Temeiurile legale de prelucrare (art. 6)

Orice prelucrare de date personale trebuie să se sprijine pe cel puțin unul dintre cele șase temeiuri din art. 6 GDPR: consimțământul, executarea unui contract, o obligație legală, protejarea intereselor vitale, o sarcină de interes public sau interesul legitim. Temeiul se alege și se documentează înainte de a începe prelucrarea și nu poate fi schimbat oportunist pe parcurs.

Pe scurt

Orice prelucrare de date cu caracter personal trebuie să se sprijine pe cel puțin unul dintre cele șase temeiuri legale prevăzute de art. 6 din GDPR: consimțământul, executarea unui contract, o obligație legală, protejarea intereselor vitale, o sarcină de interes public sau interesul legitim. Alegerea temeiului nu este opțională și nici interschimbabilă — trebuie stabilită înainte de a începe prelucrarea și documentată. Greșeala cea mai frecventă în firme este să ceară „consimțământ" pentru situații în care legea impune deja un alt temei (contract, obligație legală), ceea ce creează obligații suplimentare inutile și riscuri de conformitate.

Cadrul legal

Temeiurile legale de prelucrare sunt reglementate direct de Regulamentul (UE) 2016/679 (GDPR), aplicabil în România fără transpunere, completat de Legea nr. 190/2018.

Art. 6 alin. (1) GDPR stabilește principiul de bază: prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin unul dintre următoarele temeiuri:

Art. 6 alin. (1) GDPR — Prelucrarea este legală numai dacă se aplică cel puțin una dintre următoarele condiții: (a) consimțământul persoanei vizate pentru unul sau mai multe scopuri specifice; (b) prelucrarea este necesară pentru executarea unui contract sau pentru demersuri precontractuale; (c) o obligație legală a operatorului; (d) protejarea intereselor vitale; (e) o sarcină de interes public sau exercitarea autorității publice; (f) interesele legitime ale operatorului sau ale unui terț. Sursa: GDPR, Art. 6 – text consolidat (accesat 2026-09-06)

Temeiul de la litera (f) nu se aplică autorităților publice în îndeplinirea atribuțiilor lor. Pentru literele (c) și (e), art. 6 alin. (3) GDPR cere ca temeiul concret să fie prevăzut în dreptul Uniunii sau în dreptul intern.

Consimțământul este detaliat de art. 7 GDPR (condiții) și art. 4 pct. 11 GDPR (definiție): manifestare de voință liberă, specifică, informată și lipsită de ambiguitate. Operatorul trebuie să poată demonstra consimțământul, iar persoana vizată îl poate retrage oricând, la fel de ușor cum l-a acordat.

Pentru categoriile speciale de date (sănătate, date biometrice/genetice, origine etnică, opinii politice, apartenență sindicală, viață sexuală etc.), art. 9 GDPR instituie o interdicție de principiu: pe lângă un temei din art. 6, este nevoie și de o excepție din art. 9 alin. (2) (de regulă consimțământ explicit sau o prevedere legală specifică).

La nivel național, Legea nr. 190/2018 completează aceste temeiuri:

• Art. 3 — prelucrarea codului numeric personal (CNP) este permisă doar cu un temei din art. 6 și cu garanții suplimentare (politici interne, DPO, termene de stocare, instruirea personalului);
• Art. 5 — monitorizarea angajaților prin mijloace electronice sau videosupraveghere este permisă doar dacă interesele legitime ale angajatorului prevalează, cu informare prealabilă și consultarea reprezentanților salariaților;
• Art. 10 — prelucrarea datelor genetice, biometrice sau privind sănătatea pentru procese decizionale automatizate/profilare cere consimțământ expres sau o dispoziție legală expresă.

Sursa: Legea nr. 190/2018 (accesat 2026-09-06)

Explicație detaliată

Cele șase temeiuri sunt egale ca valoare juridică — niciunul nu este „mai bun" decât altul în abstract. Ceea ce contează este ca temeiul ales să se potrivească realității prelucrării. Iată cum se aplică fiecare în activitatea unei firme.

(a) Consimțământul

Este alegerea corectă atunci când prelucrarea nu este necesară pentru niciun alt motiv și persoana are o opțiune reală: newsletter de marketing, cookie-uri neesențiale, folosirea unei fotografii în scop promoțional. Consimțământul trebuie să fie liber, specific, informat și lipsit de ambiguitate (art. 4 pct. 11 și art. 7 GDPR). Bifele pre-completate, „consimțământul" ascuns în termeni și condiții sau condiționarea unui serviciu de acceptarea unei prelucrări inutile nu sunt valabile.

Punctul slab al consimțământului: poate fi retras oricând (art. 7 alin. (3)). Dacă retragerea ar bloca o activitate pe care oricum trebuie să o desfășori (de exemplu emiterea unei facturi), înseamnă că temeiul corect nu era consimțământul, ci contractul sau obligația legală.

(b) Executarea unui contract

Se aplică atunci când prelucrarea este necesară pentru a executa un contract la care persoana este parte sau pentru demersuri precontractuale la cererea ei: livrarea unui produs comandat online, deschiderea unui cont, procesarea unei plăți, comunicările legate de comandă. Testul este necesitatea obiectivă: dacă poți executa contractul fără acea prelucrare, temeiul contractual nu acoperă acea operațiune (de exemplu, marketingul nu este „necesar" pentru livrarea coletului).

(c) Obligația legală

Acoperă prelucrările impuse de lege operatorului: păstrarea facturilor (legislația fiscală și contabilă), raportările către ANAF, reținerea și virarea contribuțiilor salariale, obligațiile de prevenire a spălării banilor. Aici persoana nu are drept de opoziție și nu i se cere consimțământ — ar fi chiar înșelător să i-l ceri.

(d) Interesele vitale

Este un temei de excepție, pentru situații de viață și de moarte, când persoana nu-și poate exprima consimțământul: o urgență medicală, un accident. Rar folosit de firmele obișnuite.

(e) Sarcina de interes public

Vizează în principal autoritățile și instituțiile publice ori entitățile care exercită prerogative de autoritate publică. Temeiul trebuie să fie prevăzut în dreptul UE sau național (art. 6 alin. (3)).

(f) Interesul legitim

Cel mai flexibil, dar și cel mai exigent temei. Permite prelucrarea atunci când operatorul (sau un terț) are un interes real, iar acesta nu este depășit de drepturile și libertățile persoanei vizate. Exemple tipice: prevenirea fraudei, securitatea rețelelor, marketingul direct către clienți existenți, videosupravegherea pentru securitate. Folosirea lui presupune obligatoriu un test de echilibru (LIA – Legitimate Interest Assessment) în trei pași: (1) identifici interesul legitim; (2) demonstrezi necesitatea prelucrării; (3) pui în balanță interesul tău cu impactul asupra persoanei. Testul trebuie documentat, iar persoana are drept de opoziție. Atenție: autoritățile publice nu pot invoca interesul legitim pentru atribuțiile lor.

⚠️ Excepție importantă pentru marketingul electronic: pentru mesajele comerciale prin e-mail, SMS sau apeluri automate, interesul legitim nu este suficient. Se aplică Legea nr. 506/2004 (ePrivacy), care cere consimțământ prealabil, cu îngusta excepție „soft opt-in" pentru clienți existenți (vezi secțiunea Aspecte practice).

Regula de aur: un singur temei, stabilit din start

Pentru o prelucrare dată alegi un temei principal și îl fixezi înainte de a începe. Nu poți „schimba" temeiul pe parcurs pentru că primul devine incomod (de exemplu, să treci de la consimțământ la interes legitim după ce persoana și-a retras consimțământul). O aceeași bază de date de clienți poate însă avea temeiuri diferite pentru scopuri diferite: contract pentru livrare, obligație legală pentru facturare, consimțământ pentru newsletter.

De ce este interzisă „comutarea" temeiului? Raționamentul juridic stă în art. 5 alin. (1) lit. (a) GDPR — principiul legalității, echității (loialității) și transparenței — coroborat cu art. 5 alin. (2) (responsabilitate) și cu obligația de informare din art. 13-14. Persoana vizată trebuie să știe de la început pe ce temei îi sunt prelucrate datele, ca să-și poată exercita drepturile corecte (de exemplu, dreptul de opoziție la interesul legitim, ori retragerea la consimțământ). EDPB numește practica interzisă „no swapping of legal basis": nu poți invoca un al doilea temei doar ca „plasă de siguranță" după ce primul a căzut.

Ce NU interzice regula. Nu este interzis să declari din start, transparent, temeiuri distincte pentru scopuri distincte. Iar art. 6 alin. (4) GDPR permite prelucrarea ulterioară pentru un scop compatibil cu cel inițial fără un temei nou, dacă treci un test de compatibilitate (considerentul 50): (a) legătura dintre scopul inițial și cel nou; (b) contextul colectării și așteptările rezonabile ale persoanei; (c) natura datelor (mai strict pentru art. 9/10); (d) posibilele consecințe asupra persoanei; (e) garanțiile aplicate (pseudonimizare, criptare). Astfel, reutilizarea datelor pentru prevenirea fraudei sau analize interne strâns legate de scopul inițial poate fi legală pe baza compatibilității — atenție însă că prelucrarea ulterioară întemeiată pe consimțământ sau pe o obligație legală/interes public se tratează separat, nu prin testul de compatibilitate.

Aspecte practice

Matrice practică de alegere a temeiului

Atenție — marketingul electronic are o regulă specială. Pentru e-mail, SMS și apeluri automate, Legea nr. 190/2018 nu este singura aplicabilă: Legea nr. 506/2004 (transpunerea Directivei ePrivacy 2002/58/CE) este lex specialis și cere, ca regulă, consimțământ prealabil al destinatarului. Interesul legitim din art. 6 alin. (1) lit. (f) GDPR nu este suficient de unul singur pentru a trimite mesaje comerciale pe aceste canale. Singura relaxare este „soft opt-in"-ul din art. 12 alin. (2) din Legea 506/2004: comerciantul poate scrie clienților existenți doar despre produse/servicii similare celor deja achiziționate și doar dacă oferă, clar și la fiecare mesaj, o cale gratuită de dezabonare. Marketingul „interes legitim + simplu opt-out" rămâne valabil doar pentru canalele neelectronice (poștă clasică, apel efectuat de un operator uman). Sursa: Legea nr. 506/2004, art. 12 (accesat 2026-09-06)

Greșeli frecvente

• „Cerem consimțământ pentru orice, ca să fim siguri." Este cea mai comună eroare. Consimțământul cerut acolo unde există deja contract sau obligație legală este derutant și revocabil — creează riscul ca persoana să-l retragă și tu să rămâi fără temei aparent, deși prelucrarea era oricum obligatorie.
• Colectarea CNP fără temei clar. CNP-ul are protecție specială (art. 3 Legea 190/2018). Nu se cere pentru un simplu formular de contact.
• Confundarea temeiului cu informarea. A avea un temei valabil nu te scutește de obligația de a informa persoana (art. 13-14 GDPR) despre temei, scop și drepturi.
• Lipsa testului de echilibru la interesul legitim. Fără un LIA documentat, nu poți proba conformitatea în fața ANSPDCP.
• Consimțământ „la pachet". Un singur „Accept" pentru livrare + marketing + transfer către parteneri nu îndeplinește condiția de consimțământ specific.

Checklist înainte de a începe o prelucrare

1. Care este scopul concret al prelucrării?
2. Este prelucrarea necesară pentru un contract sau o obligație legală? Dacă da, acela este temeiul — nu consimțământul.
3. Dacă nu, ai un interes legitim care trece testul de echilibru? Documentează LIA.
4. Doar dacă niciunul de mai sus nu se aplică → consimțământ valabil (liber, specific, informat, revocabil).
5. Sunt implicate date sensibile (art. 9) sau CNP? Adaugă excepția din art. 9 alin. (2) și garanțiile Legii 190/2018.
6. Documentează temeiul ales în registrul de evidență a prelucrărilor (art. 30 GDPR) și în nota de informare.

Situații speciale și remedieri

Consimțământul minorilor (art. 8 GDPR)

Când oferi servicii online direct copiilor (magazin online, aplicație, joc, newsletter adresat publicului tânăr) și temeiul este consimțământul, se aplică o condiție suplimentară. Art. 8 GDPR stabilește o vârstă minimă la care copilul își poate da singur un consimțământ valabil. Statele membre pot coborî pragul până la 13 ani, dar România nu a folosit această derogare — Legea nr. 190/2018 nu conține o astfel de prevedere, deci în România pragul rămâne cel din regulament: 16 ani.

• Pentru un utilizator sub 16 ani, consimțământul trebuie dat sau autorizat de titularul răspunderii părintești (părinte/tutore); consimțământul „direct" al copilului nu este valabil.
• Operatorul trebuie să depună eforturi rezonabile pentru a verifica atât vârsta, cât și consimțământul parental, ținând cont de tehnologia disponibilă (art. 8 alin. (2)).
• Regula privește doar temeiul consimțământului. Dacă serviciul funcționează pe contract (de exemplu livrarea unei comenzi) sau pe obligație legală, art. 8 nu se aplică — dar contractele încheiate de minori ridică separat probleme de capacitate civilă.

Sursa: GDPR, art. 8 coroborat cu Legea nr. 190/2018 (accesat 2026-09-06)

Pontajul și controlul accesului biometric la locul de muncă

Amprenta și recunoașterea facială folosite pentru identificarea unică a angajatului sunt date biometrice — categorie specială în sensul art. 9 GDPR, prelucrarea lor fiind interzisă de principiu. Peste această interdicție se suprapune art. 10 din Legea nr. 190/2018, care cere, pentru datele biometrice folosite în procese decizionale automatizate, consimțământ expres sau o dispoziție legală expresă, cu garanții.

Temeiul corect nu este consimțământul angajatului: din cauza raportului de subordonare, EDPB consideră că angajatul nu poate consimți „liber" (Guidelines 05/2020). În practică, pontajul biometric este legal doar dacă trece un test strict de necesitate și proporționalitate: operatorul trebuie să demonstreze că un mijloc mai puțin intruziv (cartelă, cod PIN, condică, aplicație) nu este suficient pentru scopul urmărit. ANSPDCP a sancționat angajatori care au introdus pontajul biometric fără această justificare și fără informarea salariaților. Regula practică: pentru simpla evidență a prezenței, biometria este aproape întotdeauna disproporționată.

Sursa: Legea nr. 190/2018, art. 10; GDPR, art. 9; ANSPDCP – decizii (accesat 2026-09-06)

Situații transfrontaliere — al cui drept dă temeiul (c)/(e)?

Pentru obligația legală (c) și sarcina de interes public (e), art. 6 alin. (3) cere ca temeiul concret să existe în dreptul Uniunii sau în dreptul statului membru căruia i se supune operatorul. Determinant este așadar dreptul aplicabil operatorului (de regulă, cel al statului său de stabilire), nu dreptul statului de reședință al persoanei vizate. Un operator român care are clienți în alte state UE invocă, pentru (c)/(e), obligațiile din dreptul român sau din dreptul UE care i se aplică — nu o obligație din legea clientului. Un operator din afara UE aflat sub incidența art. 3 GDPR trebuie și el să indice o obligație existentă în dreptul UE sau al unui stat membru; o obligație doar din dreptul statului terț nu satisface art. 6 alin. (3). (Temeiurile (a), (b) și (f) nu depind de dreptul național în același fel — se aplică direct din regulament.)

Ce faci dacă ai ales temeiul greșit?

Descoperi, într-un audit intern sau într-un control ANSPDCP, că ai prelucrat pe un temei nepotrivit. Nu poți „regulariza" retroactiv prelucrarea trecută: nu o salvezi nici prin obținerea unui consimțământ ulterior, nici prin „mutarea" ei pe un alt temei descoperit acum, pentru că principiile de transparență și loialitate (art. 5) cer ca temeiul să fi fost corect și comunicat la momentul prelucrării. Ce poți face concret:

1. Oprești prelucrarea nelegală și evaluezi impactul (eventual notifici o încălcare, dacă e cazul).
2. Ștergi datele prelucrate fără temei valabil, dacă nu există un alt temei care să impună păstrarea (art. 17).
3. Reiei prelucrarea, pentru viitor, pe un temei corect stabilit și comunicat corect (de exemplu, ceri un consimțământ valabil sau documentezi un interes legitim cu LIA).
4. Documentezi corecția și lecțiile în registrul de evidență (art. 30).

Ideea-cheie: consimțământul ulterior sau temeiul alternativ acoperă doar prelucrarea de aici înainte, nu spală ilegalitatea din trecut.

Operatori asociați (art. 26) și persoane împuternicite (art. 28)

Când doi operatori stabilesc împreună scopurile și mijloacele (de exemplu o platformă și un comerciant care decid împreună o operațiune comună), sunt operatori asociați (art. 26): ei stabilesc împreună temeiul pentru operațiunea comună și încheie un acord care repartizează transparent responsabilitățile (informarea persoanelor, răspunsul la cereri, notificarea încălcărilor). Pentru aceeași operațiune de prelucrare, temeiul trebuie să fie coerent — nu doi operatori invocând temeiuri contradictorii pentru exact același scop; pot exista însă temeiuri diferite pentru contribuții/scopuri diferite ale fiecăruia, clarificate în acord. Față de persoana vizată, răspunderea este, de regulă, solidară (art. 82).

Situația e diferită la persoana împuternicită (art. 28), care prelucrează numai la instrucțiunile operatorului: aici temeiul îl stabilește și îl documentează operatorul, iar contractul de prelucrare (DPA) îl reflectă (scop, durată, categorii de date, măsuri de securitate și confidențialitate). Împuternicitul nu-și „alege" un temei propriu pentru prelucrarea făcută în numele operatorului.

Sursa: GDPR, art. 26 și art. 28; EDPB, Guidelines 07/2020 (operator/persoană împuternicită) (accesat 2026-09-06)

Legislație europeană

Temeiurile de la art. 6 nu sunt o invenție a legiuitorului român, ci decurg direct din dreptul Uniunii: art. 8 din Carta drepturilor fundamentale a UE cere ca datele să fie prelucrate „pe baza consimțământului persoanei interesate sau în temeiul unui alt motiv legitim prevăzut de lege", iar art. 16 TFUE consacră dreptul la protecția datelor. GDPR nu face decât să transforme această listă în cele șase temeiuri concrete.

Directive și regulamente aplicabile

Regulamentul (UE) 2016/679 (GDPR), Art. 6 — actul central, direct aplicabil în România fără transpunere. Art. 6 alin. (3) permite dreptului intern să detalieze doar temeiurile de la lit. (c) obligație legală și (e) sarcină de interes public. Sursa: GDPR – text consolidat (accesat 2026-09-06). CELEX 32016R0679.

Directiva 2002/58/CE (ePrivacy) — regim special (lex specialis) pentru consimțământul în comunicațiile electronice. Art. 5 alin. (3) (cookie-uri și tehnologii similare) și art. 13 (comunicări comerciale nesolicitate — e-mail marketing) impun un consimțământ care se raportează la standardul GDPR (art. 4 pct. 11). Practic, pentru newsletter sau cookie-uri neesențiale, temeiul consimțământului de la art. 6 se combină cu cerințele acestei directive. Sursa: Directiva 2002/58/CE (accesat 2026-09-06). CELEX 32002L0058.

Transpunerea în dreptul român

• GDPR fiind regulament, se aplică direct — România nu îl transpune, ci doar îl completează prin Legea nr. 190/2018 (CNP, monitorizarea angajaților, date sensibile în profilare — vezi Cadrul legal).
• Directiva 2002/58/CE este transpusă prin Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice (M. Of. nr. 1101/2004). Aceasta detaliază, pentru marketingul electronic și cookie-uri, cerința de consimțământ pe care art. 6 lit. (a) o presupune.
• Autoritatea de supraveghere este ANSPDCP, care aplică atât GDPR, cât și legile naționale de completare. România nu practică gold-plating semnificativ pe temeiuri: lista din art. 6 rămâne identică, adăugându-se doar garanții pentru CNP și date sensibile.

Jurisprudență CJUE

Curtea de Justiție a UE a modelat felul în care se aplică fiecare temei:

Cauza C-61/19, Orange România SA v ANSPDCP (11 noiembrie 2020) — cauză românească (trimitere a Tribunalului București). Consimțământul nu este valabil dacă operatorul folosește o casetă bifată în prealabil: considerentul (32) GDPR exclude expres „tăcerea, casetele bifate în prealabil sau absența unei acțiuni". Operatorul trebuie să dovedească un comportament activ, liber și informat. Sursa: CJUE, C-61/19 (accesat 2026-09-06). ECLI:EU:C:2020:901. Precedent conex: C-673/17, Planet49 (bife pre-completate pentru cookie-uri — ECLI:EU:C:2019:801).

Cauza C-252/21, Meta Platforms v Bundeskartellamt (4 iulie 2023, Marea Cameră) — reper pentru interpretarea art. 6: temeiul executării contractului (lit. b) se interpretează strict — publicitatea personalizată nu este, de regulă, obiectiv necesară pentru serviciul unei rețele sociale; interesul legitim (lit. f) poate acoperi publicitatea doar dacă trece testul de echilibru; iar consimțământul dat unei întreprinderi în poziție dominantă trebuie examinat atent (dezechilibru de putere). Sursa: CJUE, C-252/21 (accesat 2026-09-06). ECLI:EU:C:2023:537.

Cauza C-621/22, KNLTB (4 octombrie 2024) — un interes pur comercial poate constitui un „interes legitim" în sensul art. 6 alin. (1) lit. (f) (test negativ: orice interes care nu este contrar legii). Însă existența interesului nu face prelucrarea legală prin ea însăși: dacă există o alternativă mai puțin intruzivă (a întreba persoanele), condiția necesității cade — motiv pentru care dezvăluirea contra cost a datelor membrilor către sponsori a fost sancționată. Sursa: CJUE, C-621/22 (accesat 2026-09-06).

Aspecte practice din perspectivă europeană

• Aplicabilitate uniformă în UE. Fiind regulament, GDPR asigură aceleași șase temeiuri în toate statele membre; o firmă românească care prelucrează date ale clienților din alte state UE folosește același art. 6, fără a verifica temeiuri naționale diferite.
• Ghidul CJUE contează în România. Deciziile de mai sus sunt obligatorii pentru ANSPDCP și instanțele române. Concret: nu folosi bife pre-completate (C-61/19); nu invoca „contractul" pentru marketing (C-252/21); documentează testul de echilibru chiar și pentru un interes comercial legitim (C-621/22).
• Schimbări legislative așteptate. Propunerea de Regulament ePrivacy (menit să înlocuiască Directiva 2002/58/CE) este încă în proces legislativ; până la adoptare rămâne aplicabilă Legea nr. 506/2004. Separat, Regulamentul (UE) 2024/1689 (AI Act) introduce restricții pentru sisteme care prelucrează date biometrice — relevante când temeiul din art. 6 se combină cu excepțiile din art. 9.

Sursa: AI Act – Regulamentul (UE) 2024/1689 (accesat 2026-09-06). CELEX 32024R1689.

Întrebări frecvente

Trebuie să am consimțământ pentru orice prelucrare de date? Nu. Consimțământul este doar unul dintre cele șase temeiuri. Pentru livrarea unei comenzi temeiul este contractul, pentru facturare este obligația legală, pentru marketingul către clienți existenți poate fi interesul legitim. Consimțământul se folosește doar când nu se aplică niciun alt temei.

Pot schimba temeiul pe parcurs? Nu poți „comuta" oportunist pe alt temei doar pentru că primul a căzut (de exemplu, să treci la interes legitim după ce persoana și-a retras consimțământul) — art. 5 alin. (1) lit. (a) cere ca temeiul să fie stabilit și comunicat înainte. Poți însă (a) declara din start temeiuri diferite pentru scopuri diferite ale aceleiași baze de date și (b) reutiliza datele pentru un scop compatibil fără temei nou, dacă treci testul de compatibilitate din art. 6 alin. (4).

Ce se întâmplă dacă persoana își retrage consimțământul? Trebuie să încetezi prelucrarea bazată pe consimțământ, dar prelucrările anterioare rămân legale (art. 7 alin. (3)). Dacă mai există un alt temei valabil pentru alt scop (de exemplu, păstrarea facturii), acela continuă să se aplice.

Interesul legitim mă scutește de acordul persoanei? Da, dar cu condiții: trebuie să faci și să documentezi un test de echilibru (LIA), să informezi persoana și să îi respecți dreptul de opoziție. Autoritățile publice nu pot invoca interesul legitim pentru atribuțiile lor.

Am nevoie de un temei special pentru datele medicale sau CNP? Da. Datele sensibile (art. 9) cer, pe lângă un temei din art. 6, o excepție din art. 9 alin. (2) — de obicei consimțământ explicit sau o prevedere legală. CNP-ul are garanții suplimentare prin art. 3 din Legea 190/2018.

Ce risc am dacă aleg temeiul greșit? Prelucrarea devine nelegală, ceea ce poate atrage amenzi de până la 20 milioane EUR sau 4% din cifra de afaceri globală (art. 83 GDPR), ordine de remediere din partea ANSPDCP și cereri de daune din partea persoanelor vizate.

Am descoperit că prelucrez pe un temei greșit — pot repara retroactiv? Nu. Nu poți „regulariza" trecutul nici prin consimțământ ulterior, nici mutând prelucrarea pe alt temei descoperit acum — temeiul trebuia să fie corect la momentul prelucrării. Practic: oprești prelucrarea nelegală, ștergi datele fără temei valabil (art. 17) și, dacă mai e nevoie, reiei prelucrarea pentru viitor pe un temei corect și comunicat.

De la ce vârstă își poate da un copil singur consimțământul pentru servicii online? În România, de la 16 ani (art. 8 GDPR; Legea 190/2018 nu coboară pragul). Sub 16 ani, pentru servicii online adresate direct copiilor, e nevoie de consimțământul titularului răspunderii părintești, iar operatorul trebuie să facă verificări rezonabile ale vârstei și ale acordului parental.

Pot folosi biometria (amprentă, față) pentru pontajul angajaților? Doar excepțional. Sunt date sensibile (art. 9 GDPR + art. 10 Legea 190/2018), iar consimțământul angajatului rareori este valabil din cauza subordonării. Trebuie să demonstrezi că o alternativă mai puțin intruzivă (cartelă, PIN) nu e suficientă — pentru simpla prezență, biometria e de regulă disproporționată și a fost sancționată de ANSPDCP.

Practică și opinii

⚠️ Orientare oficială — Comitetul European pentru Protecția Datelor (EDPB / fostul Grup de Lucru Art. 29) În Orientările privind consimțământul (Guidelines 05/2020), EDPB subliniază că un consimțământ „liber exprimat" presupune o alegere reală, fără dezechilibru de putere și fără condiționarea serviciului de acceptarea unei prelucrări care nu este necesară. Pentru raporturile de muncă, autoritatea consideră că angajatul se află de regulă într-o poziție de subordonare, astfel încât consimțământul rareori poate fi un temei valabil — angajatorul ar trebui să se sprijine pe contract, obligație legală sau interes legitim. Sursa: EDPB, Guidelines 05/2020 on consent under Regulation 2016/679

⚠️ Practică ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal În deciziile de sancționare publicate, ANSPDCP a amendat operatori care au invocat consimțământul acolo unde prelucrarea se baza de fapt pe alt temei, precum și operatori care au colectat CNP sau au instalat sisteme de videosupraveghere fără un temei documentat și fără informarea persoanelor. Recomandarea practică desprinsă din aceste cazuri: documentează temeiul înainte, nu după un control. Sursa: ANSPDCP – decizii și comunicate

Recomandare de practică: cea mai frecventă neconformitate în IMM-uri nu este absența unei politici de confidențialitate, ci nepotrivirea dintre temeiul declarat și realitatea prelucrării. O „hartă a prelucrărilor" (scop → temei → categorii de date → termen de stocare) rezolvă majoritatea problemelor și alimentează direct registrul de evidență cerut de art. 30 GDPR.

Referințe

1. Regulamentul (UE) 2016/679 (GDPR), Art. 6 – Legalitatea prelucrării — text consolidat, eur-lex.europa.eu (accesat 2026-09-06). CELEX 32016R0679.
2. Regulamentul (UE) 2016/679 (GDPR), Art. 7 – Condiții privind consimțământul — eur-lex.europa.eu (accesat 2026-09-06).
3. Regulamentul (UE) 2016/679 (GDPR), Art. 9 – Prelucrarea de categorii speciale de date — eur-lex.europa.eu (accesat 2026-09-06).
4. Regulamentul (UE) 2016/679 (GDPR), Art. 4 pct. 11 – Definiția consimțământului — eur-lex.europa.eu (accesat 2026-09-06).
5. Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR (M. Of. nr. 651/2018), Art. 3, 5, 10 — legislatie.just.ro (accesat 2026-09-06).
6. Regulamentul (UE) 2016/679 (GDPR), Art. 8 – Condiții aplicabile consimțământului copiilor — eur-lex.europa.eu (accesat 2026-09-06).
7. Regulamentul (UE) 2016/679 (GDPR), Art. 6 alin. (4) și considerentul 50 – Prelucrarea ulterioară pentru scop compatibil — eur-lex.europa.eu (accesat 2026-09-06).
8. Regulamentul (UE) 2016/679 (GDPR), Art. 26 și Art. 28 – Operatori asociați; persoana împuternicită — eur-lex.europa.eu (accesat 2026-09-06).
9. Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice (transpune Directiva 2002/58/CE – ePrivacy), Art. 12 – legislatie.just.ro (accesat 2026-09-06).
10. EDPB, Guidelines 05/2020 on consent under Regulation 2016/679 — Comitetul European pentru Protecția Datelor.
11. EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR — Comitetul European pentru Protecția Datelor.
12. ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, dataprotection.ro (accesat 2026-09-06).