ПП 602/2026: какие данные обрабатывает WorkinRomania.gov.ro, как они защищены и какие реестры подключены

Постановление Правительства № 602/2026 (HG), опубликованное в Официальном вестнике № 658 от 7 августа 2026 года и вступившее в силу в тот же день, — это акт, который наполняет платформу WorkinRomania.gov.ro конкретным содержанием. OUG 32/2026 сказало, что платформа существует и что через неё делается; HG 602/2026 говорит, как она реально работает: какие данные она собирает о работодателях, агентствах и работниках, с какими государственными реестрами связана, какие проверки выполняет автоматически, кто отвечает за безопасность и какие права имеет человек, чьи данные туда попадают.

Постановление принято на основании ст. 3 ч. (7) OUG 32/2026 и касается трёх групп читателей: работодателей (потому что оно определяет операции на платформе и кто может их выполнять), агентств по трудоустройству (те же правила плюс режим жалоб) и иностранных работников (потому что обрабатываются именно их данные, а функция жалоб предназначена для них).

Кто управляет платформой и как она устроена

Платформа — модуль хаба услуг MAI (hub.mai.gov.ro), разработанный и технически администрируемый Министерством внутренних дел через Главное управление связи и информационных технологий (DGCTI) — ст. 3 ч. (1). Модуль регистрации и авторизации работодателей и агентств оперативно администрируется ANOFM, который настраивает рабочие процессы и управляет учётными записями администраторов структур в каждом учреждении — ст. 3 ч. (2).

Архитектурно есть два компонента (ст. 3 ч. (3)–(5)):

• публичный компонент, доступный через интернет по адресу WorkinRomania.gov.ro, для физических лиц, работодателей и агентств;
• внутренний компонент, доступный только через сеть MAI (RCVD) и Экстранет STS, используемый сотрудниками учреждений для обработки заявок.

Внутренний компонент передаёт заявки, документы и результаты проверок в собственные системы IGI, MAE, ANAF и Министерства образования и исследований в рамках защищённого двустороннего обмена с прослеживаемостью операций — ст. 3 ч. (6)–(7). Если соединение недоступно, внутренние учётные записи остаются доступными — ст. 3 ч. (8).

10 государственных реестров, с которыми она связана

Ст. 4 ч. (1) перечисляет реестры, к которым платформа подключается напрямую:

Кроме того, у платформы есть отдельный файловый механизм обмена информацией с Национальным управлением по предотвращению и борьбе с отмыванием денег — ст. 4 ч. (3).

На практике это означает, что часть условий, которые чиновник раньше проверял по бумагам (налоговый статус, судимость, существование компании, заявленная вакансия), проверяется автоматически, а документы загружаются только тогда, когда орган не может проверить условие напрямую — ст. 10 ч. (2).

Какие персональные данные обрабатываются

Ст. 5 — исчерпывающий перечень данных о физических лицах, обрабатываемых на платформе:

• идентификация: фамилия, имя, дата и место рождения, персональный код (CNP), нынешнее гражданство и гражданство при рождении, пол, адрес постоянного/временного проживания за границей или в Румынии;
• документы для поездок и пребывания: серия и номер паспорта/визы/вида на жительство, выдавший орган, дата выдачи и окончания срока;
• контакты: e-mail, телефон, факс;
• работа и средства к существованию: данные о месте работы, подтверждение средств к существованию, медицинская страховка для поездок;
• судимости: история вступивших в силу уголовных приговоров;
• семья: семейное положение, имя супруга/супруги, данные о детях и членах семьи;
• статус по отношению к заявителю (администратор, участник, законный представитель, назначенное лицо и т. д.);
• состояние налоговых задолженностей;
• маршрут поездки;
• статус принимающей организации.

Кто является «субъектом данных»? Не только иностранный работник, но и законные представители, участники, акционеры и администраторы компаний и агентств, а также лица, назначенные для работы на платформе — все они подпадают под определение внешнего пользователя в ст. 2 ч. (1) п. e).

Внешний пользователь и назначенные лица

Учётная запись на платформе принадлежит внешнему пользователю: физическому лицу, законному представителю, акционеру, участнику или администратору организации — ст. 2 ч. (1) п. e). Он может назначить одно или несколько лиц, с которыми у организации есть трудовой договор или иное правоотношение — ст. 8 ч. (1).

Назначенные лица могут (ст. 8 ч. (2)): загружать документы для авторизации или продления, заявки на регистрацию в качестве работодателя, документы об иностранных организациях по трудоустройству, заполнять и подавать единые заявки для иностранцев, загружать данные и документы и отслеживать статус заявок.

Два важных ограничения:

1. Инициирование заявки на регистрацию в качестве работодателя, авторизацию как авторизованный работодатель или авторизацию/продление как агентство осуществляется исключительно внешним пользователем — ст. 8 ч. (3). Назначенное лицо продолжает, но не начинает.
2. Назначенное лицо работает только после подтверждения назначения на платформе — ст. 8 ч. (4).

Ответственность за данные и документы, введённые назначенными лицами, остаётся на организации — ст. 8 ч. (5). Отзыв производится через платформу, действует немедленно и не затрагивает уже выполненные операции — ст. 8 ч. (6). Организация обязана регулярно проверять список назначенных лиц и немедленно отзывать назначение тех, кто ушёл из компании или больше не уполномочен действовать — ст. 8 ч. (7). Для отдела кадров это новая рутина: при каждом уходе из команды отзыв доступа в WorkinRomania.gov.ro попадает в список процедур увольнения.

Как формируется заявка: автоматические проверки

Заявка на регистрацию/авторизацию формируется только после того, как пользователь (ст. 10 ч. (3)):

• подтверждает, что идентификационные данные достоверны и актуальны;
• даёт согласие на обработку персональных данных;
• а платформа автоматически устанавливает, что загруженные документы подписаны квалифицированной электронной подписью.

Документы загружаются в электронном виде с квалифицированной подписью только по тем условиям, которые органы не могут проверить напрямую — ст. 10 ч. (2). Заявку можно отозвать до её рассмотрения ANOFM — ст. 10 ч. (4).

Для единой заявки (долгосрочная виза для трудоустройства или продление права на пребывание с целью работы, когда OUG 194/2002 предусматривает подачу через платформу) формирование происходит только после полного заполнения форм и после того, как система автоматически проверит, что загружены документы всех категорий, требуемых OUG 194/2002, и соблюдены количественные лимиты нанятых или трудоустроенных иностранцев по OUG 32/2026 — ст. 11 ч. (3). Заявку на продление можно отозвать до рассмотрения; заявку на визу — только до передачи в eViza — ст. 11 ч. (4).

Твёрдое предложение о работе и автоматический отказ

Ст. 12 содержит правило с наибольшим практическим значением для работодателей:

1. Твёрдое предложение о работе автоматически берётся из учёта ANOFM вакансий, заявленных согласно ст. 10 Закона 76/2002; пользователь заполняет только дополнительную информацию — ч. (1).
2. Платформа автоматически проверяет, есть ли профессия из предложения в Списке дефицитных профессий — ч. (2).
3. Предложения, в которых не указана профессия из списка, автоматически отклоняются с уведомлением пользователя и назначенных лиц — ч. (3).

Следствие: если вакансия не была заявлена в ANOFM или профессии нет в списке (или она записана с другим кодом COR, чем в списке), предложение даже не дойдёт до чиновника. Проверьте список и заявление о вакансии до входа на платформу.

Планирование подачи и прозрачность очереди

Ст. 9 позволяет DGCTI настраивать механизмы планирования подачи заявок по запросу ANOFM, IGI или MAE в соответствии с их операционной мощностью, при соблюдении прозрачности, недискриминации и соразмерности. Планирование настраивается отдельно для каждого типа заявки (регистрация, авторизация работодателя, авторизация агентства) и для единых заявок — отдельно для виз D/AM1 и D/AM2 — ч. (3)–(4). Платформа должна публично отображать число поданных, обрабатываемых и рассмотренных заявок — ч. (5). Иными словами, могут существовать окна подачи, а очередь видна.

Рассмотрение и вручение актов

Заявки анализируются внутренними пользователями через внутренний компонент или через собственные системы подключённых учреждений; решения регистрируются на платформе и служат основанием административного акта — ст. 14 ч. (1)–(2). Административные акты, изданные во исполнение OUG 32/2026 или OUG 194/2002, вручаются через платформу и видны в учётной записи внешнего пользователя и назначенных лиц — ч. (3). Платформа автоматически отправляет SMS и e-mail уведомления на контакты, привязанные к учётным записям, о необходимости зайти на платформу — ч. (4). Не ждите конверта: проверяйте учётную запись.

Ст. 16 добавляет механизм, работающий сам по себе: в зависимости от применённых санкций платформа автоматически обновляет статус работодателя или агентства, применяет технические ограничения на трудоустройство новых иностранцев и автоматически разблокирует функции для смены работодателя.

Жалобы иностранных работников

Ст. 2 ч. (1) п. f) определяет жалобу как функцию, через которую иностранцы с трудовым договором могут сообщать о случаях злоупотреблений. Ст. 15 уточняет: стандартизированная электронная форма с многоязычной поддержкой, в которой описывается ситуация и можно загрузить документы или мультимедийные файлы (фото, видео, аудио) — ч. (1)–(2). Жалоба автоматически направляется по защищённым каналам в реальном времени в компетентный орган, а к идентификационным данным заявителя имеют доступ исключительно органы, которые её рассматривают — ч. (3). Минимальные получатели — Инспекция труда, IGI и ANOFM — ч. (4). Платформа обеспечивает связь между заявителем и органом через специальный модуль, а орган загружает выводы и принятые меры — ч. (5)–(6).

Для работника это означает официальный канал, который не проходит через работодателя или агентство и в котором его личность не видна никому, кроме проверяющего органа.

Меры безопасности

DGCTI как технический администратор должно обеспечить как минимум (ст. 17 ч. (1)): аутентификацию пользователей, включая многофакторную для учётных записей публичного компонента; контроль доступа и привилегий; шифрование данных при передаче и хранении; обнаружение и предотвращение вторжений; сегментацию сетей; журналирование операций; мониторинг событий безопасности; резервное копирование и аварийное восстановление; постоянный мониторинг доступности и целостности. Подключённые учреждения сами отвечают за безопасность своих систем — ст. 7 ч. (2). Киберинциденты незамедлительно сообщаются в CSIRT при Главном управлении внутренней защиты MAI — ст. 17 ч. (3). DGCTI должно предоставить через платформу подробные руководства пользователя — ст. 17 ч. (2).

Нарушение безопасности данных

При нарушении безопасности персональных данных оператор, у которого оно произошло, оценивает нарушение, консультируется с другими совместными операторами и уведомляет ANSPDCP и/или информирует субъектов данных согласно ст. 33–34 GDPR или ст. 36 и 39 Закона 363/2018, в зависимости от цели обработки — ст. 18 ч. (1). В оценке участвуют ответственный за защиту данных (DPO), сотрудник подразделения, где произошёл инцидент, и при необходимости сотрудник IT&C; уведомление и информирование выполняет DPO — ч. (2)–(3).

Сколько хранятся данные и журналы

Персональные данные хранятся на территории Румынии согласно архивным номенклатурам совместных операторов и Закону о Национальных архивах 16/1996 — ст. 19 ч. (1). По истечении сроков и после отбора данные удаляются автоматически и необратимо, за исключением используемых в судебных процедурах, которые следуют режиму доказательств — ч. (2).

Отдельно платформа ведёт учёт операций обработки, по которому можно установить, кто что делал (ст. 21): рабочая станция или IP и пользователь, категории затронутой информации, тип операции, конкретное основание обработки, код операции или программа, точная дата и время (год, месяц, день, час, минута, секунда) — ч. (2). Журнал используется только для мониторинга защиты данных и безопасности и удаляется через 5 лет с тем же судебным исключением — ч. (3)–(4). Юридические лица, публичные или частные, использующие платформу, устанавливают собственные внутренние процедуры соблюдения HG и законодательства о защите данных — ч. (5). Последнее — обязанность и для частного работодателя: недостаточно иметь учётную запись, нужна и письменная процедура о том, кто и как ею пользуется.

Обучение пользователей

Внутренние и внешние пользователи и назначенные лица проходят обучение по защите данных до подтверждения доступа и затем не реже одного раза в год — ст. 20 ч. (1). Обучение охватывает обработку данных исключительно для служебных задач, по законным процедурам и с соблюдением законодательства о защите данных — ч. (2) — и проводится DPO организации, назначенным согласно ст. 37 GDPR — ч. (3). Формулировка «на уровне организации» подразумевает, что для частного работодателя обучение назначенных им лиц — его собственная обязанность.

Права субъекта данных

Права на доступ, исправление, удаление, ограничение и т. д. осуществляются согласно главе III GDPR и рассматриваются по собственным процедурам совместных операторов (ANOFM, MMFTSS, MAI, MAE, Министерство финансов, Министерство юстиции) — ст. 22 ч. (1). Операторы обязаны разместить в общедоступных местах и на сайтах руководство по осуществлению прав с контактами оператора и DPO, а также типовые формы запросов — ч. (2)–(4). О запросах на исправление или удаление операторы уведомляют друг друга немедленно — ч. (6); ограничение обработки, наложенное одним из операторов, ответственных за данные, сообщается MAI (техническому администратору) не позднее 24 часов — ч. (7).

Работник, который хочет знать, какие данные о нём есть на платформе, может подать запрос на доступ любому из совместных операторов, используя типовую форму, которую они обязаны опубликовать.

Публичные отчёты и статистика

Ст. 6 обязывает внутренний компонент автоматически формировать анонимизированные отчёты о: числе зарегистрированных, авторизованных, приостановленных и исключённых работодателей по кодам CAEN; авторизованных, приостановленных или лишённых авторизации агентствах с числом иностранцев, на которых они авторизованы; поданных, находящихся на рассмотрении, одобренных и отклонённых единых заявках с разбивкой по типам виз D/AM1 и D/AM2, по работодателю/агентству и гражданству; выданных визах по типам; профессиях COR, по которым загружены договоры и выданы визы; квоте иностранных работников. Впервые статистику рынка труда по работникам из стран вне ЕС можно будет отслеживать по реальному потоку, а не по оценкам.

Что конкретно нужно сделать работодателю или агентству

1. Подтверждённая учётная запись в hub.mai.gov.ro для законного представителя/администратора, затем регистрация и подтверждение в WorkinRomania.gov.ro — ст. 2 ч. (1) п. a)–b).
2. Квалифицированная электронная подпись для всех загружаемых документов — ст. 10 ч. (2)–(3).
3. Заявите вакансии в ANOFM и проверьте профессию в Списке дефицитных профессий до загрузки твёрдого предложения — ст. 12.
4. Назначьте лиц, работающих на платформе, попросите их подтвердить назначение, держите список актуальным и немедленно отзывайте при уходе — ст. 8.
5. Напишите внутреннюю процедуру использования платформы и защиты данных и обучите назначенных лиц до доступа и ежегодно — ст. 20, ст. 21 ч. (5).
6. Проверяйте учётную запись, а не почту: административные акты вручаются на платформе, а SMS/e-mail лишь предупреждает — ст. 14.

Что это значит для иностранного работника

Его данные — от паспорта до семейного положения и судимости — обрабатываются системой с шифрованием, журналированием и автоматическим удалением по истечении срока, где каждый доступ оставляет след на 5 лет. У него есть защищённый многоязычный канал жалоб, к которому у работодателя и агентства нет доступа. И у него есть право спросить любого из совместных операторов, какие данные о нём существуют, используя форму, которую они обязаны опубликовать.

---

Этот материал носит информационный характер и отражает текст HG № 602/2026, опубликованного в Официальном вестнике № 658 от 7 августа 2026 года, а также OUG 32/2026 (ОВ 335/27.04.2026). Официальные тексты и сообщения компетентных учреждений имеют приоритет. По конкретным ситуациям рекомендуем обратиться к специалисту.