Certificat DPO: este obligatoriu? Ce spune legea, de fapt

Este una dintre cele mai răspândite confuzii din zona GDPR: „Ca să fii DPO, ai nevoie de un certificat obligatoriu." Pe site-uri de cursuri, în reclame, uneori chiar în caiete de sarcini, apare ca și cum ar fi o cerință a legii. Nu este.

Hai să separăm clar mitul de text. Răspunsul scurt: legea cere competență, nu un certificat. Iar diferența contează — și pentru companiile care numesc un DPO, și pentru oamenii care vor să devină unul.

Ce cere, de fapt, GDPR

Condițiile pentru desemnarea unui responsabil cu protecția datelor sunt în articolul 37 din RGPD. Alineatul (5) este cel relevant aici și spune limpede: DPO-ul este desemnat pe baza calităților profesionale și, în special, a cunoștințelor de specialitate în dreptul și practicile din domeniul protecției datelor, precum și a capacității de a îndeplini sarcinile prevăzute la articolul 39.

Observă ce nu scrie acolo: nu se cere o diplomă anume, un examen de stat, o acreditare sau un „certificat de DPO". Textul vorbește despre nivelul de cunoaștere și despre aptitudinea de a face treaba, raportate la complexitatea și sensibilitatea prelucrărilor organizației. Cu cât prelucrările sunt mai riscante, cu atât expertiza cerută este mai înaltă — dar nu sub forma unei hârtii.

Acest lucru este confirmat și de ghidul oficial pe tema DPO al Comitetului European pentru Protecția Datelor (EDPB), preluat de la fostul Grup de lucru „Articolul 29": certificarea profesională nu este o cerință legală pentru a fi DPO. Este o bună practică posibilă, nu o obligație.

ANSPDCP nu eliberează și nu cere un „certificat de DPO"

O a doua confuzie frecventă: ideea că autoritatea de supraveghere ți-ar da un fel de „atestat de DPO". Nu este cazul. ANSPDCP nu emite și nu condiționează desemnarea unui responsabil cu protecția datelor de obținerea vreunui certificat de la ea. Ceea ce se face este o notificare a datelor de contact ale DPO-ului către autoritate (art. 37 alin. 7) — un pas administrativ, nu un examen.

Cu alte cuvinte, nu există în România o autoritate publică ce „autorizează" persoane ca DPO. Răspunderea pentru a numi o persoană cu adevărat competentă rămâne la organizație (operatorul de date).

Atunci ce sunt cursurile și certificatele din România?

Aici trebuie să fim preciși, ca să nu cădem în extrema cealaltă. În România există o ocupație recunoscută — „Responsabil cu protecția datelor cu caracter personal" — cu un standard ocupațional și o poziție în Clasificarea Ocupațiilor din România (COR). Pe baza ei, furnizori de formare organizează cursuri care, la final, eliberează un certificat de competență profesională.

Ce dovedește un astfel de certificat? Că ai parcurs și ai promovat o pregătire structurată. Atât — și nu e puțin. Este util, este credibil în fața unui partener sau a unui angajator și poate accelera intrarea în rol. Dar trebuie spus la fel de clar: nu este o condiție statutară pentru a fi desemnat DPO. Nu îl impune GDPR și nu îl impune ANSPDCP. Cine îl prezintă drept „obligatoriu prin lege" exagerează.

Atenție la miturile de marketing

Formulări precum „certificare DPO obligatorie", „singurul certificat acceptat de lege" sau „fără acest atestat nu poți profesa" sunt semnale de alarmă. Niciuna nu are temei în GDPR. Adesea, ele transformă o pregătire utilă într-o falsă obligație, ca să justifice prețul.

Ce ar trebui să cauți, în schimb, la o persoană sau la o firmă care urmează să fie DPO:

• Expertiză reală și la zi — atât pe partea juridică (GDPR, legislație națională), cât și pe cea de securitate a informației. Domeniul se schimbă; cunoștințele de acum trei ani nu sunt suficiente.
• Experiență practică — registre de prelucrări întocmite, DPIA-uri realizate, cereri ale persoanelor vizate gestionate, incidente tratate. Nu doar teorie.
• Referințe — clienți sau proiecte verificabile, nu doar promisiuni.
• Învățare continuă — participare la formări, urmărirea deciziilor ANSPDCP și ale autorităților europene, lecturarea ghidurilor EDPB.

Ce contează cu adevărat pentru un DPO credibil

Dincolo de orice hârtie, un responsabil cu protecția datelor serios are nevoie de un set concret de competențe:

• Cunoașterea GDPR și a legislației naționale, în special a Legii nr. 190/2018, care detaliază aplicarea regulamentului în România.
• Înțelegerea organizației — ce date colectează, de ce, cum circulă, unde sunt stocate. Fără asta, sfaturile rămân generice.
• Alfabetizare în securitatea informației — DPO-ul nu trebuie să fie inginer de securitate, dar trebuie să înțeleagă riscurile tehnice și măsurile rezonabile.
• Independență și fără conflict de interese — condiții impuse de art. 38 din RGPD, care contează mai mult decât orice diplomă.

Dacă vrei să aprofundezi rolul în sine, am scris pe larg despre ce înseamnă DPO și despre cine poate fi responsabil GDPR. Pentru firmele mici și medii, varianta de DPO externalizat aduce competența la zi fără costul unui angajat.

Și totuși, formarea contează

Nimic din toate astea nu înseamnă că pregătirea e inutilă — dimpotrivă. Un curs bun este cel mai rapid mod de a construi sau de a împrospăta competența cerută de art. 37 alin. (5). Cheia e să îl tratezi corect: ca pe o investiție în ce știi să faci, nu ca pe „certificatul obligatoriu" fără de care n-ai voie să exiști.

În acest spirit oferim cursuri și training pentru responsabili cu protecția datelor și pentru echipele care lucrează zilnic cu date personale — pentru a construi competență reală și a o menține la zi.

În concluzie

Întrebarea „Certificatul de DPO este obligatoriu?" are un răspuns scurt: nu. Legea cere competență — cunoștințe de specialitate și capacitatea de a face treaba — nu o hârtie. Un certificat poate dovedi că ai învățat și are valoarea lui, dar nu te face DPO singur și nu este impus de GDPR sau de ANSPDCP. Alege oameni și parteneri după ce știu și ce au demonstrat, nu după o promisiune de „acreditare obligatorie".

Întrebări frecvente