Ce documente GDPR trebuie să aibă o firmă sau o instituție? Lista completă

Actualizat la 30 septembrie 2026, deGabriel Crăciunică

GDPR nu conține o listă unică de documente, dar cere expres câteva: registrul evidenței prelucrărilor (art. 30), informarea persoanelor vizate (art. 13–14), contractele cu persoanele împuternicite (art. 28), evidența încălcărilor securității datelor (art. 33 alin. 5) și evaluarea de impact atunci când este necesară (art. 35). Celelalte documente, cum ar fi politica de securitate, procedura pentru cererile persoanelor sau evidența instruirilor, decurg din obligația operatorului de a demonstra conformitatea (art. 5 alin. 2 și art. 24).

GDPR nu conține o listă unică de documente obligatorii. Regulamentul cere însă expres, prin articole distincte, câteva documente și evidențe, iar pentru restul impune obligația generală de a putea demonstra conformitatea (art. 5 alin. 2 și art. 24). În practică, asta înseamnă tot documente.

Documentele pot fi împărțite în trei categorii:

Obligatorii pentru aproape orice organizație, pentru că GDPR le cere expres: registrul evidenței prelucrărilor, informarea persoanelor vizate, contractele cu persoanele împuternicite, evidența încălcărilor securității datelor.
Obligatorii când este cazul: evaluarea de impact (DPIA), actul de desemnare a DPO, evidența consimțămintelor, acordul între operatori asociați.
Necesare pentru a demonstra conformitatea: politica de securitate, procedurile interne, politica de retenție, evidența instruirilor. Nu sunt numite ca atare în regulament, dar fără ele nu puteți dovedi că respectați art. 5, 24 și 32.

Document	Temei	Cine are nevoie	Statut
Registrul evidenței activităților de prelucrare	art. 30	Practic toate organizațiile cu angajați	Obligatoriu (excepție limitată la art. 30 alin. 5)
Note de informare pentru angajați, clienți, cetățeni, vizitatori	art. 13–14	Toate organizațiile	Obligatoriu (informarea); forma scrisă recomandată
Contracte sau acte adiționale cu persoanele împuternicite	art. 28 alin. (3)	Cine folosește contabilitate externă, IT, cloud, firmă de pază	Obligatoriu
Registrul încălcărilor securității datelor	art. 33 alin. (5)	Toate organizațiile	Obligatoriu
Procedura de gestionare a incidentelor	art. 33–34	Toate organizațiile	Necesară pentru respectarea termenului de 72 de ore
Procedura pentru cererile persoanelor vizate	art. 12, 15–22	Toate organizațiile	Necesară pentru respectarea termenului de o lună
Politica de securitate și descrierea măsurilor tehnice și organizatorice	art. 24, 32	Toate organizațiile	Necesară pentru a demonstra securitatea
Evaluarea impactului asupra protecției datelor (DPIA)	art. 35	Prelucrări cu risc ridicat	Obligatoriu când este cazul
Actul de desemnare a DPO și comunicarea către ANSPDCP	art. 37 alin. (1) și (7)	Autorități publice și organizațiile din art. 37	Obligatoriu când DPO este obligatoriu
Evidența consimțămintelor	art. 7 alin. (1)	Cine prelucrează pe bază de consimțământ	Obligatoriu când este cazul
Acord între operatori asociați	art. 26	Organizațiile care stabilesc împreună scopurile	Obligatoriu când este cazul
Politica de retenție (termene de păstrare și ștergere)	art. 5 alin. (1) lit. e)	Toate organizațiile	Bună practică, necesară pentru a demonstra principiul
Evidența instruirilor personalului	art. 32 alin. (4), art. 39	Toate organizațiile	Bună practică, necesară pentru a demonstra instruirea
Politica de supraveghere video și nota de informare aferentă	art. 13, Legea 190/2018 art. 5	Cine are camere video	Obligatorie informarea; politica este bună practică
Angajamente de confidențialitate ale personalului	art. 28 alin. (3) lit. b), art. 32	Toate organizațiile	Bună practică (obligatoriu pentru personalul împuterniciților)

Ce trebuie să conțină registrul evidenței prelucrărilor?

Registrul este documentul central, iar art. 30 alin. (1) îi fixează conținutul minim pentru operator: numele și datele de contact ale operatorului și, după caz, ale DPO; scopurile prelucrării; categoriile de persoane vizate și de date; categoriile de destinatari; transferurile către țări terțe; termenele de ștergere, acolo unde este posibil; o descriere generală a măsurilor de securitate, acolo unde este posibil.

Registrul se ține în scris, inclusiv în format electronic (art. 30 alin. 3), și se pune la dispoziția ANSPDCP la cerere (art. 30 alin. 4). Persoanele împuternicite au și ele obligația de a ține un registru propriu, cu un conținut mai restrâns (art. 30 alin. 2).

Excepția pentru organizațiile sub 250 de angajați (art. 30 alin. 5) se aplică numai dacă prelucrarea nu este susceptibilă să genereze un risc, este ocazională și nu include categorii speciale de date sau date penale. Grupul de lucru Articolul 29 a precizat că o prelucrare care nu este ocazională, cum ar fi salarizarea, trebuie trecută în registru. Detalii despre întocmirea lui găsiți la serviciul de întocmire a registrului evidenței prelucrărilor.

Ce trebuie să conțină notele de informare?

Nota de informare îi spune persoanei, la momentul colectării datelor, cine le prelucrează, de ce, pe ce temei și ce drepturi are. Conținutul este prevăzut la art. 13 pentru datele colectate direct de la persoană și la art. 14 pentru datele obținute din alte surse.

Elementele principale sunt: identitatea și datele de contact ale operatorului și ale DPO, scopurile și temeiul legal, interesul legitim invocat (dacă este cazul), destinatarii, transferurile către țări terțe, perioada de stocare, drepturile persoanei, dreptul de a depune plângere la ANSPDCP, dacă furnizarea datelor este o obligație legală sau contractuală și existența deciziilor automatizate.

De regulă aveți nevoie de note separate pe categorii de persoane: angajați, candidați, clienți sau cetățeni, vizitatori ai site-ului, persoane filmate de camerele video.

Ce trebuie să conțină contractul cu persoana împuternicită?

Art. 28 alin. (3) cere un contract sau alt act juridic scris care stabilește obiectul, durata, natura și scopul prelucrării, tipul de date și categoriile de persoane vizate. Contractul trebuie să prevadă cel puțin că persoana împuternicită:

prelucrează datele numai pe baza instrucțiunilor documentate ale operatorului;
asigură confidențialitatea persoanelor autorizate să prelucreze datele;
aplică măsurile de securitate cerute de art. 32;
nu recrutează o altă persoană împuternicită fără autorizarea operatorului;
asistă operatorul la cererile persoanelor vizate și la obligațiile din art. 32–36;
șterge sau returnează datele la încetarea serviciilor;
pune la dispoziție informațiile necesare pentru audit și inspecții.

Furnizorii obișnuiți pentru care aveți nevoie de un astfel de contract sunt firma de contabilitate sau de salarizare, furnizorul de programe informatice cu acces la date, furnizorul de găzduire sau cloud, firma de pază care gestionează sistemul video și medicina muncii, în funcție de modul concret în care prelucrează datele.

Ce documente sunt necesare pentru incidente de securitate?

Aveți nevoie de două documente: o procedură care spune cine face ce atunci când apare un incident și un registru în care se consemnează toate încălcările. Art. 33 alin. (5) obligă operatorul să documenteze orice încălcare a securității datelor, inclusiv faptele, efectele și măsurile de remediere, chiar și atunci când nu a fost necesară notificarea către ANSPDCP. Pașii concreți sunt descriși în ghidul despre incidentele de securitate și termenul de 72 de ore.

Când este obligatorie evaluarea de impact (DPIA)?

DPIA este obligatorie atunci când o prelucrare este susceptibilă să genereze un risc ridicat pentru drepturile persoanelor (art. 35 alin. 1). Art. 35 alin. (3) dă trei situații în care este cerută expres: evaluarea sistematică și cuprinzătoare a aspectelor personale pe bază de prelucrare automată, inclusiv crearea de profiluri, cu efecte juridice; prelucrarea pe scară largă a datelor sensibile sau penale; monitorizarea sistematică pe scară largă a unei zone accesibile publicului.

ANSPDCP a publicat, conform art. 35 alin. (4), o listă a operațiunilor pentru care DPIA este obligatorie. Lista poate fi consultată pe dataprotection.ro. Pentru analiza propriu-zisă puteți folosi serviciul de analiză a riscurilor GDPR.

Ce documente suplimentare au instituțiile publice?

Autoritățile și organismele publice au, în plus, obligația de a desemna un DPO (art. 37 alin. 1 lit. a). Aveți nevoie de actul administrativ de desemnare (dispoziție sau decizie), de dovada publicării datelor de contact și de comunicarea acestora către ANSPDCP. Mai multe despre desemnare în ghidul despre cine are nevoie de DPO.

Cele mai multe probleme nu vin din lipsa documentelor, ci din documente care nu corespund realității:

șabloane descărcate și necompletate cu prelucrările reale ale organizației;
registru neactualizat după schimbarea programului de salarizare, a furnizorului IT sau după montarea camerelor video;
consimțământ cerut inutil, pentru prelucrări care au deja temei în lege sau în contract;
lipsa contractelor art. 28 cu furnizorii care au acces la date;
registrul incidentelor gol, deși au existat e-mailuri trimise greșit sau echipamente pierdute;
documente fără dovada aplicării: politica există, dar nimeni nu a fost instruit pe baza ei.

Un document GDPR are valoare în fața ANSPDCP doar dacă descrie ce se întâmplă efectiv în organizație.

Cum vă putem ajuta

KRASP DPO S.R.L. întocmește documentația GDPR pornind de la activitatea reală a fiecărei organizații, nu de la șabloane generice. Prin implementarea GDPR realizăm registrul, notele de informare, contractele cu împuterniciții, procedurile și politica de securitate. Dacă aveți deja documente, un audit GDPR arată ce lipsește și ce trebuie actualizat. Lucrăm din 2018 cu primării, agenții județene și firme private. Ne puteți contacta la 0735 77 66 73.

Întrebări frecvente

Care este cel mai important document GDPR?

Registrul evidenței activităților de prelucrare (art. 30). El descrie ce date prelucrați, în ce scop, despre cine, cui le transmiteți și cât le păstrați. Din el derivă notele de informare, politica de retenție și analiza de risc.

Firmele sub 250 de angajați sunt scutite de registrul prelucrărilor?

Doar parțial și rar în practică. Art. 30 alin. (5) scutește organizațiile sub 250 de angajați numai dacă prelucrarea nu prezintă risc, este ocazională și nu include date sensibile sau penale. Salarizarea este o prelucrare permanentă, așa că orice firmă cu angajați trebuie să o treacă cel puțin pe ea în registru.

Nota de informare GDPR trebuie să fie scrisă?

GDPR cere ca informarea să fie concisă, transparentă, ușor accesibilă și formulată clar, în scris sau prin alte mijloace, inclusiv electronic (art. 12 alin. 1). Forma scrisă este recomandată pentru că vă permite să dovediți că ați informat persoanele.

Trebuie să am contract GDPR cu contabilul extern?

Da, dacă firma de contabilitate prelucrează date personale în numele dumneavoastră, de exemplu datele angajaților pentru salarizare. Art. 28 alin. (3) cere un contract sau alt act juridic scris cu clauzele minime prevăzute de regulament.

Cât de des se actualizează documentele GDPR?

GDPR nu fixează o periodicitate, dar cere ca măsurile să fie revizuite și actualizate atunci când este necesar (art. 24 alin. 1). Practic, documentele se revizuiesc la orice schimbare de activitate, de furnizor sau de sistem informatic și cel puțin anual.

Vorbiți direct cu consultantul, nu cu un call-center

Spuneți-ne ce fel de organizație sunteți și câți angajați aveți. În aceeași zi primiți un răspuns clar despre ce documente vă lipsesc și cât costă.

Sună: 0735 77 66 73 WhatsApp Cere o ofertă scrisă

Luni–Vineri, 10:00–18:00 · [email protected]

Ce documente GDPR sunt obligatorii?

Lista documentelor GDPR: tabel de verificare