GDPR Megfelelőség Romániában 2026: Gyakorlati Útmutató

Frissítve: 2026. Ez a cikk a 2026-ban hatályos jogi keretet tükrözi.

GDPR-megfelelőség romániai vállalkozások számára 2026: részletes útmutató

Az általános adatvédelmi rendelet (GDPR), teljes nevén az Európai Parlament és a Tanács (EU) 2016/679 rendelete, 2018. május 25. óta alkalmazandó az Európai Unió tagállamaiban. Romániában a GDPR rendelkezéseit a Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) egészíti ki és részletezi, különös tekintettel a Romániai Nemzeti Adatvédelmi Felügyeleti Hatóság (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal – ANSPDCP) hatásköreire és a nemzeti eltérésekre. Ez a jogszabályi keret minden, személyes adatokat feldolgozó romániai cégre vonatkozik, függetlenül azok méretétől, jogi formájától (pl. SRL – Societate cu Răspundere Limitată, PFA – Persoană Fizică Autorizată) vagy eredetétől. A 2026-os évben a vállalkozásoknak továbbra is biztosítaniuk kell az adatvédelmi előírásoknak való teljes körű megfelelést, folyamatosan felülvizsgálva és aktualizálva gyakorlatukat. Különös figyelmet kell fordítani a hazai jogszabályok, így a Legea nr. 190/2018 esetleges módosításaira, amelyek a GDPR alkalmazásának nemzeti sajátosságait befolyásolhatják.

Kire vonatkozik a megfelelési kötelezettség?

A GDPR széles körű hatálya miatt gyakorlatilag minden jogi entitás érintett, amely személyes adatokat kezel. A GDPR vonatkozik az Ön vállalkozására, ha Romániában:

• Ügyféladatokat gyűjt (beleértve a neveket, e-mail-címeket, telefonszámokat, címeket, banki adatokat, online azonosítókat, IP-címeket).
• Munkavállalói adatokat dolgoz fel (pl. személyazonosító számokat – CNP, fizetési adatokat, bankszámlaszámokat, címeket, születési dátumokat, egészségügyi adatokat, az érintett munkakörök esetében bűnügyi nyilvántartási kivonatokat). Romániában a munkavállalók adatait a ReGES (Registrul General de Evidență a Salariaților) rendszerben is rögzíteni kell, amely tartalmazza a munkavállalók alapvető személyes adatait.
• Romániai felhasználókat célzó, román nyelven elérhető weboldalt üzemeltet, még akkor is, ha a szerverek nem Romániában vannak (pl. sütik, kapcsolatfelvételi űrlapok, felhasználói fiókok).
• Videófelügyeleti rendszereket használ (pl. irodákban, üzletekben, raktárakban, otthoni távfelügyelethez).
• Marketingcélú üzeneteket vagy hírleveleket küld (feltételezve a hozzájárulás beszerzését vagy a jogos érdek alátámasztását).
• Adatfeldolgozóként tevékenykedik más cégek számára (pl. bérszámfejtési szolgáltatóként, tárhelyszolgáltatóként).

Fontos megjegyezni, hogy a „személyes adat” fogalma rendkívül széles, és magában foglal minden olyan információt, amely közvetlenül vagy közvetve azonosítható természetes személyre vonatkozik. Ide tartoznak az online azonosítók (pl. IP-címek, cookie-azonosítók) és a helymeghatározó adatok is.

Főbb kötelezettségek vállalkozások számára

A GDPR alapelvei szerint az adatkezelésnek jogszerűnek, tisztességesnek és átláthatónak kell lennie (GDPR, 5. cikk (1) bekezdés). Ennek biztosításához számos kötelezettséget kell teljesíteni.

1. Adatkezelési tevékenységek nyilvántartása (ROPA – Records of Processing Activities)

A ROPA az adatkezelő vagy adatfeldolgozó felelősségét alátámasztó legfontosabb dokumentum. Ennek hiánya vagy hiányos volta jelentős bírságokat vonhat maga után. Vezetése a GDPR 30. cikk (1) bekezdése szerint kötelező a 250+ munkavállalóval rendelkező szervezetek, VAGY az érzékeny adatokat (a GDPR 9. cikke szerinti különleges kategóriájú személyes adatokat) feldolgozó szervezetek, VAGY azon szervezetek számára, amelyek rendszeres vagy szisztematikus megfigyelést végeznek, VAGY amelyeknél a feldolgozás valószínűsíthetően kockázattal jár az érintettek jogaira és szabadságaira nézve. A KKV-k (kevesebb mint 250 alkalmazottal) is kötelesek ROPA-t vezetni, ha a feldolgozás nem alkalmi, vagy különleges adatokat vagy bűnügyi adatokat érint.

A ROPA összeállítása lépésről lépésre:

2. Az adatkezelés jogalapja

Minden adatkezelési tevékenységnek érvényes jogalappal kell rendelkeznie a GDPR 6. cikk (1) bekezdése szerint. A hiányos vagy indokolatlan jogalap súlyos jogsértést jelent.

• Hozzájárulás (consimțământ): Az érintett önkéntes, konkrét, tájékozott és egyértelmű akaratnyilvánítása, amellyel beleegyezését adja személyes adatainak kezeléséhez [GDPR, 6. cikk (1) bek. a)]. Fontos, hogy a hozzájárulás visszavonható legyen, és a visszavonás ugyanolyan egyszerű legyen, mint a megadása. Passzív beleegyezés vagy előzetesen bepipált négyzet nem elegendő.
• Szerződés (contract): Az adatkezelés szükséges az érintettel kötött szerződés teljesítéséhez vagy az érintett kérésére a szerződéskötést megelőző lépések megtételéhez [GDPR, 6. cikk (1) bek. b)]. Pl. online vásárlás teljesítése, munkaszerződés teljesítése.
• Jogi kötelezettség (obligație legală): Az adatkezelés szükséges az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez. Ezt román vagy uniós jog írhatja elő [GDPR, 6. cikk (1) bek. c)]. Pl. adóbevallás, könyvelési adatok megőrzése a Legea contabilității nr. 82/1991 szerint, munkavállalói adatok jelentése a hatóságoknak.
• Létfontosságú érdekek (interese vitale): Az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelméhez szükséges [GDPR, 6. cikk (1) bek. d)]. Ritkán alkalmazandó, jellemzően sürgősségi orvosi helyzetekben.
• Közérdek vagy közhatalmi jogosítvány (interes public sau exercitarea unei autorități publice): Az adatkezelés közérdekű feladat végrehajtásához vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásához szükséges [GDPR, 6. cikk (1) bek. e)]. Jellemzően közintézményekre vonatkozik.
• Jogos érdek (interes legitim): Az adatkezelés az adatkezelő (vagy egy harmadik fél) jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett érdekei vagy alapvető jogai és szabadságai [GDPR, 6. cikk (1) bek. f)]. Szükséges egy „érdekmérlegelési teszt” (Legitimate Interest Assessment – LIA) elvégzése, amelyben dokumentálják a jogos érdeket, annak szükségességét és az érintett jogaira gyakorolt hatását. Pl. hálózati és informatikai biztonság, közvetlen marketing (bizonyos feltételekkel).

3. Adatvédelmi tisztviselő (DPO – Data Protection Officer)

A DPO kinevezése nem mindig kötelező, de ahol szükséges, ott a GDPR 37. cikk (1) bekezdése rögzíti a kötelezettséget. A DPO független tanácsadóként és kapcsolattartóként működik az ANSPDCP, az érintettek és az adatkezelő között.

Kötelező a következő esetekben:

• Közhatalmi szervek és testületek: Minden állami szerv és közintézmény esetében, kivéve a bíróságokat igazságszolgáltatási feladataik ellátása során. Romániában ide tartoznak az önkormányzatok, minisztériumok, hatósági szervek stb.
• Nagy volumenű szisztematikus megfigyelést végző szervezetek: Ha az adatkezelő fő tevékenységei lényeges mértékben olyan műveleteket foglalnak magukban, amelyek az érintettek rendszeres és szisztematikus, nagymértékű megfigyelését igénylik. Pl. telekommunikációs szolgáltatók, internetszolgáltatók, biztosítótársaságok, bankok, webes nyomkövetési szolgáltatók, orvosi rendelők.
• Érzékeny adatokat nagymértékben feldolgozó szervezetek: Ha az adatkezelő fő tevékenységei lényeges mértékben a GDPR 9. cikkében említett különleges kategóriájú adatok (pl. egészségügyi adatok, faji vagy etnikai származásra vonatkozó adatok, vallási meggyőződés) nagy volumenű kezelését vagy a bűnüldözésre vonatkozó személyes adatok (10. cikk) nagy volumenű kezelését foglalják magukban. Pl. kórházak, klinikák, gyógyszertárak, biztosítók, munkaközvetítő ügynökségek (bizonyos esetekben).

Ha a DPO kinevezése nem kötelező, akkor is ajánlott belső adatvédelmi kapcsolattartót kijelölni, aki figyelemmel kíséri a jogszabályi megfelelést.

4. Adatvédelmi hatásvizsgálat (DPIA – Data Protection Impact Assessment)

A DPIA egy olyan folyamat, amely az adatkezelési műveletekből eredő, az érintettek jogait és szabadságait érintő magas kockázatokat azonosítja és minimalizálja. A GDPR 35. cikk (1) bekezdése szerint kötelező, ha egy adatkezelési típus valószínűsíthetően magas kockázattal jár.

Szükséges a DPIA elvégzése, ha:

• Jogi hatásokkal járó automatizált profilalkotás történik. Pl. hitelbírálati rendszerek, online viselkedésen alapuló célzott reklámok, amelyek lényegesen befolyásolják az egyén döntéshozatali képességét.
• Érzékeny adatok nagy volumenű feldolgozása történik. Pl. egészségügyi nyilvántartások széles körű kezelése egy kórházban.
• Nyilvános területek szisztematikus megfigyelése történik (pl. városi kamerarendszerek, CCTV-rendszerek bevásárlóközpontokban, ha azok kiterjedt és szisztematikus megfigyelést jelentenek).
• Olyan új technológiák és innovatív megoldások bevezetésére kerül sor, amelyek nagymértékben befolyásolhatják az adatvédelmet (pl. arcfelismerő technológia, mesterséges intelligencián alapuló döntéshozatal).
• Az ANSPDCP által kiadott iránymutatások szerint szükséges (a Legea nr. 190/2018 felhatalmazza az ANSPDCP-t további iránymutatások kiadására).

A DPIA lépései:

Megvalósítási ütemterv és költségek

Az adatvédelmi megfelelés folyamatos projekt, melynek sikere a strukturált megközelítésen múlik. Az alábbi ütemterv és költségbecslés segíthet a tervezésben. Fontos megjegyezni, hogy az időtartamok és költségek nagyban függnek a vállalkozás méretétől, az adatkezelési folyamatok bonyolultságától és az aktuális megfelelési szinttől. Az alábbi becslések egy átlagos KKV-ra vonatkozhatnak.

Fázisok és becsült időtartam / költség:

Összes becsült kezdeti költség (külső tanácsadóval): 8.000 - 30.000 EUR Éves fenntartási költség: 1.000 - 17.000 EUR

SRL-alapítás 2026-ban: A Legea nr. 239/2025 értelmében a Societate cu Răspundere Limitată (SRL) minimális jegyzett tőkéje 500 RON, ami a korábbi 200 RON-hoz képest emelést jelent. Ennek ellenére a cégalapítás viszonylag egyszerű Romániában, ám a GDPR-nak való megfelelésre már az indulástól fogva figyelni kell. Az általános áfakulcs 2026-ban 21%, az OUG nr. 115/2023 módosításai alapján.

Bírságok és jogérvényesítés Romániában

Az ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal) felelős a GDPR és a Legea nr. 190/2018 végrehajtásáért és a jogsértések szankcionálásáért Romániában. A bírságok mértéke jelentős lehet, céljuk pedig a visszatartás. A bírságok kiszabásakor az ANSPDCP figyelembe veszi a jogsértés súlyosságát, időtartamát, az érintettek számát, az okozott kárt, az adatkezelő együttműködését és korábbi jogsértéseit (GDPR 83. cikk).

Jelentős romániai bírságok (ANSPDCP – példák):

• Bankszektor: Például adatszivárgás vagy nem megfelelő hozzáférés-kezelés miatt 100 000 – 150 000 eurós bírságokat szabtak ki. Az ANSPDCP kiemelten ellenőrzi a pénzintézetek jogszabályi megfelelőségének szintjét.
• Telekommunikációs vállalatok: Marketingcélú, hozzájárulás nélküli adatszivárgások vagy nem megfelelő adatkezelés miatt 50 000 – 100 000 eurós bírságok.
• KKV-k: Jellemzően az adatmegőrzési elvek megsértése, hiányos tájékoztatók vagy nem megfelelő biztonsági intézkedések miatt 2 000 – 15 000 euró. Például egy olyan online bolt esetében, amely nem rendelkezett megfelelő adatvédelmi szabályzattal és hozzájáruláskezeléssel.

A bírságokon túl az ANSPDCP más végrehajtási intézkedéseket is hozhat, például felfüggesztheti az adatkezelést, elrendelheti az adatok törlését vagy korlátozhatja az adatkezelési folyamatokat.

---

A weboldal megfelelőségét ellenőrző lista

Egy modern vállalkozás számára a weboldal gyakran az első (és legfontosabb) kapcsolódási pont az ügyfelekkel, ezért kiemelten fontos annak GDPR-megfelelősége.

• Sütikhez való hozzájárulást kérő sáv részletes választási lehetőségekkel: A sávnak lehetővé kell tennie a felhasználó számára, hogy kategóriánként (pl. szükséges, analitikai, marketing) elfogadja vagy elutasítsa a sütiket; nem elegendő egy egyszerű „Elfogadom” gomb. A sávnak meg kell jelennie az első látogatáskor, és a további navigáció előtt kell választási lehetőséget biztosítania. (GDPR 7. cikk, E-privacy Direktíva)
• Hozzáférhető adatvédelmi irányelv (Privacy Policy): Könnyen megtalálható, érthető nyelven megírt dokumentum, amely részletezi az adatgyűjtés céljait, jogalapjait, az érintettek jogait, az adatmegőrzési időt és az ANSPDCP elérhetőségét. (GDPR 13. és 14. cikk).
• Hozzájárulási jelölőnégyzetek minden űrlapon: Az űrlapokon (pl. kapcsolatfelvételi, hírlevél-feliratkozási, regisztrációs) egyértelmű hozzájárulási jelölőnégyzet szükséges, amely alapértelmezés szerint nincs bejelölve. Az előre bejelölt négyzetek tiltottak. A konkrét adatkezelésre (pl. „marketingcélú hírlevélküldés”) vonatkozó hozzájárulást külön kell bekérni. (GDPR 7. cikk).
• SSL/TLS-tanúsítvány az adatok átviteléhez: A HTTPS protokoll használata kötelezővé vált minden olyan weboldal esetében, amely személyes adatokat gyűjt. Ez biztosítja a titkosított kapcsolatot a felhasználó böngészője és a szerver között. (GDPR 32. cikk).
• Részletes sütiszabályzat (Cookie Policy): Az adatvédelmi irányelv mellett külön sütiszabályzatban kell részletezni az összes használt sütit, azok célját, időtartamát és azokat a harmadik feleket, amelyek sütiket helyeznek el (pl. Google Analytics, Facebook Pixel).
• Érintetti jogok érvényesítését szolgáló mechanizmus: Egyértelműen kommunikálni kell, hogyan tudják az érintettek gyakorolni jogaikat (hozzáférés, helyesbítés, törlés, korlátozás, adathordozhatóság, tiltakozás, hozzájárulás visszavonása). Pl. egy erre a célra létrehozott e-mail-címen vagy online űrlapon keresztül. (GDPR 15-22. cikk)
• Harmadik fél általi követés nyilvánosságra hozatala: Ha analitikai (pl. Google Analytics), marketing- (pl. Google Ads, Facebook Custom Audiences) vagy egyéb, harmadik féltől származó szolgáltatásokat használ, használatuk tényét és az adatkezelést az adatvédelmi irányelvben és a sütiszabályzatban is fel kell tüntetni.
• Adatfeldolgozási megállapodások (DPA) harmadik felekkel: Ha olyan webanalitikai szolgáltatót, tárhelyszolgáltatót vagy CRM-rendszert vesz igénybe, amelynek szolgáltatója az Ön nevében kezel személyes adatokat, az érintett szolgáltatóval írásos DPA-ra van szüksége.

Nemzetközi adatátvitel

Az adatok EU/EGT-n kívülre történő továbbítása szigorú szabályok alá esik a GDPR 44-50. cikkei alapján. Románia mint EU-tagállam teljes mértékben alkalmazza ezeket a rendelkezéseket. Ha olyan felhőalapú szolgáltatásokat használ (pl. Google Cloud, Microsoft Azure, AWS, Dropbox, Mailchimp), amelyek szerverei az EU/EGT-n kívül találhatók, különleges intézkedésekre van szükség.

• Általános szerződési feltételek (SCC-k): Ellenőrizze, hogy a szolgáltatóval kötött szerződés tartalmazza-e az Európai Bizottság által jóváhagyott, frissített SCC-ket (Standard Contractual Clauses). A 2021/914/EU Bizottsági Végrehajtási Határozat az új SCC-ket vezette be. Ezek biztosítják a megfelelő garanciákat az adattovábbítás során.
• Adattovábbítási hatásvizsgálat (TIA – Transfer Impact Assessment): Az SCC-k használata önmagában nem elegendő. Minden harmadik országba irányuló adattovábbítás előtt fel kell mérni az adott ország jogrendszerét és gyakorlatát, hogy biztosítható legyen az adatok megfelelő védelme. Ezt a Schrems II ítélet következtében vezették be. A TIA során fel kell mérni, hogy az importáló ország jogszabályai (pl. a biztonsági szolgálatok hozzáférési jogai) nem veszélyeztetik-e az SCC-k hatékonyságát. Ha igen, kiegészítő intézkedésekre van szükség.
• Kiegészítő intézkedések (Supplementary Measures): Ha a TIA azt mutatja, hogy az SCC-k önmagukban nem nyújtanak elegendő védelmet, további biztonsági intézkedéseket kell alkalmazni. Ezek lehetnek technikai intézkedések (pl. erős végpontok közötti titkosítás, pszeudonimizálás) vagy szervezeti intézkedések (pl. belső szabályzatok, amelyek tiltják, hogy jogi kötelezettség nélkül adatokat adjanak ki külső hatóságoknak).
• EU–USA adatvédelmi keretrendszer (Data Privacy Framework): Kövesse nyomon az EU–USA adatvédelmi keretrendszer (Data Privacy Framework – DPF) fejleményeit. Ez egy döntés, amelyet az Európai Bizottság 2023. július 10-én fogadott el (C/2023/4747), és amely lehetővé teszi a személyes adatok biztonságos továbbítását az EU-ból az Egyesült Államokba azon amerikai vállalatok részére, amelyek csatlakoztak ehhez a keretrendszerhez és tanúsítványt szereztek. Fontos ellenőrizni, hogy a szolgáltató regisztrált-e a DPF keretében. A DPF-hez csatlakozott vállalatok esetében az adattovábbítás az SCC-k helyett a DPF alapján történhet, mivel a Bizottság megfelelőségi határozatot adott ki.

Gyakorlati tanácsok és ellenőrzőlista a folyamatos megfeleléshez

A GDPR-nak való megfelelés nem egyszeri feladat, hanem folyamatosan fejlődő folyamat, amelyet rendszeres felülvizsgálatok és frissítések kísérnek.

Adatfeltérképezés és ROPA:

• Évente legalább egyszer tekintse át és frissítse a ROPA-t.
• Minden új adatkezelési folyamat vagy rendszer bevezetése előtt egészítse ki a ROPA-t.

Adatvédelmi szabályzatok és tájékoztatók:

• Évente legalább egyszer, valamint minden jogszabályi változás vagy új adatkezelési tevékenység esetén frissítse az adatvédelmi irányelvet és a sütiszabályzatot.
• Ellenőrizze, hogy az érintetteknek szóló tájékoztatók (pl. munkavállalói és ügyféltájékoztatók) naprakészek és könnyen hozzáférhetők-e.

Adatbiztonság:

• Végezzen rendszeres biztonsági auditokat és sérülékenységvizsgálatokat (legalább évente egyszer vagy nagyobb rendszerváltások után).
• Biztosítsa a biztonsági mentések rendszerességét, és tesztelje azok visszaállítását (GDPR 32. cikk (1) bek. c)).
• Ellenőrizze a hozzáférési jogosultságokat: csak azok férjenek hozzá személyes adatokhoz, akiknek munkájukhoz feltétlenül szükségük van rá (GDPR 32. cikk (1) bek. b)).
• Készítsen adatvédelmi incidenskezelési tervet, és biztosítsa annak végrehajthatóságát. Ismertesse a tervet az érintett munkatársakkal.

Személyzeti képzés:

• Tartson adatvédelmi képzést az új alkalmazottaknak a belépéskor.
• Rendszeresen (pl. évente) ismételje meg az adatvédelmi képzést minden alkalmazott számára, aki személyes adatokkal dolgozik.
• Dokumentálja a képzéseket (ki vett részt, miről szólt a képzés).

Adatfeldolgozók:

• Rendszeresen ellenőrizze az adatfeldolgozókkal kötött DPA-kat, különösen, ha a szolgáltató változtat adatkezelési gyakorlatán vagy harmadik országba továbbítja az adatokat.
• Világítsa át az adatfeldolgozókat, hogy megbizonyosodjon biztonsági intézkedéseik megfelelőségéről.

Érintetti jogok gyakorlása:

---

Kapcsolódó források és cikkek

• GDPR-megfelelési szolgáltatások

• Győződjön meg arról, hogy létezik egyértelmű és hatékony belső eljárás az érintetti jogok gyakorlására irányuló kérelmek (hozzáférés, törlés stb.) 30 napon belüli teljesítésére (GDPR 12. cikk (3) bekezdés).

• Dokumentálja az összes érintetti kérést és a válaszlépéseket.

DPO (ha van):

• Rendszeresen konzultáljon a DPO-val, és biztosítsa a függetlenségét és a feladatai ellátásához szükséges forrásokat.
• Vegye figyelembe a DPO ajánlásait.

Gyakran ismételt kérdések (GYIK)

1. Mikor kell adatvédelmi tisztviselőt (DPO) kineveznem Romániában? A DPO kinevezése Romániában a GDPR 37. cikk (1) bekezdése szerint kötelező, ha (a) az adatkezelő közhatalmi szerv vagy testület (kivéve a bíróságokat), (b) az adatkezelő fő tevékenységei az érintettek rendszeres és szisztematikus, nagymértékű megfigyelését foglalják magukban, vagy (c) az adatkezelő fő tevékenységei lényeges mértékben a különleges kategóriájú adatok (GDPR 9. cikk) vagy bűnügyi adatok (GDPR 10. cikk) nagymértékű feldolgozását foglalják magukban. Kisebb vállalatoknak, amelyek nem tartoznak e kategóriákba, nem kötelező, de belső adatvédelmi kapcsolattartó kijelölése ajánlott.

2. Mekkora bírságokra számíthatok, ha nem tartom be a GDPR-t Romániában? A bírságok két kategóriába sorolhatók: a kevésbé súlyos jogsértésekért kiszabható bírságok akár 10 millió euróig vagy az éves világbevétel 2%-áig (amelyik magasabb), a súlyosabb jogsértésekért kiszabhatók pedig akár 20 millió euróig vagy az éves világbevétel 4%-áig terjedhetnek (amelyik magasabb). Az ANSPDCP Romániában számos bírságot szabott ki, melyek mértéke a jogsértés súlyosságától és a vállalkozás méretétől függően néhány ezer eurótól akár több százezer euróig terjedhet. Az ANSPDCP a Legea nr. 190/2018 értelmében rendelkezik a végrehajtási hatáskörrel.

3. Szükséges-e hozzájárulást kérnem minden adatkezeléshez? Nem feltétlenül. A hozzájárulás csak egyike a GDPR 6. cikk (1) bekezdésében meghatározott hat lehetséges jogalapnak. Más jogalapok lehetnek például a szerződés teljesítése, jogi kötelezettség, jogos érdek vagy létfontosságú érdekek. A Legea nr. 190/2018 (art. 5-7) is részletezi a jogalapokat, különös tekintettel a jogos érdek értelmezésére. Minden adatkezelési tevékenységhez pontosan meg kell határozni a megfelelő jogalapot.

4. Mit jelent a ROPA (adatkezelési tevékenységek nyilvántartása), és mikor kell vezetnem? A ROPA az adatkezelő által végzett összes adatkezelési tevékenység részletes listája és dokumentációja. A GDPR 30. cikke szerint kötelező vezetni, ha a vállalatnak több mint 250 alkalmazottja van, vagy ha az adatkezelés nem alkalmi, vagy ha különleges kategóriájú adatokkal (pl. egészségügyi adatok) vagy bűnügyi adatokkal dolgozik, vagy ha az adatkezelés valószínűsíthetően kockázattal jár. Kisebb cégeknek is ajánlott, hiszen segíti a megfelelés áttekintését és az elszámoltathatóság elvének érvényesülését (GDPR 5. cikk (2) bekezdés).

5. Hogyan kezeljem a munkavállalói adatokat a GDPR szerint Romániában? A munkavállalói adatok kezelése a munkaszerződés teljesítéséhez szükséges jogi kötelezettség és jogos érdek alapján történik, de bizonyos esetekben (pl. céges fotók a honlapon, bizonyos egészségügyi adatok) szükség lehet a kifejezett hozzájárulásra. Minden munkavállalót tájékoztatni kell az adatkezelési gyakorlatokról egy adatvédelmi tájékoztatóban. Az adatokat a ReGES rendszerben is pontosan rögzíteni kell, az OUG nr. 167/2022 által módosított HG nr. 295/2025 szerint, amely a ReGES részleteit szabályozza. A bizalmas egészségügyi adatok (GDPR 9. cikk) kezelése különösen érzékeny, és szigorú korlátok között végezhető.

6. Mi a teendő adatszivárgás esetén? Adatvédelmi incidens esetén (pl. adatszivárgás, adatfeltörés) azonnal intézkedni kell. A GDPR 33. cikk (1) bekezdése szerint, ha az incidens valószínűsíthetően kockázattal jár a természetes személyek jogaira és szabadságaira nézve, azt az ANSPDCP-nek be kell jelenteni az incidens észlelésétől számított 72 órán belül. Ha az incidens valószínűsíthetően magas kockázattal jár az érintettek jogaira és szabadságaira nézve, az érintetteket is haladéktalanul értesíteni kell (GDPR 34. cikk).

7. Használhatok Google Analyticset a weboldalamon? Igen, használható, de GDPR-kompatibilis módon. Ehhez szükség van: (1) adatfeldolgozási megállapodásra a Google-lal, (2) anonimizált IP-címekre, (3) egyértelmű tájékoztatásra az adatvédelmi és sütiszabályzatban, (4) megfelelő, a sütikhez való hozzájárulást kezelő mechanizmusra, amely lehetővé teszi az analitikai sütik elutasítását. A harmadik országba (USA) történő adattovábbítás szempontjából a Google (amennyiben a Data Privacy Framework keretében tanúsítással rendelkezik) a DPF alapján is végezheti az adattovábbítást, vagy szükséges az SCC-k alkalmazása és egy TIA elvégzése.

8. Milyen jogai vannak az érintetteknek a GDPR alapján Romániában? Az érintetteknek számos joga van a GDPR 15-22. cikkei szerint, amelyeket a Legea nr. 190/2018 (art. 12-16) is kiegészít:

• Hozzáféréshez való jog: Meghatározott információkat kérhetnek a róluk tárolt adatokról.
• Helyesbítéshez való jog: Kérhetik a pontatlan adatok javítását.
• Törléshez való jog ("elfeledtetéshez való jog"): Kérhetik adataik törlését bizonyos feltételek mellett.
• Az adatkezelés korlátozásához való jog: Kérhetik az adatkezelés korlátozását.
• Adathordozhatósághoz való jog: Joguk van adataikat strukturált, széles körben használt, géppel olvasható formátumban megkapni.
• Tiltakozáshoz való jog: Tiltakozhatnak az adatkezelés ellen bizonyos jogalapok esetén (pl. jogos érdek, direkt marketing).
• Automatizált döntéshozatal elleni jog: Joguk van ahhoz, hogy ne terjedjen ki rájuk olyan döntések hatálya, amelyek kizárólag automatizált adatkezelésen alapulnak.
• Panasz benyújtása az ANSPDCP-hez: Joguk van panaszt tenni a Román Nemzeti Adatvédelmi Hatóságnál, ha úgy érzik, megsértették az adatvédelmi jogaikat.

---

Ez a cikk tájékoztató jellegű, és nem minősül jogi tanácsadásnak. A GDPR és a vonatkozó román jogszabályok rendkívül összetettek. Konkrét jogi kérdések és helyzetek esetén feltétlenül forduljon szakosodott ügyvédhez vagy adatvédelmi szakemberhez, aki naprakész ismeretekkel rendelkezik a román jogról.