# Contract de prelucrare a datelor: listă de verificare pentru instrumentele web

> Când aveți nevoie de un contract de prelucrare a datelor conform art. 28 GDPR, ce conținut obligatoriu are și la ce să fiți atenți la instrumentele de marketing.

Quelle: https://whovisit.app/ro/blog/contract-prelucrare-date-instrumente-web
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Aproape orice instrument pe care îl folosiți pe site prelucrează date în numele dumneavoastră: analiză web, newsletter, CRM, hartă termică, chat. De îndată ce sunt implicate date cu caracter personal, GDPR cere un contract cu furnizorul. Acesta se numește contract de prelucrare a datelor (în germană Auftragsverarbeitungsvertrag, pe scurt AV-Vertrag sau AVV). Acest articol explică când aveți nevoie de el, ce trebuie să conțină și la ce să vă gândiți la alegerea unui instrument.

## Când aveți nevoie de un contract de prelucrare a datelor

Art. 28 GDPR se aplică atunci când un prestator prelucrează date cu caracter personal **în numele dumneavoastră** și conform instrucțiunilor dumneavoastră. Dumneavoastră sunteți atunci operatorul (în germană Verantwortlicher), iar furnizorul este persoana împuternicită de operator (Auftragsverarbeiter). Textul legii îl găsiți în [GDPR pe EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679).

Nu orice relație este prelucrare în numele operatorului. Ar trebui să distingeți trei situații:

| Situație | Caracteristică | Contract |
|---|---|---|
| Prelucrare în numele operatorului | Furnizorul acționează doar conform instrucțiunilor dumneavoastră | Contract de prelucrare conform art. 28 |
| Responsabilitate comună | Dumneavoastră și furnizorul decideți împreună asupra scopului și mijloacelor | Acord conform art. 26 |
| Operator propriu | Furnizorul folosește datele în scopuri proprii | După caz, temei juridic propriu și transfer |

Hotărâtor este cine stabilește scopul și mijloacele, nu cum se numește contractul. Un furnizor care folosește datele și în scopuri proprii, de exemplu pentru îmbunătățirea propriilor produse dincolo de serviciul prestat pentru dumneavoastră, nu mai este pentru acea parte persoană împuternicită. Conform art. 28 alin. 10, o persoană împuternicită care stabilește ea însăși scopul și mijloacele este considerată operator pentru această prelucrare.

## Conținut obligatoriu conform art. 28 alin. 3

Contractul trebuie să stabilească obiectul și durata prelucrării, natura și scopul, tipul de date și categoriile de persoane vizate. În plus, trebuie să prevadă că persoana împuternicită:

- **a)** prelucrează datele numai pe baza unor instrucțiuni documentate, inclusiv în cazul transferurilor către o țară terță,
- **b)** folosește persoane obligate la confidențialitate,
- **c)** adoptă măsurile prevăzute la art. 32,
- **d)** respectă condițiile pentru alte persoane împuternicite,
- **e)** vă sprijină la cererile persoanelor vizate,
- **f)** vă sprijină în privința obligațiilor din art. 32 până la 36,
- **g)** după încheierea serviciului șterge sau restituie datele, la alegerea dumneavoastră,
- **h)** furnizează dovezi și permite verificări.

Contractul trebuie redactat în scris, un format electronic este suficient (alin. 9). Un cadru-model îl oferă Comisia Europeană cu [clauzele contractuale standard pentru prelucrare](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915). Conform art. 28 alin. 6, contractul se poate baza în întregime sau parțial pe acestea.

## Subcontractanți

Dacă furnizorul folosește la rândul său prestatori, de exemplu un furnizor de hosting, se aplică două reguli din art. 28 alin. 2 și 4:

- Are nevoie de autorizarea dumneavoastră scrisă prealabilă, specifică sau generală. În cazul unei autorizări generale, trebuie să vă informeze despre orice modificare planificată. Puteți atunci să vă opuneți.
- Trebuie să impună subcontractanților aceleași obligații de protecție a datelor. Dacă un subcontractant nu le respectă, prima persoană împuternicită răspunde față de dumneavoastră.

Cereți de aceea furnizorului o listă actuală a subcontractanților săi, cu sediul și sarcina fiecăruia.

## Țara terță

Dacă datele sunt prelucrate în afara UE și a SEE sau pot fi accesate de acolo, se aplică în plus regulile privind transferurile către țări terțe (capitolul V, art. 44 și urm. GDPR). Sunt obișnuite trei căi: o decizie de adecvare a Comisiei, clauze contractuale standard pentru transfer sau reguli corporatiste obligatorii. Pentru SUA există din 2023 o [decizie de adecvare privind EU-US Data Privacy Framework](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795). Aceasta se aplică doar întreprinderilor care participă la cadru. Este contestată în justiție, verificați situația actuală. Un server în UE rezolvă subiectul dacă nici furnizorul, nici un subcontractant dintr-o țară terță nu poate accesa datele.

## Listă de verificare pentru instrumentele de analiză și marketing

1. **Clarificați rolul.** Furnizorul prelucrează doar pentru dumneavoastră sau și în scopuri proprii?
2. **Verificați contractul.** Conține toate punctele din art. 28 alin. 3?
3. **Descrieți datele.** Sunt indicate concret tipul de date și categoriile de persoane vizate?
4. **Examinați subcontractanții.** Există o listă și o procedură pentru modificări?
5. **Întrebați locația serverului.** Unde se află datele, cine poate accesa?
6. **Documentați calea pentru țara terță.** Ce temei susține un transfer?
7. **Reglementați ștergerea.** Ce se întâmplă cu datele după încheierea contractului?
8. **Citiți măsurile tehnice.** Criptare, drepturi de acces, jurnalizare.

Păstrați contractul în documentația dumneavoastră și includeți instrumentul în registrul activităților de prelucrare conform art. 30 GDPR. Mai ales la instrumentele care se încarcă abia după consimțământ, contractul este o a doua condiție, separată. Consimțământul de pe dispozitiv nu îl înlocuiește, cum arată [§ 25 TDDDG: cookie-uri și tracking în Germania](https://whovisit.app/blog/tdddg-paragraf-25-cookies).

## Ce riscați în caz de încălcări

Dacă lipsește contractul sau este incomplet, autoritatea de supraveghere poate sancționa acest lucru. Pentru încălcarea obligațiilor din art. 28, art. 83 alin. 4 GDPR prevede amenzi de până la 10 milioane de euro sau de până la 2 la sută din cifra de afaceri mondială anuală, în funcție de care sumă este mai mare. Acesta este cadrul, nu o prognoză pentru un caz individual.

## Și în Elveția?

Legea elvețiană privind protecția datelor reglementează prelucrarea de către persoanele împuternicite în art. 9 DSG. Ideea este asemănătoare, formularea este alta. Cine se adresează unor persoane vizate din UE are, de regulă, nevoie de contractul conform GDPR. Dacă acest lucru se aplică ofertei dumneavoastră explică [Tracking pe site în Elveția: revDSG și FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg).

## Întrebări frecvente

**Am nevoie de un contract de prelucrare dacă instrumentul afișează doar nume de firme?** Depinde dacă furnizorul prelucrează pentru dumneavoastră date cu caracter personal, de exemplu adrese IP, fie și pentru scurt timp. În caz de îndoială încheiați contractul, costă aproape nimic. Dacă o adresă IP constituie date cu caracter personal explică [Adresa IP și GDPR: sunt date cu caracter personal?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo).

**Este suficient să accept condițiile generale ale furnizorului?** Numai dacă acestea conțin tot conținutul obligatoriu, iar reglementarea se recunoaște clar ca contract sau act adițional. Mulți furnizori pun la dispoziție contractul de prelucrare ca document separat, pentru încheiere.

**Trebuie să semnez contractul?** Trebuie redactat în scris. Un format electronic este suficient conform art. 28 alin. 9, de aceea încheierea prin clic este obișnuită.