Supravegherea video în spații comerciale

Camerele de supraveghere dintr-un magazin, restaurant sau altă unitate comercială prelucrează date cu caracter personal și intră integral sub incidența GDPR. Instalarea lor nu cere, de regulă, consimțământul clienților, ci se sprijină pe interesul legitim al operatorului — pază și protecția persoanelor și a bunurilor. Legal, ai nevoie de un scop precis, semnalizare vizibilă la intrarea în zona filmată, stocare limitată și, pentru sistemele de amploare, o evaluare de impact (DPIA).

Pe scurt

Camerele de supraveghere dintr-un magazin, restaurant, birou deschis publicului sau altă unitate comercială prelucrează date cu caracter personal (imaginile clienților și ale angajaților) și intră integral sub incidența GDPR. Instalarea lor nu are nevoie, de regulă, de consimțământ, ci se sprijină pe interesul legitim al operatorului (pază, protecția persoanelor și a bunurilor) — dar numai cu semnalizare vizibilă, scop precis, stocare limitată (orientativ maximum 30 de zile) și, pentru sistemele de amploare, o evaluare de impact (DPIA). Nesemnalizarea camerelor, filmarea zonelor intime (cabine de probă, toalete) sau lipsa unui temei documentat au atras deja amenzi ANSPDCP de mii de euro.

Cadrul legal

Supravegherea video este o prelucrare de date cu caracter personal: imaginile care permit identificarea directă sau indirectă a unei persoane sunt „date cu caracter personal” în sensul art. 4 pct. 1 GDPR. Prin urmare, se aplică integral Regulamentul (UE) 2016/679 (GDPR), completat în România de Legea nr. 190/2018.

Principiile și temeiul legal (GDPR)

Orice sistem CCTV trebuie să respecte principiile din art. 5 GDPR: legalitate, echitate și transparență; limitarea scopului; reducerea la minimum a datelor; limitarea stocării; integritate și confidențialitate. Prelucrarea are nevoie de un temei din art. 6 GDPR — pentru spațiile comerciale, temeiul uzual este interesul legitim:

Art. 6 alin. (1) lit. (f) GDPR — „prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.”

Sursa: Regulamentul (UE) 2016/679 – EUR-Lex (accesat 2026-09-07)

Interesul legitim tipic este paza și protecția persoanelor, a bunurilor și a valorilor și prevenirea furturilor. El nu este însă automat: operatorul trebuie să facă și să documenteze un test de echilibru (balancing test) din care să rezulte că interesul său prevalează asupra drepturilor persoanelor filmate.

Când supravegherea este obligatorie prin lege (temei: obligație legală)

Pentru anumite categorii de unități, camerele nu sunt o opțiune, ci o obligație legală. Legea nr. 333/2003 privind paza obiectivelor, bunurilor, valorilor și protecția persoanelor și normele ei metodologice (HG nr. 301/2012, cu modificările prin HG nr. 1002/2015 și HG nr. 299/2022) impun sisteme de supraveghere video, printre altele, la: case de schimb valutar, unități bancare și instituții financiare, bijuterii și case de amanet, stații de distribuție a carburanților (benzinării), săli de jocuri de noroc și structuri comerciale mari care manipulează valori. Măsurile concrete se stabilesc pe baza unei analize de risc la securitate fizică (art. 2 din norme).

În aceste cazuri temeiul juridic corect nu este interesul legitim, ci obligația legală — art. 6 alin. (1) lit. (c) GDPR. Consecințele practice:

• Testul de echilibru privind dacă filmezi devine inutil — obligația legală prevalează; nu mai trebuie justificată oportunitatea instalării camerelor, ci doar respectați parametrii impuși.
• Apar cerințe tehnice minime stabilite de norme: poziționarea camerelor (case de marcat, intrări/ieșiri, spații de procesare/depozitare a valorilor, parcări), o calitate suficientă pentru recunoașterea persoanelor și o durată de stocare de 20 de zile (Anexa nr. 1, art. 15 alin. (3) din normele HG 301/2012, forma dată de HG 1002/2015) — termen statutar propriu materiei pazei, distinct de reperul de 30 de zile din materia protecției datelor (vezi Aspecte practice).
• Restul obligațiilor GDPR rămân integrale: minimizarea datelor, informarea (art. 12-13), securitatea (art. 32), drepturile persoanelor filmate. Obligația de pază justifică sistemul, dar nu scutește de transparență și proporționalitate în modul de operare.

Sursa: Legea nr. 333/2003 (republicată) – Portal Legislativ; HG nr. 301/2012 – Portal Legislativ (accesat 2026-09-07)

Obligația de informare

Art. 13 GDPR impune informarea persoanei vizate înainte de prelucrare: identitatea operatorului, scopurile și temeiul juridic, interesele legitime urmărite, destinatarii, durata stocării și drepturile persoanei. Pentru CCTV, informarea se face „pe niveluri”: o pictogramă/avertizare vizibilă la intrarea în zona monitorizată (art. 12) + o notă de informare completă disponibilă la cerere.

Monitorizarea angajaților — Legea nr. 190/2018

Când spațiul comercial este și loc de muncă, filmarea salariaților este supusă unor condiții suplimentare, cumulative:

Art. 5 din Legea nr. 190/2018 — monitorizarea video la locul de muncă, în scopul intereselor legitime ale angajatorului, este permisă numai dacă: a) interesele legitime sunt temeinic justificate și prevalează asupra drepturilor salariaților; b) angajatorul a realizat informarea prealabilă completă și explicită; c) a consultat sindicatul / reprezentanții angajaților înainte de introducerea sistemelor; d) alte metode mai puțin intruzive nu și-au dovedit eficiența; e) durata de stocare este proporțională cu scopul, dar nu mai mare de 30 de zile, cu excepția situațiilor expres reglementate sau temeinic justificate.

Sursa: Legea nr. 190/2018 (M. Of. nr. 651 din 26 iulie 2018) – Portal Legislativ (accesat 2026-09-07)

Evaluarea de impact (DPIA)

Art. 35 alin. (3) lit. (c) GDPR cere o evaluare a impactului asupra protecției datelor (DPIA) în cazul „monitorizării sistematice pe scară largă a unei zone accesibile publicului”.

La nivel național, Decizia ANSPDCP nr. 174/2018 (M. Of. nr. 919/31.10.2018) detaliază lista prelucrărilor pentru care DPIA este obligatorie, incluzând prelucrarea pe scară largă cu tehnologii noi (de exemplu recunoașterea facială pentru accesul în spații). Mall-urile, galeriile comerciale și hipermarketurile care monitorizează sistematic zone accesibile publicului sunt susceptibile să intre sub această obligație.

Sursa: Decizia ANSPDCP nr. 174/2018 – dataprotection.ro (accesat 2026-09-07)

Autoritatea competentă în România este ANSPDCP (înființată prin Legea nr. 102/2005, republicată), care investighează și aplică sancțiunile din art. 58 și 83 GDPR (până la 20 milioane EUR sau 4% din cifra de afaceri mondială anuală).

Explicație detaliată

Ce înseamnă „date cu caracter personal” în cazul CCTV

Nu contează dacă memorezi sau nu numele oamenilor filmați: dacă o persoană poate fi identificată din imagine (chip, siluetă coroborată cu alte informații, numărul mașinii), înregistrarea este dată cu caracter personal. Un magazin care filmează clienți și angajați devine, în limbajul GDPR, operator de date și își asumă toate obligațiile ce decurg de aici. Sunt vizate atât înregistrările propriu-zise, cât și vizionarea în timp real pe un monitor („live”), pentru că și aceasta este o formă de prelucrare.

Cine este „operatorul”: mall-uri, chiriași, francize

Într-un mall sau centru comercial nu există un singur operator „monolitic”. Regula: administrația centrului (care operează camerele pe zonele comune) și fiecare chiriaș (care are camere în propriul magazin) sunt operatori independenți — fiecare pentru sistemul pe care îl controlează. Fiecare răspunde separat față de persoana filmată și fiecare poate primi separat o amendă pentru propriul sistem.

• Operatori asociați (art. 26 GDPR) apar doar când două entități stabilesc în comun scopurile și mijloacele prelucrării (de exemplu un sistem CCTV partajat, cu monitorizare comună). Atunci le revine obligația unui acord care repartizează responsabilitățile și indică un punct de contact; persoana vizată își poate exercita drepturile față de oricare dintre ei (art. 26 alin. (3)).
• Firma de pază/monitorizare care operează sistemul „în numele” comerciantului nu este operator asociat, ci persoană împuternicită (art. 28 GDPR) — relația trebuie reglementată printr-un contract de prelucrare.
• Francize: francizorul și francizatul sunt de regulă operatori independenți (fiecare își controlează camerele); devin asociați doar dacă acordul de franciză impune o monitorizare coordonată. Cine „decide” asupra camerelor primește amenda — nu automat marca/rețeaua.

De ce interesul legitim, și nu consimțământul

În spațiile comerciale, cererea de consimțământ de la fiecare client care intră pe ușă este, practic, imposibilă și, juridic, fragilă (nu ar fi liber exprimat — clientul nu poate „negocia” intrarea într-un magazin filmat). De aceea temeiul corect este, aproape întotdeauna, interesul legitim (art. 6 alin. (1) lit. (f) GDPR). Interesul legitim nu este însă un cec în alb: presupune un raționament în trei pași, pe care operatorul trebuie să-l poată dovedi:

1. Scop legitim real — de exemplu prevenirea furturilor, securitatea persoanelor, protejarea bunurilor. Un scop vag („ca să fie”) sau nedeclarat nu ține.
2. Necesitate — supravegherea trebuie să fie efectiv utilă și să nu existe o alternativă mai puțin intruzivă (iluminat, oglinzi, alarme, personal de pază) care să atingă același scop.
3. Testul de echilibru — interesul operatorului trebuie să prevaleze asupra așteptărilor rezonabile de intimitate ale persoanelor filmate. Într-o zonă în care oamenii se așteaptă la intimitate, echilibrul înclină împotriva camerei.

Rezultatul acestui raționament trebuie documentat în scris (o „evaluare a interesului legitim”) și păstrat, pentru că ANSPDCP îl poate cere.

Unde NU ai voie să filmezi

Chiar cu un temei valabil, unele spații rămân interzise pentru că afectează în mod disproporționat intimitatea: cabinele de probă, vestiarele, dușurile și toaletele. Camerele nu trebuie orientate nici spre spații care nu-ți aparțin (trotuar, proprietatea vecinilor, intrarea altui magazin), decât în măsura strict necesară scopului. Supravegherea audio este, în plus, considerabil mai intruzivă decât cea video și, ca regulă, disproporționată în spațiile comerciale obișnuite.

Semnalizarea („dublu strat” de informare)

Informarea corectă are două niveluri:

• Nivelul 1 — pictograma la intrare: un semn vizibil, plasat înainte de zona monitorizată, cu simbolul camerei, identitatea operatorului, scopul supravegherii, o trimitere la informarea completă și datele de contact.
• Nivelul 2 — nota de informare completă: disponibilă la recepție/casă sau online, cuprinzând toate elementele din art. 13 GDPR (temei, durata stocării, destinatari, drepturi, dreptul de a depune plângere la ANSPDCP).

Camere ascunse? Regula semnalizării și excepția îngustă López Ribalda

Ca regulă, informarea prealabilă este obligatorie (art. 12-13 GDPR), iar camerele permanente nesemnalizate atrag sancțiuni. Există totuși o marjă îngustă și excepțională — recunoscută de CEDO în materia raporturilor de muncă, nu în relația cu clienții. În López Ribalda și alții c. Spaniei (Marea Cameră, 17 octombrie 2019), Curtea a admis că supravegherea video ascunsă a unor angajați dintr-un supermarket nu a încălcat art. 8 din Convenție, fiind justificată de o suspiciune rezonabilă de furt sistematic, limitată în timp și spațiu și proporțională. Curtea aplică factorii din Bărbulescu c. României (2017): gradul de notificare, întinderea monitorizării, justificarea legitimă, existența unor mijloace mai puțin intruzive, consecințele pentru salariat și garanțiile oferite.

Concluzia practică pentru comerț: o cameră temporar nesemnalizată poate fi admisibilă doar (i) față de angajați, (ii) când există o suspiciune concretă de infracțiune gravă (furt/fraudă) în curs, (iii) pe o durată strict limitată și (iv) cu proporționalitate documentată în prealabil. Această jurisprudență ține de dreptul la viață privată și nu suspendă obligațiile GDPR — după clarificarea situației, semnalizarea și informarea redevin obligatorii, iar față de clienți nu există o astfel de excepție.

Sursa: CEDO, López Ribalda și alții c. Spaniei (MC), 17.10.2019 (cererile 1874/13 și 8567/13); Bărbulescu c. României (MC), 05.09.2017 — HUDOC (accesat 2026-09-07)

Durata de stocare

Principiul limitării stocării (art. 5 alin. (1) lit. (e) GDPR) cere păstrarea imaginilor doar cât e necesar. Aici trebuie făcută o distincție pe care legea o impune, dar care e des ignorată:

• Angajați: plafonul de maximum 30 de zile este statutar — el rezultă direct din art. 5 lit. e) din Legea nr. 190/2018, care privește strict monitorizarea la locul de muncă.
• Clienți: Legea nr. 190/2018 nu li se aplică. Pentru imaginile clienților nu există un termen fix impus de lege — se aplică doar principiul general al limitării stocării (art. 5 alin. (1) lit. (e) GDPR), adică „doar cât e necesar scopului”. Cele 30 de zile rămân un reper de bună practică (preluat și din fosta Decizie ANSPDCP nr. 52/2012 și din EDPB Guidelines 3/2019), nu un plafon legal obligatoriu. A prezenta cele 30 de zile drept „regulă legală” pentru clienți este, așadar, o simplificare inexactă.
• Unități cu obligație de pază: aici funcționează un termen statutar propriu — 20 de zile (Anexa nr. 1, art. 15 alin. (3) din normele HG 301/2012), distinct de reperul de 30 de zile.

Termene mai lungi decât reperul trebuie justificate individual (de exemplu, o înregistrare reținută pentru o anchetă în curs sau un litigiu — vezi Aspecte practice, „legal hold”).

DPIA: când devine obligatorie

Pentru un magazin mic, cu câteva camere, DPIA nu este de regulă obligatorie, dar evaluarea interesului legitim rămâne necesară. DPIA devine obligatorie când supravegherea este sistematică și pe scară largă într-o zonă accesibilă publicului (art. 35 alin. (3) lit. (c) GDPR) sau când se folosesc tehnologii cu risc ridicat — în special recunoașterea facială ori numărarea/urmărirea clienților cu analiză comportamentală (Decizia ANSPDCP nr. 174/2018). Lista ANSPDCP nu este exhaustivă: și alte sisteme care prezintă un risc ridicat impun DPIA.

Recunoașterea facială: de ce este, practic, „aproape niciodată” legală

Recunoașterea facială nu este o simplă filmare: ea prelucrează date biometrice pentru identificarea unică a unei persoane, adică o categorie specială de date (art. 9 GDPR), interzisă ca regulă. Problema esențială — pe care mulți comercianți o ratează — este că interesul legitim (art. 6 alin. (1) lit. (f)) NU este un temei valabil pentru art. 9. Ai nevoie de una dintre excepțiile din art. 9 alin. (2), iar niciuna nu se potrivește plauzibil unui comerciant privat care vrea să detecteze „hoți recidiviști”:

• lit. (a) — consimțământul explicit: irealizabil și fragil (clientul care intră pe ușă nu-l dă liber; e retractabil oricând);
• lit. (b) — obligații de dreptul muncii: privește doar propriii angajați, în cadrul unei legi specifice care lipsește pentru acest scop;
• lit. (g) — interes public substanțial: cere o lege națională dedicată — inexistentă pentru comercianți privați;
• lit. (f) — apărarea unui drept în justiție: operează ex post, nu ca supraveghere biometrică permanentă și preventivă.

Concluzia practică: pentru un comerciant privat din România, recunoașterea facială a clienților este aproape imposibil de legalizat. La aceasta se adaugă AI Act (Reg. UE 2024/1689), care interzice extragerea nețintită de imagini faciale și recunoașterea emoțiilor la locul de muncă și supune restul sistemelor biometrice regimului de „risc ridicat” (vezi Legislație europeană). Alternativele conforme sunt supravegherea video clasică (fără biometrie) și colaborarea cu poliția, nu bazele de date faciale proprii.

Ghidul european de referință

La nivel european, standardul de interpretare pentru CCTV este dat de ⚠️ EDPB — Guidelines 3/2019 privind prelucrarea datelor prin dispozitive video (Comitetul European pentru Protecția Datelor), pe care ANSPDCP le urmează. Ghidul detaliază testul de interes legitim, informarea pe niveluri, tratamentul datelor biometrice (recunoașterea facială ca prelucrare de categorii speciale — art. 9 GDPR) și modul de soluționare a cererilor persoanelor filmate.

Sursa: EDPB Guidelines 3/2019 on processing of personal data through video devices (accesat 2026-09-07)

Aspecte practice

Pași de conformare (checklist)

1. Definește scopul în scris — de exemplu „prevenirea furturilor și protecția persoanelor în spațiul de vânzare”. Un scop precis limitează automat unde amplasezi camerele.
2. Redactează evaluarea interesului legitim (scop → necesitate → test de echilibru). Păstreaz-o la dosar.
3. Amplasează camerele minimal — doar zonele care servesc scopul (intrări, case de marcat, depozit de valori). Evită acoperirea integrală, „de dragul acoperirii”.
4. Montează semnalizarea înainte de zona filmată: pictogramă + notă de informare completă (art. 12-13 GDPR).
5. Stabilește retenția (orientativ ≤ 30 de zile) și configurează ștergerea automată.
6. Restricționează accesul la imagini: un număr limitat de persoane, cu drepturi și instrucțiuni clare; jurnalizează accesările (art. 25 și 32 GDPR).
7. Fă o DPIA dacă supravegherea e la scară largă sau folosești recunoaștere facială/analiză comportamentală.
8. Dacă ai angajați: informează-i explicit și consultă sindicatul/reprezentanții înainte de instalare (art. 5 Legea 190/2018).
9. Pregătește procedura pentru cereri (acces, ștergere) și pentru solicitările organelor de urmărire penală.
10. Actualizează registrul de evidență a activităților de prelucrare (art. 30 GDPR) cu sistemul CCTV.

Greșeli frecvente (care au atras amenzi)

• Camere fără semnalizare sau cu semnalizare tardivă/incompletă.
• Filmarea zonelor intime (vestiare, cabine de probă, toalete) — interzisă indiferent de scop.
• Lipsa unui interes legitim documentat — camere „pentru orice eventualitate”, fără test de echilibru.
• Supraveghere audio nejustificată, adăugată la video.
• Retenție nelimitată a înregistrărilor.
• Acces necontrolat la imagini și dezvăluirea/publicarea lor (inclusiv pe rețele sociale) fără temei.
• Ignorarea angajaților — instalarea camerelor fără informare și fără consultarea reprezentanților salariaților.

Cererile persoanelor filmate

Orice persoană are dreptul de acces (art. 15 GDPR): poate cere confirmarea că este filmată și o copie a imaginilor cu ea. La furnizare, trebuie protejate datele terților (blurarea celorlalte persoane din cadru). Persoana are și dreptul de a se opune prelucrării (art. 21) și de a depune plângere la ANSPDCP. Termenul de răspuns este, de regulă, o lună de la cerere.

Refolosirea imaginilor ca probă disciplinară

Poți folosi înregistrările instalate „pentru paza și securitatea bunurilor” ca probă într-o cercetare disciplinară sau la concedierea unui salariat? Nu automat. Imaginile au fost colectate pentru un scop declarat, iar folosirea lor pentru sancționarea unui angajat este o prelucrare ulterioară care se lovește de principiul limitării scopului (art. 5 alin. (1) lit. (b) GDPR) și trebuie să treacă testul de compatibilitate din art. 6 alin. (4) GDPR (legătura dintre scopuri, contextul colectării, natura datelor, consecințele pentru persoană, garanțiile).

În practică, refolosirea este admisibilă doar dacă salariatul a fost informat în prealabil că imaginile CCTV pot fi folosite și pentru constatarea abaterilor — adică scopul „disciplinar/constatarea abaterilor” a fost declarat din start în nota de informare. Dreptul muncii permite proba în cercetarea disciplinară (art. 250-252 Codul muncii), dar admisibilitatea ei rămâne condiționată de conformitatea cu GDPR: o probă obținută cu încălcarea limitării scopului poate fi contestată. Regula de aur: dacă vrei să poți folosi camerele și disciplinar, spune-o explicit în informarea inițială și în evaluarea interesului legitim.

⚠️ Ilustrativ (jurisdicție străină, neobligatoriu în România): în Doolin v. Data Protection Commissioner [2022] IECA 117 (Irlanda), folosirea imaginilor CCTV de securitate într-o procedură disciplinară, fără informare prealabilă, a fost considerată o încălcare a limitării scopului.

Dezvăluirea înregistrărilor către terți (poliție, asigurători)

Regimul diferă după cine cere imaginile:

• Organele de urmărire penală (poliție, parchet): aici se aplică Legea nr. 363/2018 (care transpune Directiva (UE) 2016/680), nu direct GDPR. Predarea se face la ordonanța de ridicare de obiecte și înscrisuri a organului judiciar (art. 169-171 Cod procedură penală); operatorul are obligația legală de a preda imaginile (temei GDPR art. 6 alin. (1) lit. (c)) și, ca regulă, nu poate refuza o cerere legală. Percheziția (mandat) este alt instrument — simpla predare la ordonanță nu presupune mandat.
• Asigurători sau alte victime ale unui incident: dezvăluirea se poate întemeia pe interesul legitim (art. 6 alin. (1) lit. (f) GDPR) al solicitantului de a-și valorifica o pretenție, dar numai după un test de proporționalitate și cu protecția datelor terților din cadru. Cererea trebuie să fie scrisă și motivată; operatorul poate (și uneori trebuie să) refuze dacă solicitarea este disproporționată sau dacă nu poate proteja imaginile altor persoane.

Nu dezvălui și nu publica niciodată imaginile discreționar (inclusiv pe rețele sociale) — canalul corect pentru un furt este sesizarea poliției, nu difuzarea publică.

Conflictul cu ștergerea automată: „legal hold”

Ce faci când ștergerea automată la 30 (sau 20) de zile s-ar suprapune cu o cerere de acces (art. 15) sau cu nevoia de a păstra o secvență pentru un litigiu/o anchetă? Nu lași sistemul să șteargă, dar nici nu suspenzi regula generală:

1. Izolează și restricționează secvența relevantă — art. 18 GDPR (restricționarea prelucrării): o extragi din fluxul supus ștergerii automate și nu o mai folosești pentru alt scop.
2. Temeiul păstrării excepționale este art. 17 alin. (3) lit. (e) GDPR — datele pot fi reținute pentru „constatarea, exercitarea sau apărarea unui drept în instanță”.
3. Atenție la fereastra de timp: o persoană vizată poate cere imaginile doar înăuntrul termenului de retenție — după ștergerea automată nu mai există. De aceea o cerere de acces trebuie tratată prompt, nu la finalul lunii de răspuns.
4. Documentează păstrarea: un mic registru de „legal hold” (ce secvență, de la ce dată, temeiul, cine a autorizat), astfel încât excepția să nu devină o încălcare a limitării stocării (art. 5 alin. (1) lit. (e)).

Legislație europeană

Supravegherea video din spațiile comerciale este guvernată, la nivelul Uniunii Europene, de un cadru pe trei straturi: dreptul primar (Carta drepturilor fundamentale), regulamentul general privind protecția datelor (GDPR) și, tot mai relevant, normele privind inteligența artificială aplicate supravegherii biometrice.

Directive și regulamente aplicabile

GDPR — regulament direct aplicabil. Spre deosebire de o directivă, Regulamentul (UE) 2016/679 (GDPR) se aplică direct în România, fără a fi nevoie de o lege de transpunere; el a abrogat vechea Directivă 95/46/CE. Prelucrarea imaginilor prin CCTV se întemeiază, în comerț, pe interesul legitim (art. 6 alin. (1) lit. (f)) și trebuie să respecte principiile din art. 5, cerințele de informare (art. 12-13) și, după caz, evaluarea de impact (art. 35). Aceste articole sunt tratate pe larg în secțiunea Cadrul legal.

Regulamentul (UE) 2016/679 (GDPR) — se aplică direct în toate statele membre; supravegherea video este o „prelucrare” în sensul art. 4 pct. 2. Sursa: Regulamentul (UE) 2016/679 – EUR-Lex, CELEX 32016R0679 (accesat 2026-09-07)

Carta drepturilor fundamentale. Supravegherea atinge două drepturi garantate de art. 7 (viața privată) și art. 8 (protecția datelor) din Cartă; CJUE citește constant condițiile GDPR „prin prisma” acestor articole, ceea ce impune ca orice cameră să fie strict necesară și proporțională.

⚠️ Regulamentul (UE) 2024/1689 (AI Act) — strat nou pentru supravegherea „inteligentă”. Când CCTV-ul comercial folosește recunoaștere facială, analiză biometrică sau recunoașterea emoțiilor, se adaugă obligațiile Regulamentului privind inteligența artificială. Acesta definește „identificarea biometrică” și „sistemele de identificare biometrică la distanță” (considerentele 15-17) și, prin art. 5 (practici interzise, aplicabil din 2 februarie 2025), interzice sistemele de recunoaștere a emoțiilor la locul de muncă (relevant pentru zona de angajați a magazinului, cu excepții înguste medicale/de siguranță) și extragerea nețintită de imagini faciale pentru baze de date de recunoaștere facială. Regulile pentru sistemele de IA cu risc ridicat se aplică etapizat (majoritatea din 2 august 2026).

Regulamentul (UE) 2024/1689 (AI Act) — supravegherea biometrică în spații comerciale cumulează obligațiile GDPR (categorii speciale, art. 9) cu cele ale AI Act. Sursa: Regulamentul (UE) 2024/1689 – EUR-Lex, CELEX 32024R1689 (accesat 2026-09-07)

Transpunerea în dreptul român

GDPR fiind direct aplicabil, România nu „transpune” regulamentul, ci îl completează prin Legea nr. 190/2018, care adaugă condiții specifice pentru monitorizarea video la locul de muncă (art. 5 — inclusiv retenția de maximum 30 de zile) și desemnează ANSPDCP ca autoritate de supraveghere în sensul art. 51 GDPR. Standardul european de interpretare pentru CCTV rămâne EDPB — Guidelines 3/2019 privind prelucrarea prin dispozitive video, pe care ANSPDCP le aplică (vezi secțiunea Explicație detaliată). Nu există „gold-plating” semnificativ: regula celor 30 de zile din L.190/2018 este mai degrabă o concretizare a principiului limitării stocării (art. 5 alin. (1) lit. (e) GDPR) decât o cerință suplimentară împovărătoare.

Jurisprudență CJUE

Cauza C-708/18, TK v Asociația de Proprietari bloc M5A-ScaraA (CJUE, 11 decembrie 2019) — pe o trimitere de la Tribunalul București, Curtea a confirmat că un sistem CCTV instalat pentru paza persoanelor și bunurilor este licit fără consimțământ dacă respectă condițiile interesului legitim (art. 6 alin. (1) lit. (f) GDPR / art. 7(f) Dir. 95/46), citite prin prisma art. 7 și 8 din Cartă. Curtea a impus testul în trei pași — interes legitim real, necesitate (prelucrarea strict necesară, verificând existența unor mijloace mai puțin intruzive) și echilibru cu drepturile persoanelor filmate. Standardul se aplică identic camerelor din magazine și mall-uri. Sursa: CJUE, C-708/18 – EUR-Lex, CELEX 62018CJ0708 (accesat 2026-09-07)

Cauza C-212/13, František Ryneš (CJUE, 11 decembrie 2014) — imaginea unei persoane înregistrată de o cameră este dată cu caracter personal, iar înregistrarea continuă este o prelucrare automată. Excepția „activității exclusiv personale sau casnice” nu se aplică atunci când camera supraveghează, chiar și parțial, un spațiu public. Concluzie practică pentru comercianți: camerele orientate spre trotuar sau spre spațiul public din fața magazinului rămân integral sub incidența GDPR. Sursa: CJUE, C-212/13 – EUR-Lex, CELEX 62013CJ0212 (accesat 2026-09-07)

Aspecte practice din perspectivă europeană

• Validitate UE-largă. Deoarece GDPR este un regulament direct aplicabil, un sistem CCTV conform în România respectă același standard în orice stat membru; un lanț comercial cu magazine în mai multe țări poate folosi o politică unică de supraveghere, adaptată doar la particularitățile naționale (de exemplu regula celor 30 de zile din L.190/2018).
• Mecanismul „ghișeului unic”. Un operator cu sedii în mai multe state membre poate avea o singură autoritate de supraveghere principală (art. 56 GDPR), care coordonează investigațiile transfrontaliere prin EDPB — util pentru rețelele de retail.
• Direcția de reglementare. Tendința UE este de restrângere a supravegherii biometrice: AI Act interzice deja recunoașterea emoțiilor la locul de muncă și limitează sever identificarea biometrică la distanță. Comercianții care planifică recunoaștere facială (de exemplu pentru detectarea hoților recidiviști) trebuie să anticipeze un cadru din ce în ce mai strict, cumulând GDPR (art. 9), AI Act și jurisprudența CJUE privind proporționalitatea.

Întrebări frecvente

Am nevoie de acordul clienților ca să pun camere în magazin? Nu. Pentru un spațiu comercial, temeiul corect este interesul legitim (art. 6 alin. (1) lit. (f) GDPR), nu consimțământul. Trebuie însă să existe un scop precis, un test de echilibru documentat și semnalizare vizibilă.

Cât timp pot păstra înregistrările? Doar cât e necesar pentru scop (principiul limitării stocării, art. 5 alin. (1) lit. (e) GDPR). Termenul de maximum 30 de zile este obligatoriu doar pentru angajați (art. 5 din Legea 190/2018); pentru clienți nu există un termen fix impus de lege — 30 de zile este doar bună practică. La unitățile obligate să aibă pază (bănci, case de schimb etc.) se aplică un termen statutar de 20 de zile (HG 301/2012). Peste reper, ai nevoie de o justificare individuală (o anchetă sau un litigiu în curs).

Trebuie să anunț cumva că filmez? Da, obligatoriu. Se folosește informarea „pe niveluri”: o pictogramă vizibilă la intrarea în zona monitorizată plus o notă de informare completă disponibilă la cerere (art. 12-13 GDPR). Lipsa semnalizării a fost sancționată de ANSPDCP.

Pot pune camere care să-mi filmeze angajații? Da, dar cu condiții mai stricte (art. 5 Legea 190/2018): interes legitim justificat, informarea prealabilă a salariaților, consultarea sindicatului/reprezentanților înainte de instalare, lipsa unei alternative mai puțin intruzive și retenție de maximum 30 de zile. Nu poți filma vestiare, dușuri sau toalete.

Un client îmi cere înregistrarea cu el. Sunt obligat să i-o dau? Da, în temeiul dreptului de acces (art. 15 GDPR), dar trebuie să protejezi datele celorlalte persoane din cadru (de exemplu prin blurare) și să răspunzi, de regulă, în cel mult o lună.

Trebuie să fac o DPIA pentru câteva camere? Pentru un magazin mic, de obicei nu — dar evaluarea interesului legitim rămâne obligatorie. DPIA devine obligatorie la supraveghere sistematică pe scară largă a zonelor accesibile publicului sau la tehnologii cu risc ridicat, precum recunoașterea facială (art. 35 GDPR; Decizia ANSPDCP nr. 174/2018).

Pot publica pe Facebook imaginea unui hoț surprins de camere? Nu în mod discreționar. Publicarea/distribuirea imaginilor necesită un temei propriu; ANSPDCP a atras atenția că difuzarea imaginilor din CCTV nu este liberă. Sesizarea corectă este către organele de poliție.

Legea îmi impune să am camere (sunt casă de schimb / bijuterie / benzinărie). Ce se schimbă? Temeiul nu mai este interesul legitim, ci obligația legală (art. 6 alin. (1) lit. (c) GDPR), impusă de Legea nr. 333/2003 și HG nr. 301/2012. Nu mai faci test de echilibru pentru dacă filmezi, dar trebuie să respecți cerințele tehnice ale normelor de pază (poziționarea camerelor, calitate de recunoaștere, stocare 20 de zile) și toate celelalte obligații GDPR (informare, securitate, drepturile persoanelor).

Pot instala recunoaștere facială ca să detectez hoții recidiviști? Practic, nu. Recunoașterea facială prelucrează date biometrice — o categorie specială (art. 9 GDPR) — pentru care interesul legitim nu este temei valabil, iar excepțiile din art. 9 alin. (2) nu se aplică unui comerciant privat. La aceasta se adaugă restricțiile AI Act. Răspunsul realist este „aproape niciodată”; folosește supraveghere video clasică și colaborarea cu poliția.

Pot folosi imaginile ca să sancționez disciplinar un angajat? Doar dacă l-ai informat în prealabil că imaginile pot fi folosite și pentru constatarea abaterilor. Altfel te lovești de limitarea scopului (art. 5 alin. (1) lit. (b)) și de testul de compatibilitate (art. 6 alin. (4) GDPR), iar proba poate fi contestată în procedura disciplinară (art. 250-252 Codul muncii).

Pot filma angajații cu camere ascunse dacă bănuiesc furturi? Doar excepțional și temporar. CEDO a admis (López Ribalda, 2019) supravegherea ascunsă a angajaților în caz de suspiciune rezonabilă de furt grav, pe durată limitată și proporțional. Nu este o regulă generală, nu se aplică clienților, iar camerele permanente trebuie oricum semnalizate.

Practică și opinii

Cum sancționează ANSPDCP în practică

Autoritatea a aplicat deja mai multe amenzi în cazuri de supraveghere video, iar tiparul greșelilor este constant: lipsa informării, absența unui interes legitim documentat și filmarea zonelor de intimitate.

• Entirely Shipping & Trading — 10.000 EUR (2 × 5.000 €). Operatorul instalase camere audio-video în birouri, vestiare și sala de mese, fără să-și fi informat salariații și fără a dovedi un interes legitim; suplimentar, prelucrase amprente fără a fi strict necesar.

  Sursa: avocatnet.ro – firmă amendată cu 10.000 € pentru supraveghere excesivă (accesat 2026-09-07)

• UTTIS Industries — 2.500 EUR (11.834,25 lei). Camere de supraveghere folosite fără informarea legală a persoanelor vizate, plus dezvăluirea ilegală a numelui și CNP-ului salariaților.

  Sursa: juridice.ro – ANSPDCP, o nouă amendă pentru încălcarea GDPR (accesat 2026-09-07)

• Asociație de proprietari — 500 EUR + avertismente (2.389,05 lei). Încălcări ale RGPD legate de un sistem de supraveghere video.

  Sursa: dataprotection.ro – amendă asociație de proprietari (accesat 2026-09-07)

Opinii de specialitate

⚠️ Opinie specialistă — redacția avocatnet.ro subliniază că, deși consimțământul nu este obligatoriu pentru supravegherea în spații deschise publicului, informarea este esențială, iar camerele pot fi instalate doar pentru scopuri legitime și precise (pază, protecția persoanelor și a bunurilor). Sursa: Camerele de supraveghere din spațiile publice și comerciale: drepturile tale conform GDPR (avocatnet.ro) (accesat 2026-09-07)

⚠️ Opinie specialistă — pe juridice.ro se atrage atenția asupra „pericolului amenzilor”: nesemnalizarea, semnalizarea tardivă sau incompletă a camerelor este de natură să atragă încălcarea legislației privind protecția datelor și sancțiuni corespunzătoare. Sursa: Camerele de luat vederi și pericolul amenzilor (juridice.ro) (accesat 2026-09-07)

Notă privind Decizia ANSPDCP nr. 52/2012

Există o decizie mai veche a autorității — Decizia nr. 52/2012 privind prelucrarea datelor prin mijloace de supraveghere video — care nu a fost abrogată formal. Ea a fost însă emisă în baza vechii Legi nr. 677/2001, abrogată de Legea nr. 190/2018, astfel încât regulile ei substanțiale sunt depășite de GDPR; în practică, ANSPDCP aplică direct Regulamentul și Legea 190/2018. Nu te baza pe Decizia 52/2012 ca sursă principală.

Referințe

1. Regulamentul (UE) 2016/679 (GDPR) — art. 4, 5, 6 alin. (1) lit. (c) și (f), 6 alin. (4), 9, 12-13, 15, 17 alin. (3) lit. (e), 18, 21, 25, 26, 28, 30, 32, 35, 58, 83; Considerentul 91. EUR-Lex
2. Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR — art. 5 (monitorizarea la locul de muncă). M. Of. nr. 651 din 26 iulie 2018. Portal Legislativ
3. Decizia ANSPDCP nr. 174/2018 privind lista operațiunilor pentru care este obligatorie realizarea DPIA. M. Of. nr. 919 din 31 octombrie 2018. dataprotection.ro
4. EDPB — Guidelines 3/2019 on processing of personal data through video devices (versiune finală, 2020). edpb.europa.eu
5. Legea nr. 102/2005 (republicată) privind înființarea, organizarea și funcționarea ANSPDCP. Portal Legislativ
6. Legea nr. 333/2003 (republicată) privind paza obiectivelor, bunurilor, valorilor și protecția persoanelor. Portal Legislativ
7. HG nr. 301/2012 — Norme metodologice de aplicare a Legii nr. 333/2003 (modificate prin HG nr. 1002/2015 și HG nr. 299/2022); Anexa nr. 1, art. 15 alin. (3) — stocare 20 de zile. Portal Legislativ
8. Legea nr. 363/2018 privind protecția datelor în scopuri penale (transpune Directiva (UE) 2016/680); Codul de procedură penală, art. 169-171 (ridicarea de obiecte și înscrisuri). Portal Legislativ
9. Legea nr. 53/2003 — Codul muncii, art. 250-252 (cercetarea disciplinară). Portal Legislativ
10. EDPB — Guidelines 07/2020 on the concepts of controller and processor in the GDPR (operatori asociați, art. 26). edpb.europa.eu
11. CEDO — López Ribalda și alții c. Spaniei (MC), 17.10.2019; Bărbulescu c. României (MC), 05.09.2017 (supraveghere ascunsă / proporționalitate). HUDOC
12. ANSPDCP — decizii de sancționare și comunicate privind supravegherea video. dataprotection.ro
13. ⚠️ avocatnet.ro — Camerele de supraveghere din spațiile publice și comerciale: drepturile tale conform GDPR. avocatnet.ro
14. ⚠️ juridice.ro — Camerele de luat vederi și pericolul amenzilor impuse de protecția datelor. juridice.ro
15. ⚠️ Universul Juridic — Legea nr. 190/2018. Prezentare generală și Lista operațiunilor pentru care este obligatorie DPIA. universuljuridic.ro