GDPR Megfelelőség Romániában: Gyakorlati Ellenőrzőlista 2026

Hogyan tegye vállalkozását GDPR-kompatibilissé Romániában?

Akár startup, e-kereskedelmi platform vagy multinacionális vállalat működik Romániában, a GDPR-megfelelőség nem választható – ez a törvény. A bírságok elérhetik a 20 millió eurót vagy a globális árbevétel 4%-át, attól függően, hogy melyik a magasabb. Ez a cikk egy átfogó, gyakorlati és a román jogi kontextusba ágyazott megfelelőségi ellenőrzőlistát kínál, amely a 2026-os jogi környezetet veszi figyelembe. Különös figyelmet fordítunk az Országos Adatvédelmi Felügyeleti Hatóság (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal – ANSPDCP) iránymutatásaira és a román adatvédelmi jogszabályokra.

Kinek kell megfelelnie a GDPR-nak Romániában?

A GDPR (általános adatvédelmi rendelet – Rendelet (EU) 2016/679) alkalmazási köre rendkívül széles. Alapvetően, ha vállalkozása:

• Romániában/EU-ban élő természetes személyekkel (ügyfelek, alkalmazottak, felhasználók) rendelkezik, és az adataikat kezeli;
• Személyes adatokat dolgoz fel (ideértve a neveket, e-mail címeket, IP-címeket, sütiket, helyadatokat, egészségügyi adatokat, biometrikus adatokat, sőt még az online azonosítókat is);
• Olyan weboldalt vagy online szolgáltatást üzemeltet, amely az EU-ból elérhető és uniós személyeket céloz meg,

Akkor meg kell felelnie a GDPR-nak.

Ez magában foglalja azokat a nem EU-s vállalkozásokat is, amelyek romániai vagy EU-s lakosoknak kínálnak árukat vagy szolgáltatásokat, vagy megfigyelik viselkedésüket az EU-n belül. Az ANSPDCP fokozott figyelmet fordít a nem uniós entitásokra, és proaktívan fellép a jogsértésekkel szemben.

Miért fontos a GDPR Romániában?

Románia, mint az EU tagállama, teljes mértékben alkalmazza a GDPR-t. Az ANSPDCP aktív felügyeleti hatóság, amely rendszeresen szab ki bírságokat a jogsértésekért. A megfelelőség nem csupán jogi kötelezettség, hanem a bizalom építésének és a reputációs kockázatok csökkentésének is eszköze. Egy súlyos adatvédelmi incidens vagy egy ANSPDCP által kiszabott bírság jelentős pénzügyi és reputációs károkat okozhat.

A 12 lépéses GDPR megfelelőségi ellenőrzőlista Romániában

Ez az ellenőrzőlista segít vállalkozásának a GDPR-megfelelőség elérésében és fenntartásában, figyelembe véve a romániai sajátosságokat.

✅ 1. lépés: Adatfeltérképezés és -kataszter (Adatfeldolgozási Tevékenységek Nyilvántartása)

Az első és legfontosabb lépés az, hogy pontosan megértse, milyen személyes adatokat dolgoz fel, hol és miért. Ezt adatfeltérképezésnek (data mapping) nevezzük. Ennek eredménye lesz az adatfeldolgozási tevékenységek nyilvántartása (Record of Processing Activities – RoPA), amelyet a GDPR 30. cikkelye ír elő.

• Feladatok:
  • Inventárium készítése: Milyen személyes adatokat gyűjt (pl. név, e-mail, telefonszám, IP-cím, süti-azonosító, TAJ-szám, bankszámlaszám, alkalmazott adatai – Legea nr. 53/2003 (Munka Törvénykönyve), art. 34. alin (1) – személyi azonosító adatok, végzettség, munkaköri leírás).
  • Adattárolás helye: Hol tárolja ezeket az adatokat? (pl. saját szerverek, felhőszolgáltatások (AWS, Google Cloud, Azure), CRM szoftverek, HR rendszerek – pl. a ReGES (Registrul General de Evidență a Salariaților) is tartalmaz személyes adatokat, régi papír alapú akták, e-mail fiókok).
  • Hozzáférések: Ki fér hozzá ezekhez az adatokhoz a szervezeten belül és kívül (munkavállalók, alvállalkozók, szolgáltatók)? Adjon meg szerepköralapú hozzáférést (need-to-know basis).
  • Megőrzési idő: Mennyi ideig őrzi meg az adatokat? Az ANSPDCP hangsúlyozza az adattörlés fontosságát, amint a cél, amiért gyűjtötték, megszűnt. Például a pénzügyi dokumentumok megőrzési ideje általában 10 év a román adójog szerint (Codul Fiscal, Legea nr. 227/2015, art. 85), míg az alkalmazottak személyi aktái 75 évig őrizhetők meg a Munka Törvénykönyve és a levéltári törvények szerint (Legea Arhivelor Naționale nr. 16/1996, art. 7).
  • Jogalap: Miért dolgozza fel ezeket az adatokat? (Lásd 2. lépés).
  • Adatmozgás: Hová utaznak az adatok? Transznacionális adattovábbítások (EU-n belül vagy kívül).
  • Biztonsági intézkedések: Milyen technikai és szervezési intézkedések védik az adatokat? (titkosítás, álnevesítés, hozzáférés-szabályozás).

✅ 2. lépés: A megfelelő jogalap meghatározása

Minden személyes adatfeldolgozási tevékenységnek rendelkeznie kell a GDPR 6. cikkelye vagy a 9. cikkelye (különleges kategóriájú adatok esetén) által meghatározott hat jogalap egyikével. ANSPDCP kiemelten ellenőrzi a jogalap meglétét és helyességét.

• A hat jogalap:

✅ 3. lépés: Átfogó Adatvédelmi Irányelvek és Nyilatkozatok

Az átláthatóság a GDPR alapja. Vállalkozásának egyértelmű és könnyen érthető adatvédelmi irányelveket kell közzétennie. Az ANSPDCP gyakran ellenőrzi ezen dokumentumok tartalmát és hozzáférhetőségét.

• Az adatvédelmi irányelvnek tartalmaznia kell (GDPR 13., 14. cikkely):
  • Az adatkezelő azonosító adatai és elérhetőségei (cégnév, cím, CUI/J elnök/CFO neve).
  • Az adatvédelmi tisztviselő elérhetőségei, ha van ilyen (DPO).
  • Az adatfeldolgozás célja és jogalapja minden egyes feldolgozási típusra vonatkozóan.
  • A személyes adatok kategóriái (pl. demográfiai adatok, technikai adatok, pénzügyi adatok).
  • Adatátvevők vagy adatátvevői kategóriák (pl. könyvelő, futárszolgálat, marketing ügynökség, bank).
  • A személyes adatok megőrzési ideje vagy a megőrzési időszak meghatározásának kritériumai.
  • Az érintettek jogai (lásd 6. lépés).
  • A panasz benyújtására való jog az ANSPDCP-nél (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal) – weboldal: www.dataprotection.ro, elérhetőség: bld. G-ral. Gheorghe Magheru nr. 28-30, sector 1, București, cod poștal 010336.
  • Információ a harmadik országokba történő adattovábbításról (ha releváns).
  • Adatvédelmi incidenst követő intézkedések leírása (rövid összefoglalás).
  • Információ az automatizált döntéshozatalról és profilalkotásról, ha az történik.

✅ 4. lépés: Megfelelő süti (cookie) hozzájárulás kezelése

A sütik és más nyomkövető technológiák használata Romániában is uniós szintű szabályozás alá esik (ePrivacy irányelv és a GDPR). Az ANSPDCP gyakran ellenőrzi az online platformok süti kezelését.

• Követelmények:
  • Megfelelő süti banner: Nem csupán egy értesítés, hanem egy interaktív eszköz, amely lehetővé teszi a felhasználó számára, hogy választási lehetőségeket adjon a sütik kapcsán.
  • Külön hozzájárulás: Külön hozzájárulás szükséges az analitikai, marketing és funkcionális sütikhez (amelyek nem feltétlenül szükségesek a weboldal működéséhez). A felhasználóknak kategóriánként kell tudniuk elfogadni vagy elutasítani a sütiket.
  • Dokumentáció: Dokumentálja az összes hozzájárulást (melyik felhasználó, mikor, milyen sütikhez adta meg a hozzájárulását).
  • Visszavonás lehetősége: A felhasználók számára bármikor lehetővé kell tenni a hozzájárulás visszavonását, ugyanolyan egyszerűen, mint ahogyan megadták (pl. egy könnyen elérhető süti beállítási gomb a weboldalon).
  • Nincs előre bejelölt jelölőnégyzet: Az alapértelmezett állapotnak az elutasításnak kell lennie minden olyan süti esetében, ami nem feltétlenül szükséges a weboldal működéséhez.

✅ 5. lépés: Adatfeldolgozási megállapodások (Data Processing Agreements – DPA)

Ha harmadik feleket vesz igénybe személyes adatok feldolgozására a nevében (pl. felhőszolgáltatók, marketing ügynökségek), akkor adatfeldolgozási megállapodás (Data Processing Agreement – DPA) megkötése kötelező a GDPR 28. cikkelye alapján.

• Példák adatfeldolgozókra:

  • Felhőalapú tárhelyszolgáltatók (AWS, Google Cloud, Azure).
  • E-mail marketing eszközök (Mailchimp, SendGrid).
  • Analitikai eszközök (Google Analytics – figyelni kell a beállításokra, hogy ne legyen személyes adat továbbítva).
  • Fizetésfeldolgozók (Stripe, PayPal, PayU Romania, EuPlata).
  • CRM rendszerek (Salesforce, HubSpot).
  • Könyvelőirodák (amelyek hozzáférnek az alkalmazottak és ügyfelek adataihoz).
  • HR szoftverek és szolgáltatók.

• A DPA-nak tartalmaznia kell: Az adatfeldolgozás tárgyát, időtartamát, jellegét és célját, a személyes adatok típusait és az érintettek kategóriáit, az adatkezelő jogait és kötelezettségeit. Különös hangsúlyt kell fektetni a biztonsági intézkedésekre, az alvállalkozók bevonására (csak az adatkezelő előzetes írásbeli engedélyével), az érintett jogainak segítésére és az audit jogára.

✅ 6. lépés: Eljárások az érintettek jogainak érvényesítésére

Az érintetteknek (azoknak a személyeknek, akiknek az adatait Ön feldolgozza) számos joguk van a GDPR alapján. Ezeket a jogokat a GDPR 15-22. cikkelyei rögzítik, és minden vállalkozásnak képesnek kell lennie ezen jogok gyakorlatba ültetésére.

• Bevezetendő eljárások a következőkhöz:
  • Hozzáférés kérések (GDPR 15. cikkely) – „hozzáférés joga”: Az érintettnek joga van megtudni, hogy adatait feldolgozzák-e, és ha igen, hozzáférést kapni azokhoz, valamint információt kapni a feldolgozás céljáról, az adatok kategóriáiról, a címzettekről, a megőrzési időről. Válaszadás 30 napon belül kötelező, indokolt esetben legfeljebb további két hónappal meghosszabbítható.
  • Helyesbítés (GDPR 16. cikkely) – „helyesbítéshez való jog”: Az érintettnek joga van kérni a pontatlan adatok helyesbítését vagy a hiányos adatok kiegészítését.
  • Törlés (GDPR 17. cikkely) – „az elfeledtetés joga”: Az érintettnek joga van kérni adatai törlését, ha azok már nem szükségesek az eredeti célhoz, visszavonták a hozzájárulást, vagy illegálisan dolgozzák fel azokat.
  • Adatfeldolgozás korlátozása (GDPR 18. cikkely) – „feldolgozás korlátozásához való jog”: Az érintett kérheti az adatfeldolgozás korlátozását, például ha vitatja az adatok pontosságát.
  • Adathordozhatóság (GDPR 20. cikkely) – „adathordozhatósághoz való jog”: Az érintettnek joga van adatai strukturált, széles körben használt, géppel olvasható formátumban való megkapására, és azokat egy másik adatkezelőnek továbbítani.
  • Tiltakozás (GDPR 21. cikkely) – „tiltakozáshoz való jog”: Az érintett bármikor tiltakozhat adatai feldolgozása ellen, különösen közvetlen marketing célú feldolgozás esetén. Ebben az esetben a feldolgozást azonnal le kell állítani.

✅ 7. lépés: Adatsértési protokoll és incidenskezelés

Az adatsértések elkerülhetetlenek lehetnek, de a proaktív kezelés kulcsfontosságú. A GDPR 33. és 34. cikkelyei szigorú jelentéstételi kötelezettségeket írnak elő.

• Adatsértési választerv (Incident Response Plan) létrehozása és tesztelése:
  • Észlelés és elhárítás: Gyorsan azonosítsa és mérsékelje a jogsértéseket. Ez magában foglalja a technikai, szervezési és jogi lépéseket.
  • Jelentés az ANSPDCP-nek: Értesítse a román adatvédelmi hatóságot (ANSPDCP) a felfedezéstől számított 72 órán belül, hacsak az adatsértés valószínűleg nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Még ha nem is szükséges jelenteni, az összes jogsértést dokumentálni kell.
  • Érintettek értesítése: Értesítse az érintett személyeket is, ha a jogsértés valószínűleg magas kockázattal jár a jogaikra és szabadságaikra nézve. Az értesítésnek világos és egyértelmű nyelven kell történnie, leírva az incidens jellegét és a megtett intézkedéseket.
  • Dokumentáció: Minden adatsértést dokumentálni kell, még akkor is, ha nem jelentésköteles. Ez magában foglalja az incidens leírását, a hatásait és a megtett korrekciós intézkedéseket.

✅ 8. lépés: Munkavállalói képzés és tudatosság

Az emberi hiba gyakran a jogsértések oka. A munkavállalók megfelelő képzése elengedhetetlen a GDPR-megfelelőséghez.

• Képzési program bevezetése:
  • Mindenki képzése: Az összes munkavállalót, aki személyes adatokat kezel (beleértve a részmunkaidősöket és a gyakornokokat is), képezni kell a GDPR alapelveiről, az érintettek jogairól, az adatbiztonságról és az adatsértési eljárásokról.
  • Dokumentáció: Dokumentálja a képzések dátumait, tartalmát és a résztvevők listáját.
  • Éves ismétlő képzés: Legalább évente ismételje meg a képzéseket, hogy a tudás friss maradjon.
  • Speciális képzés: Különös képzést kell biztosítani a HR, marketing, IT és ügyfélszolgálati csapatoknak, mivel ők gyakran kezelnek érzékeny adatokat vagy nagy mennyiségű személyes adatot.
  • Adatvédelmi irányelvek ismertetése: Győződjön meg róla, hogy minden alkalmazott ismeri és megérti az Ön vállalkozásának adatvédelmi irányelveit.

✅ 9. lépés: Adatvédelmi tisztviselő (Data Protection Officer – DPO)

A DPO kinevezése nem mindig kötelező, de ahol szükséges, ott komoly bírságok szabhatók ki a mulasztásért.

• A DPO kinevezése kötelező, ha (GDPR 37. cikkely):

  • Ön közhatóság vagy közfeladatot ellátó szerv (kivéve a bíróságok bírósági hatáskörük gyakorlása során).
  • Az adatkezelő fő tevékenységei olyan adatfeldolgozási műveleteket foglalnak magukban, amelyek jellegüknél, hatókörüknél és/vagy céljaiknál fogva az érintettek rendszeres és szisztematikus, nagymértékű megfigyelését teszik szükségessé.
  • Az adatkezelő fő tevékenységei a személyes adatok különleges kategóriáinak (GDPR 9. cikkely – egészségügyi adatok, faji és etnikai adatok stb.) és/vagy büntetőjogi elítélésekre és bűncselekményekre vonatkozó adatok (GDPR 10. cikkely) nagymértékű feldolgozását foglalják magukban.

• A DPO szerepe és felelősségei (GDPR 39. cikkely):

  • Tájékoztatás és tanácsadás az adatkezelőnek és a munkavállalóknak a GDPR és más adatvédelmi jogszabályok szerinti kötelezettségeikről.
  • A megfelelés ellenőrzése, beleértve az adatkezelési irányelvek, szerepkörök és felelősségek, valamint a képzések auditálását.
  • Tanácsadás az adatvédelmi hatásvizsgálatokkal (DPIA) kapcsolatban, és azok végrehajtásának felügyelete.
  • Kapcsolattartó pont az ANSPDCP és az érintettek számára.

• Ajánlás: Még ha nem is kötelező, a DPO kijelölése (akár belső alkalmazott, akár külső tanácsadó) jó irányítást és elszámoltathatóságot mutat, és segít a folyamatos megfelelőség biztosításában.

✅ 10. lépés: Nemzetközi adatátvitel Romániából

Személyes adatok EU-n kívüli országokba történő továbbítása szigorú szabályok alá esik a GDPR 44-50. cikkelyei alapján. Az ANSPDCP szintén nagy figyelmet fordít ezekre az átvitelekre.

• Ha adatokat az EU-n kívülre továbbít:
  • Megfelelőségi határozat (adequacy decision): Először ellenőrizze, hogy az Európai Bizottság hozott-e megfelelőségi határozatot az adott országról (pl. az EU–USA adatvédelmi keretrendszerről szóló megfelelőségi határozat – Schrems II ítélet után fontos). Ha igen, akkor az adatok továbbíthatók külön biztosítékok nélkül.
  • Standard Szerződéses Klauzulák (SCC-k): Ha nincs ilyen határozat, a leggyakrabban használt eszköz az Európai Bizottság által elfogadott standard szerződéses klauzulák (Legea nr. 190/2018, art. 7). Ezeket be kell építeni a külső partnerrel kötött szerződésbe. Az SCC-k használata mellett azonban az EUB Schrems II ítélete alapján gyakran szükséges egy Adatátviteli Hatásvizsgálat (Transfer Impact Assessment – TIA) elvégzése is.
  • Adatátviteli Hatásvizsgálat (TIA): A TIA során fel kell mérni, hogy az importáló harmadik ország jogrendszere lehetővé teszi-e az SCC-kben előírt garanciák tényleges érvényesülését. Ha úgy találja, hogy az SCC-k önmagukban nem nyújtanak elegendő védelmet, kiegészítő intézkedéseket kell bevezetni (pl. titkosítás, álnevesítés).
  • Kötő erejű vállalati szabályok (Binding Corporate Rules – BCRs): Nagy multinacionális vállalatok számára, amelyek EU-n kívüli leányvállalatokkal rendelkeznek, a BCR-ek hatékony megoldást jelenthetnek, de elfogadásuk hosszadalmas és összetett folyamat.
  • Kivételek: Korlátozott esetekben az adattovábbítás megengedett lehet az érintett kifejezett hozzájárulásával, vagy ha az elengedhetetlen egy szerződés teljesítéséhez.
• Dokumentáció: Dokumentáljon minden nemzetközi adatátvitelt, beleértve a jogalapot és a megtett biztosítékokat.

✅ 11. lépés: Adatvédelem a tervezés által és alapértelmezett adatvédelem (Privacy by Design and by Default)

Ez a két elv (GDPR 25. cikkely) proaktív megközelítést igényel az adatvédelem terén, nem utólagos gondoskodást.

• Adatvédelem a tervezés által:

  • Adatminimalizálás: Csak annyi adatot gyűjtsön, amennyi feltétlenül szükséges az adott cél eléréséhez. Kérdezze meg magától: „Tényleg szükségem van erre az adatra?”
  • Pszeudonimizálás és titkosítás: Alkalmazzon technikai intézkedéseket, mint az álnevesítés (pseudonymisation) és a titkosítás (encryption), hogy csökkentse az adatok visszaélésének kockázatát.
  • Rendszeres adattörlés: Automatizált adatmegőrzési szabályzatokat vezessen be, amelyek biztosítják, hogy az adatok automatikusan törlésre kerüljenek, amint a megőrzési idő lejárt.
  • Anonimizálás: Ha lehetséges, anonimizálja az adatokat, hogy ne lehessen visszavezetni azokat egy konkrét személyre.

• Alapértelmezett adatvédelem:

  • Opt-in, nem opt-out: Az alapértelmezett beállításoknak a maximális adatvédelmet kell biztosítaniuk. Például, a marketing e-mailekhez való feliratkozásnak „opt-in” jellegűnek kell lennie (a felhasználónak aktívan el kell fogadnia), nem „opt-out” (a felhasználónak aktívan le kell iratkoznia).
  • Adatvédelmi beállítások: A szoftvereknek és szolgáltatásoknak alapértelmezés szerint a legmagasabb adatvédelmi szintet kell biztosítaniuk, és a felhasználóknak kell tudniuk azt csökkenteni, ha akarnak.

✅ 12. lépés: Dokumentáljon mindent (elszámoltathatóság elve)

A GDPR egyik kulcsfontosságú elve az elszámoltathatóság (accountability) (GDPR 5. cikkely (2) bekezdés). Ez azt jelenti, hogy nemcsak meg kell felelnie a szabályoknak, hanem képesnek kell lennie bizonyítani is a megfelelőséget. Az ANSPDCP az ellenőrzések során kiemelten vizsgálja a dokumentációt.

• Kötelező nyilvántartások és dokumentumok:
  • Adatfeldolgozási tevékenységek nyilvántartása (GDPR 30. cikkely): Ez a legfontosabb dokumentum, amely összefoglalja az összes adatfeldolgozási tevékenységet.
  • Hozzájárulási nyilvántartások: Részletes nyilvántartás az összes kapott hozzájárulásról (ki, mikor, mihez, hogyan adta meg).
  • Adatvédelmi hatásvizsgálatok (Data Protection Impact Assessments – DPIA-k): Ha egy új adatfeldolgozási művelet valószínűleg magas kockázattal jár a személyes jogokra és szabadságokra nézve, akkor DPIA elvégzése kötelező (GDPR 35. cikkely).
  • Adatbiztonsági irányelvek és eljárások: Technikai és szervezési intézkedések leírása az adatok védelmére.
  • Adatsértési nyilvántartás: Az összes adatsértési incidens dokumentációja.
  • Adatmegőrzési irányelvek: A különböző adattípusok megőrzési idejének és az azokat alátámasztó jogszabályoknak (pl. Legea Contabilității nr. 82/1991, Legea Arhivelor Naționale nr. 16/1996) a leírása.
  • Képzési anyagok és résztvevői listák.
  • DPA-k (adatfeldolgozási megállapodások).
  • A DPO kijelöléséről szóló dokumentumok és elérhetőségei.
  • Az érintetti jogok gyakorlására vonatkozó kérések és a válaszok nyilvántartása.

---

Melléklet: ReGES - A romániai munkavállalói nyilvántartás

Fontos megjegyezni, hogy Romániában a munkavállalók nyilvántartását elektronikusan, a ReGES (Registrul General de Evidență a Salariaților) rendszerben kell vezetni. Ez a rendszer a korábbi ReGES helyébe lépett 2026. január 1-től. A munkáltatóknak kötelező minden alkalmazott adatait (beleértve a személyi azonosító számot – CNP) pontosan és naprakészen bejelenteniük a ReGES-be. Ennek elmulasztása súlyos bírságot vonhat maga után a munkanélküliségi hatóság (Agenția Națională pentru Ocuparea Forței de Muncă – ANOFM) részéről. A ReGES-ben tárolt adatok személyes adatoknak minősülnek, így a rájuk vonatkozó adatkezelésnek teljes mértékben meg kell felelnie a GDPR követelményeinek.

Költségek és idővonalak a GDPR-megfelelőséghez Romániában

(Becsült adatok, erősen változhatnak a vállalkozás méretétől és az informatikai rendszerek komplexitásától függően)

Megjegyzés: Az árak tájékoztató jellegűek, és nagyban függnek a szolgáltatótól (ügyvédi iroda, IT biztonsági cég, DPO szakértő), a vállalkozás méretétől, az adatfeldolgozás komplexitásától és a már meglévő rendszerek fejlettségétől.

Gyakorlati megfelelőségi ellenőrzőlista a napi működéshez

• Naponta/Hetente:
  • Ellenőrizze az adatbiztonsági rendszerek naplóit (ha releváns).
  • Figyelje az érintetti jogokra vonatkozó kéréseket (e-mail, űrlap).
  • Gondoskodjon az azonnali reagálásról az adatbiztonsági incidensekre.
• Havonta:
  • Tekintse át a hozzáférési jogosultságokat.

📖 Ajánlott olvasmány: GDPR Megfelelőség Romániában 2026: Gyakorlati Útmutató

📖 Ajánlott olvasmány: Románia Digitális Nomád Vízum 2026: Élet és Munka Távmunkában

📖 Ajánlott olvasmány: Szellemi Tulajdon Védelme Romániában: Szabadalmak, Védjegyek 2026

📖 Ajánlott olvasmány: Romániai EU AI Törvény: Kockázatbesorolás & GPAI Szabályok (2026)

*   Ellenőrizze az új szoftverek/szolgáltatások GDPR-megfelelőségét.
*   Vizsgálja felül az adatfeldolgozási tevékenységek nyilvántartását a változások tükrében.

• Negyedévente/Félévente:
  • Belső auditot végezzen (ha lehetséges).
  • Felülvizsgálja az adatvédelmi irányelveket és más dokumentumokat.
  • Ellenőrizze az adattörlési folyamatok működését.
• Évente:
  • GDPR képzés a munkavállalóknak.
  • DPIA (ha új kockázatos projekt van folyamatban, vagy meglévő rendszer új adatokat dolgoz fel).
  • DPO jelentés (ha van DPO).
  • Átfogó adatvédelmi audit.

Gyakran Ismételt Kérdések (FAQ) a GDPR-ról Romániában

1. Mi az ANSPDCP, és milyen szerepet játszik a GDPR betartatásában Romániában? Az ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal) Románia nemzeti adatvédelmi felügyeleti hatósága. Fő feladata a GDPR és az ehhez kapcsolódó román jogszabályok (pl. Legea nr. 190/2018) betartatásának felügyelete, tanácsadás nyújtása, panaszok kivizsgálása és bírságok kiszabása. Központi szerepet játszik a romániai adatvédelmi ökoszisztémában.

2. Milyen jogi kötelezettségeim vannak romániai vállalkozásként a munkavállalói adatok kezelése során? A munkavállalói adatok kezelése kettős jogrendszer alá esik: a GDPR és a román Munka Törvénykönyve (Legea nr. 53/2003) és más kapcsolódó jogszabályok, mint például a Legea nr. 16/1996 (nemzeti levéltári törvény). Kötelező bejelenteni az alkalmazottakat a ReGES rendszerbe, és minden adatkezelésnek egyértelmű jogalapon kell alapulnia (pl. munkaszerződés teljesítése, jogi kötelezettség a bérszámfejtéshez és adózáshoz). Az adatok megőrzési idejére vonatkozó szabályok is specifikusak (pl. személyi akták 75 év).

3. Milyen bírságokra számíthatok, ha nem tartom be a GDPR-t Romániában? A GDPR két szinten határozza meg a bírságokat:

• Akár 10 millió euró vagy a globális éves árbevétel 2%-a (attól függően, hogy melyik a magasabb) bizonyos jogsértésekért (pl. adatvédelmi tisztviselő elmulasztása).
• Akár 20 millió euró vagy a globális éves árbevétel 4%-a (attól függően, hogy melyik a magasabb) súlyosabb jogsértésekért (pl. a feldolgozás jogalapjának hiánya, érintetti jogok megsértése). Az ANSPDCP számos bírságot szabott már ki romániai cégekre, bizonyítva aktivitását ezen a téren.

4. Új vállalkozásom van Romániában (SRL). Milyen alapvető GDPR lépéseket kell azonnal megtennem? Már a cég alapításakor (Legea nr. 31/1990) és az első alkalmazott toborzásakor (ReGES) felmerülnek adatvédelmi kérdések.

5. Hogyan érinti a GDPR az online marketing tevékenységeimet Romániában? Az online marketing különösen érzékeny terület. A direkt marketinghez (e-mail, SMS) általában előzetes, kifejezett hozzájárulásra van szükség (opt-in). A sütik használatához is egyértelmű hozzájárulást kell kérni. Az ANSPDCP fokozottan ellenőrzi az e-mail marketing listák gyűjtési módját és a sütik kezelését. A jogos érdek jogalap korlátozottan alkalmazható direkt marketingre, és szigorú érdekmérlegelési tesztet igényel.

6. Szükségem van DPO-ra, ha egy kis online boltot üzemeltetek Romániában? Valószínűleg nem, ha a fő tevékenysége nem esik a kötelező DPO-kinevezés kategóriáiba (lásd 9. lépés). Azonban, még ha nem is kötelező, érdemes megfontolnia egy külső DPO szolgáltatás igénybevételét vagy egy belső munkatársat kiképezni adatvédelmi kapcsolattartó pozícióra. Attól függetlenül, hogy van-e DPO, a GDPR betartásáért az adatkezelő (a vállalkozás) felelős.

7. Mi a teendő, ha romániai felhasználóim adataihoz illetéktelenek fértek hozzá (adatvédelmi incidens)? Azonnal fel kell mérnie az incidens súlyosságát és hatását. Ha valószínűleg kockázattal jár a természetes személyek jogaira és szabadságaira nézve, akkor 72 órán belül jelentenie kell az ANSPDCP-nek az incidens felfedezésétől számítva. Ha magas a kockázat, az érintetteket is tájékoztatni kell. A részleteket lásd a 7. lépésben (Adatsértési protokoll).

8. Hogyan befolyásolja a 21%-os általános ÁFA kulcs (Codul Fiscal, Legea nr. 227/2015, art. 291) a GDPR megfelelőséget? Az ÁFA kulcs közvetlenül nem befolyásolja a GDPR megfelelőséget. Azonban az ÁFA és adózási kötelezettségekhez kapcsolódó adatok (pl. számlázási adatok, ügyféladatok) továbbra is személyes adatoknak minősülnek, és kezelésüknek meg kell felelnie a GDPR-nak (jogi kötelezettség jogalapja alapján) és az adójogszabályoknak a megőrzési idő tekintetében. A kettő egymástól független, de mindkettőnek meg kell felelni.

---

📚 Kapcsolódó Források

• Jogi Szolgáltatások
• Konzultáció

---

Ez a cikk tájékoztató jellegű, és nem minősül jogi tanácsadásnak. A romániai GDPR-megfelelőség összetett terület, amely folyamatos monitorozást és adaptációt igényel. Konkrét helyzetekben forduljon szakosodott ügyvédhez vagy adatvédelmi szakértőhöz, aki ismeri a román jogi környezetet és az ANSPDCP gyakorlatát.