Video-supravegherea la locul de muncă

Un angajator poate instala camere de supraveghere la locul de muncă, însă numai ca măsură proporțională și, de regulă, pe temeiul interesului legitim [art. 6(1)(f) GDPR], nu al consimțământului angajaților. Legea nr. 190/2018 impune cinci condiții cumulative: interes legitim prevalent, informare prealabilă, consultarea reprezentanților salariaților, epuizarea mijloacelor mai puțin intruzive și stocare de maximum 30 de zile. Filmarea birourilor, a vestiarelor și a toaletelor este, în principiu, interzisă.

Pe scurt

Un angajator poate instala camere de supraveghere la locul de muncă, dar numai ca măsură proporțională, întemeiată de regulă pe interesul legitim (art. 6(1)(f) GDPR), nu pe consimțământul angajaților. Legea nr. 190/2018 impune, la art. 5, cinci condiții cumulative: interes legitim justificat și prevalent, informare prealabilă completă, consultarea sindicatului/reprezentanților, epuizarea unor mijloace mai puțin intruzive și o durată de stocare de maximum 30 de zile. Filmarea birourilor și a spațiilor private (vestiare, toalete, sala de mese) este, în principiu, interzisă, iar nerespectarea regulilor a fost sancționată de ANSPDCP cu amenzi de la 1.000 la 10.000 de euro.

Cadrul legal

Video-supravegherea angajaților se află la intersecția a trei corpuri de reguli: regulamentul general de protecția datelor, legea națională de punere în aplicare și dreptul muncii.

1. Regulamentul (UE) 2016/679 (GDPR) — direct aplicabil în România, stabilește principiile, temeiurile și drepturile.

Art. 5(1) GDPR — Datele sunt prelucrate în mod legal, echitabil și transparent; sunt colectate în scopuri determinate; sunt adecvate, relevante și limitate la ceea ce este necesar (minimizare); sunt păstrate pe o durată care nu depășește scopul (limitarea stocării); sunt prelucrate în condiții de securitate. Sursa: Regulamentul (UE) 2016/679, art. 5 (accesat 2026-09-07)

Art. 6(1) GDPR — Prelucrarea este legală doar dacă există un temei; pentru supravegherea video la locul de muncă temeiul uzual este interesul legitim al operatorului [lit. (f)], care trebuie să prevaleze asupra intereselor, drepturilor și libertăților angajaților. Consimțământul [lit. (a)] este, de regulă, inadecvat în relația de muncă. Sursa: Regulamentul (UE) 2016/679, art. 6 (accesat 2026-09-07)

Dacă sistemul folosește identificare biometrică (recunoaștere facială), se activează regimul strict al art. 9 GDPR (categorii speciale). Monitorizarea sistematică poate declanșa obligația unei evaluări de impact (DPIA) conform art. 35 GDPR, iar art. 88 GDPR permite statelor membre reguli mai specifice pentru prelucrarea în contextul ocupării forței de muncă — temeiul pentru regula națională de mai jos.

2. Legea nr. 190/2018 — măsuri naționale de punere în aplicare a GDPR. Regula-cheie pentru acest subiect este art. 5 (nu art. 10, cum apare uneori eronat citat).

Art. 5 din Legea nr. 190/2018 — În cazul în care sunt utilizate sisteme de monitorizare prin mijloace de comunicații electronice și/sau prin mijloace de supraveghere video la locul de muncă, prelucrarea datelor angajaților, în scopul realizării intereselor legitime ale angajatorului, este permisă numai dacă: a) interesele legitime urmărite de angajator sunt temeinic justificate și prevalează asupra intereselor sau drepturilor și libertăților persoanelor vizate; b) angajatorul a realizat informarea prealabilă obligatorie, completă și explicită a angajaților; c) angajatorul a consultat sindicatul sau, după caz, reprezentanții angajaților înainte de introducerea sistemelor de monitorizare; d) alte forme și modalități mai puțin intruzive pentru atingerea scopului urmărit de angajator nu și-au dovedit anterior eficiența; și e) durata de stocare a datelor este proporțională cu scopul prelucrării, dar nu mai mare de 30 de zile, cu excepția situațiilor expres reglementate de lege sau a cazurilor temeinic justificate. Sursa: Legea nr. 190/2018, art. 5 (accesat 2026-09-07)

Cele cinci condiții sunt cumulative — lipsa oricăreia face monitorizarea nelegală. Potrivit aceleiași legi, încălcarea prevederilor art. 3-9 constituie contravenție, sancționată de ANSPDCP.

3. Codul muncii (Legea nr. 53/2003, republicată) — oferă dreptul de control al angajatorului, dar și limitele lui.

Art. 40(1)-(2) — Angajatorul are dreptul să organizeze activitatea și să exercite controlul asupra modului de îndeplinire a sarcinilor, dar are corelativ obligația de a respecta drepturile salariaților, inclusiv demnitatea și viața privată (art. 5 privind nediscriminarea și tratamentul demn). Sursa: Codul muncii, art. 40 (accesat 2026-09-07)

Regulile privind supravegherea trebuie incluse în regulamentul intern, iar folosirea înregistrărilor într-o cercetare disciplinară este posibilă doar dacă acest scop a fost anunțat în informarea prealabilă.

Un reper de practică suplimentar este Decizia ANSPDCP nr. 52/2012, care interzice supravegherea video în interiorul birourilor unde angajații își desfășoară activitatea (cu excepția cazurilor prevăzute de lege sau a avizului autorității) și în spațiile ce impun intimitate. ⚠️ De reținut: decizia a fost emisă sub Legea nr. 677/2001 (abrogată în 2018), astfel încât astăzi valoarea ei este de reper interpretativ, nu de temei autonom — interdicția filmării posturilor de lucru rezultă acum din testul de proporționalitate/minimizare din GDPR și Legea nr. 190/2018 (detalii în secțiunea „Situații speciale și clarificări").

Explicație detaliată

De ce interesul legitim, și nu consimțământul

Reflexul multor angajatori este să ceară salariaților o semnătură prin care „acceptă" camerele. În relația de muncă, acest consimțământ este însă rareori valabil: între angajator și angajat există un dezechilibru de putere (considerentul 43 GDPR), astfel încât refuzul nu este cu adevărat liber. De aceea temeiul corect este, în cvasitotalitatea cazurilor, interesul legitim [art. 6(1)(f) GDPR] — de exemplu asigurarea pazei bunurilor, prevenirea furturilor sau siguranța persoanelor.

Interesul legitim nu funcționează automat: presupune un test de echilibrare (interesul angajatorului vs. drepturile angajaților) și trebuie documentat. În sectorul public, autoritățile nu pot invoca interesul legitim ca temei pentru sarcinile lor și au nevoie de un alt temei (obligație legală sau interes public).

Testul de proporționalitate: monitorizarea ca ultimă soluție

Condiția de la art. 5 lit. d) din Legea nr. 190/2018 transformă supravegherea video într-o măsură de ultim resort. Înainte de a monta camere, angajatorul trebuie să poată demonstra că mijloace mai puțin intruzive (control al accesului cu cartelă, inventare, proceduri interne, pază fizică) nu și-au dovedit eficiența. O supraveghere generalizată, permanentă și fără scop precis eșuează testul de necesitate și minimizare din art. 5(1)(c) GDPR.

Unde poți filma și unde NU

• Permis, ca regulă: intrări, ieșiri, perimetru, depozite, case de marcat, spații cu valori, zone cu risc de securitate.
• Interzis / puternic restricționat: birourile în care angajații lucrează efectiv (Decizia ANSPDCP nr. 52/2012), precum și orice spațiu care impune intimitatea — vestiare, cabine de probă, dușuri, toalete, sala de mese, zonele de pauză. Filmarea acestor spații a fost sancționată constant de ANSPDCP.
• Audio: înregistrarea sunetului/vocii este, în principiu, excesivă și greu de justificat; simpla imagine este de regulă suficientă pentru scopul urmărit.

Informarea prealabilă — conținut și formă

Informarea (art. 13 GDPR + art. 5 lit. b din Legea 190/2018) trebuie să fie completă, explicită și, pentru a fi dovedibilă, în scris. Ea cuprinde: identitatea operatorului, scopul exact al supravegherii (inclusiv, dacă e cazul, folosirea în cercetări disciplinare), temeiul juridic și interesul legitim invocat, zonele monitorizate, durata de stocare, destinatarii înregistrărilor și drepturile angajaților. În teren se folosesc și pictograme/avertizări vizibile la intrarea în zonele supravegheate.

O informare pur verbală nu este suficientă, pentru că angajatorul nu o poate proba ulterior în fața ANSPDCP.

Consultarea reprezentanților

Înainte de introducerea sistemului, angajatorul trebuie să consulte sindicatul sau reprezentanții salariaților [art. 5 lit. c)]. Consultarea este obligatorie ca procedură, chiar dacă angajatorul nu este ținut să adopte obiecțiile ridicate; este însă recomandabil să păstreze dovada că le-a analizat.

Folosirea disciplinară a înregistrărilor

Înregistrările pot deveni probă într-o cercetare disciplinară doar dacă scopul disciplinar a fost anunțat în informarea prealabilă. Dacă angajații au fost informați că singurul scop este „siguranța", reutilizarea filmărilor pentru sancționare contravine principiului transparenței (art. 5(1)(a) GDPR) și riscă să fie invalidată.

Aspecte practice

Checklist de conformitate înainte de a monta camerele

1. Definește scopul precis (pază, securitate, prevenirea furturilor) — nu „monitorizarea generală a angajaților".
2. Documentează testul de echilibrare (legitimate interest assessment): de ce interesul tău prevalează și de ce alternativele mai puțin intruzive nu funcționează [art. 5 lit. a) și d)].
3. Verifică dacă ai nevoie de DPIA (art. 35 GDPR) — monitorizarea sistematică, pe scară largă sau cu tehnologii intruzive (biometrie) o impune de regulă.
4. Redactează informarea în scris și distribuie-o angajaților; montează pictograme vizibile la intrarea în zonele supravegheate.
5. Consultă sindicatul / reprezentanții și păstrează dovada consultării.
6. Amplasează camerele doar în zonele permise; exclude birourile de lucru și spațiile private.
7. Actualizează regulamentul intern și registrul activităților de prelucrare.

Durata de stocare

Regula implicită: maximum 30 de zile [art. 5 lit. e) din Legea 190/2018]. Depășirea este permisă doar în situații expres reglementate de lege (de exemplu obiective care intră sub incidența legislației privind paza) sau în cazuri temeinic justificate (un incident concret în curs de investigare). Păstrarea „la nesfârșit, pentru orice eventualitate" încalcă principiul limitării stocării.

Securitatea înregistrărilor (art. 32 GDPR)

Accesul la imagini trebuie restricționat la persoane anume desemnate, cu jurnalizarea accesărilor; sistemul trebuie protejat prin parole, criptare acolo unde e posibil și proceduri clare de vizualizare/export. Un DVR lăsat accesibil oricui este el însuși o încălcare.

Drepturile angajaților și rolul ANSPDCP

Angajatul are drept de acces la imaginile care îl privesc (art. 15 GDPR) și poate face opoziție (art. 21). Dacă este monitorizat fără informare sau în spații interzise, se poate adresa ANSPDCP (dataprotection.ro). Autoritatea a aplicat amenzi de la 1.000 la 10.000 de euro pentru: lipsa temeiului legal, filmarea birourilor/vestiarelor, înregistrarea audio nejustificată și informarea deficitară.

Greșeli frecvente de evitat

• Bazarea pe „acordul" semnat de angajați ca temei unic.
• Camere în birouri, vestiare, sala de mese sau toalete.
• Înregistrare audio „la pachet" cu imaginea.
• Informare doar verbală, imposibil de dovedit.
• Stocare peste 30 de zile fără justificare.
• Folosirea în cercetarea disciplinară a unor filmări anunțate doar „pentru siguranță".

Situații speciale și clarificări

Regimul general de mai sus (interes legitim + cele cinci condiții din art. 5 din Legea nr. 190/2018) ridică, în practică, o serie de întrebări de graniță. Le tratăm punctual mai jos.

Supravegherea ocultă (ascunsă): interzisă ca regulă, chiar la suspiciunea de furt

Informarea prealabilă este o condiție cumulativă imperativă [art. 5 lit. b) din Legea nr. 190/2018]: fără ea, monitorizarea este nelegală. Cauza CEDO López Ribalda [MC] — în care supravegherea ocultă a unor casiere a fost considerată compatibilă cu art. 8 din Convenție — nu autorizează angajatorul român să renunțe la informare. Explicația reconcilierii este de sistem: art. 8 CEDO fixează un prag minim de protecție a vieții private, sub care statele nu pot coborî, dar le lasă libertatea de a oferi o protecție mai ridicată. România a ales exact acest lucru prin cerința imperativă a informării prealabile. La rândul său, Grupul de lucru „Articolul 29" (Avizul 2/2017) reține că monitorizarea ocultă este, în principiu, interzisă și admisibilă doar excepțional, în cadrul unei investigații, cu implicarea autorităților.

Concret: un angajator privat nu poate autoriza singur montarea de camere ascunse. Dacă bănuiește o infracțiune (furt, delapidare), calea legală este plângerea penală; strângerea probelor prin supraveghere ocultă revine organelor de urmărire penală, într-un cadru procesual-penal cu garanții și control judiciar — nu angajatorului. Garanțiile obligatorii rămân, în orice caz, informarea prealabilă, restrângerea accesului la înregistrări și limita de stocare.

Surse: Legea nr. 190/2018, art. 5; CEDO, López Ribalda și alții c. Spaniei [MC], 17.10.2019; Grupul Art. 29, Avizul 2/2017 (accesat 2026-09-07)

Ce statut mai are Decizia ANSPDCP nr. 52/2012?

Observația critică este întemeiată: Decizia nr. 52/2012 a fost emisă sub Legea nr. 677/2001, abrogată odată cu intrarea în vigoare a GDPR și a Legii nr. 190/2018 (2018). Decizia nu a fost desființată printr-un act formal distinct, dar temeiul ei legal a dispărut, iar ANSPDCP nu o mai invocă drept temei autonom de sine stătător. Prin urmare, valoarea ei astăzi este de reper interpretativ/istoric, nu de bază juridică independentă.

Important: interdicția de a filma birourile în care angajații lucrează efectiv nu depinde de supraviețuirea Deciziei 52/2012. Ea rezultă azi direct din testul de necesitate, proporționalitate și minimizare [art. 5(1)(c) GDPR coroborat cu art. 5 lit. a) și d) din Legea nr. 190/2018] — o supraveghere permanentă a posturilor de lucru eșuează acest test. În articol, Decizia 52/2012 este citată ca reper de practică, nu ca temei autonom.

Surse: Decizia ANSPDCP nr. 52/2012; Legea nr. 677/2001 (abrogată); Legea nr. 190/2018, art. 5 (accesat 2026-09-07)

Telemunca și home-office (Legea nr. 81/2018)

În regim de telemuncă, domiciliul salariatului rămâne domiciliu, protejat de inviolabilitatea locuinței și de dreptul la viață privată și de familie (art. 26 și 27 din Constituție; art. 8 CEDO). De aceea:

• Webcam pornit permanent este, aproape întotdeauna, disproporționat: monitorizarea continuă a persoanei în propria casă nu trece testul de necesitate/minimizare [art. 5(1)(c) GDPR] și nu poate fi impusă de angajator.
• Software de monitorizare a atenției/activității (attention tracking, capturi periodice de ecran/imagine) este monitorizare comportamentală intruzivă, greu de justificat; se aplică prin analogie criteriile din CEDO, Bărbulescu c. României [MC] (informare prealabilă, întinderea monitorizării, motive legitime, alternative mai puțin intruzive, garanții).
• Legea nr. 81/2018 permite angajatorului să verifice activitatea telesalariatului, dar doar în modalitățile stabilite prin contract și cu respectarea vieții private; controlul rezultatelor muncii nu echivalează cu supraveghere video în locuință.

Concluzie: angajatorul nu poate impune supraveghere video permanentă în home-office. Cel mult se pot folosi instrumente punctuale, transparente și proporționale (de ex. pornirea camerei doar la ședințe anunțate), niciodată filmarea continuă a spațiului privat.

Surse: Legea nr. 81/2018 privind telemunca, art. 7 (controlul activității); GDPR, art. 5; CEDO, Bărbulescu c. României [MC], 05.09.2017; Constituția, art. 26-27 (accesat 2026-09-07)

Angajatori mici, PFA, fără sindicat și fără reprezentanți

Condiția consultării [art. 5 lit. c)] nu devine imposibilă acolo unde nu există sindicat și nici reprezentanți aleși ai salariaților (frecvent la microîntreprinderi și la un PFA cu 2-3 angajați). În lipsa unei structuri formale de reprezentare — instituită de Codul muncii și de Legea nr. 367/2022 privind dialogul social — obligația se îndeplinește prin consultarea directă a fiecărui salariat, realizată și documentată în scris (notificare privind scopul, camerele, durata de stocare și drepturile, cu posibilitatea salariatului de a formula obiecții). Atenție la distincția esențială: consultare ≠ consimțământ — angajatorul trebuie să audă și să analizeze punctele de vedere, dar temeiul rămâne interesul legitim, nu acordul. Absența reprezentanților nu scutește angajatorul de obligația de a consulta și nu face, prin ea însăși, monitorizarea nelegală.

Surse: Legea nr. 190/2018, art. 5 lit. c); Codul muncii, reprezentanții salariaților; Legea nr. 367/2022 privind dialogul social (accesat 2026-09-07)

Terții filmați: clienți, vizitatori, furnizori, trecători

Aceleași camere captează, de regulă, și persoane care nu sunt salariați. Față de aceștia:

• Temeiul rămâne interesul legitim [art. 6(1)(f) GDPR], dar regimul special al Legii nr. 190/2018 (art. 5) nu li se aplică — acela privește strict relația de muncă; terților li se aplică regimul general GDPR.
• Informarea se face la momentul intrării în zona supravegheată, printr-un sistem stratificat: pictogramă/panou vizibil cu informațiile esențiale (operator, scop, durată, drepturi, contact DPO) + informare completă disponibilă la cerere [art. 13 GDPR].
• Minimizarea este obligatorie: potrivit CJUE, C-212/13 (Ryneš), o cameră care depășește spațiul propriu și cuprinde spațiul public intră sub incidența dreptului UE — de aceea unghiurile trebuie limitate la zona strict necesară, iar spațiul public din câmp trebuie mascat (privacy masking).

Surse: GDPR, art. 13; CJUE, C-212/13 Ryneš; EDPB, Orientările 3/2019 (accesat 2026-09-07)

Externalizarea: firmă de pază, cloud, contract de împuternicire

Când sistemul este instalat/administrat de o firmă de pază sau imaginile sunt stocate în cloud, rolurile se distribuie astfel:

• Operator = angajatorul (el stabilește scopul și mijloacele); firma de pază / furnizorul cloud = persoană împuternicită, care acționează numai la instrucțiunile operatorului.
• Relația trebuie reglementată printr-un contract de prelucrare scris [art. 28 GDPR], cu clauze de confidențialitate, securitate, subcontractare și audit.
• Firma de pază trebuie licențiată potrivit Legii nr. 333/2003 și a Normelor metodologice de aplicare (din 2012), dar aceasta nu schimbă calitatea de operator a angajatorului.
• Dacă furnizorul cloud stochează datele în afara SEE, transferul este permis doar cu o decizie de adecvare sau cu clauze contractuale standard [art. 44-46 GDPR].
• Răspunderea este partajată: operatorul răspunde de conformitatea de ansamblu, împuternicitul de măsurile de securitate proprii; persoana vizată se poate îndrepta împotriva oricăruia [art. 82 GDPR].

Surse: GDPR, art. 28, 44-46, 82; Legea nr. 333/2003 privind paza obiectivelor și Normele metodologice de aplicare (accesat 2026-09-07)

Recunoașterea facială: „strict reglementată" înseamnă, în practică, aproape întotdeauna nelegală

Raționamentul critic este corect și trebuie dus până la capăt. Recunoașterea facială presupune prelucrarea de date biometrice pentru identificare unică — categorie specială sub art. 9 GDPR, interzisă în lipsa unei excepții din art. 9(2). În relația de muncă:

• Consimțământul explicit [art. 9(2)(a)] este, de regulă, nevalabil (dezechilibru de putere, considerentul 43).
• Obligațiile din dreptul muncii/securității sociale [art. 9(2)(b)] și interesul public major [art. 9(2)(g)] cer un temei legal specific, care în dreptul român nu există pentru identificarea biometrică uzuală a angajaților.

Rezultă că identificarea biometrică a salariaților prin cameră este, în fapt, aproape întotdeauna nelegală, nu doar „strict reglementată". Singurele scenarii teoretic admisibile sunt înguste și presupun un temei legal expres (de exemplu accesul în zone cu risc major reglementate special), cu condiția suplimentară a proporționalității — iar EDPB reamintește că, de regulă, există alternative mai puțin intruzive (cartelă, cod PIN) care fac biometria disproporționată. Practic: recunoașterea facială a angajaților ar trebui evitată din start.

Surse: GDPR, art. 9; EDPB, Orientările 3/2019 (accesat 2026-09-07)

Când este DPIA obligatorie și ce pași urmează

DPIA (evaluarea impactului asupra protecției datelor, art. 35 GDPR) nu este doar „adesea" necesară — pentru anumite operațiuni este obligatorie. Decizia ANSPDCP nr. 174/2018 (publicată în Monitorul Oficial nr. 919/31.10.2018) stabilește lista operațiunilor care impun obligatoriu o DPIA; între ele: supravegherea sistematică pe scară largă a unei zone accesibile publicului, prelucrarea de date biometrice pentru identificarea unică și monitorizarea sistematică a angajaților. O supraveghere video generalizată la locul de muncă, sau una cu recunoaștere facială, intră tipic în aceste categorii.

Evaluarea trebuie să conțină cel puțin [art. 35(7) GDPR]: descrierea prelucrării și a scopurilor; testul de necesitate și proporționalitate; analiza riscurilor pentru drepturile și libertățile persoanelor; măsurile de atenuare (minimizare, restrângerea accesului, criptare, ștergere la 30 de zile). DPIA se realizează înainte de punerea în funcțiune a sistemului. Dacă, după măsurile de atenuare, rămâne un risc rezidual ridicat, este obligatorie consultarea prealabilă a ANSPDCP [art. 36 GDPR], care poate impune condiții sau interzice prelucrarea.

Surse: GDPR, art. 35-36; Decizia ANSPDCP nr. 174/2018 (M. Of. nr. 919/31.10.2018) (accesat 2026-09-07)

Durata de stocare: 30 de zile vs. legislația pazei

Plafonul de 30 de zile [art. 5 lit. e) din Legea nr. 190/2018] admite depășire numai în „situațiile expres reglementate de lege" sau în cazuri temeinic justificate. Tensiunea cu legislația pazei se soluționează prin acest criteriu: dacă o normă legală specifică (din cadrul Legii nr. 333/2003 și al normelor sale de aplicare) impune, pentru un obiectiv anume, o durată de păstrare diferită, aceasta operează chiar ca excepția legală expresă prevăzută de art. 5 lit. e) și prevalează ca normă specială. În schimb, o simplă decizie internă, un contract cu firma de pază sau „prudența" nu constituie un temei legal și nu pot extinde plafonul. Iar un incident concret aflat în investigare justifică păstrarea punctuală a secvenței relevante (nu a întregii arhive) până la soluționare. Criteriul decisiv este, așadar, existența unei prevederi legale exprese, nu comoditatea operatorului.

Surse: Legea nr. 190/2018, art. 5 lit. e); Legea nr. 333/2003 și Normele metodologice de aplicare (din 2012) (accesat 2026-09-07)

Legislație europeană

Materia este, prin natura ei, europeană: regula de fond vine din GDPR (act al UE), iar România adaugă doar detalieri prin Legea nr. 190/2018. Această secțiune completează cadrul de mai sus cu jurisprudența Curții de Justiție a UE, ghidul autorității europene și noile reguli privind camerele „inteligente”.

Directive și regulamente aplicabile

Pe lângă GDPR (temeiul principal, tratat mai sus) și Legea nr. 190/2018 (măsura națională adoptată în baza art. 88 GDPR), sunt relevante:

Regulamentul (UE) 2024/1689 (Regulamentul privind inteligența artificială — „AI Act”), art. 5(1)(f) — Este interzisă introducerea pe piață, punerea în funcțiune și utilizarea sistemelor de IA destinate să deducă emoțiile persoanelor la locul de muncă și în instituțiile de învățământ (excepție îngustă: motive medicale sau de siguranță). Motivul îl reprezintă dezechilibrul de putere din relația de muncă (considerentul 44). Interdicția se aplică de la 2 februarie 2025. Sursa: Regulamentul (UE) 2024/1689, art. 5 (accesat 2026-09-07)

Practic, o cameră obișnuită de securitate se analizează pe GDPR + Legea 190/2018; o cameră „inteligentă” care încearcă să citească emoții, oboseală sau atenție intră suplimentar sub o interdicție directă a AI Act. Recunoașterea facială (identificare biometrică unică) rămâne, în plus, sub regimul strict al art. 9 GDPR.

Directiva 2002/58/CE (ePrivacy) — Devine relevantă când supravegherea implică și comunicații electronice (ex. transmisia în rețea a fluxului video, sisteme audio-video conectate); pentru imaginea video „pură” regula rămâne GDPR + Legea 190/2018. Sursa: Directiva 2002/58/CE (accesat 2026-09-07)

La nivel de aplicare, reperul european autoritar este:

⚠️ Orientările EDPB 3/2019 privind prelucrarea datelor prin dispozitive video (versiune finală, 30 ianuarie 2020) — ghidul Comitetului European pentru Protecția Datelor pentru toate scenariile de supraveghere video. Puncte-cheie: limitarea scopului (un sistem instalat pentru „securitate” nu poate fi refolosit pentru monitorizarea performanței fără temei separat); ștergerea datelor „după câteva zile” în majoritatea cazurilor; supravegherea video devine prelucrare de date biometrice (art. 9) doar când urmărește identificarea unică. Sursa: EDPB — Guidelines 3/2019 (accesat 2026-09-07)

Transpunerea în dreptul român

GDPR și AI Act sunt regulamente — se aplică direct, fără a fi „transpuse” în legi românești. Ceea ce transpune/detaliază România este marja lăsată de art. 88 GDPR pentru contextul ocupării forței de muncă, prin art. 5 din Legea nr. 190/2018 (cele cinci condiții cumulative din secțiunea „Cadrul legal”).

Un element de „gold-plating” favorabil angajatului: plafonul de 30 de zile de stocare [art. 5 lit. e) din Legea 190/2018] este o limită numerică mai strictă decât principiul general, deschis, al limitării stocării din art. 5(1)(e) GDPR — coerent, de altfel, cu recomandarea EDPB de ștergere „după câteva zile”. Condiția consultării prealabile a sindicatului/reprezentanților [art. 5 lit. c)] este, de asemenea, o cerință procedurală națională specifică, adăugată peste GDPR.

Jurisprudență CJUE

Cauza C-708/18, TK v Asociația de Proprietari bloc M5A-ScaraA (hotărâre din 11 decembrie 2019, trimitere preliminară de la Tribunalul București) — Funcționarea unei camere de supraveghere este prelucrare de date cu caracter personal și are nevoie de un temei legal. Interesul legitim [art. 7(f) din Directiva 95/46, azi art. 6(1)(f) GDPR], citit în lumina art. 7 și 8 din Cartă, presupune trei condiții cumulative: interes legitim, necesitatea prelucrării și proporționalitate. Curtea a subliniat că interesul trebuie să fie „existent și efectiv”, nu ipotetic, și că trebuie preferate mijloacele mai puțin intruzive (în speță, controlul accesului montat anterior nu descurajase furturile). Sursa: CJUE, C-708/18 — eur-lex (accesat 2026-09-07)

Această hotărâre — pornită dintr-o speță românească — confirmă la nivel CJUE exact logica din corpul articolului: interes legitim documentat + test de necesitate și proporționalitate + supravegherea ca ultimă soluție [art. 5 lit. d) din Legea 190/2018].

Cauza C-212/13, František Ryneš (Marea Cameră, 11 decembrie 2014) — O cameră care supraveghează și spațiul public, dincolo de sfera strict privată, nu beneficiază de excepția activităților „exclusiv personale sau domestice” și intră sub incidența dreptului UE de protecția datelor. Cu atât mai mult, supravegherea la locul de muncă este întotdeauna „prelucrare” supusă GDPR. Sursa: CJUE, C-212/13 (accesat 2026-09-07)

Aspecte practice din perspectivă europeană

Jurisprudență CEDO (distinctă de CJUE — art. 8 din Convenție). Pe latura drepturilor omului, două hotărâri ale Marii Camere ghidează supravegherea angajaților:

⚠️ CEDO, López Ribalda și alții c. Spaniei [MC], nr. 1874/13 și 8567/13, 17 octombrie 2019 — Supravegherea video ocultă a unor casiere suspectate de furt nu a încălcat art. 8, fiind justificată de o suspiciune rezonabilă de abatere gravă și fiind adecvată, necesară și proporțională (limitată în timp și spațiu). Supravegherea ascunsă rămâne, totuși, excepțională și strict testată.

⚠️ CEDO, Bărbulescu c. României [MC], nr. 61496/08, 5 septembrie 2017 — Monitorizarea comunicațiilor unui angajat, fără informare adecvată, a încălcat art. 8; hotărârea a fixat criteriile de proporționalitate (informare prealabilă, întinderea monitorizării, motive legitime, alternative mai puțin intruzive, garanții) preluate azi și în analiza supravegherii video.

Validitate transfrontalieră. GDPR și AI Act se aplică uniform în tot SEE, iar Orientările EDPB oferă un standard european comun — un grup cu sedii în mai multe state membre poate construi o politică unică de supraveghere, ajustând doar detaliile naționale (în România: plafonul de 30 de zile și consultarea reprezentanților).

Direcția de evoluție. Tendința europeană este de a trata camerele „inteligente” tot mai strict: după interdicția recunoașterii emoțiilor la locul de muncă (AI Act, aplicabilă din 2025), atenția se mută pe sistemele de identificare biometrică la distanță și pe monitorizarea algoritmică a angajaților. Angajatorii care planifică investiții în supraveghere video ar trebui să evite din start funcțiile de analiză a emoțiilor și să documenteze riguros testul interesului legitim.

Întrebări frecvente

Am nevoie de acordul angajaților pentru a monta camere? De regulă, nu — și nici nu este recomandat. În relația de muncă, consimțământul nu este considerat liber (dezechilibru de putere, considerentul 43 GDPR). Temeiul corect este interesul legitim [art. 6(1)(f) GDPR], cu îndeplinirea condițiilor art. 5 din Legea nr. 190/2018. Ce datorezi angajaților este informarea, nu acordul.

Pot pune camere în birourile în care lucrează angajații? În principiu, nu. Decizia ANSPDCP nr. 52/2012 interzice supravegherea video în interiorul birourilor de lucru, cu excepția cazurilor prevăzute expres de lege sau a avizului autorității. Sunt strict interzise și vestiarele, cabinele de probă, dușurile, toaletele și sala de mese.

Pot înregistra și sunetul? Aproape niciodată. Înregistrarea audio (vocea angajaților) este considerată excesivă și greu de justificat prin testul de proporționalitate; imaginea este de regulă suficientă. ANSPDCP a sancționat sisteme audio-video la locul de muncă.

Cât timp pot păstra înregistrările? Maximum 30 de zile [art. 5 lit. e) din Legea nr. 190/2018], cu excepția situațiilor expres reglementate de lege sau a cazurilor temeinic justificate (de exemplu un incident aflat în investigare).

Pot folosi filmările pentru a sancționa disciplinar un angajat? Doar dacă scopul „cercetare disciplinară" a fost menționat în informarea prealabilă. Filmările anunțate exclusiv „pentru siguranță" nu pot fi, în principiu, reutilizate pentru sancționare, pentru că ar încălca principiul transparenței.

Ce risc am dacă nu respect regulile? Răspundere contravențională: încălcarea art. 3-9 din Legea 190/2018 este contravenție, iar amenzile GDPR pot ajunge, în general, până la 20 mil. EUR sau 4% din cifra de afaceri (art. 83). În practică, ANSPDCP a aplicat pentru supraveghere video nelegală amenzi între 1.000 și 10.000 de euro.

Trebuie să fac o evaluare de impact (DPIA)? Adesea da. Monitorizarea sistematică sau cu tehnologii intruzive (de exemplu recunoaștere facială) declanșează de regulă obligația unei DPIA conform art. 35 GDPR. Decizia ANSPDCP nr. 174/2018 include în lista operațiunilor care impun obligatoriu DPIA supravegherea sistematică pe scară largă și prelucrarea de date biometrice; dacă rămâne un risc rezidual ridicat, este obligatorie consultarea prealabilă a ANSPDCP (art. 36 GDPR).

Pot monta camere ascunse dacă bănuiesc un furt? Nu, ca regulă. Informarea prealabilă este o condiție cumulativă obligatorie [art. 5 lit. b) din Legea nr. 190/2018], iar supravegherea ocultă este, în principiu, interzisă (Avizul 2/2017). Chiar dacă CEDO a admis excepțional filmarea ocultă (López Ribalda), un angajator român nu poate deroga singur de la informare — calea legală pentru dovedirea unei infracțiuni este plângerea penală.

Pot cere camera web pornită permanent în telemuncă? Nu. Domiciliul salariatului rămâne protejat (inviolabilitatea locuinței, viața privată), iar filmarea permanentă a spațiului privat este disproporționată. Legea nr. 81/2018 permite verificarea activității doar în modalitățile stabilite prin contract, nu prin supraveghere video continuă.

Camerele filmează și clienții — ce obligații am față de ei? Față de terți (clienți, vizitatori, trecători) se aplică regimul general GDPR, nu Legea nr. 190/2018. Îi informezi la intrarea în zona supravegheată prin pictograme/panouri [art. 13 GDPR] și minimizezi captarea spațiului public (mascare, unghiuri limitate), conform CJUE C-212/13 (Ryneš).

Practică și opinii

⚠️ Opinie / ghid de referință — Grupul de lucru „Articolul 29" (predecesorul EDPB), Avizul 2/2017 privind prelucrarea datelor la locul de muncă Monitorizarea trebuie să treacă un test de necesitate și proporționalitate; supravegherea ocultă este, în principiu, interzisă; spațiile private ale angajaților rămân în afara oricărei monitorizări, iar consimțământul este rareori un temei valabil în relația de muncă din cauza dezechilibrului de putere.

⚠️ Practică ANSPDCP — sinteză din comunicatele autorității (2021-2026)

• 2021: amendă de 5.000 EUR (24.745 lei) pentru un sistem audio-video folosit fără temei din art. 6(1) GDPR.
• 2023: REGENCY COMPANY SRL — 3.000 EUR (14.764,2 lei) pentru camere în birouri și în sala de mese, fără temei legal.
• 2026: 1.000 EUR (5.095 lei) pentru o cameră body-cam, mijloc excesiv față de alternative mai puțin intruzive, cu informare deficitară.
• Caz cumulat de 10.000 EUR pentru filmarea salariaților inclusiv în vestiare, fără informare, alături de prelucrarea nejustificată a amprentelor. Sursa: ANSPDCP — comunicate de presă (accesat 2026-09-07)

⚠️ Opinie specialistă — analize avocatnet.ro și juridice.ro (2018-2026) Informarea prealabilă trebuie să fie scrisă (altfel nu poate fi dovedită), iar consultarea reprezentanților angajaților este obligatorie ca procedură chiar dacă angajatorul nu este ținut de obiecțiile lor. Practicienii avertizează și asupra riscului reutilizării înregistrărilor „de siguranță" în cercetări disciplinare. Sursa: avocatnet.ro — monitorizarea salariaților (accesat 2026-09-07)

Notă: opiniile de mai sus sunt marcate ca interpretare/practică și nu înlocuiesc textul legal; regula obligatorie rămâne art. 5 din Legea nr. 190/2018 coroborat cu GDPR.

Referințe

1. Regulamentul (UE) 2016/679 (GDPR), art. 5, 6, 9, 13, 21, 32, 35, 83, 88 — eur-lex.europa.eu (accesat 2026-09-07).
2. Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR, art. 5 (monitorizarea în relațiile de muncă), art. 3-9 (contravenții) — legislatie.just.ro (accesat 2026-09-07).
3. Legea nr. 53/2003 — Codul muncii (republicat), art. 5, 40 — legislatie.just.ro (accesat 2026-09-07).
4. Decizia ANSPDCP nr. 52/2012 privind prelucrarea datelor prin mijloace de supraveghere video — legislatie.just.ro (accesat 2026-09-07).
5. Grupul de lucru „Articolul 29", Avizul 2/2017 privind prelucrarea datelor la locul de muncă.
6. ANSPDCP — comunicate de presă și decizii de sancționare (2021-2026), supraveghere audio/video la locul de muncă — dataprotection.ro (accesat 2026-09-07).
7. avocatnet.ro — „Monitorizarea salariaților la muncă: cum se face informarea prealabilă" — avocatnet.ro (accesat 2026-09-07).
8. universuljuridic.ro — „Legea nr. 190/2018 — prezentare generală" — universuljuridic.ro (accesat 2026-09-07).
9. Legea nr. 81/2018 privind reglementarea activității de telemuncă, art. 7 — legislatie.just.ro (accesat 2026-09-07).
10. Legea nr. 333/2003 (republicată) privind paza obiectivelor, bunurilor, valorilor și protecția persoanelor, și Normele metodologice de aplicare (2012) — legislatie.just.ro (accesat 2026-09-07).
11. Legea nr. 367/2022 privind dialogul social (reprezentanții salariaților) — legislatie.just.ro (accesat 2026-09-07).
12. Decizia ANSPDCP nr. 174/2018 privind lista operațiunilor pentru care este obligatorie evaluarea impactului asupra protecției datelor (DPIA), M. Of. nr. 919/31.10.2018.
13. CJUE, cauza C-212/13, František Ryneš (11.12.2014) — eur-lex.europa.eu (accesat 2026-09-07).
14. CEDO, López Ribalda și alții c. Spaniei [MC] (17.10.2019) și Bărbulescu c. României [MC] (05.09.2017).
15. Constituția României, art. 26 (viața privată) și art. 27 (inviolabilitatea domiciliului).