Desemnarea unui responsabil cu protecția datelor (DPO) este obligatorie în trei situații prevăzute de art. 37 din GDPR: autoritățile și organismele publice, organizațiile a căror activitate principală constă în monitorizarea pe scară largă a persoanelor și cele care prelucrează pe scară largă categorii speciale de date sau date penale. În rest, numirea este facultativă. În România, DPO se declară la ANSPDCP, iar datele sale de contact devin publice.
Pe scurt
Responsabilul cu protecția datelor (DPO — Data Protection Officer) este persoana care supraveghează, în mod independent, conformitatea unei organizații cu regulile de protecție a datelor. Desemnarea lui este obligatorie în trei situații prevăzute de art. 37 din GDPR: autoritățile și organismele publice, organizațiile a căror activitate principală presupune monitorizarea pe scară largă a persoanelor și cele care prelucrează pe scară largă categorii speciale de date sau date penale. În România, DPO trebuie declarat la ANSPDCP, iar datele lui de contact trebuie făcute publice.
Cadrul legal
Instituția responsabilului cu protecția datelor este reglementată integral de Regulamentul (UE) 2016/679 (GDPR), care se aplică direct în România. Trei articole formează nucleul acestei materii:
- Art. 37 GDPR — când este obligatorie desemnarea unui DPO și cum se face;
- Art. 38 GDPR — poziția și independența DPO în cadrul organizației;
- Art. 39 GDPR — sarcinile (atribuțiile) DPO.
Art. 37 alin. (1) GDPR — „Operatorul și persoana împuternicită de operator desemnează un responsabil cu protecția datelor ori de câte ori: (a) prelucrarea este efectuată de o autoritate sau un organism public […]; (b) activitățile principale ale operatorului sau ale persoanei împuternicite de operator constau în operațiuni de prelucrare care […] necesită o monitorizare periodică și sistematică a persoanelor vizate pe scară largă; sau (c) activitățile principale […] constau în prelucrarea pe scară largă a unor categorii speciale de date […] sau a unor date cu caracter personal privind condamnări penale și infracțiuni." Sursa: Regulamentul (UE) 2016/679, art. 37 (accesat 2026-08-08)
Considerentul 97 al GDPR precizează că DPO trebuie să dețină cunoștințe de specialitate în legislația și practicile de protecție a datelor și să își poată exercita atribuțiile în mod independent.
La nivel național, Legea nr. 190/2018 pune în aplicare GDPR și desemnează Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) ca autoritate de supraveghere. Legea nu adaugă situații noi de desemnare obligatorie față de art. 37 GDPR — obligația de a numi un DPO rezultă direct din regulamentul european.
Sursa: Legea nr. 190/2018 (accesat 2026-08-08)
Interpretarea noțiunilor-cheie din art. 37 („activități principale", „monitorizare periodică și sistematică", „scară largă") este detaliată în Orientările WP243 rev.01 ale Grupului de Lucru „Articolul 29", aprobate de Comitetul European pentru Protecția Datelor (EDPB).
Explicație detaliată
Când este obligatorie desemnarea unui DPO
Art. 37 alin. (1) GDPR prevede trei cazuri distincte. Este suficient ca unul singur să fie îndeplinit pentru ca desemnarea să devină obligatorie.
1. Autorități și organisme publice. Orice autoritate sau organism public trebuie să aibă un DPO, indiferent de tipul sau volumul datelor prelucrate. Singura excepție vizează instanțele care acționează în exercițiul funcției lor jurisdicționale. Intră aici ministere, primării, școli și universități publice, spitale publice, ANAF etc. Mai multe autorități pot desemna, în comun, un singur DPO, ținând cont de structura și dimensiunea lor (art. 37 alin. 3).
2. Monitorizare periodică și sistematică pe scară largă. Se aplică operatorilor sau persoanelor împuternicite ale căror activități principale constau în monitorizarea regulată și sistematică a persoanelor, la scară largă.
3. Prelucrarea pe scară largă a datelor sensibile sau penale. Se aplică atunci când activitatea principală constă în prelucrarea, la scară largă, a categoriilor speciale de date (art. 9 GDPR — date de sănătate, biometrice, privind convingeri, orientare sexuală etc.) sau a datelor privind condamnări penale și infracțiuni (art. 10 GDPR).
Ce înseamnă „activități principale"
Potrivit Orientărilor WP243, activitățile principale sunt operațiunile-cheie necesare atingerii obiectivelor organizației. Funcțiile de suport — precum plata salariilor sau mentenanța IT standard — rămân activități auxiliare, chiar dacă sunt indispensabile, și nu declanșează, prin ele însele, obligația de a numi un DPO. De exemplu, pentru un spital, prelucrarea datelor de sănătate este o activitate principală; pentru o firmă de pază, supravegherea persoanelor este o activitate principală.
Ce înseamnă „monitorizare periodică și sistematică"
Noțiunea acoperă orice formă de urmărire sau creare de profiluri, online sau offline. Exemple din orientările EDPB: operarea rețelelor de telecomunicații, retargeting prin e-mail, marketing bazat pe date, scoring de credit sau de asigurare, prevenirea fraudei, urmărirea locației prin aplicații mobile, programele de fidelitate, publicitatea comportamentală, dispozitivele purtabile (wearables), supravegherea video (CCTV) și dispozitivele conectate (IoT).
Ce înseamnă „scară largă"
GDPR nu fixează un prag numeric. EDPB recomandă evaluarea în funcție de: numărul persoanelor vizate, volumul și varietatea datelor, durata prelucrării și întinderea geografică. Prelucrările efectuate de un singur medic sau avocat, în mod individual, nu constituie, de regulă, prelucrare „pe scară largă".
PFA, întreprindere individuală și microîntreprinderi
Considerentul (91) GDPR precizează expres că prelucrarea de către un medic, un profesionist în domeniul sănătății sau un avocat care acționează individual nu ar trebui considerată „pe scară largă". Prin urmare, o PFA, o întreprindere individuală (II) sau o microîntreprindere care prelucrează date, chiar și date de sănătate, de regulă nu este obligată să numească un DPO doar pentru că prelucrează categorii speciale.
Situația se schimbă când structura încetează să fie cu adevărat „individuală". Dacă mai multe PFA-uri sau cabinete funcționează în fapt ca o rețea cu o bază de date ori o platformă comună de gestiune a pacienților/clienților, iar deciziile de prelucrare sunt luate împreună (posibil calitate de operatori asociați, art. 26 GDPR), agregarea poate atinge pragul „scării largi". Încadrarea nu ține de forma juridică, ci de realitatea prelucrării, apreciată după factorii de mai sus. O clinică mică cu volum limitat de pacienți rămâne, în principiu, în afara obligației; o rețea de cabinete cu mii de pacienți și un sistem informatic partajat trebuie să facă (și să documenteze) analiza.
DPO și reprezentantul din Uniune (art. 27) — două funcții distincte
DPO nu se confundă cu reprezentantul din Uniune de la art. 27 GDPR. Reprezentantul se numește de un operator sau o persoană împuternicită nestabilit(ă) în UE care, potrivit art. 3 alin. (2), oferă bunuri/servicii persoanelor din UE sau le monitorizează comportamentul — de exemplu, un magazin online din afara UE care vinde către consumatori din România. Reprezentantul este un punct de contact stabilit în UE pentru persoanele vizate și pentru autoritățile de supraveghere; nu are atribuțiile de monitorizare și consiliere ale DPO.
Cele două obligații sunt independente și pot coexista: un operator non-UE poate fi ținut să numească un reprezentant (art. 27) fără a fi obligat la DPO, dacă nu îndeplinește criteriile art. 37 alin. (1); invers, un operator din UE poate fi obligat la DPO fără să aibă nevoie de reprezentant. Art. 27 alin. (2) prevede excepții de la obligația reprezentantului (prelucrare ocazională, cu risc redus, fără categorii speciale pe scară largă sau date penale; ori autorități/organisme publice). Interpretarea domeniului teritorial este detaliată în Orientările EDPB 3/2018.
Cine poate fi DPO
DPO se desemnează pe baza calităților profesionale, în special a cunoștințelor de specialitate (art. 37 alin. 5). Poate fi:
- un angajat al organizației (DPO intern), sau
- un prestator extern, pe bază de contract de servicii (art. 37 alin. 6).
Un grup de întreprinderi poate numi un singur DPO, cu condiția ca acesta să fie ușor accesibil din fiecare unitate (art. 37 alin. 2).
Nu este necesar un certificat. GDPR cere expertiză, nu o diplomă anume. Ocupația „responsabil cu protecția datelor cu caracter personal" există în COR (cod 242231) și există cursuri autorizate ANC, dar niciun act normativ nu impune o certificare pentru a fi DPO. Nivelul de expertiză se apreciază proporțional cu complexitatea prelucrării (considerentul 97). A impune certificatul ca unică condiție riscă să excludă expertiza reală echivalentă și nu garantează, prin el însuși, conformitatea.
Poziția și independența DPO
Art. 38 GDPR garantează independența funcției. Organizația trebuie:
- să implice DPO, corespunzător și în timp util, în toate chestiunile de protecție a datelor;
- să îi asigure resursele necesare și accesul la date și operațiuni;
- să nu îi dea instrucțiuni privind modul de exercitare a atribuțiilor și să nu îl demită sau sancționeze pentru îndeplinirea lor;
- să asigure raportarea direct către cel mai înalt nivel de conducere.
DPO poate îndeplini și alte sarcini, dar organizația trebuie să se asigure că acestea nu generează un conflict de interese (art. 38 alin. 6). Persoanele vizate îl pot contacta pe DPO cu privire la exercitarea drepturilor lor, iar DPO este ținut de secret sau confidențialitate.
Sarcinile DPO (art. 39)
DPO are cel puțin următoarele atribuții:
- informează și consiliază operatorul, persoana împuternicită și angajații cu privire la obligațiile lor;
- monitorizează respectarea GDPR și a politicilor interne (inclusiv responsabilizarea, conștientizarea și instruirea personalului, precum și auditurile aferente);
- oferă consiliere la cerere privind evaluarea impactului asupra protecției datelor (DPIA, art. 35) și îi monitorizează desfășurarea;
- cooperează cu ANSPDCP;
- acționează ca punct de contact pentru autoritate, inclusiv pentru consultarea prealabilă (art. 36).
Aspecte practice
Pași de conformare în România
- Analizează dacă ești obligat. Verifică cele trei cazuri din art. 37 alin. (1) GDPR. Dacă ești autoritate/organism public, obligația există automat. Dacă ești firmă privată, evaluează dacă monitorizarea sau prelucrarea de date sensibile reprezintă o activitate principală, la scară largă.
- Documentează analiza. Chiar dacă ajungi la concluzia că nu ești obligat, păstrează în scris raționamentul. Principiul responsabilizării (art. 5 alin. 2 GDPR) îți cere să poți demonstra decizia în fața ANSPDCP.
- Desemnează DPO pe baza cunoștințelor de specialitate — intern sau extern.
- Declară DPO la ANSPDCP prin „Formularul de declarare a responsabilului cu protecția datelor" disponibil pe dataprotection.ro.
- Publică datele de contact ale DPO (de ex. pe site și în politica de confidențialitate) — o adresă, un telefon și/sau un e-mail dedicat (art. 37 alin. 7).
Declararea la ANSPDCP: temei, termen, actualizare
Temeiul obligației este art. 37 alin. (7) GDPR, care cere operatorului/persoanei împuternicite să publice datele de contact ale DPO și să le comunice autorității de supraveghere (în România, ANSPDCP). Comunicarea se face prin formularul online de pe dataprotection.ro.
De reținut:
- Termen. GDPR nu fixează un termen expres, dar comunicarea trebuie făcută fără întârziere după desemnare, ca parte a obligației de accesibilitate; recomandarea practică este notificarea imediat ce DPO a fost numit.
- Actualizare. La schimbarea, demiterea sau înlocuirea DPO ori la modificarea datelor de contact, notificarea trebuie reînnoită/actualizată, iar datele publicate pe canalele proprii trebuie corectate.
- Sancțiune. Nu există o amendă autonomă, distinctă, pentru simpla omitere a notificării; neîndeplinirea obligației de publicare/comunicare se încadrează însă în încălcarea art. 37 GDPR și poate fi reținută de ANSPDCP în cadrul unui control mai amplu (cu regimul sancționator de la Întrebări frecvente: art. 83 GDPR pentru privați, respectiv art. 13 și art. 14 alin. 4 din Legea nr. 190/2018 — plan de remediere, apoi amendă de 10.000–100.000 lei — pentru autoritățile publice).
Protecția DPO-angajat la concediere (art. 38 alin. 3 GDPR și Codul muncii)
Art. 38 alin. (3) GDPR interzice demiterea sau sancționarea DPO pentru îndeplinirea atribuțiilor sale. CJUE a confirmat în cauza C-534/20 (Leistritz) că statele membre pot oferi o protecție chiar mai strictă, atât timp cât nu împiedică înlocuirea unui DPO care nu mai are calitățile cerute (vezi Legislație europeană).
Aceasta nu transformă DPO într-un salariat inamovibil. Un DPO intern poate fi concediat pentru motive străine exercitării funcției:
- desființarea reală a postului (art. 65 Codul muncii — cauza trebuie să fie reală și serioasă);
- necorespundere profesională (art. 61 lit. d), cu evaluarea prealabilă cerută de art. 63 alin. (2).
Garanțiile procedurale ale Codului muncii se aplică integral, iar concedierea dispusă cu nerespectarea procedurii este lovită de nulitate (art. 78). În schimb, o concediere motivată în fapt de poziția independentă a DPO — de refuzul de a valida o prelucrare nelegală sau de rapoartele sale critice — reprezintă o concediere nelegală, contrară art. 38 alin. (3) GDPR, chiar dacă este „îmbrăcată" formal în temeiul art. 65 sau 61 lit. d).
Greșeli frecvente
- Numirea unui DPO cu conflict de interese. Nu pot cumula funcția de DPO persoanele care stabilesc scopurile și mijloacele prelucrării — de regulă directorul general, directorul IT, șeful de HR, directorul de marketing sau juridic. CJUE a confirmat această regulă în cauza C-453/21 (X-FAB Dresden, 2023), subliniind că aprecierea se face de la caz la caz.
- Confundarea DPO cu un simplu „responsabil GDPR" administrativ. DPO trebuie să fie independent, să raporteze conducerii superioare și să nu primească instrucțiuni privind atribuțiile sale.
- Desemnarea „de formă", fără resurse. Fără timp, buget și acces la operațiuni, funcția devine pur decorativă și expune organizația la sancțiuni.
- Omiterea publicării/declarării datelor de contact — o obligație distinctă, verificată de ANSPDCP.
- Numirea unui DPO doar pentru că „așa fac ceilalți". Dacă nu ești obligat, poți desemna un DPO facultativ, dar atunci i se aplică integral regimul art. 37–39 (independență, sarcini, protecție).
DPO intern sau extern?
DPO extern (serviciu externalizat) este adesea potrivit pentru IMM-uri, pentru că asigură expertiză fără costul unui post permanent și reduce riscul de conflict de interese. DPO intern oferă cunoașterea aprofundată a organizației, dar trebuie protejat împotriva presiunilor ierarhice.
Legislație europeană
Obligația de a desemna un responsabil cu protecția datelor (DPO) nu decurge dintr-un singur act european. Pe lângă GDPR — cadrul general, deja detaliat în Cadrul legal — instituția DPO este reglementată de un „pachet" de norme UE care acoperă și domenii excluse din sfera GDPR.
Directive și regulamente aplicabile
Regulamentul (UE) 2016/679 (GDPR), art. 37–39 — actul de bază: stabilește când desemnarea DPO este obligatorie, poziția independentă și atribuțiile acestuia. Direct aplicabil în România. Sursa: Regulamentul (UE) 2016/679, versiune consolidată (accesat 2026-08-08)
Directiva (UE) 2016/680 („Directiva poliție"), art. 32 — impune desemnarea unui DPO de către autoritățile competente (poliție, parchete, autorități penale) pentru prelucrările efectuate în scopuri penale și de ordine publică. Aceste prelucrări sunt excluse din domeniul GDPR, deci obligația de a numi un DPO există aici pe un temei distinct. Sursa: Directiva (UE) 2016/680 (accesat 2026-08-08)
Regulamentul (UE) 2018/1725, art. 43 — obligă fiecare instituție, organ, oficiu și agenție a Uniunii să desemneze un DPO. Deși nu vizează operatorii privați români, completează tabloul: la nivel UE desemnarea DPO este întotdeauna obligatorie pentru entitățile publice europene. Sursa: Regulamentul (UE) 2018/1725 (accesat 2026-08-08)
Transpunerea în dreptul român
Pentru sfera GDPR, aplicarea se face direct, iar Legea nr. 190/2018 nu adaugă situații noi de desemnare obligatorie față de art. 37 GDPR (vezi Cadrul legal).
Pentru sfera penală / de aplicare a legii, Directiva (UE) 2016/680 a fost transpusă în dreptul român prin Legea nr. 363/2018 (Monitorul Oficial nr. 13 din 7 ianuarie 2019). Aceasta reglementează prelucrarea datelor de către autoritățile competente în scop penal și de ordine publică — un operator din această categorie își întemeiază obligația de a numi un DPO pe Legea 363/2018, nu pe GDPR sau pe Legea 190/2018. Legea nu se aplică apărării și securității naționale.
Sursa: Legea nr. 363/2018 (accesat 2026-08-08)
Nu există o „supra-reglementare" (gold-plating) a instituției DPO în dreptul român: legislația națională se limitează la a completa cadrul european, fără a extinde cazurile de desemnare obligatorie dincolo de textul UE.
Jurisprudență CJUE
Independența și statutul DPO au fost precizate de Curtea de Justiție a UE în două hotărâri complementare. Cauza C-453/21 (X-FAB Dresden) — privind conflictul de interese — este tratată la Practică și opinii. O completează:
Cauza C-534/20, Leistritz AG / LH (hotărârea din 22 iunie 2022, ECLI:EU:C:2022:495) — Curtea a statuat că art. 38 alin. (3) GDPR nu se opune unei reglementări naționale care permite concedierea unui DPO-angajat doar pentru un „motiv întemeiat", chiar dacă motivul nu ține de sarcinile sale de DPO, cu condiția ca o astfel de protecție să nu compromită obiectivele GDPR. Statele membre pot deci oferi DPO o protecție la concediere mai strictă decât minimul european, atât timp cât nu împiedică înlocuirea unui DPO care nu mai are calitățile cerute. Sursa: CJUE, C-534/20 (EUR-Lex) (accesat 2026-08-08)
Aspecte practice din perspectivă europeană
- Un singur DPO pentru un grup de întreprinderi. Art. 37 alin. (2) GDPR permite unui grup de întreprinderi să desemneze un DPO unic, cu condiția ca acesta să fie ușor accesibil din fiecare unitate. Util pentru grupurile multinaționale cu prezență în România.
- Accesibilitate și publicare (art. 37 alin. (7) GDPR). Operatorul trebuie să publice datele de contact ale DPO și să le comunice autorității de supraveghere (în România, ANSPDCP). DPO acționează ca punct de contact pentru persoanele vizate și pentru autoritate, inclusiv în situații transfrontaliere.
- Valabilitate la nivelul UE. Fiind un standard din GDPR, aceleași reguli privind desemnarea și statutul DPO se aplică identic în toate statele membre — un DPO desemnat în România îndeplinește aceleași cerințe ca oriunde în UE, ceea ce facilitează conformarea grupurilor active pe piața internă.
- Mecanismul „ghișeului unic". În prelucrările transfrontaliere, DPO cooperează cu autoritatea de supraveghere principală (lead supervisory authority) determinată potrivit art. 56 GDPR, nu neapărat cu ANSPDCP.
Întrebări frecvente
Orice firmă trebuie să aibă un DPO? Nu. Obligația apare doar în cele trei cazuri de la art. 37 alin. (1) GDPR: autoritate/organism public, monitorizare periodică și sistematică pe scară largă ca activitate principală, sau prelucrare pe scară largă de date sensibile ori penale. Multe IMM-uri nu sunt obligate, dar pot desemna un DPO facultativ.
Un magazin online obișnuit are nevoie de DPO? De regulă, nu. Vânzarea de produse și prelucrarea uzuală a datelor clienților nu constituie, prin ele însele, monitorizare „pe scară largă" ca activitate principală. Situația se poate schimba dacă activitatea principală implică profilare extinsă sau publicitate comportamentală la scară mare.
DPO trebuie să fie angajat? Nu. Poate fi angajat (DPO intern) sau prestator extern, pe bază de contract de servicii (art. 37 alin. 6). Un grup de firme poate avea un singur DPO comun.
Cine NU poate fi DPO? Persoanele care decid scopurile și mijloacele prelucrării — tipic directorul general, directorul IT, șeful HR sau de marketing — pentru că ar exista conflict de interese (art. 38 alin. 6, confirmat de CJUE în C-453/21).
Trebuie să anunț ANSPDCP că am numit un DPO? Da. După desemnare, DPO se declară la ANSPDCP prin formularul oficial, iar datele lui de contact trebuie făcute publice (art. 37 alin. 7).
Ce riscuri există dacă nu numesc un DPO deși sunt obligat? Depinde cine este operatorul. Pentru un operator sau o persoană împuternicită din mediul privat, nedesemnarea DPO atunci când este obligatorie încalcă art. 37 GDPR și poate atrage amenzi administrative de până la 10.000.000 EUR sau 2% din cifra de afaceri anuală mondială (art. 83 alin. 4 GDPR). Pentru o autoritate sau un organism public, în România se aplică regimul sancționator diferențiat al Legii nr. 190/2018: ANSPDCP aplică mai întâi avertisment + un plan de remediere (termen de cel mult 90 de zile — art. 13), iar amenda contravențională intervine doar dacă, la recontrol, măsurile nu au fost aduse la îndeplinire. Pentru nedesemnarea DPO (încălcarea art. 37 GDPR, cuprins în intervalul art. 25–39 la care trimite art. 14 alin. 2 lit. a), plafonul aplicabil este de 10.000 lei până la 100.000 lei (art. 14 alin. 4 din Legea nr. 190/2018). Palierul superior, de până la 200.000 lei (art. 14 alin. 6–8), NU se aplică obligației privind DPO, ci altor categorii de încălcări — principiile de bază (art. 5–7, 9), drepturile persoanelor vizate (art. 12–22), regulile de transfer (art. 44–49) și nerespectarea deciziilor ANSPDCP. Vezi și secțiunea Aspecte practice.
Este DPO răspunzător personal pentru neconformitățile GDPR ale organizației? Nu. Responsabilitatea conformării revine operatorului, respectiv persoanei împuternicite (art. 24 GDPR), nu DPO — Orientările WP243 rev.01 sunt explicite pe acest punct. DPO informează, consiliază și monitorizează, dar nu decide și nu răspunde pentru deciziile organizației. DPO poate răspunde personal doar pentru fapte proprii: încălcarea obligației de confidențialitate (art. 38 alin. 5), neîndeplinirea culpabilă a propriilor obligații contractuale (tipic la DPO extern) sau alte fapte ilicite proprii.
Am nevoie de un certificat (ANC / cod COR) ca să fiu DPO? Nu. GDPR (art. 37 alin. 5) cere cunoștințe de specialitate și expertiză proporțională cu complexitatea prelucrării, nu un certificat anume. Ocupația „responsabil cu protecția datelor cu caracter personal" există în COR (cod 242231), iar cursurile pot fi autorizate ANC, dar niciun act normativ nu impune o diplomă pentru a fi DPO. A trata certificatul drept condiție unică exclude expertiza reală echivalentă și nu asigură, prin el însuși, conformitatea.
Care este diferența dintre DPO și „reprezentantul din Uniune"? Sunt două funcții distincte. Reprezentantul din Uniune (art. 27 GDPR) trebuie numit de un operator/persoană împuternicită stabilit(ă) în afara UE care vizează sau monitorizează persoane din UE (de ex. un magazin online din afara UE care vinde către consumatori din România). DPO (art. 37–39) se desemnează după cele trei criterii de la art. 37 alin. (1), indiferent de locul stabilirii. Un comerciant non-UE poate fi obligat la reprezentant fără să fie obligat la DPO — și invers. Vezi Explicație detaliată.
Practică și opinii
Interpretarea EDPB a noțiunilor din art. 37
⚠️ Orientare oficială — Grupul de Lucru „Articolul 29" (WP243 rev.01), aprobat de EDPB Când există dubii dacă desemnarea unui DPO este obligatorie, EDPB recomandă organizațiilor să realizeze și să documenteze o analiză internă care să justifice concluzia. Chiar și atunci când desemnarea nu este cerută de lege, EDPB încurajează numirea voluntară a unui DPO ca bună practică de conformare. Sursa: Orientări WP243 rev.01 privind DPO (accesat 2026-08-08)
Conflictul de interese, clarificat de CJUE
⚠️ Jurisprudență CJUE — cauza C-453/21 (X-FAB Dresden), hotărârea din 9 februarie 2023 Curtea a statuat că art. 38 alin. (6) GDPR interzice atribuirea către DPO a unor sarcini care l-ar pune să determine scopurile și mijloacele prelucrării datelor. Existența unui conflict de interese se apreciază de la caz la caz, în funcție de toate circumstanțele relevante, în special de structura organizatorică a operatorului. În aceeași hotărâre, Curtea a admis că dreptul național poate impune un „motiv întemeiat" pentru demiterea DPO-angajat, cât timp nu se subminează obiectivele GDPR. Sursa: CJUE, C-453/21 (accesat 2026-08-08)
Constatările acțiunii coordonate a EDPB (CEF 2023) privind DPO
⚠️ Supraveghere coordonată — EDPB, Coordinated Enforcement Framework (CEF) 2023, raport 2024 În 2023, autoritățile de supraveghere din SEE — inclusiv ANSPDCP — au desfășurat o acțiune coordonată privind desemnarea și poziția DPO, pe baza chestionarelor adresate operatorilor și responsabililor. Raportul a evidențiat probleme sistemice: resurse insuficiente alocate DPO, conflicte de interese, lipsa raportării către cel mai înalt nivel de conducere, DPO neconsultat în timp util, atribuții subdimensionate și, în unele cazuri, DPO nedesemnat deși obligatoriu. Recomandările practice: alocarea de resurse adecvate (timp, buget, personal), garantarea independenței și a accesului la conducerea superioară, definirea în scris a atribuțiilor, evitarea cumulului de funcții incompatibile și consultarea DPO înainte de deciziile cu impact asupra datelor (în special la DPIA). Ele confirmă că desemnarea „de formă" este ea însăși un risc de conformare. Sursa: EDPB — CEF 2023 privind desemnarea și poziția DPO (accesat 2026-08-08)
Referințe
- Regulamentul (UE) 2016/679 (GDPR), art. 27, 37, 38, 39 și considerentele 80, 91, 97 — text consolidat: https://eur-lex.europa.eu/legal-content/RO/TXT/?uri=CELEX:02016R0679-20160504
- Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 (M. Of. nr. 651/2018), art. 13–14 (regim sancționator pentru autorități/organisme publice) — https://legislatie.just.ro/Public/DetaliiDocument/203151
- Orientări WP243 rev.01 privind responsabilii cu protecția datelor (Grupul de Lucru „Articolul 29", aprobate de EDPB) — https://ec.europa.eu/newsroom/article29/items/612048
- EDPB — Ghid pentru IMM-uri, „Data Protection Officer" — https://www.edpb.europa.eu/sme-data-protection-guide/data-protection-officer_en
- CJUE, cauza C-453/21 (X-FAB Dresden GmbH & Co. KG), hotărârea din 9 februarie 2023 — https://curia.europa.eu/juris/liste.jsf?num=C-453/21
- ANSPDCP — declararea responsabilului cu protecția datelor și proceduri: https://www.dataprotection.ro/?page=notificare
- EDPB — Orientări 3/2018 privind domeniul teritorial de aplicare (art. 3) — reprezentantul din Uniune (art. 27): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32018-territorial-scope-gdpr-article-3_en
- EDPB — Coordinated Enforcement Framework (CEF) 2023, raport privind desemnarea și poziția DPO: https://www.edpb.europa.eu/our-work-tools/our-documents/other/coordinated-enforcement-framework-report-designation-and-position_en
- Codul muncii (Legea nr. 53/2003, republicată), art. 61 lit. d), 63 alin. (2), 65, 78 — https://legislatie.just.ro/Public/DetaliiDocument/41625