Datele angajaților: ce ai voie să ceri, ce le spui și cât păstrezi

În septembrie 2026, ANSPDCP a anunțat amendarea unei firme din industria alimentară cu 26.236 de lei pentru pontajul cu amprentă. Autoritatea a constatat că firma nu avea temei legal pentru amprentele angajaților, că același scop se putea atinge cu mijloace mai puțin intruzive și i-a cerut să înlocuiască sistemul.

Aproape tot ce faci cu datele angajaților e cerut de lege, deci e permis, dar fiecare pas în plus are nevoie de un motiv. Aici afli pe ce temei folosești datele oamenilor tăi, ce nu ai voie să le ceri, ce scrii în nota de informare, de ce acordul lor rareori ajută și cât păstrezi dosarele, statele de plată și celelalte documente de personal.

Important: articolul are caracter informativ și nu constituie consultanță juridică. Pentru situația ta concretă, mai ales la date despre sănătate, cazier sau monitorizare, discută cu un specialist în protecția datelor sau în dreptul muncii.

Pe scurt

• Nu ai nevoie de acordul angajaților pentru contract, salarii, REGES-ONLINE, declarațiile fiscale sau medicina muncii. Temeiul e contractul sau obligația legală.

• La angajare ceri doar ce trebuie pentru post. Testul de sarcină e interzis, diagnosticul nu îl afli, iar certificatul de integritate sau cazierul îl ceri doar unde o lege o cere.

• Le dai o notă de informare (articolul 13 din GDPR) când începe colaborarea: ce date ai, de ce, cui le dai și cât le păstrezi.

• Acordul îl folosești doar unde omul poate refuza fără consecințe, de exemplu pentru poza lui pe site sau pe Facebook.

• Păstrezi după reguli diferite: statele de plată 5 ani, dosarul de personal fără un termen fix în lege, filmările cu angajați cel mult 30 de zile.

Pe ce temei folosești datele angajaților

Orice prelucrare de date are nevoie de unul dintre cele șase temeiuri din articolul 6 din GDPR. Pentru angajați, aproape totul intră în două dintre ele.

Contractul de muncă

Ca să încheii și să execuți contractul (articolul 6 alineatul (1) litera b) din GDPR), ai nevoie de nume, adresă, studii, funcție, salariu, contul bancar pentru plată, concediile și evaluările. Nu ceri voie pentru ele, pentru că fără ele nu există contract.

Obligațiile legale

Multe date le folosești pentru că legea te obligă (articolul 6 alineatul (1) litera c)):

• Registrul de evidență a salariaților. Codul muncii, art. 34, te obligă să-l ții. Acum se completează în REGES-ONLINE, după HG 295/2025; vechiul Revisal și HG 905/2017 au ieșit din uz la sfârșitul lui 2025. Trimiți acolo, printre altele, numele, CNP-ul, cetățenia, funcția, salariul și, pentru persoanele cu dizabilități, gradul de handicap (art. 4).

• Dosarul de personal. Același HG 295/2025, art. 8, îți cere un dosar pentru fiecare salariat, cu actele de angajare, contractul, actele adiționale, actele de studii și documentele de încetare, păstrat la sediu „în condiții care să asigure securitatea datelor”.

• Salariile și taxele. Calculezi și reții impozitul și contribuțiile, depui declarațiile la ANAF și ții statele de plată.

• Medicina muncii. Fără certificat medical de aptitudine nu poți angaja pe nimeni (Codul muncii, art. 27).

Mai rămâne interesul legitim (litera f), pentru ce nu cere legea, dar ține de buna funcționare a firmei: camerele, controlul accesului, emailul de serviciu. Acolo cântărești interesul tău față de viața privată a oamenilor.

Ce nu ai voie să ceri

Regula de bază e în Codul muncii, art. 29 alin. (3): informațiile cerute celui care vrea să se angajeze „nu pot avea un alt scop decât acela de a aprecia capacitatea de a ocupa postul respectiv”. Nu întrebi de planuri de familie, religie, sindicat sau politică.

Ce poți cere la angajare. Sursa: Codul muncii, art. 27 și 29; GDPR, art. 9 și 10; Legea 118/2019, art. 18; HG 355/2007, art. 17. Exemplul cu amprenta vine din sancțiunea ANSPDCP din septembrie 2026.

Date despre sănătate

Sănătatea e o „categorie specială” de date, pe care articolul 9 din GDPR o interzice, cu excepții. Excepția pentru angajator e litera b): obligațiile din dreptul muncii. În practică:

• Testul de sarcină la angajare e interzis explicit (Codul muncii, art. 27 alin. (4)).

• Nu afli diagnosticul. Medicul de medicina muncii completează fișa de aptitudine în două exemplare, unul pentru tine și unul pentru angajat (HG 355/2007, art. 17). Pe ea scrie „apt”, „apt condiționat” sau „inapt”. Dosarul medical rămâne la medic, sub secret medical (art. 46).

• Certificatele de concediu medical le vede doar cine calculează indemnizația, nu șeful de echipă.

În februarie 2025, ANSPDCP a amendat cu 9.949,6 lei un fost angajator care dăduse unei terțe persoane contractul de muncă, fișa de aptitudine și o adeverință medicală ale unui fost salariat; documentele au ajuns într-un proces.

Cazierul și certificatul de integritate

Datele despre condamnări au regimul cel mai strict: articolul 10 din GDPR le permite doar sub controlul unei autorități sau când o lege o prevede. Codul muncii nu îți dă un drept general să ceri cazierul. Îl ceri doar unde o lege specială o face.

Cel mai des întâlnit caz e Legea 118/2019, art. 18: firmele din învățământ, sănătate, protecție socială, educație fizică și sport, precum și orice firmă a cărei activitate presupune contact direct cu copii, vârstnici sau persoane cu dizabilități, ori examinarea fizică sau evaluarea psihologică a unei persoane, sunt obligate să ceară certificatul de integritate comportamentală. Un cabinet stomatologic, o sală de sport sau un after-school intră aici; o firmă de contabilitate, nu. Articolul a fost modificat prin Legea 38/2026, iar din martie 2026 nerespectarea lui de către cei responsabili din firmă e infracțiune (art. 21 alin. (2)).

Și când ai voie să-l ceri, notează doar că l-ai văzut și rezultatul, fără copii în plus.

Ce scrii în nota de informare

Când începi colaborarea, îi dai angajatului o notă de informare cu tot ce cere articolul 13 din GDPR:

1. cine e angajatorul și cum te contactează pentru datele lui (și datele DPO-ului, dacă ai unul);

2. pentru ce folosești datele și pe ce temei: contract, salarizare, REGES-ONLINE, medicina muncii, camere, email de serviciu;

3. cui le dai: ITM, ANAF, casa de sănătate, banca pentru salariu, firma de contabilitate sau de salarizare, medicul de medicina muncii;

4. dacă ajung în afara Uniunii Europene, de exemplu printr-un program de pontaj din SUA;

5. cât le păstrezi, pe categorii;

6. drepturile lui (acces, rectificare, ștergere când e cazul, opoziție) și dreptul de a face plângere la ANSPDCP.

Cere-i o semnătură sau o confirmare de primire și pune-o la dosar: la un control, sarcina de a dovedi informarea e a ta. În martie 2026, ANSPDCP a sancționat un angajator și pentru informarea incompletă despre înregistrarea ședințelor de cercetare disciplinară.

Monitorizarea are o regulă în plus. Legea 190/2018, art. 5, permite camerele video și monitorizarea comunicațiilor electronice ale angajaților doar cu informare prealabilă completă, consultarea sindicatului sau a reprezentanților, după ce măsurile mai blânde nu au mers, și cu păstrarea datelor cel mult 30 de zile. Toate detaliile, cu amenzile date pentru camere, sunt în articolul despre camerele video în magazin sau cabinet.

De ce acordul angajatului rareori ajută

Mulți angajatori pun angajatul să semneze „sunt de acord cu prelucrarea datelor mele”. Nu ajută. Consimțământul e valabil doar dacă e dat liber, iar Ghidul EDPB 05/2020 privind consimțământul (punctele 21–22) spune că, din cauza dependenței față de angajator, este puțin probabil ca un angajat să poată refuza fără teama de consecințe.

Concluzia ghidului: pentru cele mai multe prelucrări la locul de muncă, temeiul „nu poate și nu ar trebui să fie” consimțământul. Iar un acord poate fi retras oricând, lăsându-te fără temei pentru ceva ce oricum trebuia să faci.

Acordul funcționează doar unde refuzul chiar nu are urmări. Exemplul din ghid (punctul 23) e o filmare în birou: cine nu vrea să apară primește un birou echivalent în altă parte a clădirii, fără nicio sancțiune.

Pozele angajaților pe site și pe rețele

Aici acordul e temeiul potrivit. Poza unui angajat pe pagina „Echipa”, într-o postare pe Facebook sau într-un clip de prezentare nu e necesară pentru contract. Cere acordul separat de contract, pentru fiecare folosire (site, rețele, materiale tipărite), și spune clar că refuzul nu are consecințe. Când omul își retrage acordul sau pleacă, scoți poza de pe site.

Cât păstrezi documentele de personal

GDPR spune doar că datele se păstrează cât e necesar scopului. Termenele concrete vin din legile românești, iar unde legea tace, le stabilești tu și le scrii în registrul prelucrărilor.

Termenul de 5 ani pentru statele de plată e nou: până în 2022 era de 50 de ani. Legea contabilității, art. 25, în forma modificată de Legea 36/2023, spune acum explicit că registrele și documentele justificative se păstrează 5 ani, „inclusiv pentru statele de salarii”.

Pentru dosarul de personal, HG 295/2025 îți cere să eliberezi fostului salariat, la cerere, copii din dosar și o adeverință de vechime în cel mult 15 zile lucrătoare (art. 8 alin. (4) și (7)), iar omul poate avea nevoie de ele ani mai târziu, la pensie. De aceea multe firme păstrează dosarele zeci de ani după plecare. Alege un termen pe care îl poți explica, scrie-l în registru și ține dosarele încuiate, nu pe un raft din hol.

Pentru candidați, regula și excepțiile sunt în articolul despre cât păstrezi CV-urile candidaților.

Cine vede datele angajaților

Codul muncii, art. 40 alin. (2) lit. i), te obligă să asiguri „confidențialitatea datelor cu caracter personal ale salariaților”. Pe lângă cazul cu fișa medicală de mai sus:

• octombrie 2024: un lanț de magazine a trimis copii ale cărților de identitate ale mai multor angajați unei firme care îi presta servicii, fără temei legal: 49.744 de lei;

• martie 2026: un angajator care a dezvăluit datele unui salariat medicului lui de familie: 5.095 de lei, pe lângă amenda pentru o cameră purtată pe corp.

Firma de contabilitate sau de salarizare e o „persoană împuternicită”, adică prelucrează datele în numele tău, deci ai nevoie de un contract de prelucrare cu ea (articolul 28 din GDPR).

Checklist pentru datele angajaților

• Fă lista documentelor cerute la angajare și taie ce nu ține de post; verifică dacă domeniul tău cere certificatul de integritate.

• Dă fiecărui angajat nota de informare și păstrează confirmarea de primire.

• Scoate din contracte clauza „sunt de acord cu prelucrarea datelor”; cere acord separat doar pentru poze și alte lucruri opționale.

• Înlocuiește pontajul cu amprentă sau recunoaștere facială cu card sau cod, dacă îl ai.

• Încuie dosarele de personal și dă acces doar celor care lucrează cu ele.

• Semnează contractul de prelucrare cu firma de contabilitate sau de salarizare.

• Trece în registrul prelucrărilor salarizarea, evidența personalului, medicina muncii și recrutarea, separat, fiecare cu termenul ei.

Întrebări frecvente

Documentele pentru angajați, cu SmartDPO

În SmartDPO răspunzi „Da” la întrebarea „Ai angajați?”, iar activitățile pentru personal apar în registrul prelucrărilor cu temeiul legal, destinatarii și termenele de păstrare completate, pe care le verifici și le ajustezi. Din registru se generează nota de informare pentru angajați, cu loc de semnătură, și politica internă; pe planul Firmă, angajații confirmă online că le-au citit și parcurg modulul de instruire despre datele personale la locul de muncă. Vezi ce face aplicația sau încearcă 30 de zile gratuit, fără card.