GDPR: drepturile dumneavoastră asupra datelor personale

O firmă vă cunoaște numele, numărul de telefon, adresa de e-mail, poate și istoricul cumpărăturilor. Vă puteți întreba ce anume păstrează, de unde a obținut datele și dacă le poate șterge. Răspunsul este în Regulamentul general privind protecția datelor (GDPR), adică Regulamentul (UE) 2016/679, care se aplică în România ca în toate statele Uniunii Europene. Ghidul de mai jos explică în limbaj simplu ce drepturi aveți, cum le folosiți, ce termen are firma și ce faceți dacă nu primiți răspuns.

Textul se bazează pe versiunea în limba română a regulamentului de pe EUR-Lex și pe paginile oficiale ale ANSPDCP, citite la 6 noiembrie 2026. Este informare generală, nu consultanță juridică. Pentru un caz concret, vă puteți adresa unui avocat sau autorității.

Pe scurt: ce puteți cere și în cât timp

Regulamentul vă recunoaște mai multe drepturi față de orice firmă sau instituție care vă prelucrează datele:

1. Acces (art. 15): aflați dacă firma vă prelucrează datele și primiți o copie.
2. Rectificare (art. 16): corectați datele inexacte sau completați pe cele incomplete.
3. Ștergere (art. 17): cereți ștergerea datelor, când se aplică unul dintre motivele din regulament.
4. Restricționare (art. 18): cereți ca datele să fie doar stocate, nu folosite, în anumite situații.
5. Portabilitate (art. 20): primiți datele furnizate de dumneavoastră într-un format ușor de citit de un calculator și le puteți transmite altui operator.
6. Opoziție (art. 21): vă opuneți prelucrării, iar pentru marketing direct opoziția este tratată separat și clar.

Firma are la dispoziție cel mult o lună de la primirea cererii pentru a vă spune ce a făcut. Perioada se poate prelungi cu două luni când este necesar, având în vedere complexitatea și numărul cererilor, dar numai dacă firma vă anunță în prima lună și vă explică motivele (art. 12 alin. 3). Dacă nu primiți răspuns sau dacă este nesatisfăcător, puteți depune o plângere la ANSPDCP, cu dovezi.

Câteva cuvinte-cheie, ca să înțelegeți textele

GDPR folosește termeni pe care îi veți întâlni în orice răspuns primit de la o firmă. Definițiile sunt din art. 4 al regulamentului.

• Date cu caracter personal (sau date personale): orice informații despre o persoană fizică identificată sau identificabilă. O persoană poate fi identificată direct sau indirect, de exemplu prin nume, număr de identificare, date de localizare sau un identificator online.
• Persoană vizată: persoana fizică la care se referă datele. Adică dumneavoastră.
• Prelucrare: orice operațiune făcută asupra datelor: colectarea, înregistrarea, stocarea, consultarea, utilizarea, transmiterea, ștergerea.
• Operator: cel care stabilește scopurile și mijloacele prelucrării. Poate fi o firmă, o instituție publică sau o persoană. Cererile dumneavoastră se adresează operatorului.
• Persoană împuternicită de operator: cea care prelucrează datele în numele operatorului. De regulă vă adresați operatorului, nu împuternicitului.
• Restricționarea prelucrării: marcarea datelor stocate cu scopul de a limita prelucrarea lor viitoare.

Pentru o explicație pe larg a ce sunt datele personale și ce exemple intră aici, citiți ghidul despre datele personale.

Cum faceți o cerere: regulile comune tuturor drepturilor

Articolul 12 al GDPR stabilește regulile care se aplică oricărui drept din cele de mai sus. Merită cunoscute, pentru că ele decid ce puteți aștepta de la firmă.

Cui vă adresați. Operatorului, adică firmei sau instituției care vă prelucrează datele. Datele de contact apar de obicei în politica de confidențialitate sau în informarea privind protecția datelor. Dacă firma are un responsabil cu protecția datelor, îi puteți scrie acestuia.

În ce formă. Regulamentul nu impune un formular. Totuși, o cerere scrisă (e-mail sau scrisoare) vă lasă o dovadă a ceea ce ați cerut și a datei. Pagina ANSPDCP despre plângeri cere, la depunerea unei plângeri, dovezi precum cererile dumneavoastră și eventualele răspunsuri, deci păstrați tot.

Cât costă. Informațiile și măsurile luate de operator sunt gratuite (art. 12 alin. 5). Dacă cererile sunt vădit nefondate sau excesive, mai ales prin caracterul lor repetitiv, operatorul poate percepe o taxă rezonabilă, ținând cont de costurile administrative, sau poate refuza cererea. Operatorului îi revine sarcina de a demonstra caracterul vădit nefondat sau excesiv.

În ce termen. Fără întârzieri nejustificate și cel mult într-o lună de la primirea cererii. Prelungirea cu două luni este posibilă când este necesar, ținând seama de complexitatea și numărul cererilor, iar operatorul trebuie să vă anunțe în prima lună și să vă spună motivele întârzierii (art. 12 alin. 3).

În ce format primiți răspunsul. Dacă faceți cererea în format electronic, informațiile se furnizează tot în format electronic, acolo unde este posibil, cu excepția cazului în care cereți alt format.

Dovada identității. Operatorul trebuie să faciliteze exercitarea drepturilor (art. 12 alin. 2). Dacă are îndoieli întemeiate cu privire la identitatea dumneavoastră, poate cere informații suplimentare necesare confirmării (art. 12 alin. 6). Furnizați strictul necesar pentru identificare. Nu trimiteți documente mai complete decât cere situația.

Dacă firma refuză. Atunci când nu dă curs cererii, operatorul trebuie să vă informeze, fără întârziere și în cel mult o lună, despre motivele pentru care nu ia măsuri, despre posibilitatea de a depune o plângere la o autoritate de supraveghere și despre calea de atac în instanță (art. 12 alin. 4). Un refuz fără motive și fără aceste informații merită menționat într-o eventuală plângere.

Dreptul de acces: ce date are firma despre dumneavoastră

Articolul 15 alineatul (1) vă dă dreptul de a obține din partea operatorului o confirmare că vă prelucrează sau nu datele și, dacă da, acces la datele respective și la informațiile următoare:

• scopurile prelucrării;
• categoriile de date vizate;
• destinatarii sau categoriile de destinatari cărora le-au fost sau urmează să le fie divulgate datele;
• perioada de stocare preconizată sau, dacă nu este posibil, criteriile pentru stabilirea ei;
• existența dreptului de a cere rectificarea, ștergerea sau restricționarea prelucrării și a dreptului de opoziție;
• dreptul de a depune plângere la o autoritate de supraveghere;
• dacă datele nu au fost colectate de la dumneavoastră, orice informații disponibile privind sursa lor;
• existența unui proces decizional automatizat, inclusiv crearea de profiluri, și, în anumite cazuri, informații despre logica folosită.

Operatorul furnizează și o copie a datelor care fac obiectul prelucrării (art. 15 alin. 3). Pentru alte copii solicitate suplimentar, poate percepe o taxă rezonabilă, bazată pe costurile administrative. Dacă ați cerut în format electronic, copia vine într-un format electronic utilizat în mod curent. Dreptul de a obține copia nu aduce atingere drepturilor și libertăților altora (art. 15 alin. 4).

De ce este util? Pentru că accesul este primul pas: vedeți ce are firma, de unde le-a luat și cui le-a dat. Atunci puteți decide dacă merită să cereți rectificarea, ștergerea sau opoziția. Un model de cerere și pașii detaliați sunt în ghidul despre cererea de acces la datele personale.

Dreptul la rectificare: datele greșite sau incomplete

Potrivit art. 16, aveți dreptul de a obține de la operator, fără întârzieri nejustificate, rectificarea datelor inexacte care vă privesc. Ținând seama de scopurile prelucrării, aveți dreptul și la completarea datelor incomplete, inclusiv printr-o declarație suplimentară.

Exemple generice: o adresă veche care trimite corespondența altundeva, un nume scris greșit în evidențele unei firme, o dată de naștere incorectă. Cererea precizează ce dată este greșită și care este varianta corectă; dacă aveți un document care o dovedește, îl atașați.

Dreptul la ștergere: când se aplică și ce excepții există

Articolul 17 poartă titlul „Dreptul la ștergerea datelor (dreptul de a fi uitat)”. Alineatul (1) spune că aveți dreptul de a obține ștergerea datelor care vă privesc, fără întârzieri nejustificate, iar operatorul are obligația de a le șterge, dacă se aplică unul dintre motivele următoare:

• datele nu mai sunt necesare pentru scopurile pentru care au fost colectate sau prelucrate;
• v-ați retras consimțământul pe care se baza prelucrarea și nu există alt temei juridic;
• v-ați opus prelucrării în temeiul art. 21 alin. (1) și nu există motive legitime care să prevaleze, sau v-ați opus în temeiul art. 21 alin. (2) (marketing direct);
• datele au fost prelucrate ilegal;
• datele trebuie șterse pentru respectarea unei obligații legale a operatorului;
• datele au fost colectate în legătură cu oferirea de servicii ale societății informaționale către copii (art. 8 alin. 1).

Dacă operatorul a făcut publice datele și trebuie să le șteargă, ia măsuri rezonabile, ținând seama de tehnologia disponibilă și de costul implementării, pentru a informa ceilalți operatori care prelucrează datele că ați cerut ștergerea oricăror linkuri, copii sau reproduceri (art. 17 alin. 2). În plus, art. 19 cere operatorului să comunice rectificarea, ștergerea sau restricționarea fiecărui destinatar căruia i-au fost divulgate datele, în afara cazului în care acest lucru se dovedește imposibil sau presupune eforturi disproporționate. La cerere, vă spune care sunt acei destinatari.

Dreptul nu este absolut. Alineatul (3) enumeră situațiile în care ștergerea nu se aplică, în măsura în care prelucrarea este necesară:

• pentru exercitarea dreptului la liberă exprimare și la informare;
• pentru respectarea unei obligații legale care prevede prelucrarea sau pentru o sarcină de interes public ori exercitarea unei autorități oficiale;
• din motive de interes public în domeniul sănătății publice;
• în scopuri de arhivare în interes public, de cercetare științifică sau istorică ori statistice, în anumite condiții;
• pentru constatarea, exercitarea sau apărarea unui drept în instanță.

Cu alte cuvinte, o firmă care trebuie să păstreze o factură prin lege nu o va șterge doar pentru că ați cerut. Iar o cerere acceptată nu înseamnă că datele dispar de peste tot: pot exista copii la alți operatori, în arhive sau pe site-uri pe care firma nu le controlează. De aceea ghidurile noastre nu promit niciodată o ștergere completă. Pașii detaliați sunt în ghidul despre dreptul la ștergere.

Dreptul la restricționarea prelucrării

Restricționarea (art. 18) înseamnă că datele rămân stocate, dar nu mai sunt folosite în mod obișnuit. O puteți cere în patru situații:

• contestați exactitatea datelor, pentru perioada în care operatorul verifică;
• prelucrarea este ilegală, dar vă opuneți ștergerii și cereți în schimb restricționarea;
• operatorul nu mai are nevoie de date, dar dumneavoastră le cereți pentru constatarea, exercitarea sau apărarea unui drept în instanță;
• v-ați opus prelucrării în temeiul art. 21 alin. (1), pentru intervalul în care se verifică dacă drepturile legitime ale operatorului prevalează.

După restricționare, datele pot fi prelucrate, în afară de stocare, doar cu consimțământul dumneavoastră sau pentru apărarea unui drept în instanță, ori în alte cazuri prevăzute de art. 18 alin. (2). Este un drept mai rar folosit, util când aveți nevoie de o pauză în timp ce se clarifică o dispută.

Dreptul la portabilitatea datelor

Conform art. 20, aveți dreptul de a primi datele care vă privesc și pe care le-ați furnizat operatorului într-un format structurat, utilizat în mod curent și care poate fi citit automat. Aveți și dreptul de a le transmite altui operator, fără obstacole, dacă sunt îndeplinite ambele condiții:

• prelucrarea se bazează pe consimțământ sau pe un contract;
• prelucrarea se face prin mijloace automate.

Acolo unde este fezabil tehnic, datele pot fi transmise direct de la un operator la altul (art. 20 alin. 2). Dreptul nu se aplică prelucrării necesare pentru o sarcină de interes public (art. 20 alin. 3) și nu aduce atingere drepturilor și libertăților altora. Exemplu generic: treceți de la un serviciu online la altul și vreți să luați cu dumneavoastră lista de contacte sau istoricul de comenzi.

Dreptul la opoziție, în special pentru marketing direct

Articolul 21 are două părți utile în viața de zi cu zi.

Opoziția din motive legate de situația dumneavoastră particulară (alin. 1). Vă puteți opune în orice moment prelucrării bazate pe interes public sau pe interesul legitim al operatorului. Operatorul nu mai prelucrează datele, în afară de cazul în care demonstrează motive legitime și imperioase care prevalează asupra intereselor, drepturilor și libertăților dumneavoastră sau că scopul este apărarea unui drept în instanță.

Opoziția la marketing direct (alin. 2 și 3). Când prelucrarea are ca scop marketingul direct, vă puteți opune în orice moment, iar după opoziție datele nu mai sunt prelucrate în acest scop. Nu trebuie să motivați opoziția. Cel târziu la prima comunicare, firma trebuie să vă aducă la cunoștință în mod explicit acest drept, clar și separat de alte informații (alin. 4).

Dacă vă sună sau vă scrie aceeași firmă fără încetare, citiți ghidul despre telemarketing și apelurile comerciale, cu pașii opoziției și un model de text.

Decizii luate doar de un algoritm

Articolul 22 vă dă dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrare automată, inclusiv crearea de profiluri, care produce efecte juridice asupra dumneavoastră sau vă afectează în mod similar într-o măsură semnificativă. Alineatul (2) prevede excepții (de exemplu când decizia este necesară pentru încheierea sau executarea unui contract), iar dreptul de acces din art. 15 include, în aceste cazuri, informații despre logica folosită. Dacă o decizie importantă despre dumneavoastră pare luată de un sistem fără intervenție umană, puteți cere aceste informații prin cererea de acces.

Model de cerere (cu date fictive)

Adaptați textul de mai jos. Înlocuiți ce este între paranteze drepte cu datele dumneavoastră. Nu scrieți niciodată în cerere date inutile, cum ar fi numărul de card.

Bună ziua,

Subsemnatul/Subsemnata [nume și prenume], cu adresa de e-mail [adresa], vă solicit, în temeiul Regulamentului (UE) 2016/679, următoarele:

1. confirmarea faptului că prelucrați date cu caracter personal care mă privesc și o copie a acestora, împreună cu informațiile prevăzute la art. 15 alin. (1), inclusiv sursa datelor, dacă nu au fost colectate de la mine;
2. [dacă este cazul] ștergerea datelor mele, în temeiul art. 17 alin. (1) lit. [litera], pentru următorul motiv: [motivul];
3. [dacă este cazul] încetarea prelucrării datelor mele în scop de marketing direct, în temeiul art. 21 alin. (2).

Vă rog să îmi răspundeți în termenul prevăzut la art. 12 alin. (3) din regulament, la adresa de e-mail de mai sus.

Cu stimă, [nume]

Trimiteți cererea pe un canal care vă lasă o dovadă (e-mail cu confirmare de livrare sau scrisoare cu confirmare de primire) și notați data. Termenul de o lună curge de la primirea cererii.

Ce faceți dacă firma nu răspunde sau refuză

Pagina oficială a ANSPDCP despre plângeri GDPR descrie pașii în această ordine:

1. Vă adresați operatorului pentru exercitarea drepturilor.
2. Așteptați răspunsul: operatorul trebuie să răspundă în cel mult o lună de la primirea cererii; în cazuri excepționale termenul poate fi prelungit cu două luni.
3. Depuneți plângere la autoritate dacă nu primiți răspuns în termen sau dacă răspunsul nu vă satisface, însoțind-o de dovezi.

Plângerea trebuie să conțină datele dumneavoastră de identificare (nume, prenume, adresă poștală și, pentru depunerea electronică, adresă de e-mail), datele operatorului sau informațiile de care dispuneți pentru a-l identifica, o descriere detaliată a problemei și a demersurilor făcute, plus dovezile (cererile trimise, răspunsurile primite). Plângerile fără identificare sunt tratate ca anonime. Autoritatea comunică admisibilitatea plângerii în cel mult 45 de zile de la înregistrare, iar condițiile procedurale sunt în Decizia nr. 133/2018, la care trimite pagina oficială.

Detaliile, inclusiv canalele de depunere, ce se întâmplă după depunere și limitele plângerii, sunt în ghidul Plângere la ANSPDCP: cum o depuneți, pas cu pas.

Plângerea nu este singura cale. Art. 77 GDPR vă recunoaște dreptul de a depune plângere la o autoritate de supraveghere fără a aduce atingere altor căi de atac administrative sau judiciare, iar art. 79 vă recunoaște dreptul la o cale de atac judiciară efectivă împotriva operatorului, dacă socotiți că drepturile dumneavoastră au fost încălcate. Procedura publicată de ANSPDCP menționează și posibilitatea de a vă adresa direct instanței. Pentru acest drum, cereți sfatul unui avocat.

Greșeli frecvente de evitat

• Cerere vagă. „Vreau să-mi ștergeți tot” poate genera un răspuns vag. Precizați dreptul invocat (de exemplu art. 17) și motivul.
• Cerere la firma greșită. Dacă datele sunt la un operator, iar firma de la care ați primit mesajul este doar o împuternicită, cereți firmei să vă spună cine este operatorul.
• Lipsa dovezilor. Fără copia cererii și dovada trimiterii, plângerea ulterioară este mai greu de susținut.
• Cereri repetate. Aceeași cerere trimisă iar și iar poate fi considerată excesivă (art. 12 alin. 5). Este mai simplu să trimiteți o singură cerere clară și să așteptați termenul.
• Așteptarea unei ștergeri totale. Chiar când firma șterge datele, copiile de la alți operatori, din arhive sau de pe alte site-uri pot rămâne. Verificați periodic ce mai este vizibil.
• Date trimise în plus. Trimiteți doar ce cere firma pentru identificare, nu mai mult.

Vedeți unde sunt public datele dumneavoastră

Un drept se exercită mai ușor când știți către cine să vă îndreptați. Remove Me face o analiză gratuită, fără înscriere: caută informații disponibile public pe web, scurgeri de date cunoscute și potriviri într-un registru de brokeri de date. Raportul se deschide cu un cod din 6 cifre trimis la adresa dumneavoastră de e-mail. Remove Me nu trimite încă cereri de acces, de ștergere sau de opoziție în numele dumneavoastră și nu promite că datele vor fi șterse. Un raport fără rezultate nu înseamnă că datele nu există în altă parte. Începeți analiza gratuită.

Pentru ștergerea datelor din anuare, din rezultatele Google și din registre, urmăriți ghidul despre ștergerea datelor.

Întrebări frecvente

Pot folosi GDPR împotriva unei instituții publice? Regulamentul se aplică operatorilor în general, adică „persoana fizică sau juridică, autoritatea publică, agenția sau alt organism” care stabilește scopurile și mijloacele prelucrării (art. 4 pct. 7). Excepțiile și temeiurile pot diferi, deci citiți răspunsul instituției cu atenție.

Pot cere accesul la datele altcuiva? Drepturile din GDPR privesc persoana vizată, adică datele care vă privesc. Procedura ANSPDCP prevede reguli distincte pentru reprezentanți; întrebați autoritatea dacă acționați în numele altei persoane.

Ce se întâmplă cu plângerea după depunere? Autoritatea o înregistrează, verifică admisibilitatea și, dacă este cazul, o investighează, apoi vă informează. Detaliile sunt în ghidul despre plângerea la ANSPDCP.

Surse

• Regulamentul (UE) 2016/679 (GDPR), EUR-Lex, versiunea în limba română
• ANSPDCP: plângeri GDPR
• ANSPDCP: procedura de soluționare a plângerilor
• ANSPDCP: contact