HG 602/2026: ce date prelucrează WorkinRomania.gov.ro, cum sunt protejate și ce evidențe se interconectează

Hotărârea Guvernului nr. 602/2026, publicată în Monitorul Oficial nr. 658 din 7 august 2026 și în vigoare din aceeași zi, este actul care pune „carnea" pe platforma WorkinRomania.gov.ro. OUG 32/2026 a spus că există o platformă și ce se face prin ea; HG 602/2026 spune cum funcționează concret: ce date colectează despre angajatori, agenții și lucrători, cu ce registre ale statului se leagă, ce verificări face automat, cine răspunde de securitate și ce drepturi are omul ale cărui date ajung acolo.

Hotărârea a fost adoptată în temeiul art. 3 alin. (7) din OUG 32/2026 și interesează trei categorii de cititori: angajatorii (pentru că definește operațiunile din platformă și cine le poate face), agențiile de plasare (aceleași reguli, plus regimul sesizărilor) și lucrătorii străini (pentru că datele lor sunt cele prelucrate, iar funcția de sesizare le este dedicată).

Cine administrează platforma și cum e construită

Platforma este un modul al hub-ului de servicii al MAI (hub.mai.gov.ro), dezvoltat și administrat tehnic de Ministerul Afacerilor Interne prin Direcția generală pentru comunicații și tehnologia informației (DGCTI) — art. 3 alin. (1). Modulul de înregistrare și autorizare a angajatorilor și agențiilor este administrat operațional de ANOFM, care configurează fluxurile de lucru și gestionează conturile administratorilor de structură din fiecare instituție — art. 3 alin. (2).

Arhitectural există două componente (art. 3 alin. (3)–(5)):

• componenta publică, accesibilă pe internet la WorkinRomania.gov.ro, pentru persoane fizice, angajatori și agenții;
• componenta internă, expusă doar prin rețeaua MAI (RCVD) și Extranet STS, folosită de personalul instituțiilor pentru procesarea cererilor.

Componenta internă transmite cererile, documentele și rezultatele verificărilor către sistemele proprii ale IGI, MAE, ANAF și Ministerului Educației și Cercetării, într-un schimb bidirecțional securizat, cu trasabilitate a operațiunilor — art. 3 alin. (6)–(7). Dacă interconectarea pică, conturile interne rămân disponibile — art. 3 alin. (8).

Cele 10 evidențe ale statului cu care se interconectează

Art. 4 alin. (1) enumeră registrele la care platforma se leagă direct:

Suplimentar, platforma are un mecanism separat, bazat pe fișiere, pentru schimbul de informații cu Oficiul Național de Prevenire și Combatere a Spălării Banilor — art. 4 alin. (3).

Practic, asta înseamnă că o parte din condițiile pe care le verifica până acum funcționarul din hârtii (situația fiscală, cazierul, existența firmei, locul de muncă vacant declarat) sunt verificate automat, iar documentele se încarcă doar când condiția nu poate fi verificată direct de autoritate — art. 10 alin. (2).

Ce date personale sunt prelucrate

Art. 5 este lista exhaustivă a datelor despre persoane fizice prelucrate în platformă:

• identificare: nume, prenume, data și locul nașterii, CNP, cetățenia actuală și la naștere, sex, adresa de domiciliu/reședință din străinătate sau din România;
• documente de călătorie și ședere: serie și număr pașaport/viză/permis de ședere, autoritatea emitentă, data emiterii și expirării;
• contact: e-mail, telefon, fax;
• muncă și întreținere: date privind locul de muncă, dovada mijloacelor de întreținere, asigurarea medicală de călătorie;
• antecedente: istoricul condamnărilor penale definitive;
• familie: starea civilă, numele soțului/soției, date despre copii și membri de familie;
• calitatea față de entitatea solicitantă (administrator, asociat, reprezentant legal, persoană desemnată etc.);
• situația creanțelor fiscale;
• itinerarul călătoriei;
• calitatea de entitate gazdă.

Cine este „persoana vizată"? Nu doar lucrătorul străin, ci și reprezentanții legali, asociații, acționarii și administratorii firmelor și agențiilor, precum și persoanele desemnate să opereze în platformă — toți intră în definiția utilizatorului extern de la art. 2 alin. (1) lit. e).

Utilizatorul extern și persoanele desemnate

Contul din platformă aparține utilizatorului extern: persoana fizică, reprezentantul legal, acționarul, asociatul sau administratorul entității — art. 2 alin. (1) lit. e). Acesta poate desemna una sau mai multe persoane cu care entitatea are contract de muncă sau alt raport juridic — art. 8 alin. (1).

Persoanele desemnate pot (art. 8 alin. (2)): încărca documentele pentru autorizare sau prelungire, cererile de înregistrare ca angajator, documentele despre entitățile străine de plasare, completa și transmite cereri unice pentru străini, încărca date și documente și urmări stadiul cererilor.

Două limite importante:

1. Inițierea cererii de înregistrare ca angajator, autorizare ca angajator autorizat sau autorizare/prelungire ca agenție se face exclusiv de utilizatorul extern — art. 8 alin. (3). Persoana desemnată continuă, nu pornește.
2. Persoana desemnată operează numai după ce confirmă desemnarea în platformă — art. 8 alin. (4).

Răspunderea pentru datele și documentele introduse de persoanele desemnate rămâne a entității — art. 8 alin. (5). Revocarea se face din platformă, are efect imediat și nu afectează operațiunile deja făcute — art. 8 alin. (6). Entitatea are obligația de a verifica periodic lista persoanelor desemnate și de a revoca de îndată pe cei care au plecat din firmă sau nu mai sunt autorizați să acționeze — art. 8 alin. (7). Pentru un departament HR asta înseamnă o rutină nouă: la fiecare plecare din echipă, revocarea accesului în WorkinRomania.gov.ro intră pe lista de offboarding.

Cum se generează o cerere: verificările automate

Cererea de înregistrare/autorizare se generează numai după ce utilizatorul (art. 10 alin. (3)):

• confirmă că datele de identificare sunt reale și actuale;
• își dă acordul pentru prelucrarea datelor personale;
• iar platforma constată automat că documentele încărcate sunt semnate cu semnătură electronică calificată.

Documentele se încarcă în format electronic, semnate calificat, doar pentru condițiile pe care autoritățile nu le pot verifica direct — art. 10 alin. (2). Cererea poate fi retrasă până la soluționarea ei de ANOFM — art. 10 alin. (4).

Pentru cererea unică (viză de lungă ședere pentru angajare sau prelungirea dreptului de ședere în scop de muncă, când OUG 194/2002 prevede depunerea prin platformă), generarea se face numai după completarea integrală a formularelor și după ce sistemul verifică automat că sunt încărcate documente pentru toate categoriile cerute de OUG 194/2002 și că sunt respectate limitele numerice de străini angajați sau plasați din OUG 32/2026 — art. 11 alin. (3). Cererea de prelungire poate fi retrasă până la soluționare; cererea de viză, doar până la transmiterea către eViza — art. 11 alin. (4).

Oferta fermă și respingerea automată

Art. 12 conține regula cu cel mai mare impact practic pentru angajatori:

1. Oferta fermă de locuri de muncă se preia automat din evidența ANOFM a locurilor vacante declarate conform art. 10 din Legea 76/2002; utilizatorul completează doar informațiile suplimentare — alin. (1).
2. Platforma verifică automat dacă ocupația din ofertă se regăsește în Lista ocupațiilor deficitare — alin. (2).
3. Ofertele care nu menționează o ocupație din listă sunt respinse automat, cu notificarea utilizatorului și a persoanelor desemnate — alin. (3).

Consecința: dacă postul nu a fost declarat vacant la ANOFM sau ocupația nu e pe listă (ori e scrisă cu alt cod COR decât cel de pe listă), oferta nici nu ajunge la un funcționar. Verificați lista și declarația de loc vacant înainte de a intra în platformă.

Programarea depunerilor și transparența cozii

Art. 9 permite DGCTI să configureze mecanisme de programare a depunerii cererilor, la solicitarea ANOFM, IGI sau MAE, în raport cu capacitatea lor operațională, cu respectarea transparenței, nediscriminării și proporționalității. Programarea se configurează distinct pe fiecare tip de cerere (înregistrare, autorizare angajator, autorizare agenție) și, pentru cererile unice, distinct pentru vizele D/AM1 și D/AM2 — alin. (3)–(4). Platforma trebuie să afișeze public numărul de cereri încărcate, în procesare și soluționate — alin. (5). Cu alte cuvinte, pot exista ferestre de depunere, iar coada este vizibilă.

Soluționarea și comunicarea actelor

Cererile sunt analizate de utilizatorii interni prin componenta internă sau prin sistemele proprii ale instituțiilor interconectate; deciziile se înregistrează în platformă și fundamentează actul administrativ — art. 14 alin. (1)–(2). Actele administrative emise în aplicarea OUG 32/2026 sau OUG 194/2002 se comunică prin platformă și pot fi văzute în contul utilizatorului extern și al persoanelor desemnate — alin. (3). Platforma trimite automat notificări prin SMS și e-mail la datele de contact asociate conturilor, cu privire la necesitatea accesării platformei — alin. (4). Nu așteptați plicul: verificați contul.

Art. 16 adaugă un mecanism care lucrează singur: în funcție de sancțiunile aplicate, platforma actualizează automat statusul angajatorului sau agenției, aplică restricții tehnice la plasarea de noi străini și deblochează automat funcționalitățile pentru schimbarea angajatorului.

Sesizările lucrătorilor străini

Art. 2 alin. (1) lit. f) definește sesizarea ca funcționalitate prin care străinii cu contract de muncă pot reclama și raporta situații de abuz. Art. 15 detaliază: formular electronic standardizat, cu suport multilingv, în care se descrie situația și se pot încărca documente sau fișiere multimedia (foto, video, audio) — alin. (1)–(2). Sesizarea este direcționată automat, prin canale securizate și în timp real, către autoritatea competentă, iar la datele de identificare ale reclamantului au acces exclusiv autoritățile care o soluționează — alin. (3). Destinatarii minimi sunt Inspecția Muncii, IGI și ANOFM — alin. (4). Platforma permite comunicarea între reclamant și autoritate prin modulul dedicat, iar autoritatea încarcă concluziile și măsurile dispuse — alin. (5)–(6).

Pentru lucrător, asta înseamnă un canal oficial care nu trece prin angajator sau agenție și în care identitatea lui nu este vizibilă altor entități decât autorității care verifică.

Măsurile de securitate

DGCTI, ca administrator tehnic, trebuie să asigure cel puțin (art. 17 alin. (1)): autentificarea utilizatorilor, inclusiv cu mai mulți factori pentru conturile din componenta publică; controlul accesului și al privilegiilor; criptarea datelor în tranzit și în repaus; detectarea și prevenirea intruziunilor; segmentarea rețelelor; jurnalizarea operațiunilor; monitorizarea evenimentelor de securitate; backup și recuperare în caz de dezastru; monitorizarea continuă a disponibilității și integrității. Instituțiile interconectate răspund fiecare de securitatea propriilor sisteme — art. 7 alin. (2). Incidentele cibernetice se raportează cu celeritate CSIRT-ului din cadrul Direcției generale de protecție internă a MAI — art. 17 alin. (3). DGCTI trebuie să pună la dispoziție ghiduri de utilizare detaliate prin platformă — art. 17 alin. (2).

Încălcarea securității datelor

Dacă are loc o încălcare a securității datelor personale, operatorul la care s-a produs evaluează încălcarea, consultă ceilalți operatori asociați și notifică ANSPDCP și/sau informează persoanele vizate, potrivit art. 33–34 din GDPR sau art. 36 și 39 din Legea 363/2018, după scopul prelucrării — art. 18 alin. (1). În evaluare sunt implicați responsabilul cu protecția datelor (DPO), o persoană din structura unde s-a produs incidentul și, după caz, una din IT&C; notificarea și informarea le face DPO-ul — alin. (2)–(3).

Cât timp se păstrează datele și jurnalele

Datele personale se stochează pe teritoriul României, potrivit nomenclatoarelor arhivistice ale operatorilor asociați și Legii Arhivelor Naționale 16/1996 — art. 19 alin. (1). La expirarea termenelor și după selecționare, datele se șterg automat și ireversibil, cu excepția celor folosite în proceduri judiciare, care urmează regimul probelor — alin. (2).

Separat, platforma ține o evidență a prelucrărilor din care se poate identifica cine a făcut ce (art. 21): stația de lucru sau IP-ul și utilizatorul, categoriile de informații accesate, tipul operațiunii, motivul concret al prelucrării, codul operației sau programul, data și ora exactă (an, lună, zi, oră, minut, secundă) — alin. (2). Jurnalul se folosește doar pentru monitorizarea protecției datelor și securitate și se șterge după 5 ani, cu aceeași excepție judiciară — alin. (3)–(4). Persoanele juridice, publice sau private, care folosesc platforma își stabilesc proceduri interne de conformitate cu HG și cu legislația privind protecția datelor — alin. (5). Aceasta din urmă e o obligație și pentru angajatorul privat: nu e suficient să ai cont, trebuie să ai și o procedură scrisă despre cine îl folosește și cum.

Instruirea utilizatorilor

Utilizatorii interni și externi și persoanele desemnate sunt instruiți cu privire la protecția datelor înainte de validarea accesului și apoi cel puțin o dată pe an — art. 20 alin. (1). Instruirea acoperă prelucrarea exclusiv pentru atribuțiile de serviciu, potrivit procedurilor legale și cu respectarea legislației privind protecția datelor — alin. (2) — și este făcută de DPO-ul entității desemnat conform art. 37 GDPR — alin. (3). Formularea „la nivelul entității" implică faptul că, pentru un angajator privat, instruirea persoanelor pe care le desemnează este responsabilitatea lui.

Drepturile persoanei vizate

Drepturile de acces, rectificare, ștergere, restricționare etc. se exercită potrivit capitolului III din GDPR și se soluționează după procedurile proprii ale operatorilor asociați (ANOFM, MMFTSS, MAI, MAE, Ministerul Finanțelor, Ministerul Justiției) — art. 22 alin. (1). Operatorii trebuie să afișeze, în spațiile publice și pe site-uri, un ghid de exercitare a drepturilor cu datele de contact ale operatorului și ale DPO-ului, plus formulare-tip de cereri — alin. (2)–(4). Cererile de rectificare sau ștergere se notifică reciproc de îndată între operatori — alin. (6); restricționarea prelucrării dispusă de unul dintre operatorii responsabili cu datele se notifică MAI (administratorul tehnic) în cel mult 24 de ore — alin. (7).

Un lucrător care vrea să știe ce date sunt despre el în platformă poate deci face o cerere de acces la oricare dintre operatorii asociați, folosind formularul-tip pe care aceștia sunt obligați să-l publice.

Rapoarte și statistici publice

Art. 6 obligă componenta internă să genereze automat, anonimizat, rapoarte privind: numărul de angajatori înregistrați, autorizați, suspendați și radiați pe coduri CAEN; agențiile autorizate, suspendate sau cu autorizația retrasă, cu numărul de străini pentru care au fost autorizate; cererile unice depuse, în curs, aprobate și respinse, defalcate pe tipuri de viză D/AM1 și D/AM2, pe angajator/agenție și cetățenie; vizele emise pe tipuri; ocupațiile COR pentru care s-au încărcat contracte și s-au emis vize; contingentul de lucrători străini. Este prima dată când statistica pieței muncii pentru lucrătorii non-UE va putea fi urmărită pe fluxul real, nu pe estimări.

Ce ai de făcut concret, dacă ești angajator sau agenție

1. Cont validat în hub.mai.gov.ro pentru reprezentantul legal/administrator, apoi înregistrare și validare în WorkinRomania.gov.ro — art. 2 alin. (1) lit. a)–b).
2. Semnătură electronică calificată pentru toate documentele încărcate — art. 10 alin. (2)–(3).
3. Declară locurile vacante la ANOFM și verifică ocupația în Lista ocupațiilor deficitare înainte de a încărca oferta fermă — art. 12.
4. Desemnează persoanele care operează în platformă, cere-le să confirme desemnarea, ține lista curată și revocă imediat la plecare — art. 8.
5. Scrie o procedură internă de utilizare a platformei și de protecție a datelor și instruiește-i pe cei desemnați înainte de acces și anual — art. 20, art. 21 alin. (5).
6. Verifică contul, nu poșta: actele administrative se comunică în platformă, iar SMS-ul/e-mailul doar te anunță — art. 14.

Ce înseamnă pentru lucrătorul străin

Datele lui — de la pașaport la starea civilă și cazier — sunt prelucrate de un sistem cu criptare, jurnalizare și ștergere automată la termen, în care fiecare accesare lasă urmă timp de 5 ani. Are un canal de sesizare multilingv protejat, la care angajatorul și agenția nu au acces. Și are dreptul să întrebe oricare dintre operatorii asociați ce date există despre el, folosind formularul pe care aceștia trebuie să-l publice.

---

Această resursă are caracter informativ și reflectă textul HG nr. 602/2026 publicat în Monitorul Oficial nr. 658 din 7 august 2026, precum și OUG 32/2026 (MO 335/27.04.2026). Textele oficiale și comunicările instituțiilor competente prevalează. Pentru situații concrete, recomandăm consultarea unui specialist.