Ce este un DPO și de ce contează pentru afacerea ta
DPO înseamnă Data Protection Officer — în română, responsabil cu protecția datelor. Nu e un titlu decorativ și nu e un dosar care stă pe raft. E o persoană sau o firmă care urmărește, zi de zi, că afacerea ta prelucrează datele personale corect, legal și sigur.
Concret, un DPO face lucruri foarte practice: verifică că formularul de pe site-ul tău are consimțământ valid, se asigură că angajații știu cum să trateze un CV primit pe e-mail, răspunde la cererile clienților care vor să-și șteargă datele, notifică autoritatea dacă apare un incident de securitate. Nu e un rol teoretic.
DPO (Data Protection Officer) este persoana desemnată de un operator de date să monitorizeze conformitatea cu Regulamentul (UE) 2016/679 (GDPR), să consilieze organizația și să fie punctul de contact cu autoritatea de supraveghere — în România, ANSPDCP.
Mulți confundă DPO-ul cu consultantul GDPR. Sunt lucruri diferite. Consultantul vine, face implementarea inițială, livrează documentele și pleacă. DPO-ul rămâne. Are responsabilitate continuă, trebuie să fie disponibil pentru angajați și clienți, și trebuie notificat la ANSPDCP. Nu poți înlocui un DPO cu un dosar frumos pe Google Drive.
De ce urmărește ANSPDCP în primul rând lipsa DPO-ului? Pentru că e ușor de verificat. Autoritatea poate căuta în registrul propriu dacă firma ta a notificat un DPO. Dacă ești obligat și nu apari acolo, ești expus imediat. Nu trebuie să aibă loc un incident ca să fii sancționat — lipsa DPO-ului este ea însăși o încălcare.
Cine este obligat să aibă DPO conform GDPR — cele 3 situații clare
Articolul 37 din Regulamentul (UE) 2016/679 stabilește trei situații în care desemnarea unui DPO este obligatorie. Le explic pe rând, fără interpretări personale.
Situația 1: Autorități și organisme publice. Dacă ești o instituție publică — primărie, spital de stat, școală, direcție județeană — ești obligat indiferent de dimensiune. Chiar dacă ai 5 angajați și prelucrezi date minime.
Situația 2: Operatori care prelucrează date sensibile la scară largă. Datele sensibile includ date medicale, date despre origine etnică, date biometrice, date privind condamnări penale. „La scară largă" nu înseamnă neapărat milioane de persoane. O clinică privată cu 3 medici care vede 80 de pacienți pe zi prelucrează date medicale la scară largă. La fel o firmă de medicina muncii, o platformă de sănătate sau o companie de HR care gestionează dosare medicale ale angajaților.
Situația 3: Operatori care monitorizează sistematic și pe scară largă persoane fizice. Dacă ai camere de supraveghere în spații publice sau accesibile publicului, dacă faci tracking online comportamental, dacă profilezi clienți pentru reclame țintite — ești în această categorie.
Articolul 37 alin. (6) din Regulamentul (UE) 2016/679 permite explicit ca DPO-ul să fie o persoană externă organizației — o firmă sau un liber profesionist. Nu ești obligat să angajezi pe cineva intern.
| Tip de firmă | DPO obligatoriu? |
|---|---|
| Clinică privată / cabinet medical | Da — date sensibile la scară largă |
| Firmă de medicina muncii | Da — date sensibile la scară largă |
| Agenție de recrutare HR | Probabil da — date sensibile + monitorizare |
| Magazine online cu profilare comportamentală | Probabil da — monitorizare sistematică |
| Firmă de contabilitate mică | Depinde — necesită evaluare |
| Instituție publică (orice tip) | Da — indiferent de mărime |
| Firmă IT cu date angajaților proprii | Probabil nu — dar necesită evaluare |
Gri-ul din lege: când nu ești sigur dacă ești obligat
Realitatea din teren e că multe firme trăiesc în zona de gri. Și în acea zonă, decizia greșită costă.
Am văzut agenții de recrutare care ziceau „noi nu suntem obligați, suntem mici". Dar prelucrează CV-uri cu date medicale, caziere, date despre starea civilă — deci date sensibile, pentru sute de candidați pe lună. Obligativitatea exista, ei nu știau.
Am văzut clinici private cu doi medici care credeau că sunt prea mici ca să conteze. Dar fiecare consultație generează o fișă medicală. La 30 de pacienți pe zi, în câteva luni ai zeci de mii de înregistrări medicale. Asta e scară largă prin definiție.
Magazinele online care folosesc pixeli de remarketing, cookies de analiză comportamentală și segmentare pentru reclame Facebook — intră în monitorizarea sistematică. Mulți nu știu asta.
„Cel mai periculos răspuns pe care îl aud de la antreprenori e: am întrebat pe cineva și mi-a zis că nu sunt obligat. Cine a zis asta? Pe ce bază? O opinie informală nu te apără în fața ANSPDCP."
— Rareș Nicorici, Lead Auditor IRCA
Amenzile ANSPDCP merg până la 10 milioane de euro sau 2% din cifra de afaceri globală anuală — pentru încălcări precum lipsa DPO-ului unde era obligatoriu. ANSPDCP a emis sancțiuni publice documentate pe site-ul propriu, inclusiv pentru operatori din sectorul medical, HR și comerț online. Cazurile sunt publice și consultabile pe anspdcp.ro.
Recomandarea mea practică: nu decide singur. Un assessment de 30 de minute cu un specialist clarifică situația fără angajament. E mult mai ieftin decât o amendă sau decât să angajezi un DPO inutil.
DPO intern vs. DPO externalizat: ce alege o firmă mică sau medie
Dacă ești obligat să ai DPO, ai două opțiuni: angajezi pe cineva intern sau contractezi un serviciu extern. Ambele sunt legale. Întrebarea e care are sens pentru un IMM.
Salariu de la 5.000–8.000 lei net pe lună pentru un specialist calificat. Plus training anual, certificare GDPR, timp de pregătire continuă. Și un risc suplimentar: dacă același om e și director HR sau IT, există conflict de interese — GDPR îl interzice explicit. DPO-ul trebuie să fie independent față de funcțiile pe care le supraveghează.
Cost lunar predictibil, fără bătăi de cap cu recrutarea, fără conflict de interese. Firma externă are expertiză actualizată permanent și cunoaște interpretările recente ale ANSPDCP. Articolul 37 alin. (6) din Regulamentul (UE) 2016/679 permite explicit această formă — nu e o soluție de compromis, e o opțiune reglementată.
Ce nu poate face un DPO externalizat, indiferent cât de bun e: nu ia decizii de business în locul tău, nu înlocuiește avocatul firmei, nu semnează contracte în numele administratorului. Rolul lui e de consiliere, monitorizare și contact cu autoritatea. Decizia finală rămâne a ta.
Cum funcționează concret un serviciu de DPO externalizat
Mulți antreprenori aud „DPO externalizat" și nu știu ce primesc în schimbul banilor. Iată ce se întâmplă în practică, pas cu pas.
Pasul 1 — Evaluarea inițială: DPO-ul extern mapează fluxurile de date ale firmei tale. Ce date colectezi, de unde, cu ce scop, cât le păstrezi, cine are acces. Fără această imagine clară, orice activitate ulterioară e construită pe nisip.
Pasul 2 — Notificarea la ANSPDCP: Odată desemnat, DPO-ul trebuie notificat la autoritate. E o obligație legală. Se face prin sistemul online al ANSPDCP și include datele de contact ale DPO-ului, nu detalii despre firma ta. Termenul nu e specificat exact în regulament, dar practica recomandă să o faci imediat după desemnare.
Pasul 3 — Activități lunare: Registrul activităților de prelucrare actualizat, răspuns la cererile persoanelor vizate (drept de acces, ștergere, portabilitate), evaluări de impact (DPIA) când introduci procese noi, training periodic pentru angajați. Acestea nu sunt opționale — sunt parte din conformitatea continuă.
Pasul 4 — Gestionarea incidentelor: Dacă apare o breșă de securitate — laptop furat, e-mail trimis greșit cu date personale, atac cibernetic — DPO-ul coordonează notificarea ANSPDCP în 72 de ore, dacă incidentul pune în pericol drepturile persoanelor vizate. Această fereastră de 72 de ore e strictă.
Contractul de DPO externalizat trebuie să conțină clauze clare de confidențialitate, garanția de independență față de management, dreptul DPO-ului de a accesa toate fluxurile de date relevante și canalele de comunicare directă cu ANSPDCP.
Cât costă un DPO externalizat în România în 2026
Prețul variază și e normal să varieze. Depinde de câți angajați ai, ce volum de date prelucrezi, în ce sector activezi și cât de complex e modelul tău de business.
Ca orientare generală de piață în 2026, serviciile de DPO externalizat pentru IMM-uri pornesc de la câteva sute de euro pe lună pentru firme simple, și pot ajunge la 1.000–2.000 euro lunar pentru operatori cu activitate complexă, date sensibile și volum mare de cereri. Nu e un preț fix — e negociat în funcție de livrabile reale.
Pune asta în perspectivă: amenda minimă aplicată de ANSPDCP în cazuri documentate a fost de zeci de mii de lei. Cea maximă, la nivel european, depășește milioane. Costul unui DPO externalizat pe un an întreg e, în cele mai multe cazuri, mai mic decât o singură sancțiune pentru lipsa lui.
Ce să ceri într-o ofertă de DPO externalizat:
- ✅ Livrabile lunare documentate — ce primești concret
- ✅ Timp de răspuns la incidente — maxim 24–48h, nu „cât putem"
- ✅ Rapoarte periodice pentru management
- ✅ Dovada de independență față de alte roluri în firmă
- ✅ Experiență documentată în sectorul tău de activitate
- ❌ Evită furnizorii care promit „zero riscuri" — nimeni nu poate garanta asta
- ❌ Evită cei care nu cer acces la fluxurile reale de date — lucrează în gol
- ❌ Evită cei fără referințe sau fără experiență verificabilă
Un furnizor serios de DPO externalizat nu îți promite că nu vei fi niciodată amendat. Îți promite că faci tot ce e rezonabil din punct de vedere legal pentru a reduce riscul. Asta e o diferență importantă.
Pașii următori dacă vrei să clarifici situația firmei tale
Nu trebuie să știi dinainte dacă ești obligat să ai DPO. Tocmai asta clarificăm împreună la prima discuție.
Nu am nevoie să-ți trimiți toate documentele firmei, să pregătești un dosar sau să știi răspunsuri la întrebări tehnice. Îmi spui ce face firma ta, în ce sector ești, cum colectezi datele clienților și ale angajaților — și în 30 de minute ai o imagine clară despre situația ta.
Fără angajament. Fără ofertă forțată la final. Dacă nu ești obligat, îți spun direct. Dacă ești, îți explic opțiunile.
Confuzia în jurul DPO-ului e normală — legea e scrisă pentru juriști, nu pentru antreprenori. Dar ignorarea ei nu e o opțiune, mai ales că ANSPDCP e din ce în ce mai activă în 2026. O discuție de jumătate de oră poate face diferența dintre o conformitate reală și o amendă evitabilă.
Articolul are caracter informativ și nu constituie consultanță juridică.
Ai nevoie de ajutor concret?
Golden Audit Consulting® te ajută cu implementare, audit și conformare — fără birocrație inutilă.