# Cele 6 temeiuri legale sunt egale: de ce nu ai nevoie de consimțământ pentru orice

Sursa / Источник: https://ongdpr.md/ro/blog/temeiuri-legale-prelucrare-date-moldova

## Mitul care costă bani în fiecare zi

Cel mai răspândit mit din piața moldovenească sună așa: dacă atingi date personale, trebuie să pui o bifă și să obții consimțământ. Nu e adevărat, iar ghidul oficial al CNPDCP o spune direct. Art. 6 alin. (1) enumeră șase temeiuri, iar consimțământul este doar primul din listă, litera a).

Costul mitului nu e teoretic. Se vede în formulare care nu se trimit din cauza unei bife puse acolo degeaba, în comenzi blocate la checkout și în baze de clienți pe care nu le mai poți folosi la facturare pentru că cineva „a retras consimțământul" pentru o obligație contabilă. Un temei ales greșit e o funcționalitate stricată în produsul tău.

Formularea din ghidul CNPDCP, verbatim:

> „Cele șase temeiuri enumerate mai sus se află pe poziție de egalitate."

Și imediat după, partea pe care aproape nimeni nu o citează:

> „Consimțământul este important, însă el vine cu dezavantaje, cum ar fi, dreptul de retragere a consimțământului, imposibilitatea de a obține consimțământul tuturor persoanelor, refuzul de a oferi consimțământul. De aceea, operatorul trebuie să verifice dacă poate prelucra datele în baza altui temei. Dacă există o obligație legală sau un contract cu persoana nu este nevoie de consimțământ."

Sursa: [ghidul CNPDCP privind Legea 195/2024](https://datepersonale.md/wp-content/uploads/2026/04/GDPR.pdf). Autoritatea nu spune „poți folosi alt temei". Spune că operatorul **trebuie să verifice** dacă poate.

## Cele șase temeiuri, cu exemple din piața din Moldova

| Temeiul (art. 6 alin. 1) | Ce cere de la tine | Exemplu din Moldova | La opoziție sau retragere |
|---|---|---|---|
| a) consimțământul, pentru unul sau mai multe scopuri specifice | O acțiune reală a persoanei și dovada că a dat-o (art. 7 alin. 1) | Abonarea la newsletter | Se retrage oricând, la fel de simplu ca acordarea (art. 7 alin. 3); ce ai prelucrat înainte rămâne legal, dar de aici încolo te oprești |
| b) executarea unui contract la care persoana e parte, sau măsuri precontractuale la cererea ei | Un contract real sau o cerere reală a persoanei | Comandă într-un magazin online: nume, telefon, adresă | Nu se retrage. Persoana poate anula comanda, dar atunci dispare contractul, nu temeiul |
| c) îndeplinirea unei obligații legale care îi revine operatorului | Obligația să fie prevăzută în legislația Republicii Moldova (art. 6 alin. 3) | Factura fiscală și evidența contabilă | Nu se opune și nu se retrage; obligația rămâne indiferent de voința persoanei |
| d) protejarea intereselor vitale ale persoanei vizate sau ale altei persoane fizice | O situație în care e în joc viața sau integritatea cuiva | Urgență medicală cu un client sau un angajat | Situațional prin natura lui; nu construiești o operațiune curentă pe el |
| e) o sarcină în interes public sau exercitarea unei autorități oficiale | Sarcina să fie prevăzută în legislația Republicii Moldova (art. 6 alin. 3) | Nu se aplică unui business privat obișnuit | Drept de opoziție (art. 21), analizat caz cu caz |
| f) interesele legitime ale operatorului sau ale unei părți terțe | Documentare în scris că interesul tău primează; interzis autorităților publice în îndeplinirea atribuțiilor (art. 6 alin. 4) | Supraveghere video la intrarea în magazin sau depozit | Persoana se poate opune (art. 21); reevaluezi echilibrul, nu repeți că ai interes |

Litera f) are o limită scrisă chiar în text: se aplică „cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, … în special atunci când persoana vizată este un copil". Nu e un temei de rezervă universal.

Transmiterea datelor de livrare către curier e acoperită de executarea contractului sau de interesul legitim, după cum e construit lanțul. În plus îți cere un contract cu curierul, ca persoană împuternicită de operator (art. 28 alin. 3), încheiat în scris, inclusiv în format electronic (art. 28 alin. 8). Temeiul răspunde la „de ce am voie să prelucrez"; contractul de la art. 28 răspunde la „ce garanții am că cel căruia îi dau datele le tratează corect".

## Ce strici când ceri consimțământ unde nu trebuie

**Contractul condiționat de o bifă inutilă.** Art. 7 alin. (4) spune că, la evaluarea caracterului liber al consimțământului, se ține cont dacă executarea unui contract este condiționată de un consimțământ care nu este necesar pentru acel contract. Dacă blochezi butonul „Comandă" până când clientul bifează acordul pentru datele de livrare — date fără de care comanda oricum nu poate fi executată — nu ai obținut un consimțământ mai solid, ci unul mai fragil.

**Retragerea la fel de simplă ca acordarea.** Art. 7 alin. (3): persoana își poate retrage consimțământul în orice moment, retragerea nu afectează legalitatea prelucrării anterioare, persoana e informată despre acest drept înainte de a-l acorda, iar retragerea se realizează cu aceeași simplitate ca și acordarea. Dacă acordul se dă cu un clic, retragerea nu poate cere un e-mail scris și trei zile de așteptare.

**Te blochezi singur.** Ai luat consimțământ pentru facturare, iar clientul îl retrage. Tu ești obligat să păstrezi evidența contabilă. Acum ai două afirmații contradictorii în același dosar: i-ai spus persoanei că prelucrarea depinde de acordul ei, dar continui pentru că obligația legală rămâne. Ori i-ai promis ceva ce nu poți respecta, ori temeiul declarat a fost greșit de la început.

Ghidul CNPDCP e la fel de clar despre cum arată un consimțământ valabil, atunci când chiar e temeiul potrivit:

> „Căsuțele pre-bifate, tăcerea sau inacțiunea nu se echivalează cu oferirea unui consimțământ. Persoana trebuie să își dea consimțământul printr-o acțiune reală, precum bifarea unei căsuțe, o semnătură sau un «DA» categoric înregistrat."

Art. 7 alin. (2) adaugă forma: dacă cererea de consimțământ face parte dintr-o declarație scrisă mai amplă, ea trebuie prezentată distinct, inteligibil, ușor accesibil, în limbaj clar și simplu. Un acord îngropat în termeni și condiții nu bifează cerința asta.

## Interesul legitim: nu e portiță, e temei cu temă pentru acasă

> „Interesul legitim se va folosi cu precauție. El se folosește, de regulă, pentru situații în care nu există, nu se poate sau nu se dorește obținerea consimțământului și nu există alt temei (supraveghere video, monitorizare locație gps, recrutare, organizări evenimente etc). Pentru a se putea utiliza interesul legitim, este nevoie ca operatorul să documenteze în scris că interesul său primează asupra drepturilor și intereselor persoanelor vizate."

Trei lucruri din paragraful ăsta. Documentarea în scris nu e opțională: un interes legitim nedocumentat e un temei pe care nu îl poți demonstra, iar art. 5 alin. (2) pune sarcina pe tine — operatorul trebuie să poată demonstra respectarea principiilor. Exemplele sunt cele din ghid, nu orice îți convine: supraveghere video, monitorizare locație GPS, recrutare, organizări de evenimente. Iar art. 6 alin. (4) exclude expres litera f) pentru autoritățile publice în îndeplinirea atribuțiilor lor: o instituție publică nu acoperă camera de la intrare cu „interes legitim", ci are nevoie de litera c) sau e), care cer un temei în legislația Republicii Moldova (art. 6 alin. 3).

O notă de interes legitim încape pe o pagină și răspunde la trei întrebări: care e interesul concret (nu „securitatea", ci „reducerea furturilor din zona de casă, după trei incidente anul trecut"), de ce niciun alt temei nu se potrivește, și de ce interesul tău primează — cu măsurile de echilibrare: zona acoperită, durata de păstrare, cine are acces, semnalizarea la intrare.

## Ce nu se schimbă: unde consimțământul rămâne obligatoriu

Nimic din articolul ăsta nu spune că renunți la consimțământ. Spune că îl folosești unde e temeiul potrivit. Trei zone rămân neatinse.

**Cookie-urile neesențiale.** Pentru trackerele de marketing și pentru analytics, temeiul practicabil rămâne consimțământul, cu toate condițiile din art. 7 și cu regula din ghid despre căsuțele pre-bifate. Nu muți un script de remarketing pe „interes legitim" și consideri problema rezolvată. Detaliile de implementare sunt în [ghidul de cookie-uri și consimțământ](/ro/blog/cookies-si-consimtamant-legea-195).

**Categoriile speciale de date (art. 9).** Date despre sănătate, convingeri sau apartenență sindicală au un regim mai strict decât cele obișnuite. O clinică sau un serviciu de HR nu le tratează pe același palier cu numele și telefonul.

**Transferurile pe derogare.** Art. 49 alin. (1) lit. a) permite transferul, în absența unei decizii de adecvare și a garanțiilor adecvate, în baza **consimțământului explicit** al persoanei, după ce a fost informată asupra riscurilor posibile generate de lipsa deciziei de adecvare și a garanțiilor. Aici nu merge un acord generic. Contextul e în [articolul despre transferuri](/ro/blog/transfer-date-in-afara-moldovei).

## Tabelul scop → temei legal, gata de completat

Un rând pentru fiecare scop. Se completează o dată, se revizuiește periodic și intră direct în două locuri: în evidența activităților de prelucrare de la art. 30 — care cere, la alin. (1) lit. b), scopurile prelucrării, iar la lit. c), categoriile de persoane vizate și de date — și în nota de informare publicată pe site (art. 13–14).

Rândurile de mai jos sunt scopurile tipice ale unui business din Moldova. Taie ce nu ai, adaugă ce ai.

| Scopul prelucrării | Categoriile de date | Temeiul (art. 6 alin. 1 lit. …) | Justificarea în o frază | Unde e documentat | Data |
|---|---|---|---|---|---|
| Vânzare online: preluarea comenzii | nume, telefon, e-mail, adresă de livrare | lit. b) | Fără aceste date comanda nu poate fi executată; persoana e parte la contract | Notă de informare, secțiunea „Comenzi"; registrul art. 30, rândul 1 | 28.07.2026 |
| Facturare și evidență contabilă | nume, IDNO/date fiscale, valoarea tranzacției | lit. c) | Obligație legală de evidență contabilă, prevăzută în legislația Republicii Moldova | Registrul art. 30, rândul 2; politica de păstrare | 28.07.2026 |
| Livrarea comenzii prin curier | nume, telefon, adresă, mențiuni de livrare | lit. b) | Transmiterea către curier e necesară pentru executarea aceluiași contract | Contract art. 28 cu firma de curierat, semnat electronic | 28.07.2026 |
| Suport clienți și reclamații | nume, contact, istoricul comenzii, conținutul mesajelor | lit. b) | Reclamațiile privesc executarea contractului cu aceeași persoană | Procedura de suport; registrul art. 30, rândul 4 | 28.07.2026 |
| Newsletter și comunicări de marketing | e-mail, prenume, preferințe declarate | lit. a) | Persoana s-a abonat printr-o acțiune reală, separat de plasarea comenzii | Log de abonare cu dată și sursă; mecanism de dezabonare | 28.07.2026 |
| Analytics de site | identificatori de cookie, pagini vizitate, sursă de trafic | lit. a) | Trackere neesențiale, pornite doar după acceptare în banner | Configurația bannerului; capturi înainte/după alegere | 28.07.2026 |
| Recrutare și evaluarea candidaților | CV, contact, istoric profesional | lit. f) | Interes legitim în selecția personalului, documentat în scris | Nota de interes legitim „Recrutare", 1 pagină | 28.07.2026 |
| Supraveghere video la intrare | imagine video, dată și oră | lit. f) | Interes legitim documentat: prevenirea furturilor în zona de acces | Nota de interes legitim „CCTV" + semnalizare la intrare | 28.07.2026 |

Cum îl completezi corect:

1. **Pornește de la scop, nu de la date.** Întrebarea nu e „ce date am", ci „de ce le am". Un scop = un rând.
2. **Alege temeiul în ordinea din ghid.** Ai contract? lit. b). Ai o obligație prevăzută în legislația Republicii Moldova? lit. c). Abia dacă niciunul nu se aplică, treci la lit. f) sau lit. a).
3. **Scrie justificarea într-o singură frază.** Dacă îți ia un paragraf, temeiul e probabil greșit.
4. **Trimite la un document care există** — un fișier, o secțiune din nota de informare, un contract semnat. „La mine în cap" nu se acceptă.
5. **Pune data și revizuiește.** La fiecare scop nou adaugi rândul înainte să pornești prelucrarea, nu după.

Completat, tabelul îți dă trei lucruri gratis: coloana de temeiuri pentru registrul de la art. 30, structura secțiunii de temeiuri din nota de informare și lista scopurilor care au nevoie de un mecanism real de retragere. Detaliile registrului sunt în [articolul despre evidența activităților de prelucrare](/ro/blog/registrul-activitatilor-de-prelucrare), iar contextul obligațiilor în [ghidul Legii 195/2024](/ro/blog/legea-195-2024-explicata).

## Surse

- [Ghidul CNPDCP privind Legea 195/2024, PDF](https://datepersonale.md/wp-content/uploads/2026/04/GDPR.pdf) — sursa citatelor despre egalitatea temeiurilor, dezavantajele consimțământului și documentarea scrisă a interesului legitim.
- [CNPDCP — datepersonale.md](https://datepersonale.md), autoritatea care verifică temeiul ales, la control sau după o plângere.
- [Textul integral al Legii 195/2024 pe legis.md](https://www.legis.md/cautare/getResults?doc_id=144681&lang=ro) — pentru formularea exactă a art. 6, art. 7 și art. 49.
- [CNIL — „Les bases légales"](https://www.cnil.fr/fr/les-bases-legales), autoritatea franceză, pentru practica alegerii între temeiuri. Ghidurile autorităților europene nu au forță obligatorie în Republica Moldova; le folosim ca reper de practică.
- [EDPB — ghidul 05/2020 privind consimțământul](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en), pentru criteriile consimțământului liber și problema contractului condiționat. Nici acesta nu are forță obligatorie în Republica Moldova.
- [Regulamentul (UE) 2016/679 pe EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj) — regulamentul european cu care Legea 195/2024 se aliniază.

## Întrebări frecvente

**Chiar nu am nevoie de o bifă de acord pe formularul de comandă?**
Nu, dacă datele cerute sunt cele fără de care comanda nu poate fi executată. Temeiul e art. 6 alin. (1) lit. b), iar art. 7 alin. (4) spune că se ține cont dacă executarea unui contract e condiționată de un consimțământ care nu e necesar pentru acel contract — deci bifa obligatorie te poate încurca. Informarea persoanei rămâne obligatorie, dar informarea nu e consimțământ.

**Pot schimba temeiul după ce am început prelucrarea?**
Poți corecta o alegere greșită, dar nu retroactiv și nu tăcut. Art. 7 alin. (3) prevede că retragerea consimțământului nu afectează legalitatea prelucrării anterioare. Dacă schimbi și scopul, nu doar temeiul, art. 6 alin. (5) cere un test de compatibilitate: legătura dintre scopuri, contextul colectării, natura datelor, consecințele posibile și garanțiile existente.

**Ce fac cu bazele de contacte vechi, adunate fără să notez vreun temei?**
Le treci prin același tabel, scop cu scop. Pentru clienții cu contract ai deja litera b), iar pentru documentele fiscale ai litera c). Problema apare la contactele strânse doar pentru marketing, fără urmă de acord: acolo nu ai ce documenta, iar art. 7 alin. (1) cere să poți demonstra că persoana și-a dat consimțământul.

**Interesul legitim e o portiță prin care justific orice?**
Nu. Ghidul CNPDCP spune că se folosește cu precauție, de regulă acolo unde consimțământul nu există, nu se poate obține sau nu se dorește și nu există alt temei, și cere documentare în scris. În plus, litera f) nu se aplică atunci când prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, în special când e vorba de un copil.

**Cum documentez concret interesul legitim?**
O pagină și trei întrebări. Care e interesul, formulat concret, cu situația care l-a generat. De ce niciun alt temei nu se potrivește. De ce interesul tău primează asupra drepturilor persoanelor vizate, cu măsurile de echilibrare: ce zonă acoperi, cât păstrezi, cine are acces, cum informezi. Semnezi, pui data, revizuiești când se schimbă contextul.

**Consimțământul luat sub legea veche mai e valabil după 23 august 2026?**
Da, dacă modul în care a fost dat respectă condițiile noii legi. Art. 90 alin. (8) spune exact asta: consimțământul dat sub Legea nr. 133/2011 nu trebuie reînnoit dacă felul în care a fost obținut corespunde cerințelor actuale. Practic, verifici dacă a fost o acțiune reală, dacă persoana a fost informată și dacă poți dovedi asta.

**Pentru newsletter am nevoie de dublu opt-in?**
Legea nu impune o formă anume. Art. 7 alin. (1) cere să poți demonstra că persoana și-a dat consimțământul, iar ghidul CNPDCP cere o acțiune reală, nu o căsuță pre-bifată, tăcere sau inacțiune. Confirmarea prin e-mail e cel mai simplu mod de a produce acea dovadă cu dată pe ea, dar la verificare contează dovada, nu numele mecanismului.

**Cineva își retrage consimțământul, dar am obligație de arhivare. Ce fac?**
Oprești prelucrarea care se baza pe consimțământ și continui doar ce se sprijină pe alt temei. Dacă documentul fiscal se păstrează în baza unei obligații legale, temeiul acela era de la început litera c), nu litera a), iar retragerea nu îl atinge. De asta separi scopurile pe rânduri distincte: retragerea lovește un rând, nu toată baza de date.

**Cookie-urile intră în discuția asta?**
Da, dar în sens invers. Pentru trackerele de marketing și analytics temeiul practicabil rămâne consimțământul, cu condițiile din art. 7 și cu regula despre acțiunea reală din ghidul CNPDCP. Faptul că ai temei contractual pentru comenzi nu îți acoperă scripturile care pornesc înainte ca vizitatorul să aleagă ceva.

**Cine verifică efectiv ce temei am ales?**
CNPDCP, la un control sau după o plângere. Art. 5 alin. (2) pune responsabilitatea pe operator: el trebuie să poată demonstra respectarea principiilor, iar principiul legalității de la art. 5 lit. a) include existența unui temei valid. Verificarea nu se face pe explicații verbale, ci pe documente cu dată.

**O scanare a site-ului îmi arată ce temei am ales?**
Nu. Scanarea observă suprafața publică: ce cookie-uri pornesc înainte de consimțământ, dacă bannerul oprește efectiv trackerele după refuz, dacă formularele au casetă și link către politică, dacă politica menționează temeiul legal. Decizia internă de temei, nota de interes legitim și registrul art. 30 nu se văd din afară.

## Verifică ce se vede din afară

Scanarea deterministă îți arată dacă politica publicată menționează temeiul legal, dacă formularele au casetă de consimțământ și link către politică și dacă trackerele se opresc efectiv după refuz. Nu stabilește dacă temeiul ales de tine este corect și nu înlocuiește analiza juridică — acelea rămân în documentele tale interne.

[**Scanează-ți site-ul gratuit →**](/ro)