 154 Cod procedură penală) — la ordinul procurorului, furnizorul păstrează datele (în principiu până la 60 de zile, cu posibilitatea prelungirii);
• Percheziția informatică (art. 168 CPP) și predarea obiectelor/înscrisurilor sau a datelor informatice (art. 170 CPP).
• Nivel european: Regulamentul (UE) 2023/1543 privind ordinele europene de producere și de conservare a probelor electronice (e-Evidence), aplicabil din 18 august 2026, permite unei autorități judiciare dintr-un stat membru să ceară direct furnizorului dintr-un alt stat producerea probelor electronice.

Notificarea clientului: în faza de investigație, confidențialitatea anchetei poate interzice notificarea prealabilă; furnizorul se conformează ordinului legal, dar contractul ar trebui să prevadă că îl notifică pe client de îndată ce legea permite, cu respectarea GDPR.

Surse: Codul de procedură penală, art. 154, 168, 170; Regulamentul (UE) 2023/1543 (e-Evidence) (accesat 2026-08-21)

6. Clientul consumator sau microîntreprindere — clauze abuzive

Ce este valabil între profesioniști (limitarea răspunderii în limitele art. 1355, service credit ca remediu) poate fi lipsit de efecte în raporturile B2C. Legea nr. 193/2000 sancționează clauzele abuzive — nenegociate individual, care creează un dezechilibru semnificativ în detrimentul consumatorului (persoană fizică ce acționează în afara activității profesionale). O clauză care limitează ori exclude răspunderea furnizorului pentru propria neexecutare, sau care impune service credit-ul drept remediu exclusiv, figurează pe „lista gri" și este, de regulă, fără efect față de consumator — chiar sub pragul culpei grave.

• Diferența de statut: protecția Legii 193/2000 și a OUG 141/2021 vizează consumatorul persoană fizică; un PFA/întreprindere individuală care contractează în scop profesional nu este consumator și rămâne pe dreptul comun (art. 1355); un profesionist beneficiază doar de limita art. 1355 (dol/culpă gravă).
• Remedii OUG 141/2021 (serviciu/conținut digital către consumatori), peste dreptul comun: aducerea în conformitate, reducerea proporțională a prețului și încetarea contractului în caz de neconformitate (ex. uptime livrat mult sub SLA).

Surse: Legea nr. 193/2000 privind clauzele abuzive; OUG nr. 141/2021 (accesat 2026-08-21)

7. Regimul fiscal (TVA) al contractului

Deși contractul are o componentă de „închiriere de spațiu" (rack/cage), pentru TVA prestația hosting/colocare este, de regulă, un serviciu, nu o operațiune scutită de închiriere de bun imobil. CJUE a tranșat problema în cauza C-215/19 (A Oy, hot. 2 iulie 2020): serviciile de colocare (spațiu pentru dulapuri de servere + energie, răcire, securitate, monitorizare) nu constituie o închiriere de bun imobil scutită, ci o prestare de servicii taxabilă.

• Locul prestării (art. 278 Cod fiscal): la contracte B2B transfrontaliere, locul e la beneficiarul persoană impozabilă, care datorează TVA prin taxare inversă; la B2C, regula serviciilor prestate consumatorilor.
• Risc de recalificare: dacă serviciul ar fi „legat de un bun imobil" (art. 278 alin. (4)), locul taxării ar fi cel al imobilului. C-215/19 arată însă că simpla componentă de spațiu nu transformă prestația într-una imobiliară atâta vreme cât clientul nu are drept de uz exclusiv asupra unei părți determinate din imobil — deci facturarea corectă este, în principiu, cu TVA ca serviciu.

Surse: Codul fiscal (Legea 227/2015), art. 278; CJUE C-215/19 (A Oy) — eur-lex CELEX:62019CJ0215 (accesat 2026-08-21)

8. NIS2 pe lanțul de aprovizionare și raportarea energetică

Când clientul este el însuși entitate esențială/importantă sub NIS2 (OUG nr. 155/2024), obligația de gestionare a riscului de securitate a lanțului de aprovizionare „curge" contractual către furnizorul de hosting/colocare:

• Clauze de „flow-down": cerințe minime de securitate garantate, drepturi de audit (on-site/remote/rapoarte de terți), cooperare la notificarea incidentelor în termenele NIS2 către DNSC — alertă timpurie în 24 de ore, notificare în 72 de ore, raport final în ~1 lună — și recunoașterea răspunderii organelor de conducere pentru guvernanța securității.
• Raportare energetică (dimensiune conexă): operatorii de centre de date cu putere IT instalată ≥ 500 kW au, sub Directiva (UE) 2023/1791 privind eficiența energetică (art. 12), obligația de raportare anuală a indicatorilor (PUE, WUE, ERF, REF) într-o bază de date europeană — un cost și o obligație de transparență care pot fi reflectate ca declarații/ garanții în contract.

Surse: OUG nr. 155/2024 (NIS2); Directiva (UE) 2023/1791, art. 12 (accesat 2026-08-21)

Jurisprudență națională

Cum contractul de hosting/colocare nu are o reglementare proprie, litigiile ajung rareori în instanță pe temeiul contractual „pur” (SLA, pierdere de date); miza jurisprudențială majoră este regimul răspunderii furnizorului de găzduire pentru conținutul stocat de client (art. 14 din Legea 365/2002, citit astăzi coroborat cu art. 6 DSA). Liniile de forță conturate de instanțe privesc granița dintre rolul neutru (care menține exonerarea) și rolul activ ori cunoașterea efectivă (care o înlătură).

Decizii relevante

Decizii favorabile (PRO)

Tribunalul București, Secția a II-a contencios administrativ și fiscal (soluție definitivă), 2025 — delimitarea răspunderii furnizorului de piață online față de comerciant Instanța a anulat definitiv procesul-verbal prin care furnizorul unei platforme de tip „marketplace” fusese sancționat pentru fapte imputabile în realitate vânzătorilor care foloseau platforma. Confirmând soluția Judecătoriei Sectorului 6, tribunalul a reținut caracterul personal al răspunderii și distincția dintre răspunderea proprie, limitată, a furnizorului de găzduire și răspunderea comerciantului. · Instanța a reținut că furnizorul care nu are calitatea de vânzător „nu răspunde contravențional pentru fapte proprii ale vânzătorilor”, răspunderea neputând fi angajată „decât în sarcina unei persoane care a săvârșit o faptă”. Relevanță: consfințește pe cale jurisprudențială exonerarea/limitarea răspunderii gazdei neutre, cu aplicabilitate largă sub DSA. Sursa: juridice.ro (accesat 2026-08-21)

Decizii contrare sau limitative (CONTRA)

Tendință a instanțelor naționale de control judiciar — sancționarea pasivității intermediarului Practica recentă penalizează dur pasivitatea furnizorilor de găzduire și a platformelor care refuză eliminarea promptă a conținutului vădit ilegal după o notificare validă, inclusiv prin ordonanță președințială de obligare urgentă la eliminare/blocare, sub sancțiunea penalităților. Din momentul primirii unei notificări tehnic fundamentate, exonerarea condiționată încetează, iar pasivitatea poate atrage răspunderea civilă delictuală directă și solidară a intermediarului pentru extinderea prejudiciului. Sursa: juridice.ro (accesat 2026-08-21)

Nuanțe și cazuri speciale

Colocare „pură” vs. găzduire administrată — În colocarea în care clientul își administrează singur echipamentele, iar furnizorul nu accesează conținutul, gazda rămâne într-un rol pur tehnic, automat și pasiv: nu este, de regulă, persoană împuternicită sub GDPR și beneficiază de exonerarea pentru conținut. Granița se pierde însă imediat ce furnizorul dobândește un rol activ (asistență, optimizare, promovare) sau cunoaștere concretă a conținutului — de aceea repartizarea rolurilor trebuie clarificată expres în contract.

Jurisprudență CJUE

Cauza C-324/09, L'Oréal și alții/eBay (Hot. 12 iulie 2011) — Exonerarea din art. 14 din Directiva 2000/31 (transpusă prin Legea 365/2002) se aplică furnizorului al cărui comportament este neutru — „pur tehnic, automat și pasiv”, fără cunoașterea sau controlul datelor stocate. Furnizorul cu rol activ (asistență la optimizarea ori promovarea ofertelor) sau care avea cunoștință de împrejurări din care un operator diligent ar fi trebuit să remarce nelegalitatea și nu a acționat prompt pierde exonerarea. Curtea a confirmat totodată posibilitatea instanțelor de a dispune, prin ordin judecătoresc, măsuri de încetare și prevenire a încălcărilor. Sursa: curia.europa.eu — C-324/09 (accesat 2026-08-21)

Cauza C-421/24, Google Ireland/AGCOM (Hot. 16 iulie 2026) — Operatorul care analizează tema unui canal, videoclipurile cele mai vizionate/recente și metadatele acestora în vederea încheierii unui parteneriat comercial dobândește „o cunoaștere concretă a conținutului esențial al unui ansamblu de materiale video” și nu poate pretinde că acționează în calitate de furnizor intermediar — deci nu beneficiază de exonerarea de răspundere. Confirmă și extinde standardul rolului activ din C-324/09. Sursa: juridice.ro — CJUE C-421/24 (accesat 2026-08-21)

Tendințe jurisprudențiale

• Exonerare condiționată și funcțională, nu absolută. Atât instanțele naționale, cât și CJUE tratează exonerarea gazdei ca pe un beneficiu care se pierde din momentul rolului activ ori al cunoașterii efective — pragul de „implicare” este relativ scăzut (C-324/09).
• Notificarea ca declanșator de răspundere. Din momentul unei notificări valide, tehnic fundamentate, pasivitatea furnizorului mută regimul de la intermediar neutru la răspundere delictuală directă/solidară.
• Convergență Legea 365/2002 — DSA. După abrogarea art. 15 prin Legea 50/2024, raționamentele din jurisprudența e-commerce (art. 14) se citesc coroborat cu art. 6 DSA; soluțiile privind delimitarea răspunderii furnizor/utilizator au aplicabilitate largă.
• Colocarea neutră este poziția cea mai protejată — cu cât furnizorul accesează mai puțin conținutul clientului, cu atât rămâne mai ferm în zona exonerării.

Notă: Nu au fost identificate în surse deschise hotărâri românești publicate pe tema strict contractuală (SLA nerespectat, pierdere de date pe temeiul art. 1350 și 1355 Cod civil); litigiile pe acest palier se soluționează, de regulă, pe temeiul dreptului comun al răspunderii contractuale, iar remediul uzual este rezoluțiunea cu daune-interese (art. 1516 și urm. Cod civil).

Întrebări frecvente

1. Care este diferența juridică dintre hosting și colocare? În hosting furnizorul pune la dispoziție propria infrastructură și adesea administrează datele clientului (frecvent devenind persoană împuternicită sub GDPR). În colocare, clientul își aduce propriile servere, iar furnizorul închiriază spațiul fizic și furnizează utilitățile (energie, răcire, rețea), fără a accesa, de regulă, datele. Ambele sunt contracte nenumite (art. 1168 Cod civil), dar cu accente diferite: prestare de servicii/prelucrare de date la hosting, locațiune + utilități la colocare.

2. Ce este SLA-ul și cât valorează juridic un „99,9% uptime”? SLA-ul (Service Level Agreement) transformă disponibilitatea într-o obligație contractuală măsurabilă. „99,9%” admite ~8,76 ore de indisponibilitate pe an; „99,99%” ~52 minute. Valoarea juridică depinde de definirea a ceea ce se măsoară (energie/rețea/end-to-end), a metodei de măsurare și a remediilor (service credits). Fără aceste elemente, procentul este greu de executat.

3. Furnizorul răspunde pentru conținutul ilegal urcat de client? În principiu, nu — art. 14 din Legea 365/2002 exonerează gazda dacă nu are cunoștință de caracterul ilicit și acționează rapid la eliminarea/blocarea accesului odată notificată. Exonerarea cade dacă furnizorul are un rol activ asupra conținutului sau ignoră o notificare validă. Din 2024 regimul se coroborează cu Regulamentul (UE) 2022/2065 (DSA).

4. Am nevoie de un contract GDPR separat (DPA) cu furnizorul de hosting? Da, dacă furnizorul stochează sau administrează date personale ale tale — atunci este persoană împuternicită și art. 28 GDPR cere un act de prelucrare (DPA), inclusiv autorizarea subprocesorilor (data center, mentenanță). În colocarea pură, unde furnizorul nu accesează datele, DPA-ul nu este, în principiu, necesar — dar clarifică expres acest lucru și reglementează accesul fizic/„remote hands”.

5. Ce se întâmplă cu echipamentele/datele mele la încetarea contractului? Trebuie prevăzută o clauză de „exit”: în colocare — procedura și termenul de retragere a echipamentelor (care rămân proprietatea ta); în hosting — exportul și ștergerea datelor într-un format utilizabil, cu confirmarea ștergerii. Absența acestei clauze duce frecvent la blocaj („vendor lock-in”) și litigii.

6. Poate furnizorul să-și limiteze complet răspunderea printr-o clauză în contract? Nu integral. Clauzele de limitare a răspunderii sunt valabile în limitele art. 1355 Cod civil: răspunderea pentru prejudiciul cauzat prin dol sau culpă gravă nu poate fi exclusă sau limitată. Un plafon (ex. valoarea abonamentului) și excluderea prejudiciilor indirecte sunt uzuale și valabile pentru culpa ușoară, dar nu acoperă culpa gravă. În raporturile B2C, un plafon sau un service credit „exclusiv" poate fi, în plus, clauză abuzivă lipsită de efecte față de consumator (Legea nr. 193/2000).

7. Datele mele pot fi stocate în afara UE (ex. la un furnizor american)? Da, dar numai cu un temei de transfer valid din Capitolul V GDPR (art. 44–49): clauze contractuale standard (SCC) plus o evaluare a impactului transferului (TIA) și garanții suplimentare (regula Schrems II), ori întemeiere pe adecvare (EU–US Data Privacy Framework, pentru furnizori americani certificați). Contractul trebuie să prevadă localizarea datelor și a copiilor de backup și lista subprocesorilor din afara SEE.

8. Ce se întâmplă cu serverele și datele mele dacă furnizorul intră în insolvență? Echipamentele colocate rămân proprietatea ta și nu intră în averea debitorului (Legea nr. 85/2014) — le poți recupera prin cerere de restituire, deși practicianul în insolvență poate condiționa predarea de plata cheltuielilor de conservare. Datele găzduite pe hardware-ul furnizorului sunt mai expuse. Protejează-te contractual prin drept de acces garantat în insolvență, data escrow și o clauză de migrare/continuitate.

9. Poate furnizorul să-mi blocheze accesul la date pentru o factură neplătită? Doar în limitele dreptului de retenție (art. 2495 și urm. Cod civil), care cere o legătură între creanță și bunul reținut și privește bunurile debitorului. Blocarea datelor personale ale terților sau reținerea lor „ostatică" încalcă obligația GDPR de returnare/ștergere (art. 28) și devine o cale de fapt abuzivă. Cere în contract o interdicție expresă și un termen de grație cu drept de export.

Practică și opinii

Calificarea ca serviciu al societății informaționale

Serviciile de găzduire sunt „servicii ale societății informaționale” în sensul Legii 365/2002, ceea ce atrage aplicarea regimului special de răspundere a intermediarilor (art. 14–16). În doctrina și practica de comerț electronic se subliniază că exonerarea din art. 14 este condiționată și funcțională: se pierde din momentul în care furnizorul are un rol activ asupra conținutului sau nu reacționează prompt la o notificare validă. Cum legea nu definește „a avea cunoștință”, o notificare din partea persoanei vătămate poate declanșa obligația de reacție (mecanism de tip „notice and takedown”).

⚠️ Context de piață (informativ, surse neoficiale) — Furnizorii români de colocare (ex. servere-dedicate.com, cloud-vault.ro, chml.ro, ix.ro, orange.ro/wholesale) garantează contractual niveluri de disponibilitate de la 99,7% până la 99,99% și operează, de regulă, centre de date cu certificare TIA-942 Tier III. Aceste cifre sunt utile ca reper de negociere, dar valoarea lor juridică depinde de modul în care SLA-ul definește măsurarea și remediile. Verificați întotdeauna termenii contractuali concreți ai furnizorului.

Tendințe de reglementare 2024–2025

• DSA (Regulamentul UE 2022/2065) și Legea 50/2024 au reașezat regimul răspunderii serviciilor de găzduire, abrogând art. 15 din Legea 365/2002 și aliniind exonerarea la logica europeană (art. 6 DSA). Coordonatorul serviciilor digitale în România este ANCOM.
• NIS2 (OUG 155/2024, aprobată prin Legea 124/2025) aduce centrele de date și furnizorii de servicii digitale sub obligații de securitate cibernetică și de notificare a incidentelor către DNSC, cu răspunderea directă a conducerii entității.

Concluzia practică: un contract de hosting/colocare modern nu se mai reduce la SLA + preț — trebuie să integreze protecția datelor (GDPR), securitatea cibernetică (NIS2) și regimul răspunderii pentru conținut (Legea 365/2002 + DSA), fiecare cu propriile obligații de conformare.

Pentru analiza detaliată a jurisprudenței naționale și a hotărârilor CJUE relevante (răspunderea intermediarilor și exonerarea gazdei), a se vedea secțiunea „Jurisprudență națională” din acest articol.

Referințe

1. Codul civil (Legea nr. 287/2009), formă consolidată — art. 1168, 1178, 1270, 1350, 1355, 1516 și urm., 1777 și urm., 1851 și urm. (accesat 2026-08-21)
2. Legea nr. 365/2002 privind comerțul electronic (republicată, MO 959/29.11.2006) — art. 14, 16 (accesat 2026-08-21)
3. Legea nr. 50/2024 pentru aplicarea Regulamentului (UE) 2022/2065 (DSA) și modificarea Legii 365/2002 (MO 232/19.03.2024) (accesat 2026-08-21)
4. Regulamentul (UE) 2016/679 (GDPR) — art. 28, 32 (accesat 2026-08-21)
5. Regulamentul (UE) 2022/2065 privind piața unică pentru serviciile digitale (DSA) — art. 6 (accesat 2026-08-21)
6. OUG nr. 141/2021 privind contractele de furnizare de conținut digital și de servicii digitale (accesat 2026-08-21)
7. Decizia ANCOM nr. 423/2023 privind obligațiile furnizorilor de servicii de găzduire electronică cu resurse IP (temei: art. 10^2 din OUG 111/2011) — law-db (accesat 2026-08-21)
8. OUG nr. 155/2024 (transpunerea Directivei (UE) 2022/2555 – NIS2), aprobată prin Legea nr. 124/2025 (accesat 2026-08-21)
9. Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR în România (accesat 2026-08-21)
10. Legea nr. 85/2014 privind procedurile de prevenire a insolvenței și de insolvență (accesat 2026-08-21)
11. Legea nr. 193/2000 privind clauzele abuzive din contractele încheiate cu consumatorii (accesat 2026-08-21)
12. Codul de procedură penală (Legea nr. 135/2010), art. 154, 168, 170 (accesat 2026-08-21)
13. Codul fiscal (Legea nr. 227/2015), art. 278 (accesat 2026-08-21)
14. Regulamentul (UE) 2016/679 (GDPR), Capitolul V – art. 44–49 (transferuri internaționale) (accesat 2026-08-21)
15. Decizia de punere în aplicare (UE) 2021/914 privind clauzele contractuale standard (SCC) (accesat 2026-08-21)
16. CJUE, cauza C-311/18 (Schrems II), hot. 16 iulie 2020 — curia.europa.eu (accesat 2026-08-21)
17. CJUE, cauza C-215/19 (A Oy), hot. 2 iulie 2020 — eur-lex CELEX:62019CJ0215 (accesat 2026-08-21)
18. Regulamentul (UE) 2023/1543 privind probele electronice (e-Evidence), aplicabil din 18 august 2026 (accesat 2026-08-21)
19. Directiva (UE) 2023/1791 privind eficiența energetică, art. 12 (raportare centre de date) (accesat 2026-08-21)