27/10/2026
Sistemele de supraveghere video au devenit o componentă obișnuită a infrastructurii de securitate a instituțiilor publice și a operatorilor economici. Utilizarea acestora urmărește, în principal, protejarea persoanelor și a bunurilor, prevenirea incidentelor și asigurarea unui nivel adecvat de control asupra accesului în anumite spații. Dezvoltarea tehnologică a modificat însă substanțial natura acestor sisteme, care nu mai pot fi analizate exclusiv din perspectiva echipamentelor fizice instalate.
Camerele IP, echipamentele de înregistrare, platformele de management video, serviciile de stocare în cloud și aplicațiile care permit accesul de la distanță formează un ansamblu informatic interconectat. Funcționarea acestuia depinde de software, de configurația rețelei, de mecanismele de autentificare și de capacitatea producătorilor și administratorilor de a identifica și remedia vulnerabilitățile de securitate.
În aceste condiții, compromiterea unui sistem de supraveghere nu presupune doar pierderea temporară a imaginilor sau indisponibilitatea echipamentelor. Un asemenea incident poate permite accesul neautorizat la înregistrări, divulgarea datelor cu caracter personal, modificarea ori ștergerea unor materiale relevante probatoriu și, în anumite situații, utilizarea infrastructurii compromise ca punct de acces către alte sisteme informatice ale organizației.
Ghidul „Securitatea sistemelor de supraveghere”, publicat de Directoratul Național de Securitate Cibernetică în octombrie 2026, reflectă această schimbare de perspectivă, abordând sistemele de supraveghere ca infrastructuri informatice a căror securitate trebuie asigurată pe întreaga durată de utilizare.
Din punct de vedere juridic, această evoluție impune o analiză integrată a obligațiilor privind paza obiectivelor, securitatea cibernetică, protecția datelor cu caracter personal, achizițiile publice și răspunderea contractuală. Simpla existență a unui sistem funcțional sau instalarea unor echipamente performante nu demonstrează, prin ea însăși, îndeplinirea tuturor obligațiilor legale incidente.
Regimul juridic al sistemelor de supraveghere video este determinat de scopul utilizării, de caracteristicile tehnice ale infrastructurii, de natura datelor prelucrate și de statutul organizației care operează sistemul.
Un prim reper îl reprezintă Legea nr. 333/2003 privind paza obiectivelor, bunurilor, valorilor și protecția persoanelor, împreună cu normele metodologice aprobate prin Hotărârea Guvernului nr. 301/2012, în măsura în care sistemul intră sub incidența acestui cadru normativ. Aceste dispoziții trebuie avute în vedere în raport cu cerințele aplicabile organizării măsurilor de securitate fizică și utilizării mijloacelor tehnice de protecție.
În același timp, Regulamentul (UE) 2016/679 privind protecția datelor cu caracter personal (GDPR) devine relevant atunci când sistemul permite identificarea directă sau indirectă a persoanelor fizice. Înregistrarea imaginilor persoanelor care intră într-o instituție, într-un sediu comercial sau într-o unitate de producție reprezintă, de regulă, o operațiune de prelucrare a datelor cu caracter personal, supusă principiilor și obligațiilor prevăzute de regulament.
Un al treilea palier normativ este reprezentat de Ordonanța de urgență a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, aprobată cu modificări și completări prin Legea nr. 124/2025. Aplicabilitatea obligațiilor prevăzute de acest act normativ trebuie stabilită în funcție de încadrarea concretă a entității în categoriile reglementate și de condițiile prevăzute de lege. Nu orice organizație care utilizează camere video devine, exclusiv din acest motiv, o entitate supusă tuturor obligațiilor specifice regimului NIS2.
De asemenea, pentru produsele cu elemente digitale pot prezenta relevanță dispozițiile Regulamentului (UE) 2024/2847 privind cerințele orizontale de securitate cibernetică pentru produsele cu elemente digitale, cunoscut drept Regulamentul privind reziliența cibernetică (Cyber Resilience Act), cu respectarea calendarului său de aplicare etapizată.
În funcție de funcționalitățile sistemului, trebuie analizată și incidența Regulamentului (UE) 2024/1689 privind inteligența artificială, în special atunci când sunt utilizate mecanisme de analiză video avansată sau de identificare biometrică.
Aceste acte normative nu trebuie aplicate mecanic și nici confundate între ele. Fiecare instituie obligații distincte, care trebuie identificate în raport cu activitatea organizației, arhitectura tehnică și operațiunile efectiv desfășurate.
Unul dintre cele mai importante aspecte juridice ale supravegherii video îl constituie legalitatea prelucrării imaginilor și proporționalitatea măsurilor de monitorizare.
Potrivit principiilor prevăzute de GDPR, operatorul trebuie să stabilească anterior instalării sistemului scopul prelucrării, temeiul juridic, categoriile de date colectate, persoanele care pot avea acces la înregistrări și perioada de păstrare a acestora. Supravegherea video nu poate fi justificată exclusiv prin invocarea generică a securității, fără o analiză a necesității și proporționalității măsurii în raport cu scopul urmărit.
În cazul în care prelucrarea se bazează pe interesul legitim, operatorul trebuie să poată demonstra existența interesului invocat, necesitatea prelucrării și echilibrul dintre acest interes și drepturile și libertățile persoanelor vizate. În alte situații, temeiul juridic trebuie identificat în raport cu împrejurările concrete și cu normele aplicabile activității desfășurate.
O atenție deosebită trebuie acordată supravegherii angajaților. Existența unei relații de muncă nu conferă angajatorului un drept nelimitat de monitorizare, iar consimțământul angajatului nu reprezintă, de regulă, un temei adecvat atunci când dezechilibrul dintre părți afectează caracterul liber al acestuia. Supravegherea trebuie justificată printr-un scop legitim, limitată la ceea ce este necesar și organizată cu respectarea garanțiilor prevăzute de legislația aplicabilă.
În mod similar, amplasarea camerelor trebuie să respecte așteptările rezonabile de viață privată. Monitorizarea grupurilor sanitare, a spațiilor de odihnă sau a cabinetelor de examinare și tratament ridică probleme juridice deosebit de grave și nu poate fi legitimată prin simpla afișare a unui avertisment privind existența camerelor.
Informarea persoanelor vizate constituie o altă obligație esențială. Semnalizarea vizibilă înainte de intrarea în zona supravegheată trebuie completată cu informațiile prevăzute de art. 13 GDPR, într-o formă accesibilă. Totodată, operatorul trebuie să asigure exercitarea efectivă a drepturilor persoanelor vizate, inclusiv a dreptului de acces, cu protejarea drepturilor și libertăților celorlalte persoane surprinse în înregistrări.
Durata de păstrare a imaginilor trebuie stabilită în funcție de scopul concret al prelucrării și de necesitatea păstrării datelor. Nu există o justificare generală pentru stocarea nelimitată a înregistrărilor, iar accesul și exportul acestora trebuie supuse unor reguli clare, documentate și verificabile.
În situațiile prevăzute de art. 35 GDPR, operatorul trebuie să efectueze o evaluare de impact asupra protecției datelor înainte de începerea prelucrării. Necesitatea unei asemenea evaluări trebuie analizată în raport cu natura, domeniul de aplicare, contextul și scopurile operațiunilor, precum și cu criteriile aplicabile prelucrărilor susceptibile să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice.
Protecția datelor nu poate fi asigurată în mod efectiv fără măsuri corespunzătoare de securitate cibernetică. O organizație poate deține documentație formală privind supravegherea video și poate informa corespunzător persoanele vizate, dar poate rămâne expusă unor riscuri semnificative dacă echipamentele sunt configurate necorespunzător sau dacă accesul la înregistrări nu este controlat.
Articolul 32 GDPR impune operatorului și persoanei împuternicite de operator, după caz, adoptarea unor măsuri tehnice și organizatorice adecvate pentru asigurarea unui nivel de securitate corespunzător riscului. Evaluarea trebuie să țină seama de stadiul actual al dezvoltării tehnologice, de costurile implementării, de natura și scopul prelucrării, precum și de riscurile pentru persoanele vizate.
În cazul sistemelor de supraveghere, măsurile adecvate pot include înlocuirea credențialelor implicite, utilizarea unor conturi individuale, limitarea privilegiilor administrative, criptarea comunicațiilor, actualizarea firmware-ului, dezactivarea serviciilor inutile și păstrarea jurnalelor de acces și de modificare a configurației.
Accesul la distanță necesită o atenție particulară. Expunerea directă a camerelor sau a echipamentelor de înregistrare în internet, prin intermediul unor porturi deschise nejustificat, poate crea o cale de acces pentru persoane neautorizate. Atunci când administrarea de la distanță este necesară, aceasta ar trebui realizată prin mecanisme securizate, controlate de organizație și, după caz, prin autentificare multifactor.
De asemenea, separarea sistemului de supraveghere de rețeaua informatică generală poate limita propagarea efectelor unui incident. Segmentarea rețelei, restricționarea comunicațiilor și documentarea arhitecturii tehnice contribuie la reducerea riscului ca o cameră compromisă sau un echipament de înregistrare vulnerabil să permită accesul la alte resurse informatice ale organizației.
Din perspectivă juridică, aceste măsuri nu trebuie privite exclusiv ca recomandări tehnice independente de obligațiile operatorului. În măsura în care sunt necesare pentru îndeplinirea cerințelor legale aplicabile, lipsa lor poate deveni relevantă la evaluarea caracterului adecvat al măsurilor de securitate adoptate.
Totuși, niciun incident nu determină automat răspunderea operatorului. Analiza trebuie să țină seama de obligațiile efectiv aplicabile, de riscurile care puteau fi identificate în mod rezonabil, de măsurile adoptate și de împrejurările concrete în care s-a produs incidentul.
O problemă frecvent neglijată este aceea că securitatea unui sistem de supraveghere începe înainte de instalarea echipamentelor, respectiv în etapa definirii cerințelor și a selectării furnizorului.
În cazul autorităților contractante, documentația de achiziție trebuie elaborată în concordanță cu scopul urmărit, cu necesitățile identificate și cu normele aplicabile achizițiilor publice. Evaluarea soluțiilor nu ar trebui redusă la prețul inițial, la rezoluția camerelor sau la capacitatea de stocare, ci trebuie să ia în considerare și posibilitatea administrării securizate, disponibilitatea actualizărilor, durata suportului tehnic, interoperabilitatea și dependența față de furnizor.
Din această perspectivă, caietul de sarcini ar trebui să includă cerințe verificabile privind autentificarea, controlul accesului, jurnalizarea, criptarea, actualizările de securitate, copiile de siguranță, restaurarea și documentația tehnică predată beneficiarului.
La fel de importantă este reglementarea contractuală a accesului furnizorului. Contractul trebuie să clarifice în ce condiții poate fi accesat sistemul, cine autorizează intervențiile, cum sunt înregistrate operațiunile și când se revocă drepturile de acces. Dacă furnizorul sau integratorul are acces la date cu caracter personal, trebuie analizată și calificarea juridică a relației dintre părți, inclusiv necesitatea unui contract conform art. 28 GDPR, atunci când sunt îndeplinite condițiile aplicabile persoanei împuternicite de operator.
De asemenea, este utilă introducerea unor clauze privind notificarea vulnerabilităților, disponibilitatea actualizărilor, timpii de răspuns la incidente, durata suportului tehnic și predarea documentației necesare administrării independente a sistemului.
Recepția nu trebuie să se limiteze la confirmarea livrării și instalării echipamentelor. Ea ar trebui să permită verificarea funcționalităților contractate, a setărilor de securitate, a conturilor și rolurilor, a jurnalizării, a mecanismelor de backup și a delimitării accesului furnizorului.
O recepție pur formală poate transfera în etapa de exploatare vulnerabilități care sunt mai dificil și mai costisitor de remediat ulterior. Din acest motiv, documentarea verificărilor efectuate și consemnarea neconformităților identificate au atât o valoare operațională, cât și una juridică, inclusiv în cazul unor litigii ulterioare privind executarea contractului.
Compromiterea unui sistem de supraveghere poate genera forme diferite de răspundere, în funcție de natura obligației încălcate, de statutul persoanei responsabile și de consecințele produse.
În materia protecției datelor, încălcarea obligațiilor prevăzute de GDPR poate atrage măsuri corective și, dacă sunt îndeplinite condițiile legale, sancțiuni administrative. În cazul producerii unui prejudiciu material sau moral ca urmare a încălcării regulamentului, poate deveni incident și mecanismul de despăgubire prevăzut de art. 82 GDPR, în condițiile stabilite de acesta.
În plan contractual, răspunderea poate interveni atunci când furnizorul nu își îndeplinește obligațiile asumate privind securitatea produselor, actualizările, suportul tehnic, confidențialitatea sau remedierea deficiențelor. În sens invers, pot apărea consecințe juridice și pentru beneficiar atunci când acesta nu respectă condițiile de utilizare, nu gestionează corespunzător accesul sau nu își îndeplinește obligațiile care îi revin în temeiul contractului.
Pentru entitățile care intră în domeniul de aplicare al OUG nr. 155/2024, incidentele trebuie analizate și prin prisma obligațiilor specifice de gestionare a riscurilor și de raportare. Încadrarea unui eveniment drept incident semnificativ nu se prezumă exclusiv din faptul că a fost afectat un sistem de supraveghere, ci trebuie stabilită în raport cu criteriile legale și cu impactul asupra entității și a serviciilor sale.
În același timp, dacă incidentul implică o încălcare a securității datelor cu caracter personal, trebuie analizate separat obligațiile prevăzute de art. 33 și 34 GDPR. Notificarea autorității de supraveghere în termen de 72 de ore de la constatare este necesară atunci când sunt îndeplinite condițiile art. 33, iar comunicarea către persoanele vizate este impusă în situațiile prevăzute de art. 34.
Este esențială, așadar, diferențierea dintre incidentul tehnic, incidentul de securitate cibernetică relevant pentru un anumit regim normativ și încălcarea securității datelor cu caracter personal. Aceste categorii se pot suprapune, dar nu sunt identice și pot genera obligații distincte.
Într-o eventuală analiză a răspunderii, documentația privind evaluarea riscurilor, actualizările aplicate, accesările sistemului, intervențiile furnizorului și măsurile de limitare a efectelor incidentului poate avea un rol determinant în reconstituirea faptelor și în stabilirea conduitei fiecărei părți.
O abordare juridică adecvată nu se poate limita la momentul instalării sau al recepției sistemului. Riscurile evoluează pe măsură ce apar vulnerabilități noi, se schimbă personalul, sunt modificate configurațiile sau încetează suportul oferit de producător.
Organizația trebuie să poată demonstra, în măsura impusă de cadrul legal aplicabil, că sistemul este administrat în mod controlat, că accesul este acordat în funcție de atribuții și că intervențiile tehnice sunt documentate. Revizuirea periodică a permisiunilor, aplicarea actualizărilor și verificarea mecanismelor de restaurare contribuie la menținerea unui nivel adecvat de securitate.
În egală măsură, scoaterea din funcțiune a echipamentelor nu trebuie tratată ca o simplă operațiune de inventariere. Discurile, cardurile de memorie și celelalte suporturi pot conține înregistrări sau configurații sensibile, iar conturile și conexiunile asociate pot rămâne active după retragerea echipamentului.
O dezafectare corespunzătoare presupune identificarea componentelor retrase, revocarea acceselor, ștergerea securizată sau distrugerea documentată a suporturilor, după caz, actualizarea inventarului și eliminarea integrărilor care nu mai sunt necesare.
Aceste operațiuni închid ciclul de viață al sistemului și reduc riscul ca datele sau punctele de acces să rămână expuse după încetarea utilizării sale.
Sistemele de supraveghere video trebuie analizate ca infrastructuri care reunesc securitatea fizică, tehnologia informației și prelucrarea datelor cu caracter personal. Această realitate impune o abordare juridică integrată, în care obligațiile operatorului nu se limitează la justificarea instalării camerelor și la afișarea informărilor destinate persoanelor vizate.
Conformitatea presupune identificarea corectă a cadrului normativ aplicabil, evaluarea riscurilor, adoptarea măsurilor tehnice și organizatorice adecvate, selectarea atentă a furnizorilor, formularea unor clauze contractuale corespunzătoare și verificarea efectivă a sistemului înainte de punerea în funcțiune.
Ghidul DNSC din octombrie 2026 oferă un reper practic pentru integrarea securității cibernetice în toate aceste etape. Caracterul său orientativ nu trebuie confundat cu cel al unui act normativ, însă recomandările sale pot contribui la identificarea riscurilor și la documentarea măsurilor adoptate de organizație.
În final, securitatea unui sistem de supraveghere nu poate fi apreciată exclusiv prin funcționarea camerelor sau prin calitatea imaginilor înregistrate. Criteriul relevant este capacitatea organizației de a utiliza sistemul în condiții de legalitate, de a proteja datele colectate, de a preveni accesul neautorizat și de a demonstra că riscurile au fost identificate și gestionate în mod adecvat.
Redactor: P.A.
