Evaluarea de Impact asupra Protecției Datelor (DPIA) — Când și Cum

Evaluarea de impact asupra protecției datelor (DPIA) este procesul prin care operatorul analizează, înainte de a începe o prelucrare, riscurile pe care aceasta le creează pentru drepturile persoanelor și stabilește măsuri de reducere. Este obligatorie conform art. 35 GDPR ori de câte ori prelucrarea poate genera un risc ridicat. În România, categoriile care impun DPIA sunt stabilite prin Decizia ANSPDCP nr. 174/2018.

Pe scurt

Evaluarea de impact asupra protecției datelor (DPIA — Data Protection Impact Assessment) este un proces obligatoriu, prevăzut de articolul 35 din GDPR, prin care operatorul analizează înainte de a începe prelucrarea riscurile pe care aceasta le poate genera pentru drepturile și libertățile persoanelor și stabilește măsuri de reducere a lor. Este obligatorie ori de câte ori o prelucrare este susceptibilă să genereze un risc ridicat — în special prin profilare pe scară largă, monitorizare video a spațiilor publice, date sensibile sau tehnologii noi. În România, categoriile concrete care impun DPIA sunt stabilite prin Decizia ANSPDCP nr. 174/2018, iar neefectuarea ei se sancționează cu amenzi de până la 10 milioane EUR sau 2% din cifra de afaceri mondială.

Cadrul legal

DPIA are un temei direct în Regulamentul (UE) 2016/679 (GDPR), aplicabil direct în România, completat de legislația și deciziile naționale.

Articolul 35 GDPR — obligația de bază

Art. 35 alin. (1) — „Având în vedere natura, domeniul de aplicare, contextul și scopurile prelucrării, în cazul în care un tip de prelucrare, în special cel bazat pe utilizarea noilor tehnologii, este susceptibil să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, operatorul efectuează, înaintea prelucrării, o evaluare a impactului operațiunilor de prelucrare prevăzute asupra protecției datelor cu caracter personal.”

Alineatul (3) enumeră situațiile în care DPIA este în special necesară:

• a) evaluarea sistematică și cuprinzătoare a aspectelor personale prin prelucrare automată, inclusiv crearea de profiluri, pe baza căreia se iau decizii cu efecte juridice sau care afectează semnificativ persoana;
• b) prelucrarea pe scară largă a categoriilor speciale de date (art. 9) ori a datelor privind condamnări penale și infracțiuni (art. 10);
• c) monitorizarea sistematică pe scară largă a unei zone accesibile publicului.

Alineatul (7) stabilește conținutul minim al evaluării, iar alineatul (4) obligă autoritatea de supraveghere să publice lista tipurilor de prelucrări care impun DPIA.

Sursa: Regulamentul (UE) 2016/679, art. 35 — text consolidat (accesat 2026-08-08)

Articolul 36 GDPR — consultarea prealabilă

Dacă DPIA arată că, în lipsa unor măsuri de atenuare, prelucrarea ar genera un risc ridicat rezidual, operatorul trebuie să consulte autoritatea de supraveghere înainte de a începe prelucrarea (art. 36). Autoritatea răspunde, când e cazul, în cel mult 8 săptămâni (prelungibil cu 6 săptămâni).

Decizia ANSPDCP nr. 174/2018 — lista națională

În aplicarea art. 35 alin. (4), Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a adoptat Decizia nr. 174/2018 privind lista operațiunilor pentru care este obligatorie realizarea evaluării impactului asupra protecției datelor, publicată în Monitorul Oficial nr. 919 din 31 octombrie 2018. Aceasta detaliază șapte categorii concrete (vezi secțiunea „Explicație detaliată”).

Legea nr. 190/2018

Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR (Monitorul Oficial nr. 651 din 26 iulie 2018) reglementează la nivel național prelucrări sensibile — codul numeric personal, monitorizarea angajaților la locul de muncă — care intră frecvent sub incidența categoriilor ce impun DPIA.

Surse: Decizia ANSPDCP nr. 174/2018 (MO 919/2018); Legea nr. 190/2018 (MO 651/2018). Accesat 2026-08-08.

Regim special: prelucrări în scopuri penale (Directiva LED)

Atenție la temeiul juridic: GDPR nu se aplică prelucrărilor efectuate de autoritățile competente în scopul prevenirii, cercetării, urmăririi penale ori al executării pedepselor (poliție, parchete, instanțe penale, sistem penitenciar). Pentru acestea se aplică Directiva (UE) 2016/680 (LED — Law Enforcement Directive), transpusă în România prin Legea nr. 363/2018. Evaluarea de impact în acest regim nu are temeiul în art. 35 GDPR, ci în art. 27 din Directiva (UE) 2016/680 (evaluarea impactului asupra protecției datelor), completat de art. 28 (consultarea prealabilă a autorității), transpuse de Legea nr. 363/2018.

Diferențele față de DPIA din GDPR: obligația se declanșează când un tip de prelucrare — în special cu tehnologii noi — este susceptibil să genereze un risc ridicat; conținutul minim (descrierea prelucrării, riscurile, garanțiile) este similar, dar cadrul procedural și temeiul aparțin regimului penal, nu GDPR. Criteriul de delimitare este scopul: dacă aceeași autoritate prelucrează date în scop administrativ (resurse umane, achiziții) se aplică GDPR și art. 35; dacă prelucrează în scop penal, se aplică Legea nr. 363/2018 și art. 27 LED.

Surse: Directiva (UE) 2016/680, art. 27–28; Legea nr. 363/2018 (legislatie.just.ro). Accesat 2026-08-08.

Explicație detaliată

Ce este, de fapt, o DPIA

DPIA este un instrument de gestionare a riscului aplicat protecției datelor. Nu este un simplu formular birocratic, ci un proces documentat prin care operatorul: descrie prelucrarea, verifică dacă aceasta este necesară și proporțională, identifică riscurile pentru persoanele vizate și decide ce măsuri le reduc la un nivel acceptabil. Rolul ei este dublu — să prevină prejudiciile aduse persoanelor și să demonstreze conformitatea (principiul responsabilității — accountability — din art. 5 alin. (2) GDPR).

Momentul-cheie: DPIA se face înainte de a începe prelucrarea. Este parte a abordării protecția datelor începând cu momentul conceperii (data protection by design, art. 25 GDPR).

Când este obligatorie

DPIA devine obligatorie când prelucrarea este „susceptibilă să genereze un risc ridicat”. Există trei niveluri de referință pe care le poți verifica succesiv:

1. Cele trei situații din art. 35 alin. (3) GDPR — profilare sistematică cu efecte semnificative; date sensibile sau penale prelucrate pe scară largă; monitorizare sistematică pe scară largă a unei zone publice.

2. Lista națională — Decizia ANSPDCP nr. 174/2018. Pentru România, DPIA este obligatorie pentru șapte categorii de operațiuni:

• a) evaluarea sistematică și cuprinzătoare a aspectelor personale prin prelucrare automată, inclusiv profilare, pe baza căreia se iau decizii cu efecte juridice ori care afectează semnificativ persoana;
• b) prelucrarea pe scară largă a categoriilor speciale de date (origine rasială/etnică, opinii politice, convingeri religioase, date genetice, biometrice, privind sănătatea ori viața sexuală) sau a datelor privind condamnări penale și infracțiuni;
• c) monitorizarea sistematică pe scară largă a unei zone accesibile publicului — de exemplu, supraveghere video în centre comerciale, stadioane, piețe, parcuri;
• d) prelucrarea pe scară largă a datelor persoanelor vulnerabile (în special minori și angajați) prin monitorizarea ori înregistrarea sistematică a comportamentului, inclusiv în scop de publicitate și marketing;
• e) prelucrarea pe scară largă prin utilizarea de tehnologii noi sau inovatoare, în special când limitează drepturile persoanelor — de exemplu, recunoașterea facială;
• f) prelucrarea pe scară largă a datelor generate de dispozitive cu senzori care transmit prin internet („Internetul lucrurilor” — smart TV, vehicule conectate, contoare și jucării inteligente, orașe inteligente);
• g) prelucrarea pe scară largă și/sau sistematică a datelor de trafic ori de localizare (monitorizare Wi-Fi, geolocalizarea pasagerilor din transportul public) atunci când nu e necesară pentru un serviciu solicitat de persoană.

⚠️ Atenție: lista din Decizia 174/2018 nu este exhaustivă. Chiar dacă prelucrarea ta nu se regăsește expres în ea, ești obligat să faci o analiză proprie caz-cu-caz.

3. Criteriile Ghidului WP248 (Grupul de lucru Articolul 29, aprobat de Comitetul European pentru Protecția Datelor) oferă o regulă practică pentru acea analiză. Sunt nouă criterii: (1) evaluare/scoring; (2) decizii automate cu efect semnificativ; (3) monitorizare sistematică; (4) date sensibile sau strict personale; (5) prelucrare pe scară largă; (6) corelarea seturilor de date; (7) date privind persoane vulnerabile; (8) utilizarea inovatoare de tehnologii noi; (9) prelucrarea împiedică exercitarea unui drept ori accesul la un serviciu. Regula practică: dacă prelucrarea îndeplinește cel puțin două criterii, DPIA este, de regulă, necesară.

Ce înseamnă „pe scară largă”

Sintagma este declanșatorul central al mai multor categorii, dar GDPR nu fixează un prag numeric. Ghidul WP248 impune o evaluare calitativă, în funcție de patru factori care se cântăresc împreună:

1. Numărul persoanelor vizate — în cifră absolută sau ca proporție din populația relevantă;
2. Volumul și gama datelor prelucrate — cantitatea și tipurile de date (date de contact vs. date medicale, genetice etc.);
3. Durata sau permanența prelucrării — o operațiune punctuală vs. una continuă;
4. Întinderea geografică — local, național sau transfrontalier.

Niciun factor nu este singur decisiv: contează coexistența lor. Exemplele WP248: prelucrarea datelor pacienților de către un spital este „pe scară largă”, dar prelucrarea de către un medic individual nu este; prelucrarea datelor de călătorie de către o companie de transport public (pe oraș) este „pe scară largă”, dar prelucrarea de către o persoană fizică nu este. Absența unui prag numeric fix este deliberată — permite adaptarea la context (o clinică mică ce prelucrează date genetice poate depăși pragul, deși are puțini pacienți).

Sursă: Ghid WP248 rev.01 (Grupul de lucru Art. 29 / CEPD), secțiunea privind criteriile de risc ridicat. Accesat 2026-08-08.

Când NU este necesară

• Prelucrarea nu este susceptibilă să genereze un risc ridicat (majoritatea prelucrărilor de rutină — de exemplu, evidența clienților unui magazin mic).
• Prelucrarea are un temei într-o lege (art. 6 alin. (1) lit. c) sau e) GDPR) și o evaluare de impact a fost deja făcută la adoptarea actului normativ (art. 35 alin. (10)).
• Prelucrarea figurează pe o eventuală „listă albă” publicată de autoritate.

Aplicare în timp și „lista albă”

DPIA nu privește doar prelucrările noi. Ghidul WP248 cere o evaluare și pentru prelucrări începute înainte de 25 mai 2018 sau deja în derulare, atunci când riscul se modifică semnificativ — schimbarea tehnologiei, extinderea scopului, un nou destinatar sau un transfer internațional. Este expresia obligației de revizuire din art. 35 alin. (11) GDPR: operatorul reevaluează dacă prelucrarea se desfășoară în conformitate cu DPIA cel puțin când se schimbă riscul. Prin urmare, o prelucrare „veche” nu este scutită automat.

Cât privește „lista albă” (art. 35 alin. (5)) — lista prelucrărilor pentru care DPIA nu este obligatorie —, ANSPDCP nu a publicat o astfel de listă în România; există doar lista pozitivă (prelucrări care impun DPIA) din Decizia nr. 174/2018, care rămâne în vigoare și de actualitate în 2026 (nu a fost abrogată). În lipsa unei liste albe, exceptarea se stabilește prin analiză proprie: prelucrări de rutină, fără risc ridicat.

Ce trebuie să conțină (art. 35 alin. (7))

O DPIA validă cuprinde cel puțin:

1. o descriere sistematică a operațiunilor de prelucrare și a scopurilor (inclusiv, dacă e cazul, interesul legitim urmărit);
2. o evaluare a necesității și proporționalității prelucrării în raport cu scopurile;
3. o evaluare a riscurilor pentru drepturile și libertățile persoanelor vizate;
4. măsurile avute în vedere pentru a aborda riscurile (garanții, măsuri de securitate, mecanisme de conformitate).

Cine face DPIA și cine se consultă

Responsabilitatea aparține operatorului. Când este desemnat un responsabil cu protecția datelor (DPO), operatorul îi solicită avizul (art. 35 alin. (2)). Dacă riscul rezidual rămâne ridicat după măsuri, urmează consultarea prealabilă a ANSPDCP (art. 36). Când e adecvat, se solicită și punctul de vedere al persoanelor vizate (art. 35 alin. (9)).

Persoana împuternicită (procesatorul: cloud, SaaS, procesator de plăți). Obligația de a întocmi DPIA rămâne integral la operator — nu se transferă furnizorului. Însă art. 28 alin. (3) lit. f) GDPR obligă persoana împuternicită să asiste operatorul la respectarea art. 32–36, deci și la realizarea DPIA, „ținând seama de natura prelucrării și de informațiile aflate la dispoziția” sa. Practic, procesatorul furnizează descrierea măsurilor tehnice și organizatorice, a subîmputerniciților și a riscurilor inerente serviciului, iar operatorul le integrează în evaluarea proprie. Această obligație de asistență trebuie prevăzută expres în contractul de prelucrare (DPA). Răspunderea pentru absența DPIA rămâne a operatorului; procesatorul răspunde doar dacă nu și-a îndeplinit obligația de asistență.

Operatori asociați (art. 26 GDPR). Când două sau mai multe entități stabilesc împreună scopurile și mijloacele (de ex. o platformă și un partener), ele sunt operatori asociați și trebuie să facă o singură DPIA comună pentru prelucrarea comună. GDPR nu impune care dintre ei o redactează material, dar acordul de asociere (art. 26 alin. (1)) trebuie să repartizeze clar responsabilitățile — inclusiv cine întocmește, actualizează și își asumă DPIA. Atenție: față de persoana vizată, operatorii asociați răspund solidar (art. 82 alin. (4)), iar aceasta îi poate acționa pe oricare dintre ei, indiferent de repartizarea internă.

Surse: GDPR, art. 26 și art. 28 alin. (3) lit. f) — text consolidat (accesat 2026-08-08)

Pași practici ai procesului

1. Verifică pragul — este prelucrarea pe lista 174/2018 sau îndeplinește ≥ 2 criterii WP248?
2. Descrie prelucrarea — date, categorii de persoane, scopuri, temei juridic, fluxuri, destinatari, durate.
3. Evaluează necesitatea și proporționalitatea — minimizarea datelor, temei legal, informarea persoanelor, exercitarea drepturilor.
4. Identifică și evaluează riscurile — acces neautorizat, pierderea datelor, utilizare abuzivă; estimează probabilitatea și gravitatea.
5. Stabilește măsuri — pseudonimizare, criptare, control acces, minimizare, retenție.
6. Consultă DPO (și, dacă e cazul, persoanele vizate).
7. Consultă ANSPDCP dacă riscul rezidual rămâne ridicat (art. 36).
8. Documentează, implementează și revizuiește — DPIA se actualizează cel puțin când se schimbă riscul (art. 35 alin. (11)).

Aspecte practice

Situații frecvente în care ai nevoie de DPIA

• Supraveghere video extinsă a unui spațiu accesibil publicului (mall, parcare comercială, stadion) — intră la lit. c).
• Monitorizarea angajaților (GPS pe flota auto, monitorizarea activității pe calculator, control acces biometric) — lit. d), coroborat cu art. 5 din Legea 190/2018.
• Control acces biometric (amprentă, recunoaștere facială) pe scară largă — lit. b) și e).
• Scoring / profilare a clienților pentru credite, asigurări sau publicitate comportamentală — lit. a).
• Aplicații IoT, dispozitive medicale conectate, telematică auto — lit. f) și g).
• Platforme cu date de sănătate ale unui număr mare de pacienți — lit. b).

Greșeli frecvente de evitat

• Faci DPIA prea târziu — după lansarea sistemului. Legea cere să fie înainte de prelucrare; o DPIA făcută post-factum nu îndeplinește cerința și nu previne riscul.
• O tratezi ca pe un formular unic — DPIA este un proces continuu; trebuie revizuită când se modifică scopul, tehnologia sau riscul (art. 35 alin. (11)).
• Nu implici DPO-ul deși ai unul desemnat — avizul lui este cerut expres de art. 35 alin. (2) și trebuie documentat.
• Ignori consultarea ANSPDCP când riscul rezidual rămâne ridicat — omiterea consultării prealabile din art. 36 este o încălcare distinctă.
• Confunzi DPIA cu registrul de evidență (art. 30) — sunt documente diferite, cu scopuri diferite.
• Presupui că lista 174/2018 e limitativă — ea nu este exhaustivă; analiza pe criteriile WP248 rămâne obligatorie.

Bune practici

• Integrează verificarea pragului DPIA în procedura de aprobare a oricărui proiect nou care implică date personale (by design).
• Păstrează DPIA scrisă și datată, cu avizul DPO și deciziile de tratare a riscului — este dovada conformității.
• Reutilizează o singură DPIA pentru operațiuni similare cu riscuri similare (art. 35 alin. (1)).
• Stabilește un termen de revizuire (de exemplu, anual sau la orice modificare majoră).

Cum evaluezi practic riscul (metodologie)

GDPR cere evaluarea riscului, dar nu impune o metodă anume. În practică, riscul se cuantifică drept probabilitate × gravitate, folosind un instrument recunoscut:

• Instrumentul PIA al CNIL — software gratuit și open-source al autorității franceze, care ghidează operatorul prin cartografierea prelucrării, identificarea amenințărilor și clasificarea riscului. Este cel mai folosit șablon practic în UE. (cnil.fr/en/privacy-impact-assessment-pia)
• Standardul ISO/IEC 29134:2017 — ghid internațional pentru structurarea unei DPIA (pregătire → evaluare → tratare → revizuire).
• Scările de risc din WP248/CEPD — atât probabilitatea, cât și gravitatea se notează pe o scală (de ex. neglijabil / limitat / semnificativ / maxim), iar combinația lor dă nivelul de risc.

Riscul rezidual „acceptabil” este cel rămas după aplicarea măsurilor (pseudonimizare, criptare, control acces, minimizare). Pentru a rezista unui control ANSPDCP, operatorul trebuie să documenteze: metoda folosită, lista riscurilor cu scorul lor înainte și după măsuri, măsurile alese și — esențial — dovezi că măsurile sunt operaționale (jurnale, teste, proceduri). O DPIA care declară riscul „scăzut” fără a arăta cum a fost redus nu demonstrează conformitatea.

Surse: Ghid WP248 rev.01 (CEPD); instrumentul PIA al CNIL (cnil.fr); ISO/IEC 29134:2017. Accesat 2026-08-08.

Riscul sancțiunii

Neefectuarea unei DPIA obligatorii, ca și omiterea consultării prealabile, se încadrează în amenzile din art. 83 alin. (4) GDPR: până la 10.000.000 EUR sau, pentru companii, 2% din cifra de afaceri mondială anuală, luându-se valoarea cea mai mare.

Legislație europeană

DPIA este o obligație de origine pur europeană: izvorăște direct din Regulamentul (UE) 2016/679 (GDPR), aplicabil direct în toate statele membre. Secțiunile anterioare tratează pe larg art. 35 și art. 36; mai jos completăm perspectiva europeană cu mecanismul de coerență al UE, jurisprudența CJUE și interacțiunea cu noile acte europene (AI Act, NIS 2).

Directive și regulamente aplicabile

Regulamentul (UE) 2016/679 (GDPR), art. 35–36 — instituie obligația DPIA pentru prelucrările „susceptibile să genereze un risc ridicat” și consultarea prealabilă a autorității. Considerentele (84) și (89)–(95) explică rațiunea: evaluarea prealabilă a riscului ca instrument central de responsabilizare (accountability). Sursa: Regulamentul (UE) 2016/679 — text consolidat (accesat 2026-08-08)

Mecanismul european al listelor (art. 35 alin. (4)–(6)). Fiecare autoritate națională publică lista prelucrărilor care impun DPIA (în România, Decizia ANSPDCP nr. 174/2018). Când o listă privește operațiuni transfrontaliere, ea trece prin mecanismul de coerență al Comitetului European pentru Protecția Datelor (CEPD/EDPB) (art. 63–64), pentru a evita divergențe majore între state. Astfel, deși listele naționale diferă, ele converg pe criteriile comune ale Ghidului WP248 rev.01, aprobat de CEPD.

Regulamentul (UE) 2024/1689 (AI Act), art. 27 — introduce, de la 2 august 2026, o evaluare a impactului asupra drepturilor fundamentale (FRIA) pentru anumiți utilizatori de sisteme IA cu grad ridicat de risc (Anexa III). Art. 27 alin. (4): când obligațiile sunt deja acoperite de o DPIA în temeiul art. 35 GDPR, FRIA completează DPIA, nu o înlocuiește. Sursa: Regulamentul (UE) 2024/1689 (AI Act) (accesat 2026-08-08)

De asemenea, Directiva (UE) 2022/2555 (NIS 2) impune entităților esențiale și importante măsuri de gestionare a riscurilor de securitate cibernetică ce se suprapun cu „măsurile” cerute de art. 35 alin. (7) lit. d) GDPR — motiv pentru care măsurile din DPIA și cele NIS 2 trebuie coordonate. Sursa: Directiva (UE) 2022/2555 (accesat 2026-08-08).

Transpunerea în dreptul român

GDPR fiind regulament, se aplică direct — nu se „transpune”. România a exercitat însă marja lăsată de art. 35 alin. (4): Decizia ANSPDCP nr. 174/2018 este instrumentul național prevăzut de GDPR pentru lista prelucrărilor supuse DPIA, iar Legea nr. 190/2018 reglementează prelucrări sensibile (CNP, monitorizarea angajaților) care se încadrează frecvent în categoriile ce impun DPIA. Nu se constată gold-plating: lista românească reia criteriile WP248, fără a adăuga obligații DPIA peste standardul european. Directiva NIS 2 a fost transpusă în dreptul intern, iar AI Act se aplică direct, ca regulament, inclusiv art. 27.

Jurisprudență CJUE

Nu există (încă) o hotărâre CJUE strict pe art. 35, dar Curtea a conturat principiile care guvernează evaluarea de impact:

Cauza C-184/20, OT v Vyriausioji tarnybinės etikos komisija (Marea Cameră, 1 august 2022) — testul de strictă necesitate și proporționalitate al unei prelucrări (art. 6 alin. (3)) se citește în lumina art. 52 alin. (1) din Cartă; publicarea online a declarațiilor de interese a depășit ce era strict necesar. Curtea a reținut și că datele care dezvăluie indirect, prin inferență, informații sensibile (ex. orientarea sexuală) intră sub art. 9 GDPR — ceea ce lărgește declanșatorul DPIA din art. 35 alin. (3) lit. b). Sursa: CJUE, C-184/20 (accesat 2026-08-08)

Cauza C-60/22, UZ v Bundesrepublik Deutschland (4 mai 2023) — încălcarea unor obligații de răspundere (lipsa acordului de co-operatori — art. 26 — și a registrului activităților — art. 30) nu face, prin ea însăși, prelucrarea nelegală; legalitatea se apreciază prin art. 6. ⚠️ Cauza nu privește direct art. 35, dar, prin analogie, o DPIA lipsă sau deficitară este o încălcare a răspunderii sancționabilă (art. 83 alin. (4)), fără a transforma automat prelucrarea în nelegală. Sursa: CJUE, C-60/22 (accesat 2026-08-08)

Cauza C-311/18, „Schrems II” (Marea Cameră, 16 iulie 2020) — pentru transferuri în afara SEE, operatorul trebuie să realizeze o evaluare caz-cu-caz a nivelului de protecție și a garanțiilor suplimentare — model de analiză a riscului ce se regăsește în DPIA atunci când prelucrarea implică transferuri internaționale. Sursa: CJUE, C-311/18 (accesat 2026-08-08)

DPIA nu se confundă cu Evaluarea Impactului Transferului (TIA). Sunt două evaluări distincte, cu temeiuri diferite:

• DPIA — temei art. 35 GDPR; evaluează riscul general pentru drepturile persoanelor vizate generat de o prelucrare cu risc ridicat.
• TIA (Transfer Impact Assessment) — temei art. 46 GDPR + Recomandările CEPD 01/2020 (adoptate după Schrems II); se face doar pentru transferuri către țări terțe fără decizie de adecvare și verifică dacă legea și practicile țării de destinație subminează garanțiile instrumentului de transfer (de ex. clauzele contractuale standard).

DPIA nu acoperă automat analiza transferului: un operator care exportă date în afara SEE pe baza clauzelor standard datorează o TIA separată, chiar dacă a realizat deja o DPIA. Cele două pot fi consemnate într-un document unic, dar cu secțiuni și concluzii distincte pentru fiecare temei — nu una în locul celeilalte.

Sursă: Recomandările CEPD 01/2020 privind măsurile care completează instrumentele de transfer (edpb.europa.eu); art. 46 GDPR. Accesat 2026-08-08.

Aspecte practice din perspectivă europeană

• Ghișeu unic (one-stop-shop). Pentru prelucrări transfrontaliere, consultarea prealabilă (art. 36) se coordonează prin autoritatea de supraveghere principală, cu implicarea CEPD prin mecanismul de coerență — DPIA făcută corect într-un stat este recunoscută în tot SEE.
• DPIA + FRIA ca exercițiu integrat. Din 2 august 2026, cine desfășoară sisteme IA cu grad ridicat de risc care prelucrează date personale va datora, de regulă, atât DPIA (art. 35 GDPR), cât și FRIA (art. 27 AI Act). Recomandarea practică: un document unic care acoperă ambele cadre, DPIA rămânând schela pe care se construiește FRIA (art. 27 alin. (4)).
• Convergență, nu uniformitate. Listele naționale diferă, dar criteriile WP248 aprobate de CEPD asigură un prag comun; o organizație activă în mai multe state ar trebui să aplice pragul cel mai exigent aplicabil.
• Tendință legislativă. Suprapunerea DPIA–FRIA–NIS 2 indică orientarea UE spre evaluări de risc integrate „by design”; documentarea unei DPIA solide astăzi reduce efortul de conformare la obligațiile europene viitoare.

Întrebări frecvente

Ce înseamnă DPIA? DPIA (Data Protection Impact Assessment) este evaluarea impactului asupra protecției datelor — un proces documentat prin care operatorul analizează, înainte de prelucrare, riscurile pentru drepturile persoanelor și măsurile de reducere a acestora (art. 35 GDPR).

Cine trebuie să facă DPIA? Obligația aparține operatorului de date (compania sau instituția care stabilește scopurile și mijloacele prelucrării), nu persoanei împuternicite. Când există un DPO desemnat, operatorul îi solicită avizul.

Când este obligatorie DPIA? Când prelucrarea este susceptibilă să genereze un risc ridicat — în special în cele trei situații din art. 35 alin. (3) GDPR, în cele șapte categorii din Decizia ANSPDCP nr. 174/2018 sau când sunt îndeplinite cel puțin două dintre criteriile Ghidului WP248.

Instalarea de camere video impune DPIA? Da, dacă este vorba de monitorizare sistematică pe scară largă a unei zone accesibile publicului (mall, stadion, parc). Pentru o cameră la intrarea unui magazin mic, de regulă nu — dar analiza se face de la caz la caz.

Ce se întâmplă dacă riscul rămâne ridicat după măsuri? Operatorul trebuie să consulte ANSPDCP înainte de a începe prelucrarea (art. 36). Autoritatea poate oferi recomandări sau poate interzice prelucrarea.

Trebuie trimisă DPIA la ANSPDCP? Nu automat. DPIA se păstrează la operator ca dovadă de conformitate; se transmite autorității doar în cadrul consultării prealabile (art. 36) sau la solicitarea acesteia în cadrul unei investigații.

Ce risc am dacă nu fac DPIA când era obligatorie? Amendă de până la 10.000.000 EUR sau 2% din cifra de afaceri mondială anuală (art. 83 alin. (4) GDPR), pe lângă eventuale măsuri corective și suspendarea prelucrării.

Trebuie să consult persoanele vizate? Doar „dacă este cazul” (art. 35 alin. (9) GDPR) — devine adecvat când prelucrarea are un risc ridicat cu impact major asupra unor grupuri (angajați, minori, pacienți). Mijloacele pot fi sondaje, consultarea reprezentanților ori a sindicatelor. Nu există obligația de a publica DPIA, dar transparența este recomandată.

Ce pot face eu, ca persoană vizată, dacă un operator nu a făcut DPIA? Poți depune plângere la ANSPDCP (art. 77 GDPR), poți sesiza instanța (art. 79) și poți cere despăgubiri pentru prejudiciul suferit (art. 82). Lipsa unei DPIA obligatorii este o încălcare a obligației de responsabilitate, sancționabilă independent.

Furnizorul meu de cloud/SaaS face DPIA în locul meu? Nu. Obligația rămâne la tine, în calitate de operator. Furnizorul (persoană împuternicită) are doar obligația de a te asista cu informațiile necesare (art. 28 alin. (3) lit. f) GDPR), obligație care trebuie prevăzută în contractul de prelucrare.

Practică și opinii

⚠️ Orientare oficială — Grupul de lucru „Articolul 29” (predecesorul Comitetului European pentru Protecția Datelor) Ghidul WP248 rev.01 privind evaluarea impactului asupra protecției datelor propune o abordare practică: o prelucrare care îndeplinește cel puțin două dintre cele nouă criterii de risc este, în general, susceptibilă să genereze un risc ridicat și impune DPIA. În caz de dubiu, ghidul recomandă efectuarea evaluării, întrucât ea rămâne un instrument util de conformitate chiar și atunci când nu este strict obligatorie. Sursa: Ghid WP248 rev.01, adoptat 4 octombrie 2017, aprobat de Comitetul European pentru Protecția Datelor.

⚠️ Poziția autorității naționale — ANSPDCP În preambulul Deciziei nr. 174/2018, autoritatea subliniază că lista celor șapte categorii nu este exhaustivă: și pentru operațiuni neincluse expres, operatorii au obligația de a analiza, de la caz la caz, dacă prelucrarea generează un risc ridicat și impune DPIA. Decizia se raportează explicit la considerentul (91) GDPR și la Ghidul WP248. Sursa: Decizia ANSPDCP nr. 174/2018 (MO 919/2018) (accesat 2026-08-08).

⚠️ Opinie de specialitate — comentarii publicate pe platforme juridice (Juridice.ro, Universul Juridic) Practicienii în dreptul protecției datelor recomandă tratarea DPIA ca proces integrat în etapa de proiectare a oricărui sistem nou (data protection by design), nu ca document izolat produs pentru „bifarea” conformității. Se atrage atenția că o DPIA formală, fără măsuri concrete de reducere a riscului, nu protejează operatorul în caz de control. Sursa: Juridice.ro — ANSPDCP. Lista operațiunilor pentru care este obligatorie DPIA (accesat 2026-08-08).

⚠️ Observație privind practica de supraveghere — ANSPDCP ANSPDCP publică amenzile aplicate pe dataprotection.ro. Din analiza comunicatelor, sancțiunile din România vizează predominant măsurile de securitate insuficiente (art. 32), nerespectarea drepturilor persoanelor vizate și temeiul prelucrării — nu a fost identificată o amendă publicată motivată exclusiv pe lipsa unei DPIA obligatorii (art. 35) sau pe omiterea consultării prealabile (art. 36). Aceasta nu înseamnă că riscul lipsește: absența DPIA este de regulă constatată împreună cu alte deficiențe (securitate, informare) și contribuie la cuantumul amenzii ori la măsuri corective. Concluzie prudentă: dimensiunea „riscul sancțiunii” este reală, dar în practica românească DPIA apare mai des ca element agravant într-un control mai amplu decât ca temei unic al unei amenzi. Sursă: comunicate ANSPDCP — dataprotection.ro (accesat 2026-08-08).

Referințe

1. Regulamentul (UE) 2016/679 (GDPR), art. 35 (evaluarea impactului asupra protecției datelor) și art. 36 (consultarea prealabilă); considerentele (84), (89)–(93). Text consolidat: eur-lex.europa.eu (accesat 2026-08-08).
2. Regulamentul (UE) 2016/679, art. 83 alin. (4) — regimul amenzilor administrative. eur-lex.europa.eu (accesat 2026-08-08).
3. Decizia ANSPDCP nr. 174/2018 privind lista operațiunilor pentru care este obligatorie realizarea evaluării impactului asupra protecției datelor cu caracter personal, publicată în Monitorul Oficial al României, Partea I, nr. 919 din 31 octombrie 2018. dataprotection.ro (accesat 2026-08-08).
4. Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679, publicată în Monitorul Oficial nr. 651 din 26 iulie 2018.
5. Ghidul WP248 rev.01 privind evaluarea impactului asupra protecției datelor (DPIA), Grupul de lucru „Articolul 29”, adoptat la 4 octombrie 2017 și aprobat de Comitetul European pentru Protecția Datelor.
6. Juridice.ro — ANSPDCP. Lista operațiunilor pentru care este obligatorie DPIA. juridice.ro/612968 (accesat 2026-08-08).
7. Directiva (UE) 2016/680 (LED), art. 27–28 — evaluarea impactului și consultarea prealabilă în regimul prelucrărilor penale. eur-lex.europa.eu (accesat 2026-08-08).
8. Legea nr. 363/2018 privind protecția persoanelor fizice referitor la prelucrarea datelor de către autoritățile competente în scopuri penale (transpunerea LED). legislatie.just.ro (accesat 2026-08-08).
9. Recomandările CEPD nr. 01/2020 privind măsurile care completează instrumentele de transfer (Transfer Impact Assessment, post Schrems II). edpb.europa.eu (accesat 2026-08-08).
10. Instrumentul PIA al CNIL (software gratuit pentru evaluarea de impact) și ISO/IEC 29134:2017 (ghid metodologic pentru DPIA). cnil.fr (accesat 2026-08-08).