Regula de metodă este simplă: corpusul european este cu atât mai util cu cât există o identitate normativă reală. El nu poate însă neutraliza o derogare națională expresă și nici presupune existența unor instituții pe care dreptul moldovenesc nu le are. GDPR poate explica norma preluată; nu poate deveni un cod paralel aplicabil din exterior.

3. Forța juridică a standardelor europene

Întrebarea relevantă nu este dacă standardele europene „se aplică” în bloc, ci ce forță juridică are fiecare sursă în Republica Moldova. Unele norme obligă statul în temeiul Constituției Republicii Moldova și al tratatelor ratificate. Altele sunt relevante prin angajamentele de apropiere de acquis și prin procesul de aderare. O a treia categorie – în special jurisprudența Curții de Justiție a Uniunii Europene („CJUE”) și orientările Comitetului european pentru protecția datelor („EDPB”) – nu este obligatorie formal pentru autoritățile moldovenești, dar poate avea o greutate interpretativă importantă atunci când Legea 195 preia concepte dezvoltate în dreptul UE.

3.1. CEDO și Convenția 108: standardul care obligă deja

Punctul de plecare este art. 4 din Constituție: dispozițiile privind drepturile și libertățile omului se interpretează și se aplică în concordanță cu tratatele la care Republica Moldova este parte, iar în caz de neconcordanță între tratatele privind drepturile omului și legile interne au prioritate reglementările internaționale. Coroborat cu art. 28 din Constituție, acest cadru plasează protecția datelor în sfera dreptului la viață privată.

Convenția europeană a drepturilor omului („CEDO”), în special art. 8, este astfel un reper obligatoriu. Jurisprudența Curții Europene a Drepturilor Omului („CtEDO”) explică standardul convențional: ingerința trebuie să fie prevăzută de lege, să urmărească un scop legitim și să fie necesară într-o societate democratică. Cerința de legalitate privește și calitatea normei – accesibilitatea, previzibilitatea și existența unor garanții suficiente împotriva arbitrariului.^[2]

Cauzele pronunțate împotriva Republicii Moldova arată miza practică. În Radu c. Republicii Moldova, CtEDO a examinat divulgarea de către un spital public a datelor medicale ale reclamantei către angajator și a constatat că ingerința nu era „prevăzută de lege”. În Iordachi și alții c. Republicii Moldova, cadrul interceptării comunicațiilor a fost criticat pentru insuficiența garanțiilor împotriva abuzului.^[3] Mesajul comun este relevant și sub Legea 195: existența unui temei formal nu este suficientă dacă norma lasă o marjă excesivă de discreție sau nu oferă garanții adecvate.

Un al doilea reper obligatoriu vine din sistemul Consiliului Europei. Republica Moldova este parte, din 2008, la Convenția nr. 108 pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal („Convenția 108”), primul tratat internațional obligatoriu dedicat protecției datelor. La 15 mai 2026, Republica Moldova a ratificat și Protocolul de amendare STCE nr. 223, prin care Convenția este modernizată, regim cunoscut uzual drept „Convenția 108+”. Ratificarea nu echivalează încă cu intrarea în vigoare a Protocolului: Consiliul Europei a indicat un prag de 38 de ratificări, iar Moldova a fost al 34-lea stat care l-a ratificat.^[4] Până la intrarea sa în vigoare, Protocolul confirmă direcția de convergență asumată de stat; ulterior, standardul modernizat va face parte din cadrul convențional obligatoriu.

3.2. Acordul de Asociere, aderarea și perspectiva adecvării

Art. 13 alin. (1) din Acordul de Asociere dintre Republica Moldova și Uniunea Europeană („Acordul de Asociere”) obligă părțile să coopereze pentru asigurarea unui nivel ridicat de protecție a datelor, în conformitate cu instrumentele și standardele UE, ale Consiliului Europei și internaționale. Formula contează: Acordul de Asociere nu transformă GDPR într-un act direct aplicabil, dar nici nu reduce apropierea la copierea textului european. Contează nivelul de protecție și capacitatea instituțiilor de a-l asigura efectiv.

Procesul de aderare ridică miza. La 15 iunie 2026 au fost deschise negocierile pe Clusterul 1 „Fundamentele”, care include, între altele, capitolele 23 – Sistem judiciar și drepturi fundamentale și 24 – Justiție, libertate și securitate.^[5] În acest context, apropierea de acquis nu mai este evaluată doar prin calitatea textului adoptat. Contează și independența instituțiilor, practica administrativă, controlul judiciar și capacitatea efectivă de aplicare.

Aceeași logică apare în perspectiva unei eventuale decizii de adecvare. În Schrems, CJUE a stabilit că un stat terț trebuie să ofere un nivel de protecție „esențialmente echivalent” cu cel garantat în Uniune, fără să fie necesară identitatea legislativă.^[6] Pentru Republica Moldova, o decizie de adecvare ar simplifica substanțial transferurile de date din Spațiul Economic European. Dar evaluarea privește întregul sistem: garanțiile legale, independența autorității, căile de atac și aplicarea efectivă. O lege apropiată textual de GDPR este necesară, dar nu suficientă.

4. GDPR, CJUE și EDPB ca instrumente de interpretare

Dacă tratatele și angajamentele internaționale explică de ce Republica Moldova trebuie să asigure un anumit nivel de protecție, GDPR și practica dezvoltată în jurul său ajută să înțelegem cum trebuie citite, în concret, noțiunile preluate în Legea 195. Faptul că o sursă nu este obligatorie formal nu o face lipsită de utilitate juridică.

4.1. GDPR ca text-sursă

Legea 195 preia în mare parte dispozitivul GDPR, nu și cele 173 de considerente. În dreptul Uniunii, considerentele nu înlocuiesc norma, dar îi oferă context. Considerentele 32, 42 și 43 dezvoltă condițiile consimțământului; considerentul 47 explică rolul așteptărilor rezonabile în analiza interesului legitim; considerentul 91 oferă repere pentru prelucrările „pe scară largă”; considerentul 97 clarifică „activitățile principale”; iar considerentul 150 explică noțiunea de „întreprindere” în materia sancțiunilor.

Consultarea lor nu înseamnă aplicarea directă a GDPR. Este o operațiune firească de interpretare a unui text preluat dintr-o sursă identificabilă. Dacă art. 37 din Legea 195 reproduce o formulă europeană, este util să fie verificat și contextul în care acea formulă a fost construită.

4.2. Jurisprudența CJUE: reper de prim ordin, nu precedent obligatoriu

Jurisprudența CJUE are în Republica Moldova o autoritate diferită de cea pe care o are în statele membre. Ea nu obligă instanța moldovenească prin mecanismele dreptului Uniunii. Totuși, atunci când Legea 195 folosește aceeași noțiune ca GDPR, hotărârile CJUE oferă adesea cea mai elaborată explicație a sensului acelei noțiuni. Valoarea lor este interpretativă și depinde de cât de apropiate sunt normele comparate.

Consimțământul este un exemplu clar. În Orange România, CJUE a arătat că simpla mențiune contractuală potrivit căreia persoana a consimțit nu dovedește un consimțământ valabil dacă operatorul nu poate demonstra o alegere activă, liberă și informată. În Planet49, aceeași logică a fost aplicată căsuțelor prebifate: inacțiunea utilizatorului nu poate fi tratată drept consimțământ.^[7] Pentru operatorii moldoveni, concluzia este practică: consimțământul nu trebuie doar obținut, ci și documentat astfel încât să poată fi demonstrată o opțiune reală.

O altă linie jurisprudențială privește operatorii asociați. În Wirtschaftsakademie, Jehovan todistajat și Fashion ID, Curtea a arătat că analiza nu se reduce la cine deține datele sau are acces direct la ele; contează dacă o parte influențează scopurile și mijloacele unei anumite operațiuni de prelucrare.^[8] Această abordare este relevantă în relațiile dintre platforme, furnizori, companii din același grup sau parteneri contractuali. Eticheta din contract nu este decisivă dacă rolul real este diferit.

Fashion ID trasează și limita: o entitate nu răspunde ca operator pentru operațiuni asupra cărora nu exercită nicio influență efectivă. Pentru aplicarea Legii 195, rolurile trebuie stabilite funcțional: cine decide, în fapt, asupra prelucrării, în ce măsură și pentru ce etapă.

În materia interesului legitim, jurisprudența oferă chiar o metodă de lucru. Testul formulat în Rīgas satiksme, sub Directiva 95/46/CE („Directiva 95/46”), și confirmat ulterior sub GDPR presupune trei întrebări: există un interes legitim; prelucrarea este necesară pentru atingerea lui; și prevalează drepturile sau libertățile persoanei vizate? În KNLTB, CJUE a confirmat că și un interes comercial poate fi, în principiu, legitim, dar acesta nu scutește operatorul de analiza necesității și de balanța intereselor.^[9]

Pentru business, testul se traduce simplu: operatorul trebuie să poată explica ce interes urmărește, de ce are nevoie de datele respective, dacă există o alternativă rezonabilă mai puțin intruzivă și de ce impactul asupra persoanei rămâne proporțional. Formula „interesul companiei prevalează” nu este, singură, o analiză.

Și în materia sancțiunilor, jurisprudența europeană oferă repere, dar cu limite clare. În Deutsche Wohnen, CJUE a stabilit că o persoană juridică poate fi sancționată fără identificarea prealabilă a unei persoane fizice căreia să îi fie imputată încălcarea, însă amenda presupune o încălcare intenționată sau din neglijență. În ILVA, Curtea a clarificat că noțiunea de „întreprindere” din art. 83 GDPR corespunde celei din dreptul concurenței, ceea ce poate face relevantă cifra de afaceri a întregii întreprinderi la stabilirea plafonului amenzii.^[10]

Aceste soluții sunt utile pentru Republica Moldova numai dacă Legea 195 folosește concepte comparabile. Ele nu pot importa plafoanele sau mecanismele europene într-un regim sancționator configurat diferit. Jurisprudența CJUE poate explica regula; nu poate rescrie legea națională.

De aici rezultă o disciplină minimă de lucru: înainte de a invoca o hotărâre CJUE trebuie verificat dacă norma moldovenească este comparabilă cu norma europeană interpretată și dacă raționamentul Curții nu depinde de instituții specifice ordinii UE. Hotărârea trebuie citită în context, nu prin extragerea unui pasaj convenabil. Comentariile de referință sunt utile tocmai pentru a identifica aceste diferențe și punctele care rămân controversate.^[11]

4.3. EDPB și problema soft law-ului

Actele EDPB nu au toate aceeași greutate juridică. Avizele adoptate în mecanismul de consecvență din art. 64 GDPR nu sunt, ca regulă, obligatorii în sine, însă autoritatea vizată trebuie să țină seama de ele „în cea mai mare măsură” și să își motiveze poziția dacă nu intenționează să le urmeze. În schimb, deciziile adoptate în temeiul art. 65 GDPR sunt obligatorii pentru autoritățile implicate. Orientările, recomandările și bunele practici din art. 70 au rolul de a clarifica și de a sprijini aplicarea coerentă a GDPR, fără să creeze, prin ele însele, un nou nivel de reglementare. Aceste efecte instituționale nu se extind direct asupra CNPDCP.

Caracterul neobligatoriu nu înseamnă însă irelevanță juridică. În Grimaldi, CJUE a arătat că, în ordinea juridică a Uniunii, instanțele naționale trebuie să ia în considerare recomandările atunci când acestea ajută la interpretarea unor norme obligatorii. În Fédération bancaire française, care privea orientări ale Autorității Bancare Europene, Curtea a reconfirmat că un act de soft law poate avea relevanță practică și interpretativă fără a produce efecte obligatorii comparabile cu un regulament sau o decizie.^[12] Pentru Republica Moldova, aceste hotărâri nu creează o obligație similară; ele oferă doar o explicație utilă a rolului pe care soft law-ul îl poate avea în interpretare.

În cazul Legii 195, utilitatea orientărilor EDPB este concretă. Orientările 07/2020 explică noțiunile de operator și persoană împuternicită; Orientările 3/2018 – domeniul teritorial; Orientările 05/2020 – consimțământul; iar Orientările 1/2024, în versiunea 1.0 adoptată la 8 octombrie 2024 pentru consultare publică, dezvoltă metodologia interesului legitim. La acestea se adaugă orientările fostului Grup de lucru Articolul 29 privind responsabilul cu protecția datelor (WP243 rev.01), însușite de EDPB la 25 mai 2018.^[13]

Pentru practica moldovenească, aceste documente nu sunt o legislație secundară importată odată cu GDPR. Ele sunt repere de interpretare și de motivare. Dacă Legea 195 preia aceeași regulă sau același concept, orientările pot explica modul în care acesta funcționează în sistemul de origine. O soluție diferită rămâne posibilă atunci când textul sau contextul moldovenesc o justifică; simpla afirmație că „EDPB nu este obligatoriu în Republica Moldova” nu explică însă de ce aceeași noțiune ar trebui înțeleasă diferit. Pentru o analiză separată a categoriilor de acte EDPB și ale fostului Grup de lucru Articolul 29, a se vedea și articolul Vlad Bercu și Laurențiu Petre, „Forța juridică a actelor emise de Comitetul european pentru protecția datelor / Grupul de lucru articolul 29”, JURIDICE MOLDOVA, 14 septembrie 2018.

5. Un test practic: responsabilul cu protecția datelor

Instituția responsabilului cu protecția datelor (DPO) arată de ce simpla lectură a Legii 195 nu este întotdeauna suficientă. Art. 37 prevede trei situații de desemnare obligatorie: prelucrarea realizată de o autoritate sau instituție publică; activități principale care presupun monitorizarea periodică și sistematică, pe scară largă, a persoanelor; și activități principale care presupun prelucrarea pe scară largă a categoriilor speciale de date ori a datelor privind condamnările penale și infracțiunile. Regula este clară; mai dificil este sensul concret al expresiilor care declanșează obligația.

Orientările WP243 explică faptul că „activitățile principale” nu se stabilesc doar după obiectul formal al organizației. Sunt relevante și prelucrările inseparabile de activitatea de bază. Un spital oferă servicii medicale, dar nu le poate presta fără prelucrarea datelor pacienților. În schimb, salarizarea propriilor angajați sau suportul IT obișnuit sunt, de regulă, activități auxiliare.

Nici „pe scară largă” nu este legat de un prag numeric unic. Se iau în calcul numărul sau ponderea persoanelor vizate, volumul și varietatea datelor, durata prelucrării și întinderea geografică. „Monitorizarea periodică și sistematică” este, la rândul ei, mai largă decât urmărirea online: poate include scoringul de credit, prevenirea fraudei, publicitatea comportamentală, programele de fidelizare, geolocalizarea, dispozitivele conectate și sistemele organizate de supraveghere video.^[13]

Pentru companiile din Republica Moldova, analiza DPO trebuie făcută cu prioritate în sectoare precum bancar, asigurări, comunicații electronice și servicii medicale, precum și în cazul platformelor digitale bazate pe profilare sau monitorizarea sistematică a unui număr mare de utilizatori. Apartenența la un sector nu declanșează automat obligația; contează modul concret în care sunt prelucrate datele.

Jurisprudența CJUE este utilă și pentru organizarea funcției. În Leistritz, Curtea a legat protecția DPO împotriva demiterii sau sancționării de exercitarea independentă a atribuțiilor sale, fără a transforma funcția într-o imunitate generală față de concediere. În X-FAB Dresden, CJUE a arătat că un DPO poate avea alte atribuții numai dacă acestea nu îl pun în poziția de a stabili el însuși scopurile și mijloacele prelucrării pe care trebuie apoi să o supravegheze.^[14]

În practică, desemnarea directorului general, financiar, HR sau IT trebuie analizată prin prisma atribuțiilor efective, nu a denumirii funcției. Dacă persoana decide cum și în ce scop sunt utilizate datele, apare un risc real de conflict de interese. Exemplul DPO sintetizează astfel problema întregului articol: Legea 195 stabilește obligația, iar standardele europene ajută la determinarea conținutului ei practic.

6. Concluzii. Între autonomie și coerență

Principala provocare a Legii 195 nu va fi lipsa regulilor, ci calitatea aplicării. Riscul real este o conformare de formă: politici copiate, registre completate mecanic, evaluări de impact standardizate sau DPO fără autonomie efectivă. Experiența europeană arată importanța ghidajului practic și a unei autorități capabile să aplice regulile coerent.^[15] În aceeași logică se înscriu eforturile de consolidare instituțională ale CNPDCP, inclusiv misiunea TAIEX din 4 august 2026 privind aplicarea sancțiunilor pecuniare.^[16]

Pentru practicieni și operatori, testul de aplicare poate fi redus la trei pași:

1. Pornești de la dreptul moldovenesc. Verifici mai întâi ce spune Legea 195, dacă există o regulă națională distinctă și ce rezultă din Constituție și tratatele obligatorii pentru Republica Moldova.
2. Verifici identitatea normei. Dacă textul reproduce sau folosește un concept preluat din GDPR, considerentele Regulamentului, jurisprudența CJUE și orientările EDPB pot fi folosite pentru a-i înțelege sensul și aplicarea.
3. Respecți diferența națională. Dacă legiuitorul moldovean a ales o soluție diferită sau raționamentul european depinde de instituții proprii UE, soluția națională prevalează. Același principiu se aplică și în domenii tehnice, precum transferurile internaționale: Schrems II și Recomandările EDPB 01/2020 sunt repere importante, dar analiza finală se face prin prisma Legii 195 și a actelor CNPDCP.^[17]

Pe scurt, transpunerea GDPR prin Legea 195 nu transformă Regulamentul în drept direct aplicabil în ordinea juridică moldovenească. Separat, GDPR poate fi aplicabil unei entități din Moldova în cazurile prevăzute de propriul art. 3. Atunci când Legea 195 preia concepte construite în dreptul Uniunii, GDPR, jurisprudența CJUE și orientările EDPB sunt repere de interpretare de prim ordin. Limita rămâne clară: pot explica norma moldovenească, dar nu o pot rescrie.

Note

1. Alan Watson, Legal Transplants: An Approach to Comparative Law | Transplanturi juridice: o abordare a dreptului comparat, ed. a 2-a, University of Georgia Press, 1993; Pierre Legrand, The Impossibility of “Legal Transplants” | Imposibilitatea „transplanturilor juridice”, Maastricht Journal of European and Comparative Law, 1997, pp. 111–124; Gunther Teubner, Legal Irritants: Good Faith in British Law or How Unifying Law Ends Up in New Divergences | Iritanți juridici: buna-credință în dreptul britanic sau cum unificarea dreptului produce noi divergențe, The Modern Law Review, 1998, pp. 11–32; Anu Bradford, The Brussels Effect: How the European Union Rules the World | Efectul Bruxelles: cum Uniunea Europeană stabilește reguli pentru lume, Oxford University Press, 2020.
2. Curtea Europeană a Drepturilor Omului, Guide on the case-law of the European Convention on Human Rights – Data protection | Ghid privind jurisprudența Convenției europene a drepturilor omului – Protecția datelor, actualizat la 28 februarie 2026.
3. CtEDO, Radu c. Republicii Moldova, nr. 50073/07, hotărârea din 15 aprilie 2014; CtEDO, Iordachi și alții c. Republicii Moldova, nr. 25198/02, hotărârea din 10 februarie 2009.
4. Consiliul Europei, Republic of Moldova Becomes the 34th State to Ratify the Convention 108+ | Republica Moldova devine al 34-lea stat care ratifică Convenția 108+, 21 mai 2026.
5. Consiliul Uniunii Europene, Enlargement: EU and Moldova reach a milestone in accession talks with opening of the first negotiation cluster | Extindere: UE și Moldova ating o etapă importantă în negocierile de aderare prin deschiderea primului cluster de negociere, 15 iunie 2026.
6. CJUE, Schrems, C-362/14, hotărârea din 6 octombrie 2015.
7. CJUE, Orange România, C-61/19, hotărârea din 11 noiembrie 2020; CJUE, Planet49, C-673/17, hotărârea din 1 octombrie 2019.
8. CJUE, Wirtschaftsakademie, C-210/16, hotărârea din 5 iunie 2018; CJUE, Jehovan todistajat, C-25/17, hotărârea din 10 iulie 2018; CJUE, Fashion ID, C-40/17, hotărârea din 29 iulie 2019.
9. CJUE, Rīgas satiksme, C-13/16, hotărârea din 4 mai 2017; CJUE, Koninklijke Nederlandse Lawn Tennisbond (KNLTB), C-621/22, hotărârea din 4 octombrie 2024.
10. CJUE, Deutsche Wohnen, C-807/21, hotărârea din 5 decembrie 2023; CJUE, ILVA, C-383/23, hotărârea din 13 februarie 2025.
11. Christopher Kuner, Lee A. Bygrave, Christopher Docksey, Laura Drechsler (eds.), The EU General Data Protection Regulation (GDPR): A Commentary | Regulamentul general al UE privind protecția datelor (GDPR): comentariu, Oxford University Press, 2020.
12. CJUE, Grimaldi, C-322/88, hotărârea din 13 decembrie 1989; CJUE, Fédération bancaire française, C-911/19, hotărârea din 15 iulie 2021.
13. EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR | Orientările 07/2020 privind noțiunile de operator și persoană împuternicită în GDPR, versiunea 2.0, 7 iulie 2021; EDPB, Guidelines 3/2018 on the territorial scope of the GDPR | Orientările 3/2018 privind domeniul teritorial de aplicare al GDPR, versiunea 2.1, 12 noiembrie 2019; EDPB, Guidelines 05/2020 on consent under Regulation 2016/679 | Orientările 05/2020 privind consimțământul în temeiul Regulamentului 2016/679, versiunea 1.1, 4 mai 2020; EDPB, Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR | Orientările 1/2024 privind prelucrarea datelor cu caracter personal în temeiul art. 6 alin. (1) lit. (f) GDPR, versiunea 1.0, adoptată la 8 octombrie 2024 pentru consultare publică; Grupul de lucru Articolul 29, Guidelines on Data Protection Officers (DPOs), WP243 rev.01 | Orientări privind responsabilii cu protecția datelor (DPO), WP243 rev.01, 5 aprilie 2017, însușite de EDPB la 25 mai 2018.
14. CJUE, Leistritz, C-534/20, hotărârea din 22 iunie 2022; CJUE, X-FAB Dresden, C-453/21, hotărârea din 9 februarie 2023.
15. Comisia Europeană, Data protection as a pillar of citizens’ empowerment and the EU’s approach to the digital transition – two years of application of the General Data Protection Regulation | Protecția datelor ca pilon al autonomiei cetățenilor și al abordării UE privind tranziția digitală – doi ani de aplicare a Regulamentului general privind protecția datelor, COM(2020) 264 final, 24 iunie 2020.
16. CNPDCP, „Misiunea de experți TAIEX «Reglementarea eficientă a sancțiunilor pecuniare. Stabilirea amenzilor»”, 4 august 2026.
17. CJUE, Facebook Ireland și Schrems (Schrems II), C-311/18, hotărârea din 16 iulie 2020; EDPB, Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data | Recomandările 01/2020 privind măsurile suplimentare instrumentelor de transfer pentru asigurarea conformității cu nivelul UE de protecție a datelor, versiunea 2.0, 18 iunie 2021.