Este necesară o evaluare de impact (DPIA)? Află în 4 minute

Ce verifică chestionarul

Trei straturi, în ordinea forței juridice. Întâi cele trei cazuri din art. 35 alin. (3) RGPD și cele șapte tipuri de prelucrări din lista ANSPDCP (Decizia nr. 174/2018), unde evaluarea este obligatorie. Apoi cele nouă criterii ale ghidului WP248 rev.01, unde două criterii fac, de regulă, evaluarea necesară. La final, excepțiile și situațiile speciale: prelucrarea impusă de o lege care a avut deja evaluare de impact (art. 35 alin. 10), rolul de persoană împuternicită, sistemele AI cu risc ridicat (art. 26 alin. 9 din AI Act), CNP-ul și monitorizarea angajaților din Legea nr. 190/2018.

Ce primiți

Un verdict în patru trepte (obligatorie, probabil necesară, de analizat și documentat, nu pare necesară), tabelul celor nouă criterii cu motivul pentru fiecare, cazurile din lista ANSPDCP care se aplică, observațiile și excepțiile, pașii următori și, când evaluarea e necesară, un schelet de DPIA pe structura șablonului EDPB (secțiunile 0–6), precompletat cu răspunsurile: operator, numele prelucrării, motivele evaluării, categoriile de date, natura și contextul. Documentul se printează, se copiază sau se descarcă în Word; dacă rezultatul e „nu pare necesară”, documentul este chiar analiza pe care principiul responsabilității o cere la control.

Pe ce se bazează

• RGPD: art. 35 (evaluarea impactului: alin. 1, 3, 7, 8, 9, 10 și 11), art. 36 (consultarea prealabilă a autorității), art. 28 alin. (3) lit. f (sprijinul persoanei împuternicite), art. 30 (registrul), art. 83 alin. (4) lit. a (sancțiuni).
• Decizia ANSPDCP nr. 174/2018 privind lista operațiunilor pentru care este obligatorie realizarea evaluării impactului (Monitorul Oficial nr. 919 din 31 octombrie 2018), cu excepția de la art. 1 alin. (2).
• Ghidul WP248 rev.01 privind evaluarea impactului și stabilirea dacă o prelucrare este „susceptibilă să genereze un risc ridicat”, aprobat de Comitetul European pentru Protecția Datelor; WP243 rev.01 pentru criteriile „scării largi”.
• Șablonul EDPB de DPIA, versiunea 1.0, adoptată pe 10 martie 2026 și publicată pe 14 aprilie 2026 împreună cu documentul explicativ; consultarea publică s-a încheiat pe 9 iunie 2026, iar versiunea finală urmează.
• AI Act, Regulamentul (UE) 2024/1689, art. 26 alin. (9): implementatorii sistemelor cu risc ridicat folosesc informațiile de la furnizor pentru DPIA; Legea nr. 190/2018, art. 4 și 5, pentru CNP și monitorizarea angajaților.

Legislația a fost verificată la 22 octombrie 2026. Când se schimbă (de exemplu la publicarea versiunii finale a șablonului EDPB), actualizăm chestionarul și data verificării.

Ce faceți cu rezultatul

Dacă evaluarea e obligatorie sau probabilă, începeți cu scheletul din document și cu avizul DPO-ului; dacă nu aveți DPO, chestionarul DPO vă spune dacă desemnarea e obligatorie. Pentru nota de informare a aceleiași prelucrări, folosiți verificatorul de notă de informare. Dacă nu știți ce alte cadre vi se aplică, porniți de la Harta obligațiilor.

Întrebări frecvente

Când este obligatorie evaluarea de impact?

Art. 35 alin. (3) RGPD dă trei cazuri: evaluarea sistematică și cuprinzătoare bazată pe prelucrare automată, inclusiv profilare, cu decizii care produc efecte juridice sau similar semnificative; prelucrarea pe scară largă a categoriilor speciale de date ori a datelor penale; monitorizarea sistematică pe scară largă a unei zone accesibile publicului. ANSPDCP a adăugat prin Decizia nr. 174/2018 alte patru tipuri: monitorizarea pe scară largă a persoanelor vulnerabile, inclusiv angajați și minori; tehnologiile noi folosite pe scară largă; dispozitivele cu senzori conectate; datele de trafic și de localizare prelucrate sistematic fără ca serviciul să le ceară. Lista nu este exhaustivă.

Ce înseamnă „pe scară largă”?

Ghidul WP243 rev.01 nu dă praguri numerice. Se cântăresc patru criterii: numărul de persoane vizate, volumul și varietatea datelor, durata sau permanența prelucrării și aria geografică. Un cabinet medical individual nu prelucrează pe scară largă; un spital, o rețea de clinici sau o bancă da. Chestionarul combină numărul de persoane cu durata, volumul și aria și spune când cazul este clar și când este la limită.

Ce este șablonul EDPB și trebuie folosit?

Comitetul European pentru Protecția Datelor a adoptat pe 10 martie 2026 primul șablon european de DPIA (versiunea 1.0), publicat pe 14 aprilie și pus în consultare publică până pe 9 iunie 2026. Are șapte secțiuni, de la 0 la 6: prezentarea prelucrării, descrierea sistematică, analiza prelucrării, necesitate și proporționalitate, evaluarea și gestionarea riscurilor, implicarea părților interesate, concluzie și decizie. Folosirea lui nu este obligatorie, dar după consultare autoritățile naționale îl vor adopta ca șablon unic sau ca „meta-șablon” cu care șabloanele naționale trebuie să fie compatibile; până atunci EDPB încurajează folosirea lui. Rezultatul chestionarului include un schelet pe această structură, precompletat cu răspunsurile.

Ce fac dacă rezultatul spune că DPIA e obligatorie și prelucrarea există deja?

O faceți acum. Lipsa evaluării este sancționată separat (art. 83 alin. 4 lit. a), iar art. 35 alin. (11) cere oricum revizuirea ei la orice schimbare a riscului. Dacă riscul rezidual rămâne ridicat după măsuri, consultați ANSPDCP înainte de a continua (art. 36); autoritatea răspunde în opt săptămâni, prelungibile cu șase.

Rezultatul este o opinie juridică?

Nu. Este o orientare generată automat din răspunsuri, pe legislația în vigoare în octombrie 2026, pe care o puteți printa, copia sau descărca în Word. Încadrarea exactă depinde de detalii pe care nouă întrebări nu le pot verifica; analiza vă spune ce criterii sunt prezente, de ce, și ce urmează.