O scurgere de imagini video dintr-un magazin, ajunse pe o rețea de socializare, s-a transformat într-o sancțiune GDPR. Cazul publicat de situl ANSPDCP pe 15 iunie 2026 arată cât de ușor un singur angajat poate declanșa o încălcare de securitate cu impact reputațional și financiar pentru întreaga organizație.
Acces neautorizat în camera de monitorizare video: ANSPDCP a amendat o persoană împuternicită din lanțul Kaufland
Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a finalizat în luna aprilie 2026 o investigație la SSG SELECT SOLUTIONS S.R.L., persoană împuternicită a operatorului Kaufland România SCS.
Investigația a pornit de la o notificare de încălcare a securității datelor transmisă de Kaufland România SCS în temeiul art. 33 din Regulamentul (UE) 2016/679. S-a constatat că un angajat al SSG SELECT SOLUTIONS S.R.L. a permis accesul unui terț în camera de monitorizare video din interiorul magazinului. Terțul a accesat, înregistrat și diseminat online, pe o platformă de socializare, imagini video provenite din magazin — o încălcare a confidențialității datelor cu caracter personal ale unor persoane fizice.
ANSPDCP a reținut încălcarea art. 29 și a art. 32 alin. (1) lit. b), alin. (2) și alin. (4) din Regulamentul (UE) 2016/679: împuternicitul nu s-a asigurat că persoanele care acționează sub autoritatea sa prelucrează datele doar la cererea operatorului și nu a implementat măsuri tehnice și organizatorice adecvate nivelului de confidențialitate și securitate corespunzător riscului.
Sancțiune aplicată: amendă de 10.200 lei (echivalentul a 2.000 euro), deja achitată. Suplimentar, în temeiul art. 58 alin. (2) lit. d) din Regulament, s-a dispus măsura corectivă de implementare a unor măsuri suplimentare de control și monitorizare a respectării procedurilor de lucru interne și a instrucțiunilor stabilite de operator, în condițiile art. 28 din RGPD.
De ce te privește și pe tine
Dacă firma ta lucrează cu împuterniciți (furnizori de pază, curățenie, IT, call-center) sau este ea însăși împuternicit pentru un client mai mare, acest caz te privește direct. Răspunderea GDPR nu se oprește la operator: persoana împuternicită răspunde separat pentru securitatea datelor pe care le prelucrează. O simplă neglijență a unui angajat — un acces permis necontrolat — poate genera amendă, măsuri corective obligatorii și o expunere reputațională greu de reparat. Supravegherea video înseamnă date cu caracter personal, iar lipsa controlului accesului și a instruirii personalului este exact ceea ce sancționează autoritatea.
Cum te ajută INFOSHARE Consulting
Te ajutăm să previi astfel de incidente printr-un sistem coerent de conformitate și securitate:
- DPO extern — supraveghere continuă a conformității GDPR și relația cu ANSPDCP.
- Conformitate GDPR și Legea 190/2018, inclusiv DPIA, LIA și ROPA pentru sistemele de supraveghere video.
- Implementare ISO/IEC 27001 — controale de acces fizic și logic, monitorizare și management al incidentelor.
- Pregătire NIS2 și DORA, acolo unde se aplică.
- Training & awareness pentru angajați și împuterniciți — exact veriga umană care a cedat în acest caz.
- Revizuirea contractelor de împuternicire (art. 28 RGPD) și a procedurilor de control al accesului.
Nu aștepta o notificare de breșă ca să afli unde ești expus. Programează o evaluare cu echipa INFOSHARE Consulting și transformă conformitatea într-un avantaj.
Întrebări frecvente
Cine are voie să acceseze imaginile din camerele de supraveghere?
Doar persoanele autorizate expres de operator, în limitele scopului declarat și pe baza unei nevoi reale de a cunoaște. Personalul împuternicit (pază, IT) prelucrează imaginile numai la instrucțiunile operatorului, conform art. 29 RGPD. Accesul unui terț neautorizat în camera de monitorizare, exact ca în cazul sancționat de ANSPDCP, constituie o încălcare a securității datelor.
Ce măsuri de control al accesului trebuie să aibă un sistem de supraveghere video?
Art. 32 RGPD cere măsuri tehnice și organizatorice adecvate riscului: acces fizic restricționat la camera de monitorizare, autentificare individuală, jurnalizarea (logarea) accesărilor și a descărcărilor de imagini, instruirea personalului și proceduri clare de lucru. Lipsa controlului accesului și a instruirii a fost exact ceea ce a sancționat autoritatea.
Imaginile din camerele de supraveghere sunt date cu caracter personal?
Da. Imaginile care permit identificarea unei persoane fizice sunt date cu caracter personal, iar prelucrarea lor intră sub incidența RGPD și a Legii 190/2018. Diseminarea online a unor astfel de imagini, fără temei legal, încalcă confidențialitatea datelor și poate atrage atât amenzi, cât și măsuri corective.
Cum evită o firmă o amendă pentru acces neautorizat la camerele video?
Prin control efectiv al accesului fizic și logic la sistemul video, jurnalizarea accesărilor, instruirea periodică a angajaților și a împuterniciților, contracte de împuternicire conforme art. 28 RGPD și documente de conformitate (DPIA, LIA, ROPA) pentru supravegherea video. Veriga umană este cea mai expusă, de aceea instruirea și procedurile clare sunt determinante.
Verifică-ți expunerea înainte să apară o breșă
Îți evaluăm sistemele de supraveghere video și contractele de împuternicire și îți spunem clar ce să rezolvi întâi.