Contabilul și GDPR: cine e operator și ce contract semnați

În iunie 2025, ANSPDCP a anunțat amendarea unei firme de contabilitate cu 50.553 de lei (10.000 de euro). După un atac informatic, au ajuns la cine nu trebuia state de plată, acte constitutive și documente contabile ale clienților, cu datele unui număr foarte mare de oameni, în principal angajați ai clienților. Incidentul l-au notificat și firma, și doi dintre clienții ei, pentru care, scrie ANSPDCP, firma acționa ca „împuternicit”.

Dacă ai o firmă mică, contabilul extern are probabil cele mai multe date despre oamenii tăi: CNP-uri, salarii, concedii, conturi bancare. Aici afli dacă e operator sau persoană împuternicită, ce înseamnă asta pentru contractul vostru, cum îi trimiți datele, cât le păstrează și ce să-l întrebi.

Important: articolul are caracter informativ și nu constituie consultanță juridică. Pentru contractul cu contabilul tău sau după un incident la firma de contabilitate, discută cu un specialist în protecția datelor sau cu un avocat.

Pe scurt

• Pentru ținerea contabilității și salarizare, contabilul e de regulă persoană împuternicită: lucrează cu datele firmei tale, pentru tine. CECCAR a recomandat în 2019 exact această încadrare în contractele membrilor.

• Pentru ce îi cere legea profesiei și pentru auditul financiar, decide singur, deci e operator pentru acea parte.

• Ai nevoie de un contract de prelucrare, de obicei ca anexă GDPR la contractul de servicii contabile, cu clauzele de la articolul 28.

• Trimite datele printr-un portal sau un spațiu cu acces controlat, nu ca atașamente pe email, și doar ce îi trebuie.

• Documentele contabile se păstrează 5 ani, inclusiv statele de salarii, după Legea contabilității. Obligația e a firmei tale.

Împuternicit sau operator? Ce spun ghidul EDPB și CECCAR

Regula generală, explicată în ghidul despre contractul de prelucrare: furnizorul care lucrează cu datele doar pentru tine, după instrucțiunile tale, e persoană împuternicită; cel care decide singur ce face cu ele e operator separat. La contabil răspunsul depinde de serviciu.

Ghidul EDPB 07/2020 are un exemplu chiar despre contabili, după punctul 40:

• o firmă de contabilitate care face audit pentru un client decide singură, după legea care îi reglementează activitatea, ce date colectează, cât le păstrează și ce mijloace tehnice folosește. Pentru audit, e operator separat;

• dacă legea nu îi dă obligații specifice și clientul îi dă instrucțiuni foarte detaliate, firma de contabilitate e persoană împuternicită;

• ghidul face diferența între prelucrarea care ține, după legile profesiei, de activitatea de bază a contabilului și cea care e o sarcină auxiliară, mai limitată, făcută ca parte a activității clientului.

În același loc, ghidul dă exemplul firmei care administrează salariile: angajatorul îi spune cui plătește, ce sume, până când, ce date trimite la fisc. Administratorul poate alege programul pe care îl folosește, dar rămâne persoană împuternicită.

Profesia din România a ales aceeași încadrare. Pe 11 martie 2019, CECCAR, corpul experților contabili și al contabililor autorizați, a recomandat membrilor să includă în contracte clauze speciale pentru datele personale, după cum a relatat Contabilul.ro. Clauzele spun că beneficiarul serviciilor contabile e operator, iar expertul contabil sau contabilul autorizat e persoană împuternicită, care lucrează doar după instrucțiunile clientului și folosește datele doar pentru contract. Ultima clauză precizează că ele nu afectează independența profesională a contabilului.

Unde contabilul decide singur

Contabilul nu e un simplu executant. OG 65/1994 privind expertiza contabilă și contabilii autorizați (forma consolidată la 15 iulie 2017) îi dă atribuții proprii și obligații proprii:

• expertul contabil ține și verifică contabilitatea, întocmește și semnează situațiile financiare, face declarațiile fiscale și îl reprezintă pe client la fisc (art. 6 lit. a);

• contabilul autorizat ține contabilitatea și face evidența electronică a personalului și salarizarea (art. 10);

• la intrarea în profesie, fiecare jură să păstreze secretul profesional (art. 22 alin. 4).

Cum face contabilitatea după normele profesiei decide el, nu tu. GDPR ține cont de asta: articolul 28 alineatul (3) litera a) permite împuternicitului să facă ce îi impune legea care i se aplică, chiar fără instrucțiunea ta, cu obligația să-ți spună dinainte. Iar pentru datele lui despre tine ca client (contractul, facturile, corespondența), contabilul e operator.

Când e contabilul împuternicit și când e operator. Surse: Ghidul EDPB 07/2020, exemplele „Contabili” și „Administrarea salariilor”; recomandarea CECCAR din 11 martie 2019; Legea 82/1991, art. 25. Încadrarea pentru cazul tău o confirmă un specialist.

Ce înseamnă asta pentru contractul vostru

Dacă pentru contabilitate și salarizare contabilul e împuternicit, aveți nevoie de un contract de prelucrare după articolul 28. De obicei e o anexă GDPR la contractul de prestări servicii contabile. Verifică dacă al tău o are; multe contracte vechi nu o au. Pe lângă clauzele obligatorii pentru orice împuternicit, la contabil merită scrise concret:

• ce date primește și despre cine: angajați (identificare, CNP, salariu, concedii, cont bancar), colaboratori, clienți persoane fizice de pe facturi;

• ce face cu ele: contabilitate, salarizare, declarații, relația cu ANAF și ITM în numele firmei, cu mențiunea obligațiilor lui legale proprii;

• cine are acces la el în firmă și faptul că oamenii lui sunt ținuți de confidențialitate;

• unde stau datele: programul de contabilitate, salarizare, email, cloud. Furnizorii acestora sunt sub-împuterniciții lui și trebuie să-i cunoști;

• în cât timp te anunță la un incident la el, ca să poți decide la timp dacă notifici ANSPDCP;

• ce se întâmplă la final: îți predă documentele și registrele și șterge copiile, cu excepția celor pe care legea îl obligă să le păstreze.

Datele despre sănătate din certificatele de concediu medical sau din dosarele de handicap sunt date sensibile. Trimite-i doar ce îi trebuie pentru calcul și declarații, nu tot dosarul angajatului. Ce mai ține de dosarul de personal găsești în articolul despre datele angajaților.

Ce date îi trimiți și cum

Cele mai multe probleme apar la transmitere, nu la contabil. Un stat de plată atașat pe email ajunge ușor la destinatarul greșit, rămâne ani întregi în căsuțele amândurora și e expus dacă una dintre căsuțe e spartă.

Securitatea contabilului contează la fel de mult. În noiembrie 2025, ANSPDCP a amendat un expert contabil care lucra ca PFA cu 10.167 lei, după un atac care i-a blocat accesul la propriile sisteme și a expus nume, CNP-uri, adrese, extrase de cont, facturi și declarații fiscale ale unui număr semnificativ de oameni. Autoritatea a reținut lipsa măsurilor de securitate potrivite riscului. Dacă incidentul îl lovește pe contabil, pentru datele firmei tale notificarea e de regulă obligația ta; pașii sunt în articolul despre incidentele de securitate și cele 72 de ore.

Cât păstrează contabilul datele

Articolul 25 din Legea contabilității 82/1991 spune că registrele contabile obligatorii și documentele justificative se păstrează 5 ani, calculați de la 1 iulie a anului următor încheierii exercițiului financiar în care au fost întocmite, inclusiv statele de salarii. Regula e în această formă din ianuarie 2023, după Legea 36/2023; înainte, termenul era de 10 ani, iar pentru statele de salarii de 50 de ani. Situațiile financiare anuale se păstrează 10 ani (art. 35 alin. 3).

Obligația de păstrare e a firmei tale, nu a contabilului: legea o pune în sarcina celor care au obligația să țină contabilitate. Practic:

• stabiliți în contract unde stă arhiva: la tine sau la contabil, în numele tău;

• când vă despărțiți, contabilul îți predă documentele și registrele, iar tu verifici că ai tot ce trebuie păstrat;

• ce mai păstrează el după predare trebuie să aibă o bază: o obligație legală a lui sau dovada propriei activități;

• după termen, documentele se distrug, nu se păstrează „pentru orice eventualitate”.

Pentru unele documente, alte legi pot cere termene mai lungi. Fă lista cu contabilul și treci termenele în registrul prelucrărilor.

Ce îl întrebi pe contabil

1. Avem o anexă GDPR la contract, cu clauzele de la articolul 28?

2. Ce programe și servicii folosești pentru datele mele și unde sunt găzduite? Ies datele din Spațiul Economic European?

3. Cine din firma ta are acces la datele angajaților mei?

4. Folosești autentificare în doi pași pentru email, portal și programul de contabilitate? Faci copii de siguranță?

5. Cum preferi să-ți trimit statele de plată și certificatele medicale?

6. În cât timp mă anunți dacă ai un incident care îmi afectează datele?

7. Mă ajuți dacă un angajat îmi cere copia datelor lui?

8. Ce se întâmplă cu documentele mele dacă încheiem colaborarea?

Un contabil care răspunde clar și în scris la aceste întrebări îți dă și dovada că l-ai verificat, ceea ce articolul 28 alineatul (1) îți cere.

Greșeli frecvente

• „Avem contract cu contabilul, deci e în regulă.” Un contract de servicii contabile fără clauzele de la articolul 28 nu e contract de prelucrare. Caută anexa GDPR sau cere-o.

• Programul de facturare îl socotești al contabilului. Dacă tu ai contul în aplicația de facturare sau de salarizare în cloud și îi dai acces contabilului, furnizorul aplicației e împuternicitul tău, cu contractul lui. Dacă programul e al contabilului, e sub-împuternicitul lui.

• Contabilul lipsește din registru. În registrul prelucrărilor, contabilul apare ca destinatar la salarizare, la contabilitate și la facturare. La rândul lui, ca împuternicit, are propriul registru cu ce face pentru clienți (articolul 30 alineatul (2)).

• Firma de salarizare uitată. Dacă salariile le face altă firmă decât contabilul, ai nevoie de un contract de prelucrare și cu ea.

Întrebări frecvente

Contabilul în lista furnizorilor, cu SmartDPO

În SmartDPO, contabilul, firma de salarizare și serviciile de cloud apar în lista furnizorilor, unde vezi cu cine ai contract de prelucrare și cu cine nu. Dacă al tău nu are un contract propriu, îl generezi din aplicație, după articolul 28, completat din datele firmei. Vezi ce face aplicația sau încearcă planul gratuit, pentru o firmă.