Registrul de evidență a prelucrărilor (art. 30)

Registrul de evidență a prelucrărilor (art. 30 GDPR) este documentul intern în care operatorul descrie, pentru fiecare prelucrare, ce date colectează, în ce scop, cui le transmite și cât le păstrează. Nu se depune: este o evidență proprie, ținută în scris și prezentată ANSPDCP doar la cerere. Deși art. 30(5) pare să scutească firmele cu sub 250 de angajați, excepțiile derogării o fac obligatorie pentru aproape orice organizație activă.

Pe scurt

Registrul de evidență a activităților de prelucrare (art. 30 GDPR) este documentul intern în care operatorul sau persoana împuternicită descrie, pentru fiecare prelucrare de date personale, ce date colectează, în ce scop, de la cine, cui le transmite și cât le păstrează. Nu este un formular de depus la autoritate — este o evidență proprie, ținută în scris (inclusiv electronic) și pusă la dispoziția ANSPDCP la cerere. Deși art. 30(5) pare să scutească organizațiile cu mai puțin de 250 de angajați, cele trei excepții ale derogării (prelucrare cu risc, neocazională sau de date sensibile) fac ca, în practică, aproape orice firmă activă să fie obligată să îl țină.

Cadrul legal

Obligația de a ține registrul este stabilită direct de articolul 30 din Regulamentul (UE) 2016/679 (GDPR), regulament cu aplicare directă în România. Legislația națională de punere în aplicare — Legea nr. 190/2018 — nu adaugă reguli speciale pentru registru, astfel că textul GDPR se aplică integral.

Art. 30 alin. (1) GDPR — „Fiecare operator și, după caz, reprezentantul acestuia păstrează o evidență a activităților de prelucrare desfășurate sub responsabilitatea lor." Evidența cuprinde: (a) datele de contact ale operatorului, ale operatorului asociat, ale reprezentantului și ale responsabilului cu protecția datelor (DPO); (b) scopurile prelucrării; (c) categoriile de persoane vizate și de date; (d) categoriile de destinatari, inclusiv din țări terțe; (e) transferurile internaționale și garanțiile aferente; (f) termenele de ștergere; (g) o descriere generală a măsurilor de securitate (art. 32 alin. 1).

Art. 30 alin. (2) GDPR — persoana împuternicită de operator ține o evidență proprie, mai restrânsă, a categoriilor de prelucrări efectuate în numele fiecărui operator.

Art. 30 alin. (3) GDPR — „Evidențele […] se formulează în scris, inclusiv în format electronic."

Art. 30 alin. (4) GDPR — la cerere, evidențele se pun la dispoziția autorității de supraveghere.

Art. 30 alin. (5) GDPR — obligațiile nu se aplică unei organizații cu mai puțin de 250 de angajați, cu excepția cazului în care prelucrarea este susceptibilă să genereze un risc pentru drepturile persoanelor, nu este ocazională sau include categorii speciale de date (art. 9 alin. 1) ori date privind condamnări penale (art. 10).

Sursa: Regulamentul (UE) 2016/679, art. 30 — text consolidat (accesat 2026-08-18)

Logica registrului este explicată de considerentul 82 GDPR: pentru a demonstra conformitatea, operatorul și persoana împuternicită trebuie să păstreze evidențe ale activităților de prelucrare și să coopereze cu autoritatea, punându-i-le la dispoziție la cerere. Registrul este, așadar, un instrument central al principiului responsabilității (accountability) din art. 5 alin. (2) GDPR.

Nerespectarea art. 30 se sancționează în temeiul art. 83 alin. (4) lit. (a) GDPR, cu amenzi de până la 10.000.000 EUR sau 2% din cifra de afaceri mondială anuală (se aplică valoarea cea mai mare).

Explicație detaliată

Ce este, de fapt, registrul

Registrul de evidență a activităților de prelucrare (în engleză Record of Processing Activities, ROPA) este o „hartă" internă a modului în care organizația folosește datele personale. Fiecare activitate de prelucrare — de pildă „administrarea personalului", „facturarea clienților", „recrutare", „supraveghere video", „newsletter de marketing" — se înscrie ca o intrare separată, cu toate elementele cerute de art. 30. Registrul nu este un document public și nici nu se depune undeva; el rămâne la operator și se prezintă autorității doar la cerere (art. 30 alin. 4).

Registrul a înlocuit vechea obligație de notificare a prelucrărilor la autoritate. Până la 25 mai 2018, în baza Legii nr. 677/2001 (abrogată), operatorii se înscriau la autoritate și primeau un „număr de operator". Acel sistem a dispărut; logica GDPR mută responsabilitatea de la autorizarea prealabilă la documentarea internă și demonstrarea conformității la cerere.

Registrul operatorului vs. registrul persoanei împuternicite

GDPR distinge două registre, cu conținut diferit:

• Registrul operatorului (art. 30 alin. 1) — cel complet, care documentează scopurile și toate elementele (a)–(g). Operatorul este cel care decide de ce și cum se prelucrează datele (angajatorul, magazinul online, clinica etc.).
• Registrul persoanei împuternicite (art. 30 alin. 2) — mai restrâns; nu menționează scopurile (pe care le stabilește operatorul), ci categoriile de prelucrări efectuate în numele fiecărui operator-client. Este ținut de furnizorii care prelucrează date pentru alții: furnizori de servicii de contabilitate, IT, cloud, marketing, call-center etc.

O aceeași firmă poate avea ambele calități și, deci, ambele registre: de exemplu, o agenție de marketing este operator pentru datele propriilor angajați și persoană împuternicită pentru datele clienților gestionate în campaniile comandate de aceștia.

Conținutul minim — elementele obligatorii

Pentru fiecare prelucrare, registrul operatorului trebuie să conțină cel puțin:

1. Identitatea și contactul operatorului (și, după caz, ale operatorului asociat, ale reprezentantului și ale DPO);
2. Scopul prelucrării (de ce sunt folosite datele);
3. Categoriile de persoane vizate (angajați, clienți, candidați, vizitatori…) și categoriile de date (date de identificare, de contact, financiare, de sănătate…);
4. Categoriile de destinatari cărora le sunt divulgate datele (inclusiv din afara UE);
5. Transferurile internaționale și garanțiile aferente (de ex. clauze contractuale standard);
6. Termenele de ștergere preconizate, acolo unde este posibil;
7. O descriere generală a măsurilor de securitate (art. 32 alin. 1), acolo unde este posibil.

Bune practici uzuale adaugă și temeiul juridic al fiecărei prelucrări (art. 6, respectiv art. 9 GDPR) — deși art. 30 nu îl impune expres, îl reclamă principiul responsabilității, fiindcă registrul este primul document verificat de ANSPDCP într-un control.

Mitul pragului de 250 de angajați

Cea mai frecventă eroare este convingerea că firmele mici sunt scutite. Art. 30(5) prevede că obligația „nu se aplică" organizațiilor cu sub 250 de angajați, dar introduce imediat trei excepții. Grupul de Lucru Art. 29 (WP29), în poziția aprobată de EDPB la 19 aprilie 2018, a clarificat că aceste excepții sunt alternative — apariția oricăreia singure reînvie obligația:

• prelucrarea este susceptibilă să genereze un risc pentru drepturile persoanelor; sau
• prelucrarea nu este ocazională; sau
• prelucrarea include date sensibile (art. 9) ori date privind condamnări penale (art. 10).

Cheia este noțiunea de prelucrare „ocazională": WP29 arată că o prelucrare NU este ocazională dacă se desfășoară regulat, în cursul obișnuit al activității. Or, administrarea salariaților, facturarea clienților sau gestiunea furnizorilor sunt, prin definiție, regulate. În consecință, aproape orice organizație care are angajați sau clienți recurenți ține prelucrări neocazionale și trebuie să aibă registru — indiferent de numărul de angajați.

⚠️ De reținut: pragul de 250 nu scutește firma de registru „în bloc". Chiar dacă o excepție se aplică, IMM-ul poate limita registrul doar la prelucrările vizate de excepție (nu la întreaga activitate) — dar în practică acestea acoperă tot ce contează. WP29 recomandă oricum ca toate organizațiile să țină registrul, ca instrument de evaluare a riscurilor.

Mai operează vreodată derogarea? Da, dar rar și doar parțial. Poziția WP29/EDPB confirmă că derogarea nu este „totul sau nimic": dacă o singură excepție se activează pentru o anumită prelucrare, obligația de registru privește numai acea prelucrare cu risc / neocazională / sensibilă, nu neapărat toate fluxurile firmei. Astfel, o organizație sub 250 de angajați poate, în teorie, să omită din registru doar prelucrările cu adevărat ocazionale, fără risc și fără date sensibile. Exemplul concret al derogării care chiar operează: o mică asociație cu câțiva voluntari care organizează o singură tombolă anuală poate lăsa lista participanților la tombolă în afara registrului — este ocazională, fără risc semnificativ. Dar în clipa în care aceeași asociație ține o bază de membri sau plătește colaboratori, acele prelucrări (neocazionale) intră obligatoriu. Articolul nu se contrazice: derogarea există juridic, însă acoperă atât de puțin din activitatea reală a unei entități active, încât practic nimeni nu scapă complet de registru — cel mult îl restrânge la câteva intrări.

⚠️ Reformă în curs (Omnibus IV / Digital Omnibus) — de urmărit. La nivelul UE există o propunere de modificare a art. 30(5): pachetul Omnibus IV (propunere a Comisiei Europene din mai 2025), reluat în Digital Omnibus (publicat 19 noiembrie 2025), ar ridica pragul de la 250 la 750 de angajați (categoria „small mid-caps", cu criterii financiare: cifră de afaceri ≤ 150 mil. EUR sau bilanț ≤ 129 mil. EUR) ȘI ar înlocui standardul „un risc" cu „risc ridicat" (în sensul art. 35). La data redactării (2026) propunerea NU este adoptată — se află în negociere între Parlamentul European și Consiliu, iar textul în vigoare rămâne cel cu pragul de 250 și standardul „un risc". Dacă va fi adoptată, teza „mitul pragului" s-ar atenua (mai multe firme mijlocii ar fi scutite pentru prelucrările fără risc ridicat), dar nu ar dispărea: EDPB și EDPS au precizat că, și în noua formă, registrul ar rămâne obligatoriu pentru prelucrările cu risc ridicat, inclusiv cele cu date sensibile. Până la adoptare, obligația actuală se aplică integral. Surse: EDPB — modificări GDPR record-keeping; EDPB–EDPS Joint Opinion 01/2025 (accesat 2026-08-18)

Cazuri speciale: PFA, întreprinderi individuale și profesii liberale

O întrebare frecventă în România: un PFA sau un liber-profesionist fără niciun angajat trebuie să țină registrul? Derogarea art. 30(5) se raportează la „numărul de angajați", dar aici acel număr este zero — sub 250 — așa că, la prima vedere, derogarea ar părea să se aplice. Nu se aplică însă imediat ce intervine oricare excepție, ceea ce se întâmplă aproape mereu la aceste profesii:

• Medicul, psihologul, stomatologul (PFA/cabinet individual) prelucrează date de sănătate — categorie specială de date (art. 9). Excepția „date sensibile" se activează → registru obligatoriu.
• Avocatul, notarul, executorul, contabilul, arhitectul prelucrează datele clienților în cursul obișnuit al activității — prelucrare neocazională. Excepția „neocazional" se activează → registru obligatoriu.

Prin urmare, marea majoritate a PFA-urilor și a profesiilor liberale din România sunt obligate să țină registrul, deși nu au niciun angajat. Faptul că activitatea e desfășurată de o persoană fizică autorizată nu schimbă calitatea de operator (art. 4 pct. 7) și nici obligațiile art. 30. În practică, registrul unui astfel de profesionist e scurt (câteva intrări: dosare clienți, facturare, eventual salariați/colaboratori), dar el trebuie să existe.

Operatorul din afara UE și reprezentantul din România

Art. 30(1) lit. (a) menționează expres reprezentantul operatorului. Situația vizată este cea a unui operator stabilit în afara UE care, totuși, oferă bunuri/servicii sau monitorizează comportamentul persoanelor din UE (art. 3 alin. 2) — de exemplu un magazin online din afara UE care vinde către clienți din România. Într-un asemenea caz:

• Operatorul non-UE rămâne titularul obligației art. 30 — el este cel care ține registrul propriu al activităților de prelucrare.
• Reprezentantul desemnat conform art. 27 (o persoană/entitate stabilită în UE, de regulă în statul membru vizat) nu preia obligația în locul operatorului, dar păstrează o evidență (în practică, o copie a registrului operatorului) și o pune la dispoziția autorității de supraveghere la cerere. Reprezentantul este menționat expres în registru, ca punct de contact.
• Limbă și conținut: GDPR nu impune o limbă anume; considerentul 80 cere ca reprezentantul să fie ușor accesibil autorităților. Practic, reprezentantul din România ține registrul într-o limbă utilizabilă de ANSPDCP (română sau engleză), cu același conținut ca al operatorului (art. 30 alin. 1).

Așadar, la solicitarea ANSPDCP, autoritatea se poate adresa reprezentantului din România, care trebuie să prezinte evidența — deși răspunderea de fond pentru corectitudinea ei rămâne a operatorului non-UE.

Sursă: Regulamentul (UE) 2016/679, art. 27 și art. 30 — text consolidat (accesat 2026-08-18)

ROPA față de celelalte „registre" impuse de GDPR

Registrul art. 30 (ROPA) este frecvent confundat cu alte evidențe cerute de GDPR. Sunt documente distincte, cu temeiuri, scopuri și momente de declanșare diferite — și nu pot fi contopite într-un singur document, chiar dacă unele informații se suprapun:

Diferența de fond: ROPA este permanent și acoperă întreaga activitate, în timp ce celelalte sunt punctuale sau condiționate (o breșă apare sau nu; o DPIA se face doar la risc ridicat; consimțământul se dovedește doar unde e temeiul). Contopirea lor ar face registrul ilizibil și ar ascunde tocmai funcția fiecăruia. În practică, ROPA rămâne documentul-„umbrelă": el poate trimite la o DPIA sau la politica de gestionare a incidentelor, dar nu le înlocuiește.

Lanțul de subîmputerniciți (sub-processors)

Arhitecturile cloud/SaaS presupun frecvent subîmputerniciți — furnizorul de servicii (persoana împuternicită) angajează, la rândul lui, alți furnizori (subîmputerniciți), cu autorizarea operatorului (art. 28 alin. 2 și 4). Regula pentru evidență:

• Fiecare verigă ține propriul registru. Subîmputernicitul autorizat devine el însuși „persoană împuternicită" în sensul GDPR și ține propriul registru art. 30(2), pentru prelucrările pe care le efectuează. Nu există un singur registru „vertical" al întregului lanț, ci o rețea de evidențe paralele, fiecare pentru activitățile proprii.
• Documentarea lanțului. Operatorul listează în ROPA sa împuterniciții (și, ideal, subîmputerniciții autorizați), iar fiecare împuternicit documentează în registrul său cine i-a delegat prelucrarea și ce subîmputerniciți a angajat. Astfel lanțul „cine către cine" rămâne reconstituibil.
• Răspunderea. Fiecare răspunde față de ANSPDCP pentru propriile prelucrări și pentru propriul registru. În plus, împuternicitul inițial rămâne răspunzător față de operator pentru subîmputerniciții pe care i-a angajat (art. 28 alin. 4 teza finală) — el trebuie să le impună aceleași obligații de protecție a datelor.

Legătura cu DPO și cu celelalte obligații

Registrul este strâns legat de restul arhitecturii GDPR:

• DPO — când organizația are un responsabil cu protecția datelor, registrul este instrumentul lui de lucru de bază: pornind de la el, DPO monitorizează conformitatea, identifică prelucrările cu risc și pregătește evaluările de impact.
• DPIA (art. 35) — registrul semnalează prelucrările „susceptibile să genereze un risc ridicat", care pot necesita o evaluare a impactului asupra protecției datelor.
• Informarea persoanelor (art. 13–14) și răspunsul la cererile de acces (art. 15) devin mult mai simple când scopurile, categoriile de date și termenele sunt deja documentate în registru.
• Securitate (art. 32) — descrierea măsurilor din registru trebuie să reflecte controalele reale implementate.

Aspecte practice

Format: ce acceptă ANSPDCP

Nu există un formular oficial obligatoriu. Art. 30(3) cere doar formă scrisă, inclusiv electronică, așa că un fișier Excel (sau Google Sheets, o aplicație dedicată ori un tabel Word) este perfect acceptabil — cu condiția să fie complet și actualizat. ANSPDCP a publicat un Ghid orientativ de aplicare a GDPR (secțiunea „Noul Regulament" de pe dataprotection.ro), util ca punct de plecare, dar structura concretă a registrului rămâne la latitudinea operatorului.

Un model de tabel funcțional

O structură pe coloane, cu câte un rând pentru fiecare activitate de prelucrare, acoperă cerințele art. 30(1):

Pași concreți pentru a-l construi

1. Inventariază prelucrările — parcurge fiecare departament (HR, vânzări, marketing, financiar, IT) și listează toate situațiile în care se folosesc date personale.
2. Documentează fiecare intrare cu cele nouă coloane de mai sus.
3. Verifică termenele de stocare — corelează-le cu obligațiile legale (de ex. documentele de personal și cele contabile au termene proprii).
4. Marchează prelucrările cu risc ridicat — ele pot necesita o DPIA (art. 35).
5. Desemnează un responsabil de actualizare (DPO sau o persoană din organizație).

Greșeli frecvente de evitat

• „Suntem sub 250 de angajați, deci nu ne trebuie." Fals în majoritatea cazurilor — vezi excepțiile art. 30(5). Orice prelucrare regulată (salarii, clienți) declanșează obligația.
• Registru făcut o dată și uitat. Este un document viu: se actualizează la orice schimbare de scop, categorii de date, furnizori sau termene.
• Confundarea registrului cu politica de confidențialitate. Sunt documente diferite: politica informează persoanele vizate (extern); registrul este evidența internă pentru autoritate.
• Omiterea calității de persoană împuternicită. Furnizorii de servicii care prelucrează date pentru clienți trebuie să țină și ei registrul art. 30(2), separat.
• Descrieri vagi ale securității. Descrierea de la lit. (g) trebuie să reflecte măsuri reale, nu formule generice.

Cine ține registrul când operatorul se schimbă sau dispare

Prelucrările continuă adesea și atunci când operatorul-persoană juridică își schimbă structura sau încetează. Obligația art. 30 nu dispare — ea trece la cel care preia prelucrările:

• Insolvență / faliment (Legea nr. 85/2014). Administratorul, respectiv lichidatorul judiciar, gestionează prelucrările din cursul procedurii (date ale salariaților, creditorilor, debitorilor) și preia obligația de a ține și actualiza evidența pentru aceste prelucrări. Registrul preexistent nu se aruncă: el atestă cum au fost prelucrate datele înainte de procedură.
• Fuziune / divizare (Legea nr. 31/1990). Operează succesiunea universală: societatea absorbantă ori nou-constituită preia integral obligația art. 30 și consolidează registrele entităților implicate, actualizându-le cu noua structură.
• Transfer de active / fond de comerț (asset deal). Aici nu operează succesiunea universală; preluarea prelucrărilor și a evidenței aferente se face pe temei contractual, iar contractul trebuie să stabilească clar cine devine operator (sau împuternicit) pentru datele transferate și să prevadă predarea/actualizarea registrului la data transferului.

În toate cazurile, trasabilitatea se asigură păstrând istoricul evidenței (operatorul de origine → succesorul) și acorduri de prelucrare (DPA) actualizate; ANSPDCP poate verifica continuitatea evidenței după schimbarea operatorului.

În control

La un control ANSPDCP, registrul este de regulă primul document solicitat (art. 30 alin. 4). Un registru absent, incomplet sau vădit neactualizat este un semnal direct de neconformitate și poate atrage sancțiuni în temeiul art. 83 alin. (4) lit. (a) GDPR. Un registru bine ținut, în schimb, demonstrează respectarea principiului responsabilității și ușurează întregul dialog cu autoritatea.

Legislație europeană

Registrul de evidență a activităților de prelucrare este o obligație integral europeană: nu are la bază o directivă transpusă, ci un regulament al UE direct aplicabil. Această secțiune așază art. 30 în arhitectura GDPR și în jurisprudența Curții de Justiție a Uniunii Europene (CJUE).

Directive și regulamente aplicabile

Obligația decurge direct din Regulamentul (UE) 2016/679 (GDPR), act cu aplicabilitate directă în toate statele membre (art. 288 TFUE) — spre deosebire de vechea Directivă 95/46/CE, pe care GDPR a abrogat-o și care, fiind directivă, trebuia transpusă în legile naționale. Tocmai de aceea vechiul sistem de notificare/înregistrare a prelucrărilor la autoritate a dispărut: regulamentul îl înlocuiește cu documentarea internă (registrul), identică în toate statele membre.

Art. 30 din Regulamentul (UE) 2016/679 stabilește conținutul evidenței operatorului (alin. 1) și al persoanei împuternicite (alin. 2), forma scrisă/electronică (alin. 3), punerea la dispoziția autorității (alin. 4) și derogarea condiționată pentru organizațiile cu sub 250 de angajați (alin. 5). Sursa: Regulamentul (UE) 2016/679 — text consolidat, art. 30 (accesat 2026-08-18)

Registrul nu este o obligație izolată, ci expresia concretă a principiului responsabilității (accountability) din art. 5 alin. (2) și a obligației generale de la art. 24 GDPR: operatorul nu trebuie doar să respecte regulamentul, ci să poată demonstra că îl respectă. Considerentul 82 confirmă că evidența activităților de prelucrare este mijlocul prin care operatorul dovedește conformitatea și cooperează cu autoritatea de supraveghere. Guidance-ul de referință este emis de Comitetul European pentru Protecția Datelor (EDPB), succesorul Grupului de Lucru Art. 29 (WP29) — v. blocul „Practică și opinii".

Transpunerea în dreptul român

Fiind regulament, GDPR nu se transpune, ci se aplică ca atare. Rolul dreptului român este doar de punere în aplicare: Legea nr. 190/2018 desemnează autoritatea de supraveghere — ANSPDCP (art. 51 și urm. GDPR) — și reglementează câteva chestiuni lăsate de regulament în marja de manevră a statelor (date genetice/biometrice, CNP, prelucrări în context de muncă), fără a modifica sau completa art. 30. În consecință, textul european al art. 30 se aplică în România în forma sa integrală, fără reguli naționale suplimentare și fără gold-plating.

Vechea Lege nr. 677/2001 (care transpunea Directiva 95/46/CE și impunea notificarea prealabilă cu „număr de operator") a fost abrogată; obligația de registru a preluat, în logica GDPR, funcția de evidență — mutată însă din registrul public al autorității în documentarea internă a operatorului.

Jurisprudență CJUE

Nu există (încă) o hotărâre CJUE dedicată exclusiv art. 30, dar două decizii recente delimitează direct miza registrului — responsabilitatea și sarcina probei:

Cauza C-340/21, Natsionalna agentsia za prihodite (NAP) (hotărârea din 14 decembrie 2023) — CJUE a stabilit că, din coroborarea art. 5 alin. (2), art. 24 alin. (1) și art. 32 alin. (1) GDPR, rezultă o regulă de aplicare generală: operatorul suportă sarcina probei conformității (aici, a caracterului adecvat al măsurilor de securitate), inclusiv într-o acțiune în despăgubire. Curtea a precizat totodată că o breșă produsă de un terț nu implică automat că măsurile operatorului au fost inadecvate. Sursa: CJUE, C-340/21 (CELEX 62021CJ0340) (accesat 2026-08-18)

Consecința practică pentru registru: fiind operatorul cel care trebuie să demonstreze conformitatea, un registru complet și actualizat este chiar mijlocul de probă prin care își îndeplinește sarcina — iar absența lui slăbește direct poziția probatorie în fața autorității sau a instanței.

Cauza C-807/21, Deutsche Wohnen SE (hotărârea din 5 decembrie 2023) — CJUE a statuat că o amendă în temeiul art. 83 poate fi aplicată direct persoanei juridice, fără a fi necesară atribuirea prealabilă a încălcării unei persoane fizice identificate, dar numai dacă încălcarea a fost săvârșită cu intenție sau din neglijență (nu există răspundere obiectivă/strictă). Sursa: CJUE, C-807/21 (CELEX 62021CJ0807) (accesat 2026-08-18)

Aceasta luminează regimul sancțiunilor din art. 83 alin. (4) lit. (a) (invocat pentru nerespectarea art. 30): pentru că amenda presupune culpă, un registru corect ținut funcționează și ca dovadă de diligență, în timp ce un registru absent sau vădit neactualizat poate fi citit ca neglijență.

Aspecte practice din perspectivă europeană

• Validitate la nivelul întregii UE. Cerințele art. 30 sunt identice în toate statele membre; un operator cu activitate transfrontalieră ține un singur model de registru conform GDPR, nu variante naționale.
• Mecanismul „ghișeului unic" (one-stop-shop, art. 56). Pentru prelucrările transfrontaliere, interlocutorul principal este autoritatea de supraveghere principală (a sediului principal), dar art. 30 alin. (4) obligă la punerea registrului la dispoziția oricărei autorități competente care îl solicită — util de pregătit în limba/limbile relevante.
• Coerență prin EDPB. Interpretarea art. 30(5) (pragul de 250) este armonizată european prin poziția WP29 aprobată de EDPB; nu există interpretări naționale divergente pe care un operator să se poată baza.
• Evoluții — reformă în curs a art. 30(5). Textul art. 30 este stabil de la aplicarea GDPR, dar există o propunere de simplificare care atinge direct derogarea: pachetul Omnibus IV (propunere a Comisiei Europene din mai 2025), reluat în Digital Omnibus (publicat 19 noiembrie 2025). Aceasta ar ridica pragul de la 250 la 750 de angajați (categoria „small mid-caps", cu criterii financiare: cifră de afaceri ≤ 150 mil. EUR sau bilanț ≤ 129 mil. EUR) și ar înlocui standardul „un risc" cu „risc ridicat" (în sensul art. 35). La 2026 propunerea NU este adoptată — se află în negociere Parlament–Consiliu, iar textul în vigoare rămâne cel actual. EDPB și EDPS (Joint Opinion 01/2025, 9 iulie 2025) au salutat modificarea, dar au cerut clarificări; ei au subliniat că, și în noua formă, registrul ar rămâne obligatoriu pentru prelucrările cu risc ridicat. Nu vizează, așadar, eliminarea evidenței interne, ci restrângerea ei pentru firmele mijlocii cu prelucrări fără risc ridicat — registrul rămâne instrumentul de bază al responsabilității. Surse: EDPB — modificări GDPR record-keeping; EDPB–EDPS Joint Opinion 01/2025 (accesat 2026-08-18)

Întrebări frecvente

Firma mea are sub 250 de angajați — chiar trebuie să țin registrul? Aproape sigur da. Art. 30(5) pare să scutească organizațiile mici, dar cele trei excepții (prelucrare cu risc, neocazională sau de date sensibile) anulează scutirea în majoritatea cazurilor reale. Dacă ai angajați (salarizare) sau clienți recurenți (facturare), acele prelucrări sunt „neocazionale" și registrul devine obligatoriu — a confirmat-o expres Grupul de Lucru Art. 29 în poziția din 19 aprilie 2018.

Trebuie să depun registrul la ANSPDCP? Nu. Registrul este o evidență internă; nu se depune și nu se înregistrează nicăieri. Îl prezinți autorității doar la cerere (art. 30 alin. 4), de regulă într-un control. Vechea obligație de notificare a prelucrărilor (și „numărul de operator") a fost eliminată odată cu aplicarea GDPR, de la 25 mai 2018.

Există un formular oficial obligatoriu? Nu. Legea cere doar formă scrisă, inclusiv electronică (art. 30 alin. 3). Un tabel Excel complet și actualizat este suficient. ANSPDCP oferă un ghid orientativ, dar nu impune un format.

Care e diferența dintre registrul operatorului și cel al persoanei împuternicite? Registrul operatorului (art. 30 alin. 1) documentează scopurile și toate elementele prelucrării. Registrul persoanei împuternicite (art. 30 alin. 2) este mai restrâns și listează categoriile de prelucrări efectuate în numele fiecărui operator-client, fără scopuri. O firmă poate avea ambele calități și, deci, ambele registre.

Cât de des trebuie actualizat? Ori de câte ori se schimbă ceva relevant: un scop nou, o categorie nouă de date, un furnizor nou (destinatar), un transfer internațional sau un termen de stocare modificat. Nu este un document static.

Ce risc există dacă nu am registru? Încălcarea art. 30 se sancționează în temeiul art. 83 alin. (4) lit. (a) GDPR, cu amenzi de până la 10.000.000 EUR sau 2% din cifra de afaceri mondială anuală. În plus, lipsa registrului este de regulă primul semnal de neconformitate într-un control și poate agrava evaluarea altor încălcări.

Am nevoie de un DPO ca să țin registrul? Nu. Obligația registrului și obligația de a numi un DPO sunt distincte. Poți fi obligat să ții registrul fără a fi obligat să numești un DPO. Când însă ai un DPO, registrul este instrumentul lui principal de lucru.

Sunt PFA / liber-profesionist fără angajați — trebuie registru? Aproape sigur da. Deși ai zero angajați (sub 250), excepțiile art. 30(5) se activează la aceste profesii: un medic sau psiholog prelucrează date de sănătate (date sensibile, art. 9), iar un avocat, notar sau contabil prelucrează datele clienților neocazional, în cursul obișnuit al activității. Oricare dintre aceste situații face registrul obligatoriu. Calitatea de persoană fizică autorizată nu te scutește: rămâi „operator" în sensul art. 4 pct. 7.

Ține un magazin online din afara UE care vinde în România un registru? Da. Operatorul non-UE care vizează piața românească (art. 3 alin. 2) rămâne obligat să țină registrul. El desemnează și un reprezentant în UE (art. 27), care păstrează o copie a evidenței și o prezintă ANSPDCP la cerere, într-o limbă accesibilă (română sau engleză). Reprezentantul nu preia răspunderea de fond — aceasta rămâne a operatorului.

Cine ține registrul la insolvență, fuziune sau vânzare de active? La insolvență/faliment, lichidatorul judiciar (Legea nr. 85/2014) preia obligația pentru prelucrările din procedură. La fuziune/divizare (Legea nr. 31/1990) operează succesiunea universală — succesorul preia și consolidează registrul. La transfer de active (asset deal) nu există succesiune universală, așa că preluarea registrului se stabilește prin contract. În toate cazurile, evidența trebuie să continue neîntrerupt și trasabil.

Registrul este același lucru cu evidența breșelor sau cu registrul DPIA? Nu. Sunt evidențe diferite: registrul art. 30 (ROPA) documentează toate prelucrările curente; evidența breșelor (art. 33 alin. 5) se ține doar la un incident de securitate; registrul DPIA (art. 35) privește doar prelucrările cu risc ridicat; evidența consimțămintelor (art. 7 alin. 1) dovedește consimțământul acolo unde el e temeiul. Nu pot fi contopite într-un singur document.

Practică și opinii

⚠️ Poziție oficială (WP29 / EDPB) — Position paper on the derogations from the obligation to maintain records of processing activities pursuant to Article 30(5) GDPR, 19 aprilie 2018. Grupul de Lucru Art. 29 (predecesorul EDPB) a subliniat că cele trei situații care înlătură derogarea pentru organizațiile cu sub 250 de angajați sunt alternative — este suficientă una singură pentru a declanșa obligația. Totodată, a precizat că, atunci când se aplică o excepție, IMM-ul poate limita registrul doar la prelucrările vizate, dar a încurajat toate organizațiile să țină un registru complet, ca instrument de evaluare a riscurilor și de identificare a măsurilor de securitate. Sursa: EDPB — Position paper Article 30(5) (accesat 2026-08-18)

Concepția greșită dominantă în practica românească rămâne aceea că registrul „e o formalitate de corporație", pe care firmele mici o pot ignora invocând pragul de 250 de angajați. Practicienii în protecția datelor atrag atenția, constant, că acest raționament este eronat: excepțiile art. 30(5) fac ca pragul să nu opereze aproape niciodată pentru o afacere activă.

⚠️ Opinie de practică — surse de specialitate din mediul juridic și de consultanță GDPR din România (de ex. materiale publicate pe avocatnet.ro și de cabinete specializate) subliniază că registrul trebuie tratat ca o evidență „vie", construită prin inventarierea reală a fluxurilor de date din fiecare departament, nu prin copierea unui șablon. Un registru șablon, necorelat cu prelucrările reale, oferă o falsă senzație de conformitate și nu rezistă la un control. (Opinie de practică — a se verifica față de situația concretă a organizației.)

În controalele ANSPDCP, registrul funcționează ca document de referință: pornind de la el, autoritatea verifică dacă temeiurile juridice, termenele de stocare, informarea persoanelor și măsurile de securitate declarate corespund realității. De aceea, un registru corect întocmit nu este doar o obligație formală, ci și cel mai eficient instrument de apărare a conformității.

Cât de des sancționează ANSPDCP registrul, în practică

Din tiparul deciziilor și comunicatelor publicate de ANSPDCP pe dataprotection.ro, lipsa sau deficiența registrului art. 30 este rar sancționată de sine stătător. De regulă apare ca circumstanță agravantă ori ca indiciu de neconformitate într-un dosar în care problema principală ține de altceva — securitatea prelucrării (art. 32), lipsa unui temei valid, nerespectarea drepturilor persoanelor vizate sau a obligației de informare. Într-un control, registrul este primul document cerut (art. 30 alin. 4); absența lui slăbește direct dovada responsabilității și „colorează" evaluarea celorlalte fapte, dar cuantumul amenzii se raportează, în deciziile publicate, la încălcarea de fond, nu la registru izolat.

⚠️ Opinie de practică — nu trebuie citit de aici că registrul e „mai puțin important". Tocmai pentru că amenda art. 83 presupune culpă (v. CJUE, C-807/21), un registru complet și actualizat funcționează ca probă de diligență, iar unul absent poate fi reținut ca neglijență ce agravează sancțiunea principală. (Observație privind tiparul aplicării — cuantumurile concrete trebuie verificate în deciziile ANSPDCP publicate; a se raporta la situația concretă.)

Referințe

1. Regulamentul (UE) 2016/679 (GDPR), art. 30 — Evidențele activităților de prelucrare. Text consolidat: eur-lex.europa.eu — CELEX 02016R0679-20160504.
2. Regulamentul (UE) 2016/679 (GDPR), art. 83 alin. (4) lit. (a) — regimul sancțiunilor pentru încălcarea art. 30 (până la 10.000.000 EUR sau 2% din cifra de afaceri mondială).
3. Regulamentul (UE) 2016/679, considerentul 82 — evidența ca mijloc de a demonstra conformitatea și de a coopera cu autoritatea de supraveghere.
4. Regulamentul (UE) 2016/679, art. 5 alin. (2) — principiul responsabilității (accountability).
5. Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR — nu conține reguli speciale pentru registru; art. 30 GDPR se aplică direct.
6. WP29 / EDPB — Position paper on the derogations from the obligation to maintain records of processing activities pursuant to Article 30(5) GDPR, 19 aprilie 2018: edpb.europa.eu.
7. ANSPDCP — Ghidul orientativ de aplicare a GDPR (secțiunea „Noul Regulament"): dataprotection.ro.
8. CJUE, Cauza C-340/21, Natsionalna agentsia za prihodite (14 decembrie 2023) — sarcina probei conformității (art. 5(2), 24, 32) revine operatorului: eur-lex.europa.eu — CELEX 62021CJ0340.
9. CJUE, Cauza C-807/21, Deutsche Wohnen SE (5 decembrie 2023) — amenzile art. 83 presupun culpabilitate (intenție/neglijență), fără răspundere obiectivă: eur-lex.europa.eu — CELEX 62021CJ0807.
10. Directiva 95/46/CE (abrogată de GDPR) — regimul anterior de notificare, transpus în România prin Legea nr. 677/2001 (abrogată).
11. Comisia Europeană — pachetul Omnibus IV / Digital Omnibus (propunere mai 2025; Digital Omnibus publicat 19 noiembrie 2025) — propunere de modificare a art. 30(5): prag 250→750 angajați („small mid-caps") și standardul „un risc"→„risc ridicat"; neadoptată la 2026. EDPB: modificări GDPR record-keeping; EDPB–EDPS Joint Opinion 01/2025 (9 iulie 2025).
12. Regulamentul (UE) 2016/679, art. 27 — reprezentantul operatorilor/persoanelor împuternicite nestabiliți în UE; și art. 3 alin. (2) — domeniul teritorial de aplicare.
13. Regulamentul (UE) 2016/679, art. 28 alin. (4) — subîmputerniciții; art. 33 alin. (5) (evidența breșelor), art. 35 (DPIA), art. 7 alin. (1) (dovada consimțământului) — evidențe distincte de registrul art. 30.
14. Legea nr. 85/2014 privind procedurile de prevenire a insolvenței și de insolvență și Legea nr. 31/1990 a societăților — succesiunea obligației art. 30 la discontinuitatea operatorului (lichidator judiciar; fuziune/divizare): legislatie.just.ro.