Удалить номер из базы и запретить рекламу: какие права дает жителям Молдовы «местный GDPR»

Юлия Михайлова

23 августа 2026, 18:01

рисунок открытого замка на фоне кода — Иллюстрация из отрытых источников

С 23 августа в Молдове действуют новые правила защиты персональных данных. Теперь человек может узнать, какие сведения о нем собрали, откуда их получили и кому передали, потребовать исправить или удалить данные и запретить использовать их для рекламы.

Компании и государственные учреждения должны собирать только нужные сведения, объяснять, зачем они это делают, не хранить их бесконечно и сообщать о серьезных утечках.

Разбираемся, что изменилось и как воспользоваться новыми правами.

Не совсем. GDPR — регламент Европейского союза, а Молдова пока не входит в ЕС. Однако молдавский Закон № 195/2024 о защите персональных данных построен на тех же принципах и переносит основные правила GDPR в национальное законодательство. На подготовку компаниям и учреждениям дали два года: закон приняли в июле 2024 года, опубликовали 23 августа, а применять начали 23 августа 2026 года.

Одновременно вступил в силу отдельный Закон № 160/2026. Он регулирует работу с данными, которые полиция, прокуратура и другие органы используют для предотвращения и расследования преступлений.

Что вообще считается персональными данными?

Практически любая информация, по которой можно прямо или косвенно узнать человека.

Это не только имя, телефон, домашний адрес или IDNP, но и:

фотография и видеозапись;
электронная почта и IP-адрес;
геолокация;
история покупок;
номер автомобиля;
сведения о работе, зарплате и здоровье;
отпечатки пальцев и другие биометрические данные;
файлы cookie и другие интернет-идентификаторы, если они позволяют выделить конкретного пользователя.

Например, запись «клиент № 245 из Бельц, регулярно покупает корм для кошек и платит одной и той же картой» тоже может позволить установить личность — даже без фамилии.

Особенно строго защищаются сведения о здоровье, политических и религиозных взглядах, этническом происхождении, членстве в профсоюзах, сексуальной жизни, а также генетические и биометрические данные.

Кого касается новый закон?

Почти всех, кто регулярно работает с данными людей: государственных учреждений, банков, больниц, школ, работодателей, магазинов, служб доставки, мобильных операторов, интернет-платформ и общественных организаций.

В законе их называют операторами данных. Это не обязательно оператор мобильной связи. Оператор — тот, кто решает, какие сведения собирать, зачем и как их использовать.

Салон красоты становится оператором, когда ведет базу клиентов с именами, телефонами и историей посещений. Работодатель — когда хранит личные дела сотрудников. Интернет-магазин — когда получает адрес покупателя и передает его курьеру.

Личных и семейных дел закон не касается. Хранить номера друзей в телефоне и собирать семейный фотоальбом можно, конечно, без специальных процедур.

Теперь для любого действия нужно спрашивать согласие?

Нет. Согласие — только одно из законных оснований для работы с данными. Оно не требуется, если сведения нужны для исполнения договора или закона, оказания срочной помощи, работы государственных органов либо защиты законного интереса компании, который не нарушает права человека.

Например, интернет-магазину не нужно отдельное согласие, чтобы передать курьеру адрес заказа. Работодатель может отправить предусмотренные законом сведения о сотруднике налоговой службе, а больница — использовать данные пациента для срочной помощи.

Но магазин не может считать, что вместе с заказом человек навсегда согласился получать рекламу.

Если компания ссылается именно на согласие, оно должно быть добровольным, конкретным и понятным. Заранее поставленная галочка или фраза «продолжая пользоваться сайтом, вы соглашаетесь со всем» этим требованиям может не соответствовать.

Отозвать согласие должно быть так же легко, как дать его.

Что компания обязана рассказать человеку?

При сборе данных компания или учреждение должны понятным языком сообщить:

кто и какие сведения собирает;
зачем и на каком основании;
как долго их будут хранить;
кому могут передать, в том числе за границу;
какие права есть у человека;
куда обращаться с вопросами или жалобой.

Спрятать все это в длинном тексте, написанном исключительно для юристов, недостаточно. Информация должна быть доступной и понятной — особенно если ее адресуют ребенку.

Можно узнать, что обо мне хранит компания?

Да. Можно потребовать копию своих данных, а также узнать, откуда их получили, зачем используют, кому передавали и сколько собираются хранить.

Например, если вам звонит неизвестная кредитная компания, можно написать: Прошу сообщить, какие мои персональные данные вы обрабатываете, откуда они получены, для чего используются и кому передавались.

Обычно ответ должны дать бесплатно в течение месяца. Сложный запрос можно рассматривать еще два месяца, но человека обязаны предупредить о продлении и объяснить причину. Организация также может попросить подтвердить личность, чтобы не отдать данные постороннему.

Получив ответ, человек может потребовать исправить ошибочные сведения, удалить ненужные или незаконно собранные данные, ограничить их использование либо прекратить рекламу. Если компания откажется или не ответит, можно жаловаться в Национальный центр защиты персональных данных или обращаться в суд.

Можно потребовать удалить свои данные?

Да, но не всегда. Данные должны удалить, если они больше не нужны, были собраны незаконно либо человек отозвал согласие, а другого законного основания для их хранения нет.

Например, магазин может удалить телефон бывшего клиента из рекламной базы. Но банк не обязан уничтожать сведения о завершенной операции, если закон требует хранить их определенное время. Больница также может сохранять медицинскую документацию в течение установленного срока.

«Право быть забытым» не действует, если данные нужны для выполнения закона, судебного разбирательства, общественно значимого архива или защиты свободы слова и права на информацию. Исключения перечислены в статье 17.

Можно запретить рекламные звонки и сообщения?

Да. Человек может в любой момент отказаться от использования своих данных для прямой рекламы.

Достаточно написать: Я возражаю против использования моего номера телефона и других персональных данных для прямого маркетинга. Прошу исключить меня из рекламной базы.

После этого компания не может продолжать рассылку или обзвоны, ссылаясь на свой «законный интерес». Для прямой рекламы отказ человека имеет приоритет. Это предусмотрено статьей 21 закона.

Может ли компьютер сам отказать в кредите или работе?

Компании уже используют программы, которые оценивают людей без прямого участия сотрудника. Например, банковская система анализирует доход, возраст, долги и историю платежей, выставляет клиенту балл и автоматически отказывает в кредите. Такой же алгоритм может отсеять резюме кандидата еще до того, как его увидит работодатель.

Если автоматическое решение серьезно влияет на жизнь человека, он в предусмотренных законом случаях может узнать, что его не приняла программа, потребовать проверки сотрудником, изложить свою позицию и оспорить результат.

Это не означает, что банк обязан выдать кредит, а работодатель — принять человека на работу. Но окончательное решение не должно оставаться необъяснимым приговором компьютера. Правила закреплены в статье 22.

Что с данными детей?

Если онлайн-сервис работает непосредственно с ребенком и просит согласие на обработку его данных, подросток может дать его самостоятельно с 14 лет. Для ребенка младше 14 лет согласие должен дать или подтвердить законный представитель.

Например, если образовательное приложение предлагает 13-летнему ребенку создать профиль и использовать сведения о его занятиях для персональных рекомендаций, согласие должен дать родитель. В 15 лет подросток может согласиться сам.

Это правило касается именно онлайн-сервисов и обработки данных на основании согласия. Оно не означает, что с 14 лет ребенок самостоятельно решает абсолютно все вопросы, связанные со своими данными.

Объяснять детям, что именно собирает приложение и зачем, должны особенно простым языком.

А камеры в магазинах, подъездах и дворах теперь запрещены?

Нет. Но нельзя установить камеру «на всякий случай» и снимать все вокруг.

У видеонаблюдения должна быть понятная цель — например, безопасность людей и имущества. Необходимо ограничить угол съемки, доступ к записям и срок их хранения, а людей предупредить о камерах.

В многоквартирном доме камеры у входа, на территории парковки или во дворе может устанавливать ассоциация собственников кондоминиума. Решение нельзя единолично принять соседу, который хочет снимать общую лестницу, двор и всех входящих в дом.

Камера не должна без необходимости захватывать двери и окна чужих квартир, соседний участок или большую часть улицы. Запись разговоров обычно представляет еще более серьезное вмешательство в частную жизнь.

CNPDCP уже рассматривал случай, когда жилец установил камеры в подъезде и на внешней стене дома: они снимали общую лестницу, двор и дорогу. Центр признал такое наблюдение чрезмерным и указал, что камеры в общих пространствах должна устанавливать ассоциация собственников, а не отдельный сосед.

Что должна сделать компания при утечке данных?

Сначала выяснить, что произошло, какие сведения утекли и чем это грозит людям.

Если утечка создает риск для их прав и свобод, компания должна по возможности уведомить CNPDCP не позднее 72 часов после того, как узнала об инциденте. При высоком риске необходимо сообщить и самим пострадавшим.

Опасной утечкой может быть кража базы с паспортными данными и телефонами клиентов, взлом медицинской системы или случайная рассылка документа с зарплатами всем сотрудникам компании.

Если компания пропустила 72-часовой срок, она должна объяснить задержку. Все подобные инциденты необходимо документировать, даже если уведомлять Центр не потребовалось.

Каждой небольшой компании придется нанимать специалиста?

Нет. DPO — Data Protection Officer, или ответственный за защиту данных, — обязателен не для всех.

Он нужен государственным учреждениям, а также организациям, которые в больших масштабах систематически наблюдают за людьми или обрабатывают медицинские, биометрические и другие особо защищенные данные.

Небольшому магазину или парикмахерской не требуется отдельный штатный DPO только потому, что у них есть база клиентов. Эту работу также можно поручить внешнему специалисту — закон допускает оба варианта.

Но размер бизнеса не освобождает от остальных правил. Компания все равно должна знать, какие данные хранит, зачем они нужны, кто имеет к ним доступ и как их защищают.

Что изменится для журналистов?

Новый закон не требует получать согласие каждого человека перед публикацией его имени, фотографии или другой информации.

Для журналистики предусмотрено отдельное исключение: если редакция готовит общественно значимый материал и обычные правила защиты данных мешают свободе слова и информирования, они могут не применяться. Но редакция должна уметь объяснить, в чем общественный интерес и зачем в публикации нужны конкретные персональные данные.

Новый закон также не закрывает автоматически доступ к декларациям о доходах, судебным решениям и сведениям о работе чиновников. Их публикацию регулируют отдельные законы. Власти не могут скрывать под предлогом защиты данных имя, должность, образование, зарплату, конфликт интересов или непогашенное дисциплинарное взыскание публичного служащего.

При этом чувствительные сведения, не имеющие отношения к общественному интересу, могут скрыть или обезличить. На практике остается риск, что учреждения начнут трактовать защиту данных слишком широко, но одной фразы «это персональные данные» для законного отказа недостаточно.

А полиция должна по требованию удалить сведения из дела?

Не обязательно. Для полиции, прокуратуры и других органов, которые используют данные для предотвращения и расследования преступлений, действует отдельный Закон № 160/2026.

Доступ к информации могут ограничить, если ее раскрытие помешает расследованию, розыску подозреваемого или обеспечению безопасности. Но и правоохранительные органы должны собирать данные законно, использовать их только для установленных целей и защищать от посторонних.

Какие предусмотрены штрафы?

Максимальный штраф зависит от нарушения.

За проблемы с безопасностью, учетом данных, сообщением об утечке или назначением DPO — до 1 млн леев либо 1% годового оборота предприятия.
За незаконный сбор и использование данных, нарушение прав человека, правил согласия или передачи данных за границу — до 2 млн леев либо 2% годового оборота.

В каждом случае выбирают большую сумму. Это молдавские пределы: европейские штрафы до 4% оборота здесь не применяются.

Но миллион или два миллиона не назначат автоматически за любую ошибку. Центр должен учитывать тяжесть и продолжительность нарушения, число пострадавших и то, пыталась ли компания исправить ситуацию. Вместо штрафа он может ограничиться предупреждением или предписанием устранить нарушение.

Полные санкции вводят постепенно:

в первый год — 10% от рассчитанного Центром штрафа;
во второй — 40%;
с третьего года — вся сумма.

Это касается только размера наказания. Соблюдать закон необходимо уже с 23 августа 2026 года.

Куда обращаться, если мои данные используют незаконно?

Сначала стоит письменно обратиться в компанию или учреждение: спросить, откуда получены данные, потребовать исправить или удалить их, ограничить использование либо прекратить рекламу. Копию обращения лучше сохранить.

Если ответа нет, он не устраивает человека или нарушение уже произошло, можно подать жалобу в Национальный центр защиты персональных данных:

электронная почта: [email protected];
телефон: (022) 820 801;
адрес: Кишинев, улица Сергея Лазо, 48.

Жалоба не лишает человека права обратиться в суд и потребовать компенсацию материального или морального ущерба.

Полный перечень прав CNPDCP собрал в отдельном официальном разделе.

Главное изменение можно сформулировать совсем просто: организация больше не должна собирать сведения о человеке по принципу «вдруг пригодятся». Она обязана заранее понимать, какие данные ей нужны, зачем, на какой срок и как она защитит их от посторонних.

Читайте также: