av. Ruxanda Pulbere

*Prezentul material a fost prezentat în cadrul workshop-ului organizat de BERCU Legal Advisors „Noua lege privind protecția datelor: amânarea conformării atrage sancțiuni„. Conținutul are un scop exclusiv informativ și nu constituie consultanță juridică. Pentru întrebări de conformare la noua lege – contacte: [email protected] | +373 79950617.

Începând cu 23 august 2026, Legea nr. 195/2024 privind protecția datelor cu caracter personal reprezintă noul cadru general aplicabil în Republica Moldova.

Până acum, discuțiile s-au concentrat în special pe schimbările conceptuale importante aduse de noua lege și, în mod particular, pe consacrarea și dezvoltarea principiului responsabilității operatorului. Potrivit acestuia, operatorul nu trebuie doar să respecte legea, ci trebuie să fie în măsură să și demonstreze această conformitate.

Există însă și o altă perspectivă, cu implicații foarte practice pentru companii: ce se întâmplă atunci când această conformitate este contestată?

Ce remedii are persoana care consideră că datele sale au fost prelucrate cu încălcarea legii? Trebuie să se adreseze mai întâi Centrului sau poate merge direct în instanță? Ce poate contesta din activitatea Centrului? Ce se întâmplă atunci când solicită despăgubiri? Cine și ce trebuie să probeze într-un asemenea litigiu și, mai ales, ce valoare vor avea documentele prin care operatorul pretinde că și-a demonstrat conformitatea?

1. UNDE SE POATE ADRESA PERSOANA VIZATĂ?

Legea construiește două direcții distincte de protecție: protecția prin intermediul autorității de supraveghere și protecția judiciară directă.

Mecanismul este reflectat în trei articole consecutive:

– art. 72 – plângerea la Centru;
– art. 73 – contestarea acțiunilor sau inacțiunilor Centrului;
– art. 74 – acțiunea directă împotriva operatorului sau a persoanei împuternicite.

PLÂNGEREA LA CENTRU NU ESTE O ETAPĂ OBLIGATORIE

O primă întrebare practică este dacă plângerea adresată Centrului reprezintă o etapă obligatorie înainte de inițierea unei acțiuni împotriva operatorului.

Răspunsul este negativ. Persoana vizată poate alege să sesizeze Centrul, dar poate și să se adreseze direct instanței împotriva operatorului, în condițiile art. 74.

De aici apare însă o situație foarte practică: ce se întâmplă dacă persoana folosește ambele remedii?

De exemplu, persoana poate depune o plângere la Centru, susținând că datele sale au fost prelucrate ilegal, iar în același timp poate introduce o acțiune împotriva operatorului.

Trebuie instanța să aștepte decizia Centrului? Legea nu stabilește o regulă care să impună acest lucru. Dacă acțiunea directă este un remediu de sine stătător, simplul fapt că există o plângere pendinte la Centru nu ar trebui, prin el însuși, să împiedice examinarea cauzei de către instanță.

CE VALOARE ARE ÎN PROCES DECIZIA CENTRULUI?

Să presupunem că, în timpul procesului, Centrul constată că operatorul a încălcat legea. Decizia Centrului poate constitui un element important pentru soluționarea cauzei, dar aceasta nu înseamnă că instanța va putea prelua automat toate concluziile autorității, mai ales atunci când obiectul acțiunii este mai larg.

Dacă persoana solicită despăgubiri, de exemplu, constatarea Centrului că a existat o prelucrare ilegală nu rezolvă întregul litigiu. Reclamantul va trebui să demonstreze prejudiciul și legătura dintre încălcare și prejudiciul pretins, iar instanța va trebui să stabilească întinderea despăgubirii.

Situația se complică și mai mult dacă operatorul contestă decizia Centrului. Se poate ajunge astfel la două procese desfășurate concomitent: unul în contencios administrativ, în care se verifică legalitatea deciziei Centrului, și unul civil, între persoana vizată și operator.

Problema nu este una pur teoretică. Ea a apărut deja în practica instanțelor sub imperiul Legii nr. 133/2011.

În cauza Marcel Oțel împotriva AGEPI, persoana vizată a solicitat direct instanței constatarea prelucrării ilegale a datelor și repararea prejudiciului material și moral. În același timp, la dosar exista o decizie a Centrului care, în privința unei părți a datelor publicate, ajunsese la concluzia că acțiunile AGEPI nu puteau fi calificate drept prelucrare ilegală. AGEPI a invocat în proces inclusiv faptul că această decizie nu fusese contestată. Cauza: 2ra-1111/22.

CINE POATE EXERCITA DREPTURILE PERSOANEI VIZATE?

O noutate interesantă din perspectivă procesuală este prevăzută la art. 75. Persoana vizată poate mandata un organism, o organizație sau o asociație fără scop lucrativ pentru a depune plângerea în numele său și pentru a exercita drepturile prevăzute la art. 72–74.

Din perspectivă procesuală apare însă o problemă de calificare: organizația acționează ca reprezentant al persoanei vizate sau art. 75 constituie norma specială de abilitare care permite aplicarea art. 73 din Codul de procedură civilă?

2. CE SE ÎNTÂMPLĂ DACĂ PROBLEMA ESTE CHIAR ACTIVITATEA CENTRULUI?

Art. 73 prevede că acțiunile și inacțiunile Centrului pot fi contestate direct în instanța de judecată, conform Codului administrativ, fără respectarea procedurii prealabile.

Există aici o continuitate cu reglementarea anterioară. Noua lege reglementează însă mult mai detaliat procedura desfășurată în fața Centrului, iar aceasta poate genera acte și situații diferite susceptibile să ajungă în fața instanței.

Pot fi relevante, între altele:

– actele prin care Centrul refuză examinarea plângerii, o declară inadmisibilă sau pune capăt procedurii fără examinarea fondului, inclusiv în cazul caracterului vădit nefondat sau excesiv al cererii, potrivit art. 12 alin. (5);
– deciziile Centrului prin care este soluționată plângerea și sunt constatate încălcări ori sunt dispuse măsuri corective sau sancțiuni;
– nesoluționarea plângerii sau neinformarea persoanei vizate în termenele prevăzute de lege;
– situațiile în care se solicită suspendarea executării actului Centrului sau dispunerea altor măsuri provizorii;
– măsurile intruzive pentru realizarea cărora legea impune intervenția prealabilă a instanței.

INSTANȚA CA GARANT ÎN CADRUL INVESTIGAȚIILOR

Dacă, în cadrul unei investigații, inspectorii Centrului trebuie să pătrundă în domiciliul sau reședința unei persoane fizice fără consimțământul acesteia, accesul este posibil numai în baza unui mandat judecătoresc.

Rolul instanței nu este unul pur formal.

Legea îi cere judecătorului să verifice autenticitatea dispoziției de inițiere a investigației și dacă măsurile coercitive solicitate nu sunt arbitrare sau excesive.

Pentru aprecierea proporționalității, instanța poate solicita Centrului explicații inclusiv cu privire la gravitatea încălcării suspectate, importanța probelor căutate, natura implicării persoanei vizate și probabilitatea ca documentele sau echipamentele căutate să se afle în locul pentru care este solicitat accesul.

Noul mecanism plasează astfel instanța în două poziții distincte: pe de o parte, ca instanță de control al activității autorității de supraveghere și, pe de altă parte, în anumite situații, ca garant preventiv împotriva unor ingerințe arbitrare sau disproporționate în cursul investigației.

3. CE POATE CERE PERSOANA DIRECT OPERATORULUI?

Remediile pot urmări două obiective distincte.

Primul este protecția dreptului: accesul la date, rectificarea, ștergerea, restricționarea sau încetarea unei prelucrări nelegale.

Al doilea este repararea consecințelor: despăgubiri pentru prejudiciul material sau moral, în condițiile art. 76.

Art. 76 reglementează mai multe aspecte importante ale răspunderii:

– diferențiază răspunderea operatorului de cea a persoanei împuternicite. Persoana împuternicită răspunde numai dacă nu a respectat obligațiile care îi revin în mod specific potrivit legii sau dacă a acționat în afara ori în contradicție cu instrucțiunile legale ale operatorului;
– reglementează expres exonerarea de răspundere, dacă operatorul sau persoana împuternicită demonstrează că nu este în niciun fel răspunzătoare pentru evenimentul care a produs prejudiciul;
– în cazul existenței mai multor persoane răspunzătoare, fiecare poate fi ținută pentru întregul prejudiciu, pentru a asigura repararea efectivă a persoanei vizate;
– cel care a reparat integral prejudiciul beneficiază de un drept de regres împotriva celorlalți, proporțional cu partea de răspundere care le revine.

Aceste elemente – culpa, sarcina probei, exonerarea și întinderea despăgubirii – au făcut deja obiectul unei jurisprudențe relevante a Curții de Justiție a Uniunii Europene (CJUE) în interpretarea art. 82 din Regulamentul general privind protecția datelor (RGPD), normă pe care art. 76 o preia în mare măsură.

DESPĂGUBIREA NU DECURGE AUTOMAT DIN ÎNCĂLCAREA LEGII

În cazul unei acțiuni în despăgubiri, persoana vizată trebuie să demonstreze, în esență, trei elemente: existența unei încălcări a normelor privind protecția datelor, existența unui prejudiciu material sau moral și legătura de cauzalitate dintre încălcare și prejudiciul invocat.

Simpla încălcare a legii nu conduce automat la acordarea despăgubirilor. Trebuie să existe un prejudiciu, iar acesta trebuie să fie legat de încălcarea respectivă.

Această delimitare rezultă și din jurisprudența CJUE privind art. 82 RGPD. În cauza Österreichische Post (C-300/21), Curtea a stabilit că simpla încălcare a RGPD nu este suficientă pentru acordarea despăgubirilor. În același timp, prejudiciului moral nu îi poate fi impus un prag minim de gravitate.

4. CINE ȘI CE TREBUIE SĂ PROBEZE?

Existența unui remediu este numai prima parte a problemei. Odată ajuns litigiul în instanță, apare întrebarea poate cea mai dificilă: cine trebuie să demonstreze ce?

Să presupunem că un operator are o politică de protecție a datelor, registrul activităților de prelucrare, proceduri interne, evaluări de risc și instrucțiuni pentru angajați.

Este suficientă prezentarea acestor documente în instanță pentru a demonstra conformitatea?

Nu în mod automat.

Existența documentelor nu echivalează cu dovada conformității și nu poate fi tratată ca o prezumție absolută de legalitate.

Instanța va trebui să verifice ce demonstrează efectiv aceste documente:

– dacă măsurile prevăzute au fost implementate;
– dacă acestea erau adecvate riscului concret;
– dacă au fost respectate în operațiunea de prelucrare care face obiectul litigiului.

Este și abordarea reținută de CJUE în cauza Natsionalna agentsia za prihodite (C-340/21): aprecierea măsurilor tehnice și organizatorice nu poate rămâne una pur formală. Instanța trebuie să examineze concret natura și conținutul măsurilor, modul în care acestea au fost implementate și efectele lor practice în raport cu riscurile prelucrării.

PRINCIPIUL RESPONSABILITĂȚII NU RĂSTOARNĂ AUTOMAT SARCINA PROBEI

Principiul responsabilității nu înseamnă o răsturnare generală a sarcinii probei.

Persoana vizată trebuie să probeze faptele pe care își întemeiază pretenția. În materia protecției datelor trebuie însă avut în vedere faptul că o mare parte din informația relevantă se află în sfera de control a operatorului.

Persoanei vizate îi poate fi foarte dificil să demonstreze cine a avut acces la date, ce măsuri de securitate au fost efectiv implementate, cum au funcționat sistemele interne sau cum s-a produs concret un incident.

De aceea, operatorul trebuie să poată demonstra acele elemente ale conformității care se află în propria sa sferă de control și pentru care legea îi impune o obligație de documentare și demonstrare.

CULPA ȘI EXONERAREA OPERATORULUI

Atunci când operatorul urmărește să se exonereze de răspundere, art. 76 îi pune în sarcină o probă distinctă: acesta trebuie să demonstreze că nu este în niciun fel răspunzător pentru evenimentul care a produs prejudiciul.

Jurisprudența CJUE merge în aceeași direcție. Operatorul nu se exonerează automat susținând că incidentul a fost provocat de un hacker, de un terț sau de un angajat care nu a respectat instrucțiunile. Trebuie analizată și conduita proprie a operatorului.

În cauza Krankenversicherung Nordrhein (C-667/21), CJUE a analizat răspunderea prevăzută de art. 82 RGPD prin prisma culpei și a sarcinii probei, exonerarea fiind legată de posibilitatea operatorului de a demonstra că nu este în niciun fel răspunzător pentru evenimentul care a produs prejudiciul.

5. ȘI DACĂ PROTECȚIA DATELOR NU ESTE OBIECTUL PRINCIPAL AL PROCESULUI?

Toate aceste probleme nu vor apărea numai în acțiuni întemeiate direct pe Legea nr. 195/2024.

Legalitatea unei prelucrări, modul în care au fost obținute anumite date sau măsurile adoptate pentru protejarea lor pot deveni relevante și într-un litigiu în care protecția datelor nu reprezintă obiectul principal al cauzei.

Pentru operator, consecința practică rămâne aceeași: documentarea conformității trebuie privită și din perspectiva situației în care, ulterior, aceasta va trebui explicată și demonstrată în fața unei instanțe.

CONCLUZIE

Am pornit de la întrebarea: ce se întâmplă atunci când conformitatea operatorului este contestată?

Din acel moment, documentele întocmite pentru conformare încetează să mai fie doar documente interne.

Evaluarea impactului, registrul activităților de prelucrare, politicile de acces, documentarea măsurilor de securitate sau justificarea interesului legitim pot deveni probe într-un litigiu.

Pentru operator, miza conformării nu este, prin urmare, doar existența unui set de politici și proceduri. Acesta trebuie să poată explica și demonstra de ce prelucrarea a fost legală, necesară și proporțională, dacă măsurile prevăzute au fost efectiv implementate și ce a făcut concret pentru protejarea persoanei vizate.

În momentul în care conformitatea este contestată, diferența dintre a avea documente și a putea demonstra conformitatea poate deveni diferența dintre o politică internă și o probă convingătoare în instanță.