O trimitere de fișiere conformă cu GDPR înseamnă că datele personale pleacă doar când e nevoie, sunt protejate cu măsuri potrivite precum criptarea, nu sunt păstrate mai mult decât trebuie și sunt gestionate de un furnizor legat printr-un contract de prelucrare, iar orice transfer în afara Spațiului Economic European are o bază legală. GDPR nu certifică instrumente: stabilește obligații pentru organizația care trimite datele, iar serviciul potrivit le face mult mai ușor de respectat.
Ghidul trece prin articolele Regulamentului (UE) 2016/679, numit în română RGPD, care se aplică atunci când trimiți fișiere cu date personale (CV-uri, fluturași de salariu, rapoarte medicale, poze cu oameni, liste de clienți), apoi le transformă într-o listă de verificare. Sunt informații generale, valabile în octombrie 2026, nu consultanță juridică; responsabilul cu protecția datelor sau avocatul tău au ultimul cuvânt pentru situația ta.
GDPR, ce înseamnă când trimiți fișiere?
Regulamentul se aplică ori de câte ori fișierele conțin date cu caracter personal, adică orice informație despre o persoană identificabilă, iar organizația ta este stabilită în UE sau oferă servicii persoanelor din UE. Un contract cu nume și adrese, un tabel cu clienți, o copie după buletin, o poză în care oamenii pot fi recunoscuți: toate intră aici. Trimiterea lor este o „prelucrare”, la fel ca stocarea temporară de către serviciul de transfer.
În România, RGPD se aplică direct, iar Legea nr. 190/2018 (din 18 iulie 2018, publicată în Monitorul Oficial nr. 651 din 26 iulie 2018) stabilește măsuri de punere în aplicare a regulamentului, de exemplu pentru anumite categorii de date. Ea completează RGPD, nu îl înlocuiește. Autoritatea de supraveghere este ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, dataprotection.ro). Republica Moldova nu face parte din UE, dar RGPD se aplică și firmelor de acolo care oferă bunuri sau servicii persoanelor din Uniune.
Articolele RGPD care contează pentru transferul de fișiere
| Articol | Ce spune, pe scurt | Ce înseamnă pentru transferuri |
|---|---|---|
| Art. 5 alin. (1) lit. (c), reducerea la minimum a datelor | Doar date adecvate, relevante și necesare | Trimiți doar fișierele și câmpurile de care destinatarul are nevoie |
| Art. 5 alin. (1) lit. (e), limitarea stocării | Păstrate doar cât e necesar | Folosești linkuri care expiră; ștergi fișierele după încheierea treburii |
| Art. 5 alin. (1) lit. (f), integritate și confidențialitate | Securitate potrivită împotriva accesului neautorizat sau pierderii | Criptare, parole, control al accesului |
| Art. 5 alin. (2), responsabilitate | Operatorul trebuie să poată demonstra conformitatea | Documentezi instrumentele și regulile folosite |
| Art. 25, protecția datelor de la concepere și implicit | Măsuri integrate; implicit, acces și durată de stocare limitate | Preferi instrumente cu expirare și acces restrâns din oficiu |
| Art. 28, persoana împuternicită de operator | Doar furnizori cu garanții suficiente, pe bază de contract | Semnezi un contract de prelucrare a datelor cu furnizorul |
| Art. 32, securitatea prelucrării | Dă ca exemple pseudonimizarea și criptarea | Criptare în tranzit, la stocare și end-to-end pentru date sensibile |
| Art. 33 și 34, încălcarea securității | Notifici autoritatea în 72 de ore dacă există un risc; persoanele, dacă riscul e ridicat | Știi ce faci dacă un link ajunge la cine nu trebuie |
| Art. 44–49, transferuri internaționale | Datele care ies din SEE au nevoie de o bază legală (decizie de adecvare, clauze contractuale standard) | Verifici unde stochează furnizorul fișierele |
| Art. 83, amenzi | Până la 20 de milioane EUR sau 4% din cifra de afaceri mondială anuală pentru cele mai grave încălcări | Miza e reală |
Furnizorul este persoană împuternicită: contractul contează
Când un serviciu de transfer stochează fișiere în numele tău, el este persoană împuternicită de operator (în engleză, processor), iar tu ești operatorul. Articolul 28 îți cere să lucrezi doar cu furnizori care oferă garanții suficiente și să ai un contract (numit adesea DPA, data processing agreement) care prevede, printre altele, că furnizorul acționează doar pe baza instrucțiunilor tale documentate, păstrează confidențialitatea datelor, le securizează, apelează la subcontractanți doar cu acordul tău și permite audituri. Pentru uz profesional, verifică dacă furnizorul oferă astfel de condiții și publică lista subcontractanților.
Cere GDPR criptarea fișierelor?
Nu în mod absolut: articolul 32 cere o securitate „adecvată riscului” și dă ca exemple pseudonimizarea și criptarea datelor cu caracter personal. În practică, criptarea este nivelul minim așteptat când trimiți date personale prin internet și aduce un avantaj concret în caz de incident. Potrivit articolului 34 alin. (3) lit. (a), nu trebuie să informezi persoanele afectate de o încălcare dacă datele au fost făcute neinteligibile pentru oricine nu are drept de acces, de exemplu prin criptare.
Ghidurile Comitetului European pentru Protecția Datelor (EDPB) despre încălcările de securitate adaugă nuanțe importante: excepția se aplică datelor criptate corect, cu o cheie care nu a fost compromisă, iar pierderea singurei copii a unor date criptate rămâne o încălcare a disponibilității. Criptarea end-to-end, în care nici furnizorul nu poate citi fișierele, este forma cea mai puternică; vezi criptarea end-to-end, ce înseamnă.
Limitarea stocării: de ce ajută linkurile care expiră
Un dosar partajat care rămâne deschis ani de zile intră în conflict cu principiul că datele personale nu se păstrează mai mult decât e necesar. Linkurile de transfer care expiră după câteva zile, cu fișiere șterse la expirare, aplică articolul 5 alin. (1) lit. (e) și articolul 25 „implicit”, fără ca cineva să trebuiască să-și amintească să facă curat. Articolul nostru despre link cu parolă și dată de expirare propune durate pentru fiecare situație.
Transfer de date personale în afara UE: ce faci cu furnizorii din SUA?
Capitolul V din RGPD (articolele 44–49) permite transferurile în afara SEE doar cu o bază legală, precum o decizie de adecvare sau clauze contractuale standard. Pentru Statele Unite, Comisia Europeană a adoptat pe 10 iulie 2023 decizia de adecvare pentru Cadrul UE-SUA privind confidențialitatea datelor (EU-US Data Privacy Framework), care acoperă firmele americane autocertificate. Tribunalul Uniunii Europene a respins o contestație împotriva ei pe 3 septembrie 2025, iar în octombrie 2026 un recurs este pe rol la Curtea de Justiție. Cadrul este valabil azi, dar istoria lui (două aranjamente anterioare au fost anulate) explică de ce multe organizații preferă furnizori care țin datele în Europa.
Trimite date personale cu mai puține griji
Găzduire implicită în Europa, cu dată de expirare, parolă și criptare end-to-end în planul gratuit.
Checklist: cum alegi un serviciu de transfer potrivit pentru GDPR
- O politică de confidențialitate clară și condiții de prelucrare (DPA) pentru clienții profesionali, cu lista subcontractanților.
- Locul de stocare declarat, ideal în SEE, sau un mecanism de transfer valabil.
- Criptare în tranzit și la stocare și criptare end-to-end disponibilă pentru fișierele sensibile.
- Date de expirare cu ștergere automată, parole și limite de descărcări.
- Controlul accesului la expeditor: autentificare în doi pași, roluri în echipă.
- Posibilitatea de a șterge imediat un transfer dacă a ajuns la persoana greșită.
Checklist: cum îl folosești conform GDPR
Pasul 1
Reduci la minimum
Trimiți doar documentele și datele de care destinatarul are nevoie; restul îl acoperi sau îl scoți.
Pasul 2
Protejezi
Pui o parolă trimisă pe alt canal și folosești criptarea end-to-end pentru categoriile speciale de date (de exemplu, date despre sănătate) sau pentru actele de identitate.
Pasul 3
Limitezi în timp
Alegi o expirare scurtă și o limită de descărcări egală cu numărul destinatarilor.
Pasul 4
Verifici destinatarul
Controlezi adresa; e-mailurile trimise greșit sunt o sursă clasică de încălcări.
Pasul 5
Faci curat
Ștergi copiile locale și atașamentele trimise de care nu mai ai nevoie.
Pasul 6
Documentezi
Treci instrumentul în registrul activităților de prelucrare și păstrezi regula internă scurtă și cunoscută de toți.
Notificare încălcare GDPR: ce faci dacă un fișier ajunge la cine nu trebuie
Închide linkul imediat, verifică dacă fișierele au fost descărcate și evaluează riscul pentru persoanele vizate. Dacă încălcarea poate genera un risc pentru drepturile și libertățile lor, articolul 33 îți cere să notifici autoritatea de supraveghere fără întârzieri nejustificate și, dacă e posibil, în cel mult 72 de ore de când ai aflat. O propunere a Comisiei Europene (pachetul „Digital Omnibus”, noiembrie 2025) ar schimba aceste reguli, inclusiv cu un termen de 96 de ore, dar în octombrie 2026 nu fusese adoptată.
În România, notificarea se face la ANSPDCP pe formularul tipizat aprobat prin Decizia nr. 128/2018 a președintelui autorității, care poate fi depus online pe dataprotection.ro (secțiunea pentru operatori, „Notificare Breșă RGPD”). Articolul 33 alin. (3) spune ce trebuie să conțină notificarea: natura încălcării, categoriile și numărul aproximativ de persoane și de înregistrări vizate, datele de contact ale responsabilului cu protecția datelor, consecințele probabile și măsurile luate. Dacă nu ai totul din prima, informațiile pot fi furnizate treptat, iar orice încălcare, notificată sau nu, se documentează intern. Prevenția rămâne cea mai bună strategie: checklistul pentru trimitere fișiere în siguranță o acoperă pas cu pas.
Situații frecvente
| Situație | Risc principal | Setări recomandate |
|---|---|---|
| HR trimite fluturași de salariu sau contracte | Destinatar greșit, copii care rămân mult timp | Parolă, expirare scurtă, o singură descărcare |
| Cabinet de avocatură care face schimb de dosare | Confidențialitate | Criptare end-to-end și parolă; vezi avocați |
| Fotograf care livrează portrete | Imagini cu persoane identificabile | Parolă și dată de expirare |
| Școală care partajează lucrările elevilor | Date despre minori | Destinatari restrânși, expirare scurtă; vezi educație |
| Colectarea actelor de identitate de la clienți | Documente sensibile în căsuțele de e-mail | Cerere de fișiere cu parolă; vezi primirea fișierelor de la clienți |
Pentru o privire de ansamblu asupra măsurilor tehnice (criptare, parole, regiuni de stocare), vezi pagina despre transferul securizat de fișiere sau trimite direct un transfer cu expirare și parolă.
Trimite fișiere mari gratuit
- Până la 100 GB per transfer
- Fără cont
- Criptat și găzduit în Europa