Pentru ce poți primi amenzi GDPR – ce a sancționat ANSPDCP în 2026

125.000 de euro. Atât a plătit un operator din România, în martie 2026, după ce o aplicație administrată printr-un furnizor extern i-a fost compromisă, iar datele unui număr foarte mare de persoane au ajuns publicate în online. Și nu este un caz izolat: numai în comunicatele publicate de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) între martie și iunie 2026 am numărat 15 sancțiuni, care adună aproximativ 330.000 de euro plus încă 35.000 de lei. Puse cap la cap, ele desenează o hartă destul de precisă a motivelor pentru care se dau amenzi GDPR în România.

Pe scurt: cele mai multe amenzi GDPR sancționează lipsa măsurilor de securitate a prelucrării, adică articolul 32 din Regulamentul (UE) 2016/679. Din cele 15 sancțiuni recente, 11 îl invocă, singur sau alături de alte încălcări. Urmează, la distanță, notificarea tardivă ori lipsă a incidentelor (articolele 33 și 34), nerespectarea drepturilor persoanelor vizate (articolele 12-21), încălcarea principiilor prelucrării (articolul 5) și cookie-urile plasate fără consimțământ, sancționate separat în baza Legii nr. 506/2004.

Ritmul autorității nu este deloc unul relaxat. Doar în primele patru luni ale anului, ANSPDCP a primit 5.519 plângeri, sesizări și notificări, a deschis 228 de investigații și a aplicat 25 de amenzi, în cuantum total de 1.187.492 lei, echivalentul a circa 239.000 de euro, la care se adaugă 42 de avertismente și 41 de măsuri corective. Am parcurs comunicatele oficiale ca să vedem unde cade, de fapt, accentul într-o investigație și ce greșeli se repetă de la un operator la altul.

Articolul 32, motorul celor mai multe amenzi GDPR

Articolul 32 cere ceva simplu de enunțat și greu de demonstrat: măsuri tehnice și organizatorice adecvate riscului. În comunicatele din 2026, el apare în trei ipostaze care se repetă aproape obsesiv.

Prima: atacuri cibernetice pe sisteme netestate. Cazul Renault Commercial Roumanie este cel mai scump din serie: 125.000 de euro, după ce o aplicație administrată printr-o persoană împuternicită a fost atacată, iar nume, coduri numerice personale, serii de carte de identitate, numere de permis și date de contact au fost divulgate. Sancțiunea a mers și pe articolul 28, pentru că operatorul nu s-a asigurat că împuternicitul oferă garanții suficiente. Altfel spus, faptul că sistemul este „la furnizor” nu mută răspunderea. Pe același tipar, două societăți din grupul Blue Projects au primit câte 2.500 de euro după atacuri asupra infrastructurii IT, iar HOMELUX a plătit 15.000 de euro pentru o platformă care nu mai corespundea versiunii oficiale lansate de producător și pentru parole de complexitate redusă, deficiență rămasă neremediată nici după incident.

A doua: aplicații expuse sau construite în grabă. Orange România a primit în total 100.000 de euro: 20.000 pentru lipsa protecției datelor începând cu momentul conceperii sistemelor (articolul 25) și 80.000 pe articolul 32, după ce o eroare de sincronizare a permis unui client să descarce facturile altora, iar o aplicație de ticketing expusă public, fără VPN, fără autentificare în doi pași și fără restricții de acces pe bază de IP, a fost atacată. Rezultatul: un volum foarte mare de date sustrase, de la copii ale cărții de identitate la informații despre carduri bancare. La Altex, o vulnerabilitate în procesul de validare a contului din aplicația mobilă a dus la accesarea datelor unei terțe persoane și la amenzi cumulate de 10.000 de euro.

A treia: lipsa testării periodice. Formula revine aproape în fiecare comunicat: operatorul nu a introdus „un proces pentru testarea, evaluarea și aprecierea periodică” a eficacității măsurilor. Dacă organizația dumneavoastră nu poate arăta, cu documente, când a verificat ultima dată securitatea sistemelor, exact acolo va lovi prima întrebare a echipei de control.

Factorul uman: angajatul care „doar a vrut să ajute”

Multe amenzi GDPR nu vin însă din atacuri sofisticate, ci din gesturi banale. La Banca Transilvania, un angajat a accesat, la solicitarea unui terț și în afara atribuțiilor de serviciu, extrasele de cont ale unei persoane: 5.000 de euro. La ING, sucursala din Focșani, un extras de cont a fost pur și simplu înmânat unei terțe persoane: 4.000 de euro. La SSG Select Solutions, persoană împuternicită a Kaufland, un angajat a permis accesul unui terț în camera de monitorizare video a magazinului, iar imaginile filmate au ajuns pe o rețea de socializare: 2.000 de euro. La UniCredit, un fișier prelucrat manual greșit a trimis notificările despre expirarea polițelor de asigurare către alți clienți decât destinatarii de drept: 10.000 de euro, plus încă 2.000 pentru anunțarea cu întârziere a autorității. Iar la Poșta Română, corespondența expediată de Direcția Generală de Asistență Socială Constanța, cu date despre obligații fiscale, anchete sociale și chiar fapte penale, s-a pierdut ori a fost distrusă pe traseu: 5.000 de euro.

Instanțele au tranșat de mult discuția „dar a fost vina angajatului”. Într-un caz mai vechi, rămas definitiv la Curtea de Apel Cluj, o amendă de 100.000 de euro aplicată tot Băncii Transilvania, după episodul cu mesajul unui client fotografiat de angajați și ajuns viral, a fost menținută tocmai pentru că instruirea personalului fusese una de formă: un curs parcurs online, cu zece întrebări la final, nu dovedește că oamenii au înțeles regulile, a reținut instanța, iar angajatorul răspunde pentru faptele angajaților inclusiv atunci când aceștia încalcă procedurile interne. Este exact zona în care formarea autorizată a unui responsabil cu protecția datelor face diferența dintre o procedură scrisă frumos și una aplicată efectiv.

Capcana celor 72 de ore

Un detaliu care surprinde la prima lectură: multe dintre investigațiile de mai sus au pornit chiar de la notificarea transmisă de operator în baza articolului 33. Renault, Orange, HOMELUX, Blue Projects, toate au anunțat singure incidentul și au fost apoi sancționate pentru cauzele lui. De aici, tentația de a tăcea. Numai că tăcerea aduce amenzi GDPR suplimentare, nu scutiri: Altex a primit 2.000 de euro pentru că nu a notificat autoritatea și încă 1.000 pentru că nu a informat persoana afectată, iar UniCredit 2.000 de euro pentru depășirea termenului de 72 de ore. Cât despre apărarea clasică „riscul era redus, nu se impunea notificarea”, Curtea de Apel București a respins-o explicit într-un litigiu cu un furnizor de energie: dacă datele divulgate pot deschide accesul la contul clientului, evaluarea superficială a riscului nu ține loc de notificare.

Restul tabloului: cookie-uri, marketing insistent, cereri ignorate

Cookie-urile au propriul capitol de sancțiuni, în baza Legii nr. 506/2004, cu amenzi stabilite în lei. AVIZIERO a primit 5.000 de lei pentru module care nu erau necesare din punct de vedere tehnic, plasate fără informare corectă și fără acordul prealabil al utilizatorilor, iar HOMELUX 30.000 de lei pentru aceeași faptă, pe lângă amenda de securitate. Nici aici instanțele nu au fost mai îngăduitoare: la Restart Energy, o amendă de 40.000 de lei pe cookie-uri a rămas definitivă la Curtea de Apel Timișoara.

Marketingul care nu se oprește la timp costă și el. Dormeo Home a continuat să contacteze telefonic o persoană care își exercitase dreptul de opoziție și a plătit 1.000 de euro, în baza articolelor 6 și 21.

Iar cererile persoanelor vizate lăsate fără răspuns aduc amenzi GDPR la fel de reale ca breșele de securitate. Ascendex Technology a „soluționat” o cerere de ștergere a datelor în aproximativ 12 luni, fără să transmită vreun răspuns final petentului; în alte cazuri, așteptarea a ajuns la 37 de luni. Amendă: 11.000 de euro. Dosarul merită reținut și pentru traseul lui: plângerea a venit din Franța, prin autoritatea CNIL, iar ANSPDCP a acționat ca autoritate principală în mecanismul european de cooperare. O firmă cu sediul doar în România, dar cu clienți în alte state, nu mai este ferită de plângerile depuse peste graniță.

Nu lipsesc nici principiile de bază de la articolul 5. Crowd Entertainment, deținătorul unor platforme de jocuri de noroc, a colectat numărul de telefon al unei persoane fără să verifice exactitatea datelor, contul fiind creat de altcineva, iar apoi, când persoana a cerut explicații, i-a solicitat copia actului de identitate și o fotografie de tip selfie. Colectare inexactă la intrare, colectare excesivă la ieșire: în total, 35.000 de euro.

Merită contestată amenda? Ce arată statistica instanțelor

Din cele 448 de amenzi aplicate de ANSPDCP din 2019 și până în mai 2026, doar 135 au fost contestate, adică 30%. Iar din 96 de litigii finalizate, 72 s-au încheiat în favoarea autorității. Explicația ține de un principiu pe care judecătorii îl repetă constant: contravențiile din această materie sunt „de pericol, nu de rezultat”. Nu trebuie dovedită o pagubă concretă și nu contează că nicio persoană nu s-a plâns; simpla expunere a datelor este suficientă pentru sancțiune. Recidiva agravează lucrurile: în cazul PPC Energie Muntenia, amenzile anterioare de 3.000 și 4.000 de euro au fost chiar argumentul pentru care următoarea a urcat la 10.000. Reduceri se obțin rar: CDI Transport a coborât în apel de la 7.000 la 2.000 de euro. Se poate, deci, dar nu este regula.

Un formular european unic pentru raportarea incidentelor

Partea de notificări se va schimba în curând și la nivel european. La Plenara din 8 și 9 iunie 2026, Comitetul European pentru Protecția Datelor (EDPB) a adoptat modelul unui formular comun de notificare a încălcărilor de securitate a datelor, gândit să funcționeze identic în toate statele membre. Documentul, disponibil deocamdată în limba engleză, se află în consultare publică, iar propunerile pot fi transmise până chiar astăzi, 5 august 2026.

Formularul standardizează tot ce trebuie să conțină o notificare: tipul ei, nouă sau completare la una anterioară; identificarea operatorului, a persoanei care raportează și a responsabilului cu protecția datelor; data producerii și data detectării incidentului; natura breșei, de confidențialitate, de integritate sau de disponibilitate; categoriile și numărul persoanelor și al înregistrărilor afectate; măsurile existente la momentul incidentului; consecințele probabile și evaluarea riscului; măsurile de remediere și cele de prevenire; informarea persoanelor vizate; componenta transfrontalieră. Există inclusiv o rubrică pentru justificarea depășirii termenului de 72 de ore, semn că întârzierile vor fi analizate sistematic, nu trecute cu vederea. Recomandarea mea: descărcați modelul publicat de ANSPDCP și folosiți-l de pe acum ca listă de verificare pentru planul intern de răspuns la incidente. Când versiunea finală va deveni obligatorie, nu veți mai avea nimic de improvizat.

Ce este de făcut, concret

Dacă ar fi să condensez cele 15 comunicate într-o listă scurtă de priorități care să vă țină departe de amenzi GDPR, ar arăta așa:

• testați periodic securitatea sistemelor și păstrați dovezile; lipsa procesului de testare este constatarea care deschide aproape orice proces-verbal;
• impuneți cerințe minime de complexitate a parolelor, autentificare multifactor pentru conturile administrative, dezactivarea conturilor inactive și principiul privilegiului minim; sunt exact măsurile corective dispuse de autoritate în cazurile recente;
• instruiți personalul în mod real, cu verificarea înțelegerii, nu doar cu semnături pe un tabel de prezență;
• tratați cererile persoanelor vizate ca pe termene juridice, cu răspuns, de regulă, în cel mult o lună, nu ca pe corespondență opțională;
• pregătiți din timp fluxul de notificare în 72 de ore, cu responsabili numiți și cu formularul EDPB ca reper;
• verificați garanțiile persoanelor împuternicite înainte de a le încredința date; contractul, singur, nu vă apără.

Toate aceste obligații cad, în practică, pe umerii unui om care trebuie să le stăpânească în detaliu. Dacă vă pregătiți pentru acest rol sau vreți să îl consolidați, la cursul de Responsabil cu Protecția Datelor cu Caracter Personal (DPO) organizat de Fundația Centrul de Formare APSAP lucrați exact pe astfel de spețe, alături de prof. univ. dr. Augustin Fuerea și de Andrei Cononov. Programul este autorizat, iar certificatul obținut este recunoscut de Ministerul Muncii, Familiei, Tineretului și Solidarității Sociale și de Ministerul Educației și Cercetării. Lista completă a programelor de formare este disponibilă în secțiunea de cursuri acreditate online.

Documentare: comunicatele oficiale publicate de ANSPDCP, bilanțul „25 mai 2026 – 8 ani de la aplicarea GDPR” și noutățile EDPB.

Autor: Bogdan-Costin Fârșirotu, fondator și președinte al Fundației Centrul de Formare APSAP.