# Registrul activităților de prelucrare (art. 30): cine îl ține, ce conține și cum arată completat

Sursa / Источник: https://ongdpr.md/ro/blog/registrul-activitatilor-de-prelucrare

## Ce este registrul și de ce e primul document care ți se cere

Registrul activităților de prelucrare este evidența internă în care operatorul scrie ce date prelucrează, de ce, ale cui sunt, cui ajung și cât le ține. Nu se depune nicăieri. Art. 30 alin. (4) spune că evidențele se pun la dispoziția Centrului **la cererea acestuia** — adică îl ții la tine și îl prezinți când ți-l cere CNPDCP.

Tocmai de aceea e primul document pe care îl cere autoritatea. Nu pentru că ar fi cel mai important din punct de vedere juridic, ci pentru că este singurul care spune, pe o pagină, tot ce face organizația cu date personale. Din registru se vede imediat dacă ai temeiuri asumate, dacă ai furnizori nedocumentați, dacă păstrezi date fără termen și dacă politica publicată de pe site descrie realitatea. Un operator fără registru nu are cum să răspundă coerent la nicio întrebare ulterioară a controlului, pentru că nu are inventarul propriilor prelucrări.

A doua utilitate e mai puțin evidentă și mai valoroasă: registrul este documentul care îți arată ție ce ai uitat. Aproape orice firmă care îl completează prima dată descoperă două-trei prelucrări pe care nu le trecuse niciodată în politica de confidențialitate — camerele de la intrare, CV-urile primite pe email, lista de contacte pentru newsletter.

## Pragul de 250 de angajați: testul de aplicabilitate

Art. 30 alin. (5) pare o scutire generoasă pentru firmele mici. Obligația nu se aplică unei întreprinderi sau organizații cu **mai puțin de 250 de angajați** — cu excepția a trei situații. Cuvântul care contează este „excepția", pentru că a doua poartă se deschide practic pentru oricine.

| Situația | Ești obligat? | Baza |
|---|---|---|
| Ai 250 de angajați sau mai mulți | Da | Art. 30 alin. (5) — scutirea se aplică doar sub 250 de angajați |
| Sub 250 de angajați, dar prelucrarea **nu este ocazională** | Da | Art. 30 alin. (5), a doua excepție |
| Sub 250 de angajați, dar prelucrarea e susceptibilă să genereze un **risc pentru drepturile și libertățile** persoanelor vizate | Da | Art. 30 alin. (5), prima excepție |
| Sub 250 de angajați, dar prelucrezi **categorii speciale** (art. 9 alin. (1)) sau **date penale** (art. 10) | Da | Art. 30 alin. (5), a treia excepție |
| Sub 250 de angajați, prelucrarea e cu adevărat ocazională și fără risc | Nu | Art. 30 alin. (5), regula de bază |

Ultimul rând este cel care ne interesează, pentru că în practică e aproape gol. Ghidul CNPDCP o spune el însuși, fără menajamente:

> Având în vedere că, în mod obișnuit, activitățile de prelucrare desfășurate în cadrul unei companii nu au caracter ocazional, rezultă că, în majoritatea cazurilor, operatorii au obligația de a institui și menține o evidență internă a activităților de prelucrare, care să fie actualizată și revizuită periodic.

Traducerea în limbaj de patron: „ocazional" nu înseamnă „puțin", înseamnă „întâmplător, neregulat, nerepetat". Un magazin online care primește comenzi zilnic nu prelucrează ocazional, chiar dacă are trei angajați și primește cinci comenzi pe zi — prelucrarea este structurală, e chiar modelul de business. La fel, o firmă care are salariați ține evidența lor lunar, deci nu ocazional. Un cabinet care completează fișe de pacient intră și pe a treia poartă, cea a categoriilor speciale, unde numărul de angajați nu mai contează deloc.

Cele trei excepții sunt legate cu **sau**, nu cu **și**. E suficient să cazi pe una singură. În consecință, întrebarea utilă nu este „am sub 250 de angajați?", ci „există vreo prelucrare pe care o fac în mod repetat?". Dacă răspunsul e da — și e da pentru orice firmă care are clienți, angajați sau un formular pe site — ții registrul.

## Două registre diferite, în funcție de rolul tău

Legea descrie două evidențe distincte, cu conținut diferit. Care dintre ele o ții depinde de rolul pe care îl ai într-o prelucrare anume, iar aceeași firmă poate avea ambele roluri, pentru prelucrări diferite.

**Evidența operatorului**, art. 30 alin. (1), cuprinde șapte elemente:

- a) numele și datele de contact ale operatorului și, după caz, ale operatorului asociat, ale reprezentantului și ale responsabilului cu protecția datelor;
- b) scopurile prelucrării;
- c) descrierea categoriilor de persoane vizate și a categoriilor de date;
- d) categoriile de destinatari cărora le-au fost sau le vor fi divulgate datele, inclusiv destinatarii din alte state sau din organizații internaționale;
- e) dacă e cazul, transferurile către un alt stat sau o organizație internațională, cu identificarea statului sau a organizației, iar pentru transferurile de la art. 49 alin. (2), documentația care dovedește garanțiile adecvate;
- f) dacă e posibil, termenele-limită preconizate pentru ștergerea categoriilor de date;
- g) dacă e posibil, descrierea generală a măsurilor tehnice și organizatorice de securitate de la art. 32 alin. (1).

**Evidența persoanei împuternicite de operator**, art. 30 alin. (2), cuprinde patru elemente:

- a) numele și datele de contact ale împuterniciților și ale fiecărui operator în numele căruia acționează, plus reprezentanții;
- b) categoriile activităților de prelucrare desfășurate în numele fiecărui operator;
- c) dacă e cazul, transferurile, cu documentația de la art. 49 alin. (2);
- d) dacă e posibil, descrierea generală a măsurilor de securitate.

Diferența practică e simplă. Un furnizor de hosting, o agenție care administrează CRM-ul clientului, o firmă de contabilitate externalizată sau un serviciu de call center nu decid ei scopurile — le execută pe ale clientului. Ei țin al doilea tip de evidență, **pentru fiecare client în numele căruia acționează**. Nu au nevoie să scrie scopurile fiecărei campanii a clientului; au nevoie să scrie ce categorii de activități fac pentru fiecare, cu ce măsuri de securitate.

Atenție la un lucru: rolul nu se alege, se constată din fapte. Art. 28 alin. (9) prevede că împuternicitul care stabilește el scopurile și mijloacele devine **operator** pentru acea prelucrare. O agenție care își construiește singură o listă de contacte și o folosește pentru propriile campanii nu mai e împuternicit acolo — e operator, cu registru de tip alin. (1). Detaliile despre temeiul pe care se sprijină fiecare scop sunt în [articolul despre cele șase temeiuri legale](/ro/blog/temeiuri-legale-prelucrare-date-moldova).

## Unde se leagă registrul de restul legii

Registrul nu e un formular izolat. E nodul în care se adună trei obligații separate.

**Transferurile de ultimă instanță.** Art. 49 alin. (7) cere explicit ca operatorul să consemneze **în evidențele de la art. 30** evaluarea și garanțiile aferente transferului de la art. 49 alin. (2) — transferul nerepetitiv, privind un număr limitat de persoane vizate, întemeiat pe interese legitime majore. Dacă faci un astfel de transfer și nu îl ai în registru, obligația nu e îndeplinită, indiferent cât de bine ai documentat-o în altă parte. Contextul complet al transferurilor e în [articolul despre transferul datelor în afara Moldovei](/ro/blog/transfer-date-in-afara-moldovei).

**Individualizarea sancțiunii.** Art. 87 alin. (2) lit. d) impune autorității să țină cont de gradul de responsabilitate, ținând seama de măsurile tehnice și organizatorice implementate în temeiul art. 25 și 32. Registrul este dovada directă pentru acest criteriu: literele f) și g) din alin. (1) descriu exact termenele de păstrare și măsurile de securitate. Un registru datat și revizuit periodic arată un grad de responsabilitate care se poate verifica; absența lui arată opusul.

**Lipsa registrului este ea însăși o abatere sancționabilă.** Art. 88 alin. (1) lit. a) acoperă obligațiile operatorului și ale persoanei împuternicite prevăzute la art. 8, 11, **art. 25–39**, 42 și 43. Art. 30 este în interval. Palierul aplicabil este de până la **1.000.000 de lei** sau, în cazul unei întreprinderi, până la **1% din cifra totală de afaceri realizată în anul anterior sancționării, luându-se în calcul cea mai mare valoare**. Este palierul de jos din cele două — cel de sus, de 2.000.000 de lei sau 2%, e rezervat principiilor și drepturilor persoanelor vizate. Comparația între paliere e detaliată în [articolul despre sancțiuni](/ro/blog/sanctiuni-gdpr-moldova).

Merită reținut și art. 87 alin. (3): amenzile se aplică numai dacă se stabilește că operatorul a săvârșit intenționat sau din neglijență o încălcare prevăzută la art. 88. Un registru incomplet, dar existent și revizuit, arată altceva decât absența totală a oricărei evidențe.

## Șablonul de registru, gata de completat

Aceasta este partea de copiat. Tabelul de mai jos e organizat pe rânduri, nu pe coloane, ca să poată fi citit pe telefon și completat direct într-o foaie de calcul. Fiecare rând corespunde unei litere din art. 30 alin. (1), plus o linie de întreținere care nu e cerută expres de lege, dar fără de care nu poți demonstra că evidența e „actualizată și revizuită periodic", cum cere ghidul.

Exemplul completat este o activitate reală pentru un magazin online din Moldova: **„Vânzare online și livrare"**.

| Câmp | Ce scrii | Exemplu completat |
|---|---|---|
| **a) Operatorul** | Denumirea juridică, IDNO, sediul, email și telefon de contact. Dacă ai operator asociat, reprezentant sau responsabil cu protecția datelor (DPO), le treci aici. | „SRL Exemplu Comerț", IDNO 10xxxxxxxxxxx, mun. Chișinău, str. …; contact: date@exemplu.md, +373 22 xxx xxx. Fără operator asociat. DPO nedesemnat (nu se încadrează la art. 37). |
| **b) Scopul prelucrării** | O propoziție care spune de ce colectezi datele. Un scop pe rând; nu amesteca vânzarea cu marketingul. | Preluarea și procesarea comenzilor din magazinul online, livrarea coletului, gestionarea returnărilor și a garanției. |
| **c) Categoriile de persoane vizate și de date** | Cine sunt oamenii și ce câmpuri completează efectiv. Verifică formularul real, nu ce crezi că cere. | Persoane vizate: clienți care plasează comenzi; destinatari de colet indicați de client. Date: nume și prenume, telefon, adresă de livrare, email, istoricul comenzilor. |
| **d) Categoriile de destinatari** | Cine vede datele în afara firmei: curier, procesator de plăți, email tranzacțional, contabilitate, hosting. Categorii, dar e mai util să scrii numele. | Firma de curierat (livrare), procesatorul de plăți online, furnizorul de email tranzacțional (confirmări de comandă), firma de contabilitate externalizată, furnizorul de hosting. |
| **e) Transferurile în alte state** | Statul sau organizația, plus temeiul. Dacă furnizorul e în Spațiul Economic European, art. 44 alin. (2) spune că acest capitol nu se aplică și nu sunt necesare autorizări speciale. Pentru transferurile de la art. 49 alin. (2) treci aici documentația garanțiilor. | Furnizorul de email tranzacțional are infrastructura într-un stat din Spațiul Economic European — art. 44 alin. (2), fără autorizare specială. Fără transferuri în temeiul art. 49 alin. (2). |
| **f) Termenele de ștergere** | Un termen pe categorie de date, „dacă este posibil". Corelează cu obligațiile de arhivare contabilă și cu durata garanției. | Date de comandă și livrare: păstrate pe durata relației contractuale și a termenului de garanție, apoi arhivate conform obligațiilor legale de evidență contabilă. Cont de client inactiv: 24 de luni de la ultima comandă, apoi ștergere. |
| **g) Măsurile de securitate (art. 32 alin. (1))** | Descriere generală, „dacă este posibil". Ce e activat efectiv, nu ce ai plănuit. | HTTPS forțat pe tot site-ul; acces la panoul de administrare pe conturi nominale, cu autentificare în doi pași; backup zilnic criptat; acces la baza de comenzi limitat la doi angajați; contracte semnate cu curierul, contabilitatea și hostingul, conform art. 28. |
| **Data ultimei revizuiri** | Cine a revizuit și când. Este linia care transformă documentul în dovadă. | Revizuit la 28.07.2026 de administrator. Următoarea revizuire planificată: 28.01.2027. |

Copiază tabelul o dată pentru fiecare activitate de prelucrare. Nu ai nevoie de un rând pentru fiecare client — ai nevoie de un rând pentru fiecare **scop**.

### Cele opt activități pe care majoritatea firmelor le uită

Când completează prima dată, aproape toți trec „vânzarea" și se opresc. Lista de mai jos e ce lipsește, de regulă, dintr-un registru de firmă mică din Moldova:

1. **Recrutarea și CV-urile primite** — inclusiv cele nesolicitate, ajunse pe email; are nevoie de scop, temei și termen de păstrare distinct.
2. **Evidența angajaților** — contracte, dosare de personal, concedii, date medicale de aptitudine (atenție: pot fi categorii speciale, art. 9 alin. (1)).
3. **Supravegherea video** — camerele de la intrare, din depozit sau din magazin. Ghidul CNPDCP o dă chiar ca exemplu tipic de interes legitim.
4. **Newsletterul și lista de abonați** — scop separat de vânzare, cu temei separat și cu evidența retragerii consimțământului.
5. **Formularul de contact al site-ului** — colectează nume, email și mesaj liber, în care oamenii scriu adesea mai mult decât ar trebui.
6. **Apelurile telefonice înregistrate** — dacă înregistrezi, e o prelucrare de sine stătătoare, cu informare și termen propriu.
7. **Programul de fidelizare** — card, puncte, istoric de cumpărături; e profilare în forma cea mai simplă.
8. **Lista de furnizori și colaboratori persoane fizice** — patentari, prestatori pe contract civil; sunt date personale, nu date de firmă.

Dacă găsești aici trei lucruri pe care nu le aveai, registrul și-a plătit deja timpul de completare.

## Cine îl deține și cât de des se revizuiește

Registrul are nevoie de un proprietar cu nume, nu de un „departament". În firmele mici e administratorul sau persoana care se ocupă de contracte; în cele care au responsabil cu protecția datelor desemnat conform art. 37, el îl menține. Semnătura nu este cerută de art. 30 — legea cere doar ca evidența să fie ținută **în scris, inclusiv în format electronic**, conform alin. (3). O foaie de calcul cu istoric de modificări e perfect valabilă și, în practică, mai ușor de apărat decât un document tipărit fără dată.

Ritmul de revizuire nu e fixat de lege. Ghidul CNPDCP cere ca evidența să fie „actualizată și revizuită periodic", fără să dea un interval, deci alege tu unul și respectă-l — o revizuire la șase luni e un ritm defensabil pentru un business mic, una trimestrială pentru unul care schimbă des furnizori.

Între revizuirile programate, actualizarea se declanșează de un eveniment. Concret:

- un **furnizor nou** care atinge date: alt curier, alt procesator de plăți, alt serviciu de email, alt CRM;
- un **formular nou** pe site sau un câmp nou într-un formular existent;
- un **script nou de marketing** sau un pixel de remarketing adăugat în pagină;
- un **scop nou**: pornirea unui newsletter, a unui program de fidelizare, a înregistrării apelurilor;
- o **schimbare de termen de păstrare** sau o curățare de bază de date;
- **desemnarea sau schimbarea** responsabilului cu protecția datelor.

Regula practică: dacă cineva din firmă a semnat un contract nou sau a lipit un cod nou în site, registrul are nevoie de o privire.

Un ultim lucru, spus direct: registrul este documentul pe care o scanare automată nu îl poate vedea. Metodologia pe care o folosim este descrisă în [cum funcționează scanarea](/ro/cum-functioneaza) — ea observă suprafața publică a site-ului, nu interiorul organizației. Registrul, contractele cu împuterniciții și deciziile interne de temei legal se dovedesc cu documente, nu cu un raport tehnic.

## Surse

- [CNPDCP — datepersonale.md](https://datepersonale.md), autoritatea de supraveghere din Republica Moldova, căreia i se prezintă registrul la cerere.
- [Ghidul oficial CNPDCP privind Legea 195/2024, PDF](https://datepersonale.md/wp-content/uploads/2026/04/GDPR.pdf) — sursa citatului despre caracterul neocazional al prelucrărilor dintr-o companie.
- [Textul integral al Legii 195/2024 pe legis.md](https://www.legis.md/cautare/getResults?doc_id=144681&lang=ro) — art. 30 cu cele cinci alineate, art. 49 alin. (7), art. 87 și art. 88.
- [CNIL — le registre des activités de traitement](https://www.cnil.fr/fr/RGPD-le-registre-des-activites-de-traitement), model practic de completare al autorității franceze; nu are forță obligatorie în Republica Moldova, se folosește ca reper de practică.
- [EDPB — ghid privind conceptele de operator și persoană împuternicită](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en), pentru delimitarea celor două roluri; document european fără forță obligatorie la noi.
- [Regulamentul (UE) 2016/679 pe EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj), textul european cu care Legea 195/2024 se aliniază.

## Întrebări frecvente

**Am patru angajați. Chiar trebuie să țin registrul?**
Da, în aproape toate cazurile. Art. 30 alin. (5) scutește întreprinderile cu mai puțin de 250 de angajați, dar scutirea cade dacă prelucrarea nu este ocazională, dacă generează un risc pentru drepturile persoanelor sau dacă include categorii speciale ori date penale. Ghidul CNPDCP spune direct că activitățile de prelucrare dintr-o companie nu au, în mod obișnuit, caracter ocazional, deci majoritatea operatorilor au obligația.

**Registrul se depune la CNPDCP?**
Nu. Art. 30 alin. (4) prevede că evidențele se pun la dispoziția Centrului la cererea acestuia. Se ține intern și se prezintă când e cerut, nu se înregistrează și nu se transmite din proprie inițiativă.

**În ce format trebuie ținut?**
În scris, inclusiv în format electronic — este formularea din art. 30 alin. (3). O foaie de calcul sau un document text sunt valabile. Legea nu impune un formular anume — contează conținutul de la alin. (1) sau alin. (2), după rolul tău.

**Cine îl semnează?**
Art. 30 nu cere o semnătură. Cere ca evidența să existe în scris și să fie pusă la dispoziție la cerere. În practică e util să existe un proprietar nominal și o dată a ultimei revizuiri, pentru că acestea sunt elementele care fac documentul verificabil.

**Ce înseamnă că o prelucrare „nu este ocazională"?**
Înseamnă că se repetă și face parte din felul obișnuit de a funcționa al organizației, nu că este voluminoasă. Comenzile primite zilnic într-un magazin online, evidența lunară a salariaților sau înregistrarea vizitatorilor pe camere sunt prelucrări neocazionale, chiar dacă firma are câțiva angajați.

**Câte rânduri are un registru normal pentru un magazin online?**
De regulă între cinci și zece scopuri distincte: vânzare și livrare, facturare și evidență contabilă, cont de client, newsletter, formular de contact, suport prin telefon, recrutare, evidența angajaților, supraveghere video. Un rând pe scop, nu pe client și nu pe furnizor.

**Agenția care îmi face site-ul ține registrul în locul meu?**
Nu. Agenția ține propria evidență, de tipul art. 30 alin. (2), pentru activitățile pe care le desfășoară în numele tău. Registrul de operator, cu cele șapte litere ale art. 30 alin. (1), rămâne obligația ta, pentru că tu stabilești scopurile prelucrării.

**Ce scriu la termenele de ștergere dacă nu le știu?**
Art. 30 alin. (1) lit. f) cere termenele preconizate „dacă este posibil", deci nu ești obligat la o cifră exactă acolo unde ea nu poate fi stabilită. Scrie criteriul în locul cifrei — de exemplu, durata relației contractuale plus termenul legal de păstrare a documentelor contabile — și revino cu un termen concret când îl poți fixa.

**Ce se întâmplă la un control dacă nu am registru?**
Lipsa evidenței intră la art. 88 alin. (1) lit. a), care acoperă obligațiile operatorului și ale persoanei împuternicite din art. 25–39, unde se află și art. 30. Palierul este de până la 1.000.000 de lei sau, în cazul unei întreprinderi, până la 1% din cifra totală de afaceri realizată în anul anterior sancționării, luându-se în calcul cea mai mare valoare. Art. 87 alin. (3) prevede că amenda se aplică doar dacă se stabilește o încălcare săvârșită intenționat sau din neglijență.

**Cât de des îl actualizez?**
Ghidul CNPDCP cere ca evidența să fie actualizată și revizuită periodic, fără să fixeze un interval. Alege un ritm și respectă-l — la șase luni pentru un business stabil — și actualizează imediat la fiecare eveniment care schimbă realitatea: furnizor nou, formular nou, script nou de marketing, scop nou.

**Registrul e același lucru cu politica de confidențialitate?**
Nu. Politica este documentul public, adresat persoanelor vizate, iar registrul este documentul intern, adresat autorității. Conținutul lor se suprapune parțial, dar registrul conține și lucruri care nu se publică, cum ar fi descrierea măsurilor de securitate. Dacă cele două se contrazic, contradicția e vizibilă imediat la un control.

**Trebuie să trec în registru și furnizorii cu care nu am contract semnat?**
Da, dacă ei ating efectiv date. Registrul descrie realitatea, nu situația dorită. Un furnizor care apare la litera d) fără contract semnat conform art. 28 este exact tipul de lipsă pe care registrul o scoate la suprafață, iar aceasta este utilitatea lui principală înainte de orice control.

## Verifică ce se vede din exterior

Registrul nu poate fi verificat printr-o scanare: el trăiește în interiorul organizației și se dovedește cu documente. Scanarea deterministă observă doar suprafața publică a site-ului — cookie-urile pornite înainte de consimțământ, comportamentul bannerului, prezența unei politici detectabile, identitatea operatorului, terții încărcați din alte domenii. Ea nu stabilește existența unei încălcări și nu certifică conformitatea.

Ce îți dă, în schimb, este lista terților și a formularelor reale de pe site — adică exact materia primă pentru rândurile c) și d) din registru.

[**Scanează-ți site-ul gratuit →**](/ro)