Centrul Naţional pentru Protecţia Datelor cu Caracter Personal \rOrdin nr.39 din 10.08.2026 cu privire la modificarea Ordinului Directorului CNPDCP nr.27/2022 privind aprobarea Listei tipurilor de operaţiuni de prelucrare a datelor cu caracter personal care fac obiectul cerinţei de efectuare a evaluării impactului asupra protecţiei datelor cu caracter personal

CENTRUL NAŢIONAL PENTRU PROTECŢIA

DATELOR CU CARACTER PERSONAL

O R D I N

cu privire la modificarea Ordinului Directorului CNPDCP nr.27/2022 privind aprobarea

Listei tipurilor de operaţiuni de prelucrare a datelor cu caracter personal care fac

obiectul cerinţei de efectuare a evaluării impactului asupra

protecţiei datelor cu caracter personal

nr. 39  din  10.08.2026

 (în vigoare 23.08.2026) 

Monitorul Oficial al R. Moldova nr. 379-381 art. 674a din 14.08.2026

* * *

În conformitate cu prevederile art.35 alin.(1), alin.(4), alin.(6), art.59 alin.(1) lit.k) şi art.65 alin.(1) lit.d) din Legea nr.195/2024 privind protecţia datelor cu caracter personal (Monitorul Oficial al Republicii Moldova, 2024, nr.367-369 art.574),

ORDON:

1. În preambulul Ordinului Directorului CNPDCP nr.27/2022 privind aprobarea Listei tipurilor de operaţiuni de prelucrare a datelor cu caracter personal care fac obiectul cerinţei de efectuare a evaluării impactului asupra protecţiei datelor cu caracter personal, textul: "În temeiul art.20 alin.(1) lit.h) şi art.23 alin.(1), alin.(3) şi alin.(8) din Legea nr.133/2011 privind protecţia datelor cu caracter personal (Monitorul Oficial al Republicii Moldova, 2011, nr.170-175, art.492), cu modificările ulterioare", se substituie cu textul: "În conformitate cu prevederile art.35 alin.(1), alin.(4), alin.(6), art.59 alin.(1) lit.k) şi art.65 alin.(1) lit.d) din Legea nr.195/2024 privind protecţia datelor cu caracter personal (Monitorul Oficial al Republicii Moldova, 2024, nr.367-369 art.574)".

2. Lista tipurilor de operaţiuni de prelucrare a datelor cu caracter personal care fac obiectul cerinţei de efectuare a evaluării impactului asupra protecţiei datelor cu caracter personal, anexă la Ordinul nr.27/2022, se modifică după cum urmează:

1) La pct.2, textul: "în temeiul art.23 din Legea nr.133/2011 privind protecţia datelor cu caracter personal" se substituie cu textul "în temeiul art.35 din Legea nr.195/2024 privind protecţia datelor cu caracter personal";

2) Criteriul 4) din pct.2 se modifică şi va avea următorul conţinut:

"4. Prelucrarea categoriilor speciale de date cu caracter personal şi a datelor cu caracter personal referitoare la condamnări penale şi infracţiuni. Spre exemplu: prelucrarea datelor care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice, apartenenţa la sindicate, precum şi prelucrarea datelor genetice, a datelor biometrice pentru identificarea unică a unei persoane fizice, a datelor privind sănătatea sau a datelor privind viaţa sexuală ori orientarea sexuală, precum şi prelucrarea datelor referitoare la condamnări penale şi infracţiuni".

3) În tabel, la compartimentul "Exemple":

3.1. Pct.1 se completează cu lit.d) şi e), cu următorul cuprins:

"d) Utilizarea sistemelor de Inteligenţă Artificială (IA) pentru a selecta sau respinge candidaţi la angajare;

e) Utilizarea IA de către entităţi pentru a stabili bonitatea sau a detecta fraude, acolo unde decizia este automatizată."

3.2. Pct.2 se completează cu lit.g), h) şi i), cu următorul cuprins:

"g) Utilizarea pe scară largă a sistemelor de recunoaştere facială în spaţii publice sau pentru controlul accesului;

h) Crearea unor baze de date naţionale sau regionale de date genetice sau de imagistică medicală;

i) Prelucrarea datelor biometrice stocate local pe dispozitiv, dar pentru care producătorul are posibilitatea accesului la distanţă."

3.3. Pct.3 se completează cu lit.d), cu următorul cuprins:

"d) O universitate instalează camere de supraveghere video pe întreg campusul universitar, inclusiv în spaţiile verzi, aleile de acces şi parcările din incintă, care sunt accesibile publicului larg, nu doar studenţilor şi personalului."

3.4. Pct.4 se completează cu lit.d), cu următorul cuprins:

"d) Un furnizor de servicii financiare (bancă, instituţie de creditare) prelucrează datele personale ale persoanelor vârstnice sau ale persoanelor cu dizabilităţi intelectuale pentru a le evalua bonitatea şi a le oferi produse de credit, fără a asigura măsuri suplimentare de protecţie (ex: implicarea unui tutore sau consilier)."

3.5. Pct.7 se completează cu lit.d), cu următorul cuprins:

"d) O platformă de livrare la domiciliu implementează un sistem de evaluare a performanţei curierilor bazat pe inteligenţă artificială care monitorizează constant locaţia GPS, viteza de livrare, pauzele şi interacţiunile cu clienţii, utilizând aceste date pentru a lua decizii automate de sancţionare sau concediere, fără posibilitatea unei evaluări umane."

3. Prezentul ordin intră în vigoare la 23 august 2026 şi se publică în Monitorul Oficial al Republicii Moldova.