Amenda GDPR din iulie 2026: angajatul care a accesat ilegal conturile unui client

GDPR 5 august 2026·7 min citire·de Adriana Ceaușescu

Pe scurt: ANSPDCP a sancționat Banca Transilvania cu 26.172 lei (5.000 €) pentru încălcarea art. 32 GDPR: un angajat a accesat, fără atribuții de serviciu și la cererea unui terț, extrasele de cont ale unei persoane — nume, IBAN, tip de cont, tranzacții și sold. Concluzia autorității: măsurile tehnice și organizatorice nu au fost suficiente ca să prevină accesul neautorizat din interior. Lecția pentru orice companie: nu e destul să te aperi de atacuri din afară — trebuie să controlezi și ce pot vedea proprii angajați.

Ce s-a întâmplat

Totul a pornit de la plângerea unei persoane care a reclamat că datele ei au fost folosite fără drept. În urma investigației, ANSPDCP a constatat că un angajat al băncii a accesat extrasele de cont ale persoanei — fără să aibă vreo sarcină de serviciu care să justifice accesul — la cererea unui terț. Au fost expuse nume, prenume, IBAN, tipul contului, codul de client, tranzacțiile și soldul.

Amenda: 26.172 lei, echivalentul a 5.000 de euro, pentru încălcarea articolului 32 alineatele (1), (2) și (4) din GDPR. Banca a plătit-o. Pe lângă amendă, autoritatea a dispus măsuri corective: implementarea unor măsuri tehnice și organizatorice care să împiedice astfel de accesări.

De ce articolul 32 e în centrul deciziei

Articolul 32 cere „securitatea prelucrării": măsuri tehnice (cine poate deschide ce, jurnale de acces, alerte) și organizatorice (proceduri, instruire, verificări) potrivite cu riscul. Punctul-cheie al deciziei: riscul nu vine doar din afară. Un angajat cu drepturi de acces prea largi și nesupravegheate este, din perspectiva legii, o vulnerabilitate a operatorului — nu o scuză.

De aceea răspunde banca, nu doar angajatul: operatorul trebuie să construiască sistemul în așa fel încât curiozitatea sau o „rugăminte de la un prieten" să nu se poată transforma într-o scurgere de date.

Unde a cedat sistemul

Acces mai larg decât nevoia reală. Angajatul a putut deschide conturile unui client de care nu se ocupa.
Lipsa unui semnal de alarmă. Accesarea nejustificată nu a fost detectată de bancă, ci reclamată de persoana vizată.
Factorul uman. Cererea a venit de la un terț — adică exact scenariul despre care am scris în articolul despre factorul uman în GDPR: oamenii sunt prima linie de apărare sau veriga slabă.

Cinci măsuri care previn exact acest scenariu

Acces doar cât trebuie. Fiecare rol vede strict datele de care are nevoie pentru munca lui — nimic în plus. Revizuiește drepturile la schimbarea rolului și la plecare.
Jurnale și alerte. Orice acces la date de client lasă urmă, iar accesările atipice (client fără legătură cu portofoliul, volum neobișnuit, ore ciudate) ridică automat un semnal.
Reguli scrise și consecințe. O procedură internă clară: accesul fără sarcină de serviciu este interzis și sancționat disciplinar — și fiecare angajat o semnează.
Instruire periodică. Nu o dată la angajare, ci recurent — cu exemple reale ca acesta, pentru că ele schimbă comportamente.
Audit periodic al accesului. Verifică regulat cine are acces la ce și cine a accesat ce — înainte s-o facă o plângere la ANSPDCP.

Gestionează conformitatea GDPR dintr-o singură aplicație: askGDPR.ro este platforma noastră de management al conformității — registrul de prelucrări (ROPA) și DPIA generate și ținute la zi, registrul de incidente cu fluxul de notificare a breșelor în 72 de ore, registrul măsurilor de securitate, evidențe gata de audit (PDF/DOCX) și remindere pe scadențele legale, plus un asistent AI care răspunde pe contextul companiei tale. Pe lângă GDPR, acoperă și ISO 27001, NIS2, DORA, TISAX, AI Act, EcoVadis și Brand Watch. Începe cu o autoevaluare gratuită a conformității. Iar pentru instruirea angajaților, cursurile de pe cursuri.infoshare.ro vin cu certificat și evidență gata de audit.

Suma pare mică pentru o bancă. Mesajul nu e: ANSPDCP sancționează constant accesul neautorizat din interior — am văzut-o și la camerele de monitorizare video — iar o singură plângere e suficientă ca să pornească o investigație în care operatorul trebuie să-și arate toate măsurile. Cine le are, scapă ieftin. Cine nu, plătește de două ori: amenda și încrederea clienților.

Întrebări frecvente

De ce a fost amendată banca, și nu angajatul?

Pentru că GDPR pune răspunderea pe operator: compania trebuie să implementeze măsuri care să prevină accesul neautorizat, inclusiv din partea propriilor angajați. Angajatul poate răspunde separat disciplinar sau penal, dar amenda contravențională de la ANSPDCP vizează operatorul care nu și-a protejat suficient datele.

Ce cere concret articolul 32 GDPR?

Măsuri tehnice și organizatorice adecvate riscului: controlul accesului la date, jurnalizarea accesărilor, testarea periodică a măsurilor, proceduri interne și instruirea personalului. Nu există o listă unică obligatorie — operatorul alege măsurile potrivite activității lui, dar trebuie să poată demonstra că sunt suficiente.

Cum aflu dacă angajații mei pot accesa date fără să știu?

Printr-un audit al drepturilor de acces (cine are acces la ce și de ce) și al jurnalelor (cine a accesat efectiv ce). Dacă sistemele tale nu păstrează jurnale de acces, aceasta este prima problemă de rezolvat — fără ele nu poți nici detecta, nici dovedi.

Vrei să știi cine are acces la datele din compania ta?

Facem împreună un audit al drepturilor de acces și al măsurilor de securitate, cu pași concreți de remediere — înainte să o facă o plângere. Contactează-ne.