Datele angajaților — dosarul de personal

Dosarul de personal este ansamblul datelor pe care angajatorul, în calitate de operator, le prelucrează despre fiecare salariat. Prelucrarea se face în temeiul obligației legale și al executării contractului de muncă, nu al consimțământului, respectând concomitent GDPR, Legea nr. 190/2018 și Codul muncii. Datele se păstrează doar atât cât impune legea, iar angajatul are dreptul de a fi informat, de a-și accesa datele și de a primi copii.

Pe scurt

Dosarul de personal este ansamblul datelor și documentelor pe care angajatorul, în calitate de operator de date, le prelucrează despre fiecare salariat — de la contractul individual de muncă și actele de identitate până la certificatele medicale și fișele de salariu. Prelucrarea trebuie să respecte concomitent Regulamentul (UE) 2016/679 (GDPR), Legea nr. 190/2018 și Codul muncii (Legea nr. 53/2003): fiecare categorie de date are nevoie de un temei legal (de regulă obligația legală sau executarea contractului, nu consimțământul), iar datele se păstrează doar atât cât impune legea. Angajatul are dreptul de a fi informat, de a accesa și de a primi copii ale propriilor date, cu limitele impuse de obligația de arhivare.

Cadrul legal

Prelucrarea datelor din dosarul de personal se află la intersecția a trei corpuri de reguli: legislația generală de protecția datelor, regulile naționale de aplicare și dreptul muncii.

1. Regulamentul (UE) 2016/679 (GDPR) — direct aplicabil în România, stabilește principiile și temeiurile prelucrării.

Art. 5 GDPR — Datele sunt prelucrate în mod legal, echitabil și transparent; sunt colectate în scopuri determinate; sunt adecvate, relevante și limitate la ce este necesar (minimizare); sunt păstrate pe o perioadă care nu depășește scopul (limitarea stocării); sunt prelucrate în condiții de securitate. Sursa: Regulamentul (UE) 2016/679, art. 5 (accesat 2026-09-06)

Art. 6(1) GDPR — Prelucrarea este legală doar dacă există un temei: (b) executarea contractului la care persoana vizată este parte; (c) îndeplinirea unei obligații legale; (f) interesul legitim al operatorului. Sursa: Regulamentul (UE) 2016/679, art. 6 (accesat 2026-09-06)

Pentru datele privind sănătatea (concedii și certificate medicale), care sunt categorii speciale, se aplică art. 9 GDPR, prelucrarea fiind permisă în temeiul obligațiilor din dreptul muncii și securității sociale [art. 9(2)(b)]. Art. 88 GDPR permite statelor membre reguli mai specifice pentru prelucrarea în contextul ocupării forței de muncă.

2. Legea nr. 190/2018 — măsuri naționale de punere în aplicare a GDPR.

Art. 4 — prelucrarea codului numeric personal (CNP) și a altor numere cu funcție de identificare este permisă cu garanții suplimentare (măsuri de securitate, desemnarea unui responsabil când e cazul, termen de stocare, formarea persoanelor autorizate). Sursa: Legea nr. 190/2018 (accesat 2026-09-06)

Tot Legea nr. 190/2018, la art. 10, reglementează monitorizarea la locul de muncă (sisteme de supraveghere), subiect tratat separat.

3. Codul muncii (Legea nr. 53/2003, republicată) — impune ținerea evidenței salariaților și accesul acestora la propriile documente.

Art. 34 — Fiecare angajator înființează un registru general de evidență a salariaților, care se păstrează la sediu. La solicitarea salariatului sau a fostului salariat, angajatorul este obligat să elibereze un document care atestă activitatea desfășurată, vechimea în muncă, în meserie și în specialitate. Sursa: Codul muncii, art. 34 (accesat 2026-09-06)

Registrul general de evidență a salariaților se completează și se transmite prin platforma REGES-ONLINE, reglementată de HG nr. 295/2025 (în vigoare din 31 martie 2025, publicată în MO nr. 279/2025), care a înlocuit mecanismul REVISAL din HG nr. 905/2017.

Termenele de arhivare rezultă din Legea nr. 16/1996 a Arhivelor Naționale și din Legea contabilității nr. 82/1991 (a se vedea secțiunea „Aspecte practice”).

Explicație detaliată

Ce este dosarul de personal și cine îl gestionează

„Dosarul de personal” nu este definit ca atare printr-un singur articol de lege, ci este ansamblul documentelor și datelor pe care angajatorul le întocmește și le păstrează pentru fiecare salariat, în executarea raportului de muncă. În limbajul GDPR, angajatorul este operator de date cu caracter personal: el stabilește scopurile și mijloacele prelucrării și răspunde pentru respectarea regulilor. Calitatea de operator există pe tot ciclul — din faza de recrutare, pe durata executării contractului și după încetarea acestuia (pentru arhivare, litigii, pensii).

Ce poate conține dosarul de personal

Conținutul concret depinde de funcție și de obligațiile legale, dar tipic cuprinde:

• date de identificare: nume, prenume, CNP, serie și număr act de identitate, adresă, date de contact;
• documente contractuale: contractul individual de muncă și actele adiționale, fișa postului, dovada informării prealabile (art. 17 Codul muncii);
• date privind studiile și cariera: diplome, certificate de calificare, CV, referințe;
• date financiare și fiscale: cont bancar, state de plată, declarații fiscale, deduceri personale;
• date privind sănătatea (categorii speciale): fișa de aptitudine de la medicina muncii, certificate/concedii medicale — prelucrate strict în temeiul dreptului muncii;
• alte documente: decizii de sancționare, evaluări, cereri de concediu, adeverințe eliberate.

Regula de aur este minimizarea (art. 5 GDPR): se colectează doar datele necesare scopului. De exemplu, angajatorul nu are temei să solicite date despre starea civilă a rudelor, apartenența politică ori copii ale actelor de identitate ale membrilor familiei, în lipsa unei obligații legale (de exemplu pentru deduceri fiscale, unde se cere doar strictul necesar).

Temeiul legal: de ce (aproape) niciodată consimțământul

O confuzie frecventă este obținerea „consimțământului” salariatului pentru prelucrarea datelor din dosar. În relația de muncă există un dezechilibru de putere între angajat și angajator, astfel încât consimțământul rareori poate fi considerat liber. Grupul de lucru „Articolul 29” a subliniat, în Avizul 2/2017 privind prelucrarea datelor la locul de muncă, că pentru majoritatea prelucrărilor temeiul nu poate și nu ar trebui să fie consimțământul angajatului.

Temeiurile corecte sunt, în ordine practică:

1. Obligația legală [art. 6(1)(c) GDPR] — pentru date impuse de dreptul muncii, legislația fiscală, de securitate socială și de arhivare (de exemplu, transmiterea în REGES-ONLINE, calculul și reținerea impozitului și contribuțiilor).
2. Executarea contractului [art. 6(1)(b) GDPR] — pentru datele necesare derulării CIM (plata salariului, evidența timpului de lucru, acordarea drepturilor).
3. Interesul legitim [art. 6(1)(f) GDPR] — pentru prelucrări auxiliare (de exemplu, o listă internă de contacte de urgență), cu un test de proporționalitate documentat.
4. Consimțământul [art. 6(1)(a)] — doar excepțional, pentru prelucrări cu adevărat opționale (de exemplu, publicarea fotografiei pe site-ul firmei), revocabil oricând.

Când poate fi totuși valabil consimțământul (paradoxul fotografiei)

Dacă dezechilibrul de putere viciază, de regulă, consimțământul, cum poate el rămâne valabil pentru fotografia de pe site? Răspunsul stă în distincția dintre prelucrări de care depinde raportul de muncă și prelucrări cu adevărat opționale. Consimțământul este liber [art. 4 pct. 11 și considerentul 43 GDPR] doar atunci când angajatul poate refuza fără nicio consecință — fără efect asupra salariului, evaluării, promovării sau menținerii postului. Fotografia pe site nu condiționează executarea contractului, deci refuzul nu poate atrage niciun prejudiciu; abia în această situație alegerea este reală.

Două reguli practice decurg de aici:

• Retragerea trebuie să fie la fel de simplă ca acordarea [art. 7(3) GDPR], iar retragerea nu atrage nicio consecință negativă.
• Nu există „temei de rezervă". Dacă prelucrarea a fost întemeiată exclusiv pe consimțământ (tocmai pentru că e opțională), la retragere angajatorul trebuie să înceteze prelucrarea (să retragă fotografia) — nu poate „migra" pe interesul legitim pentru a o păstra. Un temei alternativ ar fi trebuit ales de la început dacă prelucrarea era, în realitate, necesară derulării raportului de muncă.

Sursa: GDPR, art. 7 și considerentul 43 (accesat 2026-09-07)

Datele candidaților respinși la recrutare

Calitatea de operator există din faza de recrutare, deci și CV-urile, testele și notițele de interviu ale candidaților neangajați intră sub GDPR. Temeiul uzual de păstrare este interesul legitim [art. 6(1)(f)] pentru un termen rezonabil și scurt după finalizarea procesului — cât să acopere o eventuală contestație privind selecția (în practică, de la câteva săptămâni la câteva luni), pe baza unui test de proporționalitate documentat. Păstrarea îndelungată într-o „bancă de talente" necesită consimțământul explicit al candidatului [art. 6(1)(a)], revocabil oricând. La expirarea termenului sau la retragerea consimțământului, candidatul își poate exercita dreptul la ștergere [art. 17], iar angajatorul trebuie să șteargă datele — nu există obligație legală de arhivare pentru candidații respinși, spre deosebire de dosarul salariatului.

Sursa: GDPR, art. 6 și 17; Ghidurile EDPB privind interesul legitim (accesat 2026-09-07)

Drepturile angajatului asupra propriilor date

Salariatul beneficiază de întreaga gamă de drepturi GDPR:

• dreptul de a fi informat (art. 13) — printr-o notă de informare la angajare;
• dreptul de acces (art. 15) — poate cere confirmarea prelucrării și o copie a datelor sale;
• dreptul la rectificare (art. 16) — corectarea datelor inexacte;
• dreptul la ștergere (art. 17) — limitat însă de obligația legală de arhivare;
• dreptul la restricționare, portabilitate și opoziție (art. 18, 20, 21).

Distinct de GDPR, art. 34 din Codul muncii obligă angajatorul să elibereze, la cererea salariatului sau a fostului salariat, documente care atestă activitatea și vechimea, precum și copii ale actelor din dosar.

Decizii automate, date biometrice și inteligența artificială în HR

Digitalizarea dosarului de personal aduce în discuție trei tehnologii sensibile: deciziile luate automat despre angajat, pontajul biometric și instrumentele HR bazate pe inteligență artificială. Fiecare are reguli stricte.

Decizii exclusiv automate și profilare (art. 22 GDPR)

Angajatul are dreptul de a nu fi supus unei decizii bazate exclusiv pe prelucrare automată — inclusiv profilare — care produce efecte juridice sau îl afectează în mod similar semnificativ [art. 22(1) GDPR]. Sub această regulă intră: evaluarea automată a performanței, scoring-ul algoritmic pentru promovare sau concediere, monitorizarea de productivitate care generează singură o sancțiune. „Exclusiv automat" înseamnă fără intervenție umană reală (o simplă validare formală a rezultatului algoritmului nu este suficientă).

O astfel de decizie este permisă doar în excepțiile de la art. 22(2) — necesară pentru încheierea/executarea contractului, autorizată de dreptul UE/național sau bazată pe consimțământ explicit — și numai cu garanțiile de la art. 22(3): dreptul la intervenție umană, dreptul de a-și exprima punctul de vedere și de a contesta decizia. Când sunt implicate categorii speciale (de exemplu date de sănătate), art. 22(4) restrânge și mai mult prelucrarea automată.

În plan intern, Codul muncii blochează oricum delegarea deciziei către un algoritm: aplicarea unei sancțiuni disciplinare presupune cercetarea disciplinară prealabilă și o decizie motivată [art. 247-252, în special art. 251], iar concedierea urmează o procedură cu evaluare umană [art. 58-65]. Un sistem IA poate susține decizia, dar nu o poate lua singur.

Sursa: GDPR, art. 22 și considerentul 71 (accesat 2026-09-07)

Pontajul biometric (amprentă, recunoaștere facială)

Datele biometrice prelucrate pentru identificarea unică a unei persoane sunt categorii speciale [art. 9(1) GDPR] și, de principiu, interzise. Pentru un simplu pontaj sau control de acces, prelucrarea amprentei sau a feței eșuează, de regulă, testul de necesitate și proporționalitate (art. 5): scopul — evidența prezenței — se poate atinge cu mijloace mult mai puțin intruzive, precum cartela de acces, codul PIN sau tokenul. Consimțământul angajatului nu salvează prelucrarea, fiind viciat de dezechilibrul de putere, și oricum nu suplinește lipsa necesității.

⚠️ Practică ANSPDCP — Autoritatea a sancționat angajatori care au impus pontajul biometric, reținând că prelucrarea era excesivă și disproporționată față de scop, în lipsa unei evaluări de necesitate și a alternativelor mai puțin intruzive. Biometria poate fi acceptabilă doar excepțional (de exemplu, acces în zone cu risc ridicat de securitate), cu o DPIA completă și garanții solide. Sursa: ANSPDCP (accesat 2026-09-07)

Impactul Regulamentului (UE) 2024/1689 — AI Act

Instrumentele de IA folosite în resurse umane — pentru recrutare/selecție, evaluare, monitorizare sau decizii de promovare ori încetare a raportului de muncă — sunt clasificate drept sisteme de risc ridicat [Anexa III pct. 4 din Regulamentul (UE) 2024/1689, „AI Act"]. Angajatorul care le folosește are, de regulă, calitatea de utilizator („deployer"), cu obligații proprii: folosirea conform instrucțiunilor, supraveghere umană, monitorizarea funcționării și — element specific muncii — informarea prealabilă a reprezentanților lucrătorilor și a angajaților afectați înainte de punerea în funcțiune [art. 26, în special art. 26(7)]. Angajatul are și un drept la explicație privind deciziile individuale [art. 86].

Calendarul de aplicare este eșalonat: intrare în vigoare 1 august 2024; interdicțiile privind practicile inacceptabile și obligația de „alfabetizare IA" — de la 2 februarie 2025; regulile pentru modelele de uz general — de la 2 august 2025; obligațiile pentru sistemele de risc ridicat din Anexa III (deci și HR) — de la 2 august 2026, cu unele obligații extinse până la 2 august 2027. AI Act nu înlocuiește GDPR, ci se adaugă peste el: art. 22 GDPR și, după caz, o DPIA (art. 35) rămân aplicabile pentru instrumentele HR bazate pe IA.

Sursa: Regulamentul (UE) 2024/1689 (AI Act), Anexa III și art. 26 (accesat 2026-09-07)

Aspecte practice

Cât timp se păstrează documentele

Perioada de păstrare este una dintre cele mai delicate întrebări, pentru că limitarea stocării (art. 5 GDPR) intră în tensiune cu obligațiile de arhivare din dreptul muncii, fiscal și al arhivelor:

• Statele de plată — două regimuri care trebuie citite împreună. În Legea contabilității nr. 82/1991, textul consolidat al art. 25 (astfel cum a fost modificat prin Legea nr. 36/2023, în vigoare de la 15 ianuarie 2023) prevede un termen unic de 5 ani pentru registrele de contabilitate obligatorii și documentele justificative, inclusiv statele de salarii, calculat de la data de 1 iulie a anului următor celui în care s-a încheiat exercițiul financiar. Acest termen nu mai este condiționat de depunerea vreunei declarații fiscale (D205/D112) — condiționarea din versiunea intermediară (Legea nr. 195/2022) a fost înlocuită — și nu mai există un „prag" de 50 de ani în legea contabilității. Termenul de 50 de ani pentru statele de plată provine dintr-o altă lege, Legea nr. 16/1996 a Arhivelor Naționale (Anexa 6). Există deci o tensiune între cele două regimuri (contabilitate = 5 ani; arhive = 50 de ani) pe care angajatorul trebuie să o gestioneze prin nomenclatorul arhivistic.
• Dosarele de personal, contractele individuale de muncă, convențiile civile — termen istoric de 75 de ani conform Anexei 6 la Legea nr. 16/1996.
• Documente cu utilitate limitată în timp (cereri de concediu, pontaje curente) — se pot păstra perioade mult mai scurte, stabilite printr-un nomenclator arhivistic propriu.

⚠️ Recomandare de prudență — Chiar dacă legea contabilității permite acum 5 ani pentru statele de salarii, termenul de 50 de ani din Legea Arhivelor Naționale (Anexa 6) rămâne relevant, iar din cauza impactului asupra reconstituirii drepturilor de pensie, mai mulți specialiști recomandă păstrarea pe termen lung a statelor de plată și a documentelor care au stat la baza înregistrării cheltuielilor salariale. Documentele mai vechi nu trebuie distruse doar pe baza termenului de 5 ani din legea contabilității, fără o analiză atentă a obligațiilor de arhivare. Sursa: avocatnet.ro – „Noua regulă de arhivare a statelor de salarii...” (accesat 2026-09-06); Legea nr. 82/1991, art. 25 (formă consolidată, Legea nr. 36/2023) — legislatie.just.ro (accesat 2026-09-07)

Practic: stabiliți un nomenclator arhivistic avizat de Arhivele Naționale și documentați pentru fiecare categorie de document temeiul și termenul de păstrare.

Retenție diferențiată: și păstrarea excesivă este o încălcare

Prudența arhivării nu înseamnă a ține tot dosarul pentru cel mai lung termen posibil. Principiul limitării stocării [art. 5(1)(e) GDPR] funcționează în ambele sensuri: ștergerea prematură încalcă obligațiile legale de arhivare, dar și păstrarea excesivă, nediferențiată, este o încălcare GDPR sancționabilă de ANSPDCP. Termenele lungi (75 de ani pentru dosarul de personal, 50 de ani pentru statele de plată) sunt justificate pentru documentele legate de vechime, salarizare și drepturi de pensie, dar nu pentru întregul conținut al dosarului. De aceea retenția trebuie diferențiată pe categorii de documente: actele contractuale și de salarizare — termenul lung; evaluările, corespondența internă, notele curente — termene mult mai scurte, la finalul cărora se șterg/distrug. Excepția de arhivare din art. 5(1)(e) și art. 89 GDPR cere, la rândul ei, măsuri tehnice și organizatorice adecvate (acces restrâns, minimizare). În concluzie: nomenclatorul arhivistic este instrumentul prin care se demonstrează atât necesitatea, cât și proporționalitatea fiecărui termen.

Sursa: GDPR, art. 5(1)(e) și 89 (accesat 2026-09-07)

Externalizarea salarizării și a evidenței de personal

Când angajatorul externalizează salarizarea sau evidența de personal către o firmă de contabilitate/payroll ori o platformă HR cloud, acel furnizor devine persoană împuternicită de operator. Angajatorul rămâne operator și răspunzător față de angajați și de ANSPDCP; el nu „scapă" de obligații externalizând. Relația trebuie reglementată printr-un contract de prelucrare scris [art. 28 GDPR] care să conțină clauzele minime din art. 28(3):

• obiectul, durata, natura și scopul prelucrării, tipurile de date și categoriile de persoane vizate;
• prelucrarea numai pe baza instrucțiunilor documentate ale operatorului;
• confidențialitatea persoanelor autorizate;
• măsuri de securitate [art. 32];
• condiții pentru sub-împuterniciți (autorizare prealabilă, aceleași obligații) [art. 28(2)/(4)];
• sprijin pentru drepturile persoanelor vizate și pentru notificarea breșelor;
• ștergerea/returnarea datelor la finalul contractului și dreptul operatorului la audit.

Se pot folosi clauzele contractuale standard aprobate de Comisie [Decizia (UE) 2021/915]. În privința răspunderii pentru o breșă apărută la furnizor: împuternicitul răspunde direct pentru încălcarea obligațiilor ce îi revin, dar operatorul și împuternicitul pot răspunde solidar față de persoana prejudiciată [art. 82 GDPR]; alegerea unui furnizor care nu oferă garanții suficiente este ea însăși o culpă a operatorului.

Sursa: GDPR, art. 28 și 82 (accesat 2026-09-07)

Ce faceți în caz de breșă de securitate

O breșă de securitate a datelor din dosar (laptop pierdut, acces neautorizat, ori un e-mail cu statele de plată trimis greșit) declanșează obligații stricte:

1. Notificarea ANSPDCP în cel mult 72 de ore de la luarea la cunoștință [art. 33 GDPR], cu excepția cazului în care breșa este puțin probabil să genereze un risc pentru drepturile și libertățile persoanelor. Depășirea celor 72 de ore trebuie justificată.
2. Comunicarea către angajații afectați, fără întârziere nejustificată, când breșa prezintă un risc ridicat [art. 34 GDPR] — în limbaj clar, cu natura breșei, consecințele probabile și măsurile luate. Nu e necesară dacă datele erau, de exemplu, criptate ori dacă riscul ridicat a fost eliminat ulterior.
3. Evaluarea riscului ține cont de tipul datelor (statele de plată și datele de sănătate sunt sensibile), numărul de persoane și consecințele posibile (furt de identitate, discriminare). Un e-mail cu state de plată trimis greșit atinge, de regulă, pragul de risc ridicat → notificare ANSPDCP și informarea angajaților vizați.
4. Documentați intern orice breșă (registrul breșelor), indiferent dacă a fost sau nu notificată [art. 33(5)].

Sursa: GDPR, art. 33 și 34 (accesat 2026-09-07)

DPO și evaluarea de impact (DPIA) — obligatorii pentru un angajator mic?

Obligațiile de fond (temei, minimizare, securitate, informare) se aplică la fel micro-întreprinderilor, PFA/II cu salariați și marilor companii. Diferă însă două obligații „de guvernanță":

• Responsabilul cu protecția datelor (DPO) este obligatoriu doar în cazurile de la art. 37(1) GDPR: autoritate/organism public; activități principale care presupun monitorizarea sistematică pe scară largă; sau prelucrarea pe scară largă a categoriilor speciale. Gestionarea obișnuită a dosarelor de personal ale propriilor salariați nu atinge, pentru un angajator mic, pragul „scară largă" → DPO neobligatoriu (poate fi desemnat voluntar).
• Evaluarea de impact (DPIA) este cerută [art. 35 GDPR] pentru prelucrări susceptibile să genereze un risc ridicat — pe scară largă, monitorizare sistematică sau categorii speciale. Dosarul de personal clasic al unui angajator mic nu necesită DPIA; ea devine necesară dacă se adaugă elemente precum pontaj biometric, monitorizare/geolocalizare sistematică sau evaluări automate ale performanței. În România, tipurile de operațiuni care impun DPIA sunt enumerate în Decizia ANSPDCP nr. 174/2018.

Sursa: GDPR, art. 35 și 37; Decizia ANSPDCP nr. 174/2018 (accesat 2026-09-07)

Securitatea și accesul intern

• Limitați accesul la dosare la persoanele care au nevoie (departament HR, contabilitate) — principiul need-to-know (art. 32 GDPR).
• Păstrați dosarele fizice în spații încuiate; pentru dosarele electronice, folosiți control de acces, jurnalizare și criptare unde e cazul.
• Nu transmiteți date de salariați către terți (bănci, firme de leasing, foști angajatori) fără temei legal sau fără o cerere/consimțământ clar al salariatului.

Cum răspundeți la o cerere de acces a angajatului

1. Verificați identitatea solicitantului.
2. Furnizați o copie a datelor prelucrate, în termen de cel mult o lună (art. 12 GDPR), gratuit pentru prima cerere.
3. Pentru documente care atestă vechimea/activitatea, eliberați adeverința prevăzută de art. 34 Codul muncii.
4. Dacă refuzați (integral sau parțial), motivați și informați salariatul asupra dreptului de a se adresa ANSPDCP.

Greșeli frecvente

• Cererea de consimțământ pentru prelucrări impuse oricum de lege — inutilă și înșelătoare.
• Copii ale actelor de identitate păstrate fără temei sau „pentru orice eventualitate”.
• Colectarea de date excesive la recrutare (cazier, stare de sănătate) fără justificare legală pentru postul respectiv.
• Păstrarea dosarelor foștilor angajați la nesfârșit, fără un termen și un temei.
• Lipsa unei note de informare clare la angajare.

Legislație europeană

Prelucrarea datelor din dosarul de personal este guvernată în primul rând de un regulament UE direct aplicabil (GDPR), dar se sprijină și pe câteva directive sectoriale transpuse în dreptul român și este conturată de jurisprudența recentă a Curții de Justiție a Uniunii Europene (CJUE). Secțiunea „Cadrul legal” tratează deja GDPR și Legea nr. 190/2018; mai jos completăm dimensiunea europeană cu directivele conexe și cu jurisprudența CJUE.

Directive și regulamente aplicabile

Regulamentul (UE) 2016/679 (GDPR) rămâne actul central, direct aplicabil, iar art. 88 lasă statelor membre marja de a adopta „norme mai specifice” pentru prelucrarea în contextul ocupării forței de muncă (temeiul art. 4 și 10 din Legea nr. 190/2018).

Dincolo de GDPR, două directive determină ce documente ajung, în mod legitim, în dosarul de personal:

Directiva (UE) 2019/1152 privind transparența și previzibilitatea condițiilor de muncă — art. 4 obligă angajatorul să comunice în scris salariatului elementele esențiale ale raportului de muncă (identitatea părților, locul muncii, funcția, data începerii, remunerația, durata timpului de lucru etc.). Aceste înscrisuri constituie nucleul documentar al dosarului. Sursa: Directiva (UE) 2019/1152 (accesat 2026-09-06)

Directiva 89/391/CEE privind securitatea și sănătatea la locul de muncă — instituie obligațiile de supraveghere a sănătății lucrătorilor care justifică prelucrarea datelor medicale (fișa de aptitudine) în temeiul art. 9(2)(b) GDPR, ca obligație de dreptul muncii. Sursa: Directiva 89/391/CEE (accesat 2026-09-06)

Transpunerea în dreptul român

• Directiva (UE) 2019/1152 a fost transpusă prin Legea nr. 283/2022 (în vigoare din 22 octombrie 2022), care a extins conținutul informării prealabile din art. 17 din Codul muncii — de aici derivă documentele contractuale din dosar.

  Sursa: Legea nr. 283/2022 (accesat 2026-09-06)

• Directiva 89/391/CEE este transpusă prin Legea nr. 319/2006 a securității și sănătății în muncă, care fundamentează prelucrarea datelor de la medicina muncii.
• Norme mai specifice sub art. 88 GDPR: Legea nr. 190/2018 (art. 4 privind CNP, art. 10 privind monitorizarea) reprezintă exercitarea de către România a clauzei deschise din art. 88 — validitatea acestor norme depinde de respectarea condițiilor stabilite de CJUE (a se vedea cauza C-34/21, mai jos).

Nu am identificat gold-plating semnificativ: legislația RO se menține, în general, în limitele cerințelor UE; specificul național ține de arhivare (Legea nr. 16/1996, Legea nr. 82/1991) și de evidența salariaților (REGES-ONLINE), domenii lăsate de GDPR în competența statelor membre.

Jurisprudență CJUE

Cauza C-34/21, Hauptpersonalrat der Lehrerinnen und Lehrer (Hotărârea din 30 martie 2023) — prima interpretare a art. 88 GDPR. Clauza deschisă acoperă și sectorul public (contează raportul de subordonare, nu natura juridică a raportului). Statele membre pot adopta norme naționale „mai specifice” privind datele angajaților doar dacă acestea au conținut normativ propriu și includ măsuri adecvate și specifice de protecție a demnității și drepturilor fundamentale ale salariaților [art. 88(2)]. O normă națională care nu îndeplinește aceste condiții trebuie înlăturată, iar prelucrarea rămâne legală doar dacă se sprijină pe alt temei din art. 6 GDPR. Sursa: CJUE, C-34/21 (accesat 2026-09-06)

Cauza C-487/21, Österreichische Datenschutzbehörde și CRIF (Hotărârea din 4 mai 2023) — dreptul de acces la o „copie” a datelor [art. 15(3) GDPR] înseamnă o reproducere fidelă și inteligibilă a tuturor datelor prelucrate; un simplu rezumat nu este suficient. Termenul „copie” nu vizează documentul ca atare, ci datele pe care le conține; copii ale unor extrase sau ale unor documente întregi se datorează doar atunci când sunt indispensabile pentru inteligibilitatea datelor ori pentru exercitarea efectivă a drepturilor, cu punerea în balanță a drepturilor și libertăților terților. Sursa: CJUE, C-487/21 (accesat 2026-09-06)

Aspecte practice din perspectivă europeană

• Standardul cererilor de acces (DSAR). Când un salariat cere acces la dosarul de personal, angajatorul trebuie să furnizeze o copie fidelă și completă a datelor sale, nu un rezumat (C-487/21). Acest standard european se coroborează cu obligația din art. 34 din Codul muncii de a elibera documente care atestă activitatea și vechimea.
• Verificarea normelor naționale. Orice regulă internă sau normă RO care se sprijină pe art. 88 GDPR (de ex. prelucrarea CNP, monitorizarea) trebuie să treacă testul din C-34/21: să adauge garanții, nu doar să reia GDPR.
• Transferuri transfrontaliere. În grupurile multinaționale, transmiterea dosarelor de personal către entități din afara SEE se face doar cu respectarea Capitolului V GDPR (art. 44-49) — clauze contractuale standard, reguli corporatiste obligatorii (BCR) sau o decizie de adecvare. GDPR fiind un regulament, cerințele de bază sunt uniforme în toată Uniunea, ceea ce facilitează gestionarea unitară a datelor angajaților la nivel de grup.
• Sursa interpretativă. Avizul 2/2017 al Grupului de lucru „Articolul 29” (citat în articol) este preluat de succesorul acestuia, Comitetul European pentru Protecția Datelor (CEPD/EDPB), care rămâne reperul pentru prelucrarea datelor la locul de muncă.

Întrebări frecvente

Are angajatorul nevoie de consimțământul meu pentru a-mi prelucra datele din dosar? De regulă, nu. Cea mai mare parte a datelor din dosarul de personal se prelucrează în temeiul obligației legale și al executării contractului de muncă, nu al consimțământului. Consimțământul se folosește doar pentru prelucrări cu adevărat opționale (de exemplu, publicarea fotografiei).

Pot cere o copie a tuturor datelor pe care le are angajatorul despre mine? Da. Prin dreptul de acces (art. 15 GDPR) puteți obține confirmarea prelucrării și o copie a datelor, în termen de cel mult o lună, gratuit pentru prima cerere. Separat, art. 34 din Codul muncii obligă angajatorul să elibereze adeverințe privind activitatea și vechimea.

Pot cere ștergerea datelor mele după ce plec de la firmă? Doar parțial. Dreptul la ștergere (art. 17 GDPR) este limitat de obligația legală de arhivare: statele de plată și dosarul de personal trebuie păstrate ani sau zeci de ani, tocmai pentru drepturile de pensie și eventuale litigii. Concret, legea contabilității (art. 25 din Legea nr. 82/1991, forma consolidată prin Legea nr. 36/2023) cere 5 ani pentru statele de salarii, în timp ce Legea Arhivelor Naționale nr. 16/1996 (Anexa 6) prevede termene mult mai lungi — 50 de ani pentru statele de plată și până la 75 de ani pentru dosarul de personal.

Poate angajatorul să-mi ceară cazierul judiciar sau date medicale? Numai când există un temei legal specific pentru postul respectiv (de exemplu, cazier pentru anumite funcții, fișa de aptitudine de la medicina muncii). Datele de sănătate sunt categorii speciale (art. 9 GDPR) și se prelucrează strict în limitele dreptului muncii.

Ce fac dacă angajatorul refuză să-mi dea acces la datele mele? Adresați o cerere scrisă, iar dacă răspunsul lipsește sau vă nemulțumește, vă puteți plânge la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), la dataprotection.ro.

Ce este REGES-ONLINE și ce date conține despre mine? Este registrul general electronic de evidență a salariaților, reglementat de HG nr. 295/2025, în care angajatorul transmite elementele contractului individual de muncă (funcție, salariu, durată, suspendări, încetare). A înlocuit vechiul sistem REVISAL.

Firma folosește un contabil extern / o platformă cloud pentru salarizare — e legal? Da, dar furnizorul devine persoană împuternicită, iar angajatorul trebuie să încheie cu el un contract de prelucrare conform art. 28 GDPR (instrucțiuni documentate, confidențialitate, securitate, sub-împuterniciți, ștergere la final). Angajatorul rămâne operator și răspunzător; pentru o breșă la furnizor cei doi pot răspunde solidar (art. 82 GDPR).

S-a trimis din greșeală un e-mail cu statele de plată — ce trebuie făcut? Este o breșă de securitate. Angajatorul o evaluează și, dacă există risc, notifică ANSPDCP în cel mult 72 de ore (art. 33). Dacă riscul este ridicat — cazul tipic al datelor salariale — trebuie informați și angajații afectați (art. 34) și consemnată breșa în registrul intern.

Poate angajatorul să-mi impună pontajul cu amprenta sau recunoaștere facială? De regulă, nu. Datele biometrice sunt categorii speciale (art. 9 GDPR), iar pentru simplul pontaj prelucrarea lor este disproporționată când există alternative (cartelă, cod PIN). ANSPDCP a sancționat astfel de practici; consimțământul nu le legitimează.

Mă poate concedia sau retrograda un algoritm/o aplicație de IA? Nu automat. Aveți dreptul de a nu fi supus unei decizii exclusiv automate cu efecte semnificative (art. 22 GDPR), cu garanții de intervenție umană și contestare; iar sancțiunile disciplinare și concedierea cer, prin Codul muncii, o decizie umană și o procedură prealabilă. Din 2026, instrumentele HR bazate pe IA sunt „de risc ridicat" și sub AI Act (Regulamentul (UE) 2024/1689).

Cât timp îmi păstrează firma CV-ul dacă nu m-a angajat? Doar un termen rezonabil și scurt după recrutare (de regulă săptămâni–luni), pe temeiul interesului legitim. Pentru o „bancă de talente" pe termen mai lung e nevoie de consimțământul dvs., pe care îl puteți retrage oricând, cu dreptul de a cere ștergerea (art. 17 GDPR).

Practică și opinii

⚠️ Opinie specialistă — Grupul de lucru „Articolul 29” (predecesorul Comitetului European pentru Protecția Datelor), Avizul 2/2017 privind prelucrarea datelor la locul de muncă Pentru cea mai mare parte a prelucrării datelor la locul de muncă, temeiul juridic nu poate și nu ar trebui să fie consimțământul angajaților, având în vedere natura relației dintre angajator și angajat. Prelucrarea poate fi necesară pentru executarea contractului sau pentru îndeplinirea unei obligații legale care revine angajatorului. Sursa: Avizul 2/2017, sinteză – dataprotectionromania.ro (accesat 2026-09-06)

⚠️ Opinie specialistă — comentariu de specialitate privind arhivarea (avocatnet.ro) Scurtarea termenului de păstrare a statelor de salarii în legea contabilității (art. 25 din Legea nr. 82/1991, ajuns la 5 ani în forma consolidată prin Legea nr. 36/2023) trebuie tratată cu prudență: dat fiind impactul asupra reconstituirii drepturilor de pensie și termenul de 50 de ani din Legea Arhivelor Naționale nr. 16/1996, mai mulți practicieni recomandă păstrarea în continuare a acestor documente pe termen lung, iar documentele mai vechi nu ar trebui distruse automat pe baza termenului scurt din legea contabilității. Sursa: avocatnet.ro – „Noua regulă de arhivare a statelor de salarii...” (accesat 2026-09-06)

Notă privind evoluția normativă. Cadrul aplicabil dosarului de personal s-a schimbat semnificativ în ultimii ani: trecerea de la REVISAL (HG nr. 905/2017) la REGES-ONLINE (HG nr. 295/2025) și modificările succesive ale termenelor de arhivare (Legea nr. 195/2022, Legea nr. 36/2023). Angajatorii ar trebui să își revizuiască periodic nomenclatorul arhivistic și nota de informare, iar deciziile privind distrugerea documentelor să fie luate doar după verificarea versiunii consolidate în vigoare a actelor citate.

Referințe

1. Regulamentul (UE) 2016/679 (GDPR) — art. 4, 5, 6, 7, 9, 13, 15, 17, 22, 28, 32, 33, 34, 35, 37, 82, 88, 89. eur-lex.europa.eu/eli/reg/2016/679/oj
2. Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR — art. 4 (CNP), art. 10 (monitorizare la locul de muncă). Publicată în MO nr. 651/26.07.2018. legislatie.just.ro
3. Legea nr. 53/2003 — Codul muncii (republicată) — art. 17, art. 34, art. 40. legislatie.just.ro
4. HG nr. 295/2025 privind Registrul general de evidență a salariaților — REGES-ONLINE. Publicată în MO nr. 279/31.03.2025 (în vigoare de la 31.03.2025). legislatie.just.ro
5. HG nr. 905/2017 privind registrul general de evidență a salariaților (REVISAL) — cadrul anterior. legislatie.just.ro
6. Legea nr. 16/1996 a Arhivelor Naționale (republicată), Anexa 6 — termene de păstrare (state de plată, dosare de personal). legislatie.just.ro
7. Legea contabilității nr. 82/1991 (republicată), art. 25 — formă consolidată, astfel cum a fost modificat prin Legea nr. 36/2023 (în vigoare de la 15-01-2023): termen unic de 5 ani, inclusiv statele de salarii, de la 1 iulie a anului următor. legislatie.just.ro
8. Grupul de lucru „Articolul 29”, Avizul 2/2017 privind prelucrarea datelor la locul de muncă. dataprotectionromania.ro
9. ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. dataprotection.ro
10. avocatnet.ro — „Noua regulă de arhivare a statelor de salarii nu înseamnă că documentele mai vechi pot fi aruncate deja” (analiză termene arhivare). avocatnet.ro/articol_63883
11. Regulamentul (UE) 2024/1689 (Legea privind inteligența artificială — AI Act) — Anexa III pct. 4 (ocuparea forței de muncă = risc ridicat), art. 26, art. 86. eur-lex.europa.eu/eli/reg/2024/1689/oj
12. Decizia ANSPDCP nr. 174/2018 — lista operațiunilor de prelucrare care necesită o evaluare a impactului asupra protecției datelor (DPIA). dataprotection.ro
13. Decizia de punere în aplicare (UE) 2021/915 — clauze contractuale standard între operatori și persoane împuternicite (art. 28(7) GDPR). eur-lex.europa.eu/eli/dec_impl/2021/915/oj
14. Comitetul European pentru Protecția Datelor (EDPB) — Ghiduri privind deciziile automate și profilarea; Ghiduri privind consimțământul (05/2020); Ghiduri privind interesul legitim (1/2024). edpb.europa.eu