Ce este, de fapt, un audit GDPR și de ce nu e același lucru cu o bifă pe hârtie
Când vorbesc cu antreprenori care au deja „dosarul GDPR" pregătit, prima mea întrebare este simplă: dacă ANSPDCP bate la ușă mâine, știi să le explici oral de ce prelucrezi datele angajaților în acel sistem HR și cât timp le păstrezi? De obicei, urmează o tăcere.
Conformitatea declarativă înseamnă că ai semnat niște documente. Conformitatea reală înseamnă că procesele tale zilnice respectă efectiv regulamentul european privind protecția datelor cu caracter personal (GDPR). ANSPDCP nu verifică dacă ai un dosar frumos — verifică dacă ce scrie în dosar corespunde cu ce se întâmplă în realitate: sisteme IT, contracte active, comportamentul angajaților, fluxurile de date între firme.
Firmele cu mai multe entități juridice sunt expuse unui risc specific: o bază de date comună de clienți, folosită de trei SRL-uri diferite, înseamnă trei operatori distincți care trebuie să justifice fiecare prelucrare. Fără un temei juridic clar pentru fiecare flux de date între firme din același grup, ești deja în zona de risc.
Un audit GDPR nu este un training pentru angajați, nu este o politică de confidențialitate copiată de pe internet și nu este un dosar cu șabloane completate mecanic. Este un proces structurat de evaluare a realității față de cerințele regulamentului — cu constatări documentate și plan de acțiune concret.
Auditul GDPR este procesul prin care verifici sistematic dacă modul în care organizația ta colectează, stochează, prelucrează și șterge datele cu caracter personal respectă regulamentul european privind protecția datelor și legislația națională în vigoare, verificată pe lex.justice.ro.
Când ai nevoie de un audit GDPR — și când e deja prea târziu
Nu există un moment perfect pentru un audit GDPR — dar există momente în care devine urgent. Dacă ai trecut printr-unul dintre evenimentele de mai jos fără să auditezi procesele, ești deja în urmă.
Orice sistem nou înseamnă fluxuri noi de date, potențial procesatori noi, temeiuri juridice care trebuie reverificare.
DPO-ul nou trebuie să pornească de la o imagine clară a situației reale, nu de la ce i-au povestit colegii.
Acesta este semnalul că datele tale sunt pe radarul cuiva. Cel mai prost moment să descoperi că nu ai proceduri.
Fiecare activitate nouă poate genera o nouă categorie de prelucrare care trebuie justificată și documentată.
Frecvența recomandată este cel puțin o dată pe an, sau la orice schimbare semnificativă de proces. Gândește-te la el ca la un control tehnic periodic — nu pentru că ți-l cere cineva, ci pentru că știi că lucrurile se schimbă.
Riscul specific al antreprenorilor cu portofoliu de firme: o singură bază de date de clienți folosită de trei SRL-uri distincte generează trei seturi de obligații separate. Fiecare operator răspunde independent față de ANSPDCP. Nu există scuza „e același grup".
Semnalele că ceva nu e în regulă: angajații nu știu cui să raporteze un incident de securitate, contractele cu furnizorii nu conțin clauze de protecție a datelor, marketingul merge fără consimțământ documentat. Dacă recunoști două din trei situații, auditul nu mai e opțional.
Etapele unui audit GDPR făcut serios — procesul complet
Un audit GDPR structural parcurge șapte etape distincte. Nu sunt opționale și nu se pot comprima la „o zi de consultanță".
Etapa 1 — Inventarul datelor răspunde la întrebările de bază: ce date colectezi, de unde vin, cum le stochezi, cât timp le păstrezi și cine are acces fizic sau logic. Fără această hartă, tot restul e speculație.
Etapa 2 — Temeiul juridic verifică dacă fiecare categorie de prelucrare are un temei valid conform art. 6 GDPR (consimțământ, contract, obligație legală, interes legitim etc.) și, pentru date sensibile, conform art. 9 GDPR.
Etapa 3 — Registrul activităților de prelucrare (obligatoriu conform art. 30 GDPR) trebuie să existe, să fie complet și actualizat. Am văzut registre blocate la data implementării din 2018 — sunt documente moarte care nu mai reflectă realitatea.
Etapa 4 — Contractele cu procesatorii acoperă toți furnizorii care ating datele tale: platforme cloud, email marketing, contabili externi, firme de curierat, furnizori IT. Fără clauze conforme cu art. 28 GDPR, operezi ilegal.
Etapa 5 — Procedurile interne sunt testate practic: ce face un angajat dacă primește un email suspect? Cine sună când se pierde un laptop? Cum procesezi o cerere de ștergere în termenul legal?
Etapa 6 — DPIA este obligatorie când prelucrarea prezintă risc ridicat pentru drepturile persoanelor. Profilare, supraveghere video la scară largă, date medicale — toate necesită o evaluare de impact documentată înainte de a începe prelucrarea.
Etapa 7 — Raportul de audit nu este o listă de recomandări vagi. Este un document cu constatare → nivel de risc → acțiune concretă → termen → responsabil. Altfel, nu e audit — e opinie.
Documentele pe care trebuie să le ai gata — lista completă
Dacă ANSPDCP solicită documente, ai la dispoziție un termen scurt pentru a le furniza. Nu e momentul să le cauți sau să le creezi. Iată ce trebuie să existe deja:
- Registrul activităților de prelucrare (art. 30 GDPR) — actualizat, cu toate câmpurile obligatorii completate
- Politica internă de protecție a datelor, semnată și comunicată angajaților
- Procedura de gestionare a breșelor de securitate, cu responsabili nominalizați
- Acordurile de prelucrare a datelor (DPA) cu toți procesatorii externi activi
- Dovezi de consimțământ: formulare, log-uri cu timestamp, mecanisme de retragere
- Evaluările de impact (DPIA) pentru prelucrările cu risc ridicat
- Evidența cererilor de la persoanele vizate și modul în care au fost soluționate, cu termene
- Documentele de instruire a angajaților în domeniul protecției datelor, cu semnături sau confirmări digitale
- Politica de retenție și ștergere a datelor, cu criterii clare pe categorii
"Cel mai des întâlnit dosar GDPR în România în 2026 e complet pe hârtie și gol în practică. Angajații nu l-au văzut, procesele nu s-au schimbat, iar datele tot stau în folderul Google Drive al fostului angajat. Asta nu e conformitate — e iluzie de conformitate." — Rareș Nicorici, Lead Auditor IRCA
Greșelile frecvente pe care le vedem în audit — și cum le eviți
După zeci de audituri în firme din sectoare diferite, aceleași probleme revin cu o regularitate care nu mai surprinde pe nimeni din echipă. Le documentez pentru că recunoașterea lor e primul pas spre remediere.
| Greșeală frecventă | Risc concret | Remediu rapid |
|---|---|---|
| Căsuță pre-bifată pentru consimțământ | Consimțământ invalid, amendă directă | Reconfigurare formulare, consimțământ activ |
| Politică de confidențialitate copy-paste | Nu reflectă realitatea — dovedibil în inspecție | Audit și rescriere bazată pe fluxuri reale |
| Date în Google Drive / Dropbox fără control acces | Breach potențial nedeclarat | Audit acces, restricționare, criptare |
| Contracte procesatori fără clauze art. 28 | Răspundere solidară în caz de incident | Renegociere sau addendum contractual |
| Nicio procedură de incident documentată | Raportare tardivă la ANSPDCP = amendă separată | Procedură scrisă, testată, cu responsabili clari |
| Retenție nedefinită a datelor | Încălcarea principiului limitării stocării | Politică de retenție cu termene pe categorii |
Cine face auditul GDPR — intern sau extern?
Nu există un răspuns universal, dar există o logică clară. DPO-ul intern cunoaște contextul organizației, relațiile dintre echipe, istoricul deciziilor. Consultantul extern aduce perspectivă obiectivă, experiență din industrii diferite și, esențial, o responsabilitate contractuală față de calitatea raportului.
Complementaritatea funcționează bine: DPO-ul intern coordonează implementarea zilnică, auditorul extern evaluează periodic dacă implementarea e corectă. Unul fără celălalt creează unghiuri moarte.
Când cauți un furnizor de audit GDPR, cere explicit: metodologie documentată, raport scris cu structură clară, plan de acțiune cu termene și responsabili, nu doar o prezentare PowerPoint cu sfaturi generale.
Fiecare constatare urmează formatul: Ce am găsit → Nivel de risc (ridicat / mediu / scăzut) → Acțiune concretă → Termen realist → Responsabil nominalizat. Un raport fără termene și responsabili e o opinie, nu un instrument de management.
Ce se întâmplă după audit — implementarea și monitorizarea continuă
Raportul de audit e punctul de start, nu linia de finish. Cea mai frecventă greșeală post-audit: se rezolvă riscurile ridicate în prima lună, iar cele medii și scăzute rămân deschise la nesfârșit. Planul de remediere trebuie prioritizat, dar și urmărit sistematic.
GDPR nu e un proiect cu dată de finalizare. E un proces continuu care evoluează odată cu business-ul tău. Când lansezi un produs nou, când angajezi o echipă nouă, când schimbi un furnizor — toate aceste momente necesită o verificare rapidă a implicațiilor asupra datelor cu caracter personal.
Integrarea GDPR în onboarding-ul angajaților noi este una dintre cele mai eficiente investiții de timp: un angajat care înțelege de la prima zi ce înseamnă un incident de securitate și cui îl raportează, valorează mai mult decât un training anual pe care nimeni nu și-l amintește.
Momentele de reverificare obligatorie: modificări legislative relevante, incidente de securitate (chiar și cele minore), schimbări semnificative de proces sau sistem IT, și — cel puțin o dată pe an — un audit intern structurat care pregătește terenul pentru cel extern.
Articolul are caracter informativ și nu constituie consultanță juridică.
Ai nevoie de ajutor concret?
Golden Audit Consulting® te ajută cu implementare, audit și conformare — fără birocrație inutilă.