Legea 195/2024 privind protecția datelor cu caracter personal: obligațiile pentru găzduire

Ghid practic pentru firmele din Republica Moldova care găzduiesc un site, un magazin online sau o aplicație și vor să înțeleagă ce rămâne în sarcina lor. Stare la 30.09.2026.

Răspuns scurt

  1. 1Legea nr. 195 din 25.07.2024 privind protecția datelor cu caracter personal a fost publicată în Monitorul Oficial nr. 367-369 din 23.08.2024. Potrivit Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), ea a intrat în vigoare la 23.08.2026 și înlocuiește Legea nr. 133/2011.
  2. 2Potrivit CNPDCP, legea preia regulile Regulamentului (UE) 2016/679 (GDPR): condiții de legalitate a prelucrării, obligațiile operatorilor, securitatea datelor, drepturile persoanelor vizate, evaluări de impact și notificarea incidentelor.
  3. 3Răspunderea față de persoanele vizate și față de autoritate rămâne la operatorul de date, adică la firma ta. Un furnizor de găzduire care îți administrează serverele este, de regulă, un prestator care prelucrează date în numele tău și are nevoie de un contract scris.
  4. 44hosting oferă infrastructură în UE, la Frankfurt, nu în Republica Moldova, plus un contract de prelucrare a datelor (DPA). Nu certifică conformitatea ta și nu semnează conformitatea juridică în locul tău. Stare la 30.09.2026.

Ce este Legea 195/2024 și de când se aplică

Legea nr. 195/2024 este actul-cadru pentru protecția datelor cu caracter personal în Republica Moldova. Textul a fost adoptat la 25 iulie 2024 și publicat în Monitorul Oficial nr. 367-369 din 23 august 2024, art. 574. Legea prevede o perioadă de tranziție de doi ani: până la 23 august 2026 s-a aplicat Legea nr. 133/2011, iar de la 23 august 2026 se aplică legea nouă, conform prezentării oficiale a CNPDCP.

Autoritatea de supraveghere este CNPDCP, care publică pe datepersonale.md legislația, ghidurile și comunicatele. Pentru orice întrebare despre aplicabilitate la cazul tău, sursa corectă este textul legii și autoritatea, nu un furnizor de găzduire.

Ce înseamnă pentru un site, un magazin online sau o aplicație

Legea nu spune „unde trebuie să stea serverul”. Întrebarea practică este alta: știi ce date personale prelucrezi, pe ce bază, cine are acces la ele și ce se întâmplă cu ele când ceva merge prost. Un formular de contact, o bază de clienți, conturi de utilizator sau comenzi sunt toate date personale.

Când găzduirea este externă, furnizorul devine parte din lanțul tău de prelucrare. De aceea ai nevoie de un contract care descrie ce face furnizorul cu datele, ce măsuri de securitate există și cum te anunță dacă apare un incident. Dacă datele ies din Republica Moldova, verifică în textul legii și la CNPDCP ce reguli se aplică transferului; nu presupune că este suficient ca serverul să fie „în UE”.

Unde stă 4hosting și ce primești în scris

Serverele 4hosting sunt în Uniunea Europeană, la Frankfurt. Nu avem datacenter în Republica Moldova. Suportul este în română și în engleză.

Pentru clienții care cer asta, oferim un contract de prelucrare a datelor (DPA) în sensul art. 28 GDPR și clauze contractuale standard pentru transferuri. Menționăm art. 28 GDPR ca reper contractual al furnizorului; nu citez aici articole din Legea 195/2024, pe care le poți verifica direct în text.

Trei exemple concrete

Magazin online din Chișinău pe un VPS

Magazinul păstrează comenzi, adrese și telefoane. Proprietarul face un registru simplu: ce date colectează, unde sunt stocate, cine are acces SSH și când se fac backup-urile. Găzduirea intră în registru ca prestator, cu contract și contact pentru incidente.

Cabinet din Bălți cu un site WordPress

Site-ul are un formular de programare. Datele ajung pe e-mail și în baza WordPress. Pașii utili sunt minimizarea câmpurilor din formular, actualizarea pluginurilor, backup testat și o politică de confidențialitate care spune real ce se colectează.

Firmă de software cu clienți din UE și din Moldova

Aplicația SaaS are utilizatori în mai multe țări. Echipa stabilește cu un consultant juridic ce reguli se aplică fiecărei categorii de persoane vizate și păstrează DPA-urile furnizorilor la un loc, inclusiv al găzduirii.

Greșeli frecvente

  • Crezi că furnizorul de găzduire poartă răspunderea pentru datele tale. Operatorul este firma care decide scopul prelucrării.
  • Nu ai un contract scris cu prestatorul care administrează serverele.
  • Ții datele în mai multe locuri (e-mail, foi de calcul, baza de date) și nu știi exact unde sunt.
  • Nu testezi niciodată restaurarea dintr-un backup și nu ai o procedură pentru cazul în care serverul este compromis.

Cum te ajută 4hosting

  • Infrastructură în UE, la Frankfurt, nu în Republica Moldova, cu protecție DDoS L3/L4 până la 1,5 Tbps inclusă.
  • Contract de prelucrare a datelor (DPA) în sensul art. 28 GDPR și clauze contractuale standard pentru transferuri; aliniere la ISO 27001, care nu este o certificare ISO 27001.
  • Ore lunare de servicii DevOps și CyberSecurity incluse în plan: Hardening & Compliance, WAF & DDoS, SIEM & Incident Response, CI/CD & Monitoring. Orele se cer din panoul de client; ce depășește cota se facturează separat.
  • 4hosting nu are certificări NIS2, ISO sau SOC 2, nu certifică conformitatea clientului și nu semnează conformitatea juridică în numele lui.

Întrebări frecvente

Legea 195/2024 se aplică oricărui site din Moldova?

Se aplică prelucrării de date personale, nu „site-urilor” ca atare. Dacă site-ul tău colectează date despre persoane (formulare, conturi, comenzi), verifică textul legii și, la nevoie, cere un aviz juridic.

Trebuie să țin serverul în Republica Moldova?

Nu am găsit în sursele citate o regulă care să spună asta, iar aici nu o afirmăm. Pentru transferuri în afara țării, verifică textul legii și indicațiile CNPDCP.

4hosting îmi garantează conformitatea cu legea?

Nu. 4hosting furnizează infrastructură, un DPA și servicii DevOps și CyberSecurity. Conformitatea firmei tale rămâne responsabilitatea ta.

Vezi și