De ce GDPR-ul pentru angajați e altfel decât pentru clienți
Când prelucrezi datele unui client, poți cere consimțământul și, dacă refuză, mergi mai departe. Cu un angajat, lucrurile sunt fundamental diferite. ANSPDCP și Comitetul European pentru Protecția Datelor (EDPB) au clarificat repetat: într-o relație de muncă, angajatul se află într-o poziție de dependență față de angajator. Asta înseamnă că un consimțământ semnat sub presiunea păstrării locului de muncă nu este liber exprimat — și prin urmare nu e valabil ca temei legal.
Ce funcționează cu adevărat? Trei temeiuri legale acoperă marea majoritate a prelucrarilor HR:
Salariul, pontajul, adresa pentru corespondență — date necesare direct pentru derularea contractului de muncă.
Declarații la ANAF, REGES-ONLINE, dosarul medical — prelucrări impuse de legislația muncii și fiscală în vigoare.
Securitatea clădirii, prevenirea fraudei interne — cu condiția să faci un test de echilibru documentat.
Exemplu concret: dacă ceri semnătură de consimțământ pentru prelucrarea CNP-ului în vederea întocmirii statelor de plată, iar angajatul refuză — ce faci? Nu îl poți angaja fără să procesezi datele respective, ceea ce dovedește că relația nu e voluntară. Consimțământul e invalid din start. Folosește temeiul obligației legale și documentează asta în registru.
Ce date prelucrează firma ta despre angajați — inventarul complet
Multe firme mici și medii nu știu exact ce date colectează despre propriii angajați. Primul pas al conformării GDPR e să faci inventarul — nu e nevoie de un soft sofisticat, o foaie Excel structurată face treaba la început.
Date din dosarul de personal: CNP, adresă, date bancare, date de sănătate (concedii medicale, fișa de aptitudini), date judiciare (cazier pentru anumite funcții), copii după acte de studii, contractul de muncă și actele adiționale.
Date generate în timp: pontaj zilnic, loguri de acces în clădire, email profesional, istoric navigare internet de pe rețeaua firmei, date GPS de pe vehiculele de serviciu.
Datele din categoria specială (art. 9 GDPR) — stare de sănătate, apartenența sindicală, religie, date genetice sau biometrice — au un regim mai strict. Nu le poți prelucra fără un temei explicit din art. 9 alin. 2. Concediile medicale intră în această categorie. Asigură-te că ai documentat temeiul separat pentru fiecare prelucrare de date speciale.
Cum construiești inventarul simplu: o coloană pentru categoria de date, una pentru scopul prelucrării, una pentru temeiul legal, una pentru cine are acces și una pentru cât timp le păstrezi. Cinci coloane, câteva ore de muncă — și ai baza registrului de activități.
Dosarul de personal: ce păstrezi, cât timp și în ce condiții
Codul Muncii și legislația privind arhivarea documentelor impun termene clare de păstrare — unele documente din dosarul de personal trebuie păstrate zeci de ani. Asta creează un conflict aparent cu dreptul la ștergere din GDPR, pe care multe firme nu știu cum să îl rezolve.
Regula practică: obligația legală de arhivare prevalează asupra cererii de ștergere. Dacă un fost angajat cere ștergerea tuturor datelor, îi explici în scris că anumite documente — contractul de muncă, statele de plată, fișa de post — trebuie păstrate conform legislației în vigoare privind arhivarea documentelor, verificată pe lex.justice.ro, și că le vei șterge la expirarea termenului legal. Nu e un refuz arbitrar — e o obligație pe care o documentezi.
Dosarele fostilor angajați sunt cel mai frecvent punct de sancțiune ANSPDCP pentru angajatori. Motivul: firma uită că datele există, nu mai are proceduri active de control al accesului și lasă dosarele fizice în arhive neîncuiate sau fișierele digitale în foldere accesibile tuturor. Verifică asta săptămâna aceasta.
Cine din firmă are voie să acceseze dosarul de personal? HR-ul, managerul direct pentru datele necesare coordonării și contabilitatea pentru datele salariale. Accesul trebuie documentat — cine, când, de ce. Asta se poate face simplu printr-un registru de acces sau prin drepturi configurate în sistemul informatic.
Monitorizarea angajaților: camere video, email și GPS
Monitorizarea este zona cu cel mai mare potențial de sancțiune dacă nu e făcută corect. Cadrul legal în România combină GDPR cu legislația națională privind supravegherea la locul de muncă și deciziile ANSPDCP în materie — consultă varianta actualizată pe site-ul autorității.
Camere video: sunt permise în spații de lucru, la intrări, în depozite și case de marcat — cu condiția informării prealabile a angajaților. Sunt interzise în vestiare, toalete, zone de odihnă și spații private. Durata de retenție rezonabilă: 30 de zile pentru cele mai multe cazuri. Dacă păstrezi mai mult, trebuie să justifici de ce.
Email profesional și internet: poți monitoriza, dar nu în secret. Angajații trebuie informați în prealabil despre ce se monitorizează, în ce condiții și cine are acces la date. Monitorizarea conținutului emailurilor e o măsură intruzivă — aplicată doar dacă există suspiciuni legitime documentate și proporțional cu situația.
GPS pe vehicule: temeiul e interesul legitim al firmei (securitatea flotei, optimizarea rutelor). Șoferii trebuie informați înainte, nu după instalarea sistemului. Datele de localizare se păstrează în general 30-90 de zile, în funcție de scopul declarat.
ANSPDCP a sancționat angajatori care instalaseră camere în zone interzise și angajatori care monitorizau emailul fără nicio procedură de informare. Amenzile au fost însoțite de obligații de conformare și publicarea sancțiunii — prejudiciu de imagine deloc neglijabil.
Informarea angajaților: nota de informare vs. politica de confidențialitate
Art. 13 GDPR impune ca persoanele vizate să fie informate la momentul colectării datelor. Pentru angajați, asta înseamnă că nota de informare se înmânează la semnarea contractului de muncă — nu a doua zi, nu în prima săptămână de probă.
Ce trebuie să conțină obligatoriu nota de informare pentru angajați: identitatea și datele de contact ale operatorului, datele de contact ale DPO-ului (dacă există), scopurile și temeiurile legale ale fiecărei prelucrări, destinatarii datelor (firmă de salarizare externalizată, ANAF, ITM), termenele de stocare, drepturile angajatului și cum le poate exercita, dreptul de a depune plângere la ANSPDCP.
Cea mai frecventă greșeală: nota de informare copiată de pe internet care menționează „prelucrăm datele dumneavoastră în scopuri de marketing" — într-un document pentru angajați. Nota trebuie să reflecte exact ce face firma ta, nu ce face o firmă generică din șablonul descărcat gratuit.
Documentează că angajatul a primit informarea: o semnătură pe un borderou de predare-primire e suficientă. Atenție: această semnătură nu e consimțământ — e confirmare de primire a informației. Diferența e esențială și trebuie să rezulte clar din document.
Registrul activităților de prelucrare — documentul de bază al conformării
Registrul activităților de prelucrare (art. 30 GDPR) e documentul care dovedește că știi ce faci cu datele angajaților tăi. Cine e obligat să îl aibă: firmele cu peste 250 de angajați, dar și firmele mai mici care prelucrează date din categorii speciale (date de sănătate, date sindicale) sau date la scară largă.
| Câmp obligatoriu în registru | Exemplu pentru categoria Angajați |
|---|---|
| Scopul prelucrării | Administrare relație de muncă, salarizare |
| Temeiul legal | Art. 6(1)(b) — executarea contractului; art. 6(1)(c) — obligație legală |
| Categorii de date | Date de identificare, date bancare, date de sănătate (CM) |
| Destinatari | ANAF, ITM, firmă externalizată salarizare |
| Termen de stocare | Conform legislației privind arhivarea, minim 50 ani pentru documente de muncă |
| Măsuri de securitate | Acces restricționat, parole, arhivă încuiată |
Registrul nu e un document secret. Angajații au dreptul să întrebe ce date prelucrezi despre ei și pe ce temei — și tu trebuie să poți răspunde. Dacă nu ai registrul actualizat, răspunsul va fi greu de dat corect și complet.
DPO — ai nevoie de unul și ce face el concret pentru angajați
Responsabilul cu protecția datelor (DPO) e obligatoriu pentru autorități publice, pentru operatori care prelucrează date la scară largă din categorii speciale sau care fac monitorizare sistematică la scară largă (art. 37 GDPR). O firmă privată cu 50 de angajați care prelucrează dosare medicale sau date biometrice pentru pontaj intră probabil în această categorie — analizează situația concretă.
„DPO-ul nu e un pol de costuri — e persoana care te oprește înainte să faci o greșeală scumpă, nu după. Diferența dintre un DPO bun și unul de fațadă e că primul îți pune întrebări incomode despre ce faci cu datele angajaților, nu îți semnează documente fără să le citească." — Rareș Nicorici, Lead Auditor IRCA
DPO intern vs. externalizat: DPO-ul intern cunoaște mai bine contextul firmei, dar trebuie să aibă independență reală — nu poate fi directorul HR care se autoverifica. DPO-ul externalizat oferă independență și expertiză la un cost predictibil, ideal pentru firmele medii. Dacă nu ai DPO obligatoriu, desemnează o persoană responsabilă cu sarcinile minime: actualizarea registrului, gestionarea cererilor angajaților, monitorizarea conformării.
Drepturile angajaților pe care firma ta trebuie să le respecte
Angajații au aceleași drepturi GDPR ca orice persoană vizată — cu unele limitări specifice relației de muncă pe care trebuie să le cunoști.
Dreptul de acces (art. 15): Angajatul cere să vadă ce date prelucrezi despre el. Ai 30 de zile să răspunzi complet — nu 30 de zile să te gândești dacă răspunzi. Răspunsul trebuie să includă o copie a datelor și informații despre scopuri, temeiuri, destinatari, termene.
Dreptul la rectificare: Adresă greșită în dosar, nume scris incorect — corectezi imediat. Nu există motiv să refuzi.
Dreptul la ștergere: Limitat de obligațiile legale de arhivare. Explici în scris ce poți șterge și ce nu, și de ce.
Dreptul la opoziție: Angajatul nu poate refuza pontajul invocând GDPR — pontajul e o obligație legală. Poate ridica obiecții față de prelucrări bazate pe interesul legitim, dacă are motive întemeiate legate de situația sa particulară.
Portabilitatea datelor: În context HR, înseamnă că poți oferi angajatului datele sale într-un format structurat (CSV, PDF) — util când pleacă la alt angajator și vrea, de exemplu, istoricul de training.
Procedura internă de răspuns la cereri poate fi simplă: un email dedicat (ex: o adresă de tipul date.personale pe domeniul firmei), un termen intern de escaladare de 5 zile pentru verificare și 25 zile pentru răspuns final, și un registru al cererilor primite și soluționate.
Sancțiunile ANSPDCP pentru angajatori — ce s-a întâmplat în 2025-2026
Amenzile maxime prevăzute de GDPR sunt impresionante: până la 20 milioane EUR sau 4% din cifra de afaceri globală anuală (art. 83). În practică, ANSPDCP aplică sancțiuni proporționale cu dimensiunea firmei și gravitatea încălcării — dar și firmele mici au primit amenzi semnificative.
Ce reduce amenda: cooperarea cu ANSPDCP în timpul investigației, implementarea rapidă a măsurilor corective, lipsa intenției și istoricul curat de conformare. Ce o mărește: ascunderea încălcării, refuzul de a coopera, prejudicii concrete suferite de angajați.
Consultă sancțiunile administrative publicate pe site-ul ANSPDCP — sunt o lecție practică gratuită despre ce să nu faci.
Lista de verificare GDPR pentru angajați — ce să faci săptămâna aceasta
- Verifică dacă nota de informare pentru angajați există, e actualizată pentru 2026 și reflectă prelucrarile reale ale firmei tale
- Identifică toate prelucrarile de date HR care nu au temei legal clar documentat în registru
- Controlează cine are acces la dosarele de personal — atât cele fizice din arhivă, cât și fișierele digitale
- Verifică dacă monitorizarea prin camere, email sau GPS are proceduri scrise și dacă angajații au fost informați prealabil
- Stabilește o procedură — chiar și pe hârtie — pentru cererile angajaților privind drepturile GDPR
- Verifică dacă fostii angajați au datele stocate în condiții de securitate și cu acces restricționat
- Dacă prelucrezi date speciale (sănătate, sindicate, biometrice), confirmă că ai temei explicit documentat pentru fiecare
- Programează o discuție cu un specialist dacă ai dubii despre monitorizare, DPO sau date din categorii speciale
Conformarea GDPR pentru angajați nu se face o dată și se uită. E un proces continuu — ori de câte ori introduci o nouă prelucrare (un sistem de pontaj biometric, o aplicație HR, o cameră nouă), verifici temeiul legal, actualizezi registrul și informezi angajații.
Articolul are caracter informativ și nu constituie consultanță juridică.
Ai nevoie de ajutor concret?
Golden Audit Consulting® te ajută cu implementare, audit și conformare — fără birocrație inutilă.