Ruxandra Sava
Azi, 19 noiembrie 2025, Comisia Europeană a publicat o propunere privind un Regulament-cadru pentru modificarea mai multor legi ale Uniunii Europene privind internetul și datele, printre care binecunoscutul Regulament General privind Protecția Datelor (GDPR), Actul privind Inteligența Artificială, Directiva ePrivacy și acte-cheie ale ecosistemului digital european, printre care NIS2, CER, P2B. Acest articol prezintă modificările propuse astăzi de Comisia Europeană cu privire la GDPR. Aceste modificări nu sunt încă în vigoare, ci vor trebui adoptate, în perioada următoare, de legiuitorii UE, Consiliul și Parlamentul. Modificările vor intra în vigoare după ce vor fi publicate în Jurnalul Oficial al Uniunii Europene.
Unul dintre motivele care au stat la baza acestei propuneri de modificare a GDPR a fost necesitatea relaxării regulilor pentru companiile care dezvoltă sisteme sau modele de inteligență artificială. Cu toate acestea, după ce am lecturat modificările propuse, am constatat că acestea sunt mai degrabă formale și insignifiante. Comisia dorește să păstreze standardul ridicat al protecției datelor în UE, dar introduce câteva modificări, majoritatea pentru operatorii care dezvoltă sau operează sisteme și modele IA. Majoritatea obligațiilor din GDPR au fost păstrate, iar modificările propuse vizează aspecte minore, pe care le vom discuta în continuare.
Comisia propune modificarea noțiunii de „date cu caracter personal”. Astfel, conform noii modificări, în noțiunea de „date cu caracter personal” nu vor intra și informațiile din care o entitate nu poate identifica, în mod rezonabil, o persoana fizică. De exemplu, dacă o companie are o adresă IP, aceasta nu va mai constitui o „dată” cu caracter personal, dacă entitatea nu are și alte informații pe baza cărora poate identifica o persoană fizică. Cu toate acestea, modificarea precizează că dacă aceste informații vor ajunge la altă entitate care deține mai multe informații suplimentare pentru identificare, această entitate va prelucra „date cu caracter personal” deoarece deține mijloace rezonabile pentru identificare.
Exemplu: Un operator (ABC SRL) externalizează dezvoltarea unui model AI către o altă companie (XYZ SRL) și transmite acesteia un set de date de antrenament pseudonimizate. Compania care primește datele pseudonimizate (XYZ SRL) nu va mai cădea sub incidența GDPR în privința acestor date, în măsura în care nu are mijloace rezonabile pentru identificarea persoanelor. Însă, operatorul ABC SRL va prelucra în continuare date cu caracter personal deoarece poate identifica persoanele.
În practică, trebuie efectuată o analiză de la caz la caz pentru a identifica dacă anumite informații intră sau nu intră în noțiunea „datelor cu caracter personal”, fapt care poate conduce către necesitatea reefectuării operațiunii de cartografiere a datelor cu caracter personal în multe companii din România.
Art. 9 alin. (2) va fi modificat prin adăugarea unor noi puncte care să permită prelucrarea categoriilor speciale de date. Art. 9 alin. (2) lit. k) va permite prelucrarea categoriilor de date speciale pentru dezvoltarea sau operarea unui sistem AI sub condiția implementării unor măsuri tehnice și organizatorice adecvate. Totodată, se adaugă la art. 9 alin. (2) și o nouă litera l) care permite prelucrarea datelor biometrice pentru verificarea identității unei persoane vizate.
Implementează GDPR și evită amenzile!
Entitățile nu vor mai avea obligația de a informa persoanele vizate atunci când prelucrările nu prezintă risc ridicat și este de așteptat ca persoana vizată să aibă suficiente informații despre identitatea operatorului și scopul prelucrării. Deși această obligație pare să simplifice eforturile operatorilor cu informarea persoanelor vizate, în realitate, creează necesitatea unui efort suplimentar de a documenta dacă prelucrarea este sau nu este cu risc ridicat și dacă persoana vizată cunoaște identitatea operatorului și scopurile prelucrării. În concret, această muncă de documentare și analiză a necesității informării va reveni tot profesioniștilor în domeniu (avocați, DPO, juriști, etc) deoarece va fi aproape imposibil de realizat de către persoane fără pregătire juridică.
Conform modificărilor propuse, dreptul de acces nu va putea fi exercitat abuziv, în alte scopuri decât cele pentru protecția datelor, de exemplu în scopul intimidării, hărțuirii sau șantajării operatorului. Cu toate acestea, operatorului i se păstrează obligația de a documenta motivele care stau la baza refuzului de a răspunde la o cerere de acces.
Se va modifica articolul 22 alin (1) din GDPR care interzice deciziile automate cu impact semnificativ asupra persoanelor, sub rezerva excepțiilor din alineatul (2). Potrivit noii modificări, aceste decizii nu vor mai fi interzise ca regulă, ci, ca regulă, vor fi permise în cazurile indicate (necesitate contractuală, consimțământ sau dispoziție legală). Totodată, se prevede expres că decizia automată este justificată și legală chiar dacă poate fi luată și de către un operator uman. Această modificare a fost introdusă pentru a permite operarea mai facilă a tehnologiilor care iau decizii în privința persoanelor, de exemplu a soft-urilor AI de recrutare.
👉 Îți plac articolele noastre? Abonează-te gratuit aici pentru a nu rata nimic!
Obligația de a notifica incidentele de securitate către autoritatea de supraveghere va subzista doar în privința incidentelor cu risc ridicat și se va realiza în termen de 96 de ore de la descoperirea incidentului. În prezent, termenul de notificare este de 72 de ore.
Alte modificări includ întocmirea de către Comitetul European privind Protecția Datelor a unor liste cu activitățile de prelucrare pentru care trebuie efectuată o evaluare de impact și o listă cu activitățile de prelucrare pentru care nu trebuie efectuată o evaluare de impact. Aceste liste, împreună cu un template și o metodologie de efectuare a evaluărilor de impact, vor fi propuse către Comisia Europeană.
Totodată, în GDPR vor fi incluse și dispozițiile privind modulele cookies din Directiva ePrivacy, urmând ca textele relevante din această Directivă să fie abrogate. În privința legislației ePrivacy, cea mai interesantă propunere de modificare se referă la posibilitatea de a utiliza, în anumite condiții, module cookies analitice fără consimțământ. Este o modificare bine-venită pentru IMM-urile din România, mai ales având în vedere că ANSPDCP a început să dea amenzi colosale pentru lipsa consimțământului activ pentru cookies pe site-uri.
Totuși, includerea dispozițiilor din legislația ePrivacy în GDPR nu va avea întotdeauna un efect benefic pentru companiile din România deoarece, pe de o parte, GDPR prevede amenzi mult mai mari față de legislația ePrivacy și, pe de altă parte, GDPR nu prevede un minim al amenzii astfel încât companiile amendate să poată achita jumătate din minimul prevăzut de lege, așa cum se întâmplă în prezent sub Legea nr. 506/2004 privind protecția datelor în sectorul comunicațiilor electronice.
Intervenția Comisiei asupra GDPR este minimă și foarte puțin invazivă deoarece majoritatea obligațiilor din GDPR subzistă (e.g., temeiurile de prelucrare, obținerea consimțământului, documentarea analizei interesului legitim, informarea persoanelor în majoritatea cazurilor, efectuarea evaluării de impact, respectarea principiilor de prelucrare), iar cele care sunt eliminate sunt supuse, în aproape toate cazurile, unei documentări și justificări suplimentare care creează eforturi suplimentare… De fapt, chiar și excepțiile privind dezvoltarea și operarea unor sisteme AI sunt supuse unor măsuri tehnice și organizatorice suplimentare conform unui nou paragraf – art. 9 alin. (5) – adăugat în Regulament. Așadar despre ce simplificare vorbim? Dintr-o analiză a tuturor modificărilor propuse, se desprinde ușor concluzia că răspunsul Uniunii Europene la presiunile de la Washington este un fel de „zicem ca ei, dar facem ca noi…”.
—
👉 Dorești să externalizezi implementarea GDPR către un profesionist? Atunci consultă oferta noastră de servicii de implementare GDPR & DPO!
👉 Vezi produsul KIT GDPR Premium!
Politica de confidențialitate, Termeni și Condiții, Politica Cookies, Politica de livrare și Politica de retur. Documente scrise de avocat.
