În primele luni ale anului 2026, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a continuat activitatea de investigare și sancționare a operatorilor care nu respectă cerințele privind protecția datelor cu caracter personal prevăzute de Regulamentul (UE) 2016/679 (GDPR) și de legislația națională aplicabilă.
Până în prezent, valoarea totală a sancțiunilor aplicate în anul 2026 ajunge la 366.071 lei (aproximativ 71.861 euro), rezultatul mai multor investigații finalizate în urma unor plângeri ale persoanelor vizate sau a unor notificări de incidente de securitate.
Aceste cazuri evidențiază câteva tipuri recurente de probleme: lipsa măsurilor de securitate adecvate, nerespectarea drepturilor persoanelor vizate, lipsa transparenței privind prelucrarea datelor sau necooperarea cu autoritatea de supraveghere.
Principalele sancțiuni aplicate în 2026
Marketing direct fără consimțământ și fără informare adecvată
Operatorul Money Seeds S.R.L. a fost sancționat cu 15.178 lei pentru transmiterea de mesaje comerciale nesolicitate către o persoană care își exprimase opoziția față de primirea acestora.
Investigația a arătat că operatorul:
- a continuat să trimită emailuri de marketing după exprimarea opoziției;
- nu a oferit o modalitate simplă și gratuită de dezabonare;
- nu a furnizat informații complete privind prelucrarea datelor.
Autoritatea a dispus și măsuri corective, inclusiv revizuirea bazelor de date și instruirea personalului privind prelucrarea datelor în scop de marketing.
Breșe de securitate și măsuri tehnice insuficiente
Compania Premier Restaurants Romania SRL a fost sancționată cu 40.736 lei (8.000 euro) după un atac informatic care a permis accesul neautorizat la date ale angajaților, precum nume, prenume, email și funcție.
Investigația a evidențiat faptul că nu au fost implementate măsuri tehnice și organizatorice adecvate pentru protejarea sistemelor informatice și pentru controlul accesului la date.
Distribuirea internă necontrolată a datelor sensibile
Operatorul Continental Automotive Products SRL a primit amenzi în valoare totală de 76.366 lei (15.000 euro) după ce un fișier Excel cu date medicale ale angajaților a fost distribuit în mod repetat la nivel intern.
Fișierul conținea informații din certificate medicale, ceea ce reprezintă date sensibile conform GDPR. Lipsa măsurilor adecvate de control al accesului și securitate a dus la accesarea neautorizată a acestor informații.
Publicarea ilegală a datelor personale pe internet
Un operator persoană fizică care administra site-ul evita-teparii.ro a fost sancționat cu amenzi totale de 50.890 lei (10.000 euro) pentru publicarea unor documente de identitate și a altor date personale fără temei legal.
Investigația a constatat că operatorul:
- a publicat date personale și informații sensibile;
- nu a informat persoanele vizate;
- nu a răspuns cererilor de ștergere;
- nu a cooperat cu autoritatea de supraveghere.
Nerespectarea drepturilor persoanelor vizate
Partidul Alianța pentru Unirea Românilor a fost sancționat cu 5.089 lei pentru că nu a răspuns unei cereri prin care o persoană își exercita drepturile GDPR (acces, ștergere și opoziție) după primirea unei scrisori electorale personalizate.
Breșe de securitate în context transfrontalier
Operatorul Genpact Romania SRL a fost amendat cu 50.899 lei (10.000 euro) după ce un atac informatic a dus la divulgarea unor date ale angajaților din mai multe state ale UE.
Incidentul a fost posibil din cauza vulnerabilităților legate de parole și de procesul de resetare a autentificării conturilor.
Necomunicarea informațiilor solicitate de autoritatea de supraveghere
Compania Tensa Art Design S.A., operatorul site-ului lensa.ro, a fost sancționată cu 101.794 lei (20.000 euro) pentru că nu a răspuns solicitărilor autorității în cadrul unei investigații privind module cookie de urmărire și publicitate comportamentală.
Vulnerabilități într-o aplicație software
Operatorul Your Consulting SRL a fost sancționat cu 14.929 lei (3.000 euro) după ce o aplicație dezvoltată de companie a permis accesul neautorizat la date personale, inclusiv CNP și informații privind voucherele de vacanță ale unor persoane.
Lipsa cooperării în cadrul unei investigații
Clinica Hayat Dent SRL a primit o amendă de 10.190 lei (2.000 euro) pentru că nu a furnizat autorității informațiile solicitate în cadrul unei investigații privind copierea datelor pacienților de către o fostă angajată.
Concluzii: ce tipuri de încălcări apar cel mai frecvent
Analiza sancțiunilor aplicate în 2026 arată că cele mai frecvente probleme sunt:
- măsuri de securitate IT insuficiente;
- gestionarea incorectă a cererilor persoanelor vizate;
- lipsa transparenței privind prelucrarea datelor;
- marketing direct fără consimțământ;
- necooperarea cu autoritatea de supraveghere.
Aceste situații demonstrează că multe incidente pot fi prevenite prin implementarea unor proceduri interne clare și a unor măsuri tehnice adecvate.
Cum puteau fi evitate aceste sancțiuni
Majoritatea amenzilor analizate ar fi putut fi prevenite prin câteva măsuri esențiale de conformitate GDPR:
1. Implementarea unor măsuri tehnice de securitate adecvate
Organizațiile trebuie să asigure protecția sistemelor informatice, inclusiv prin politici de parole, controlul accesului, criptare și monitorizarea incidentelor de securitate.
2. Respectarea drepturilor persoanelor vizate
Cererile de acces, ștergere sau opoziție trebuie analizate și soluționate în termenul legal, iar procesele interne trebuie să permită gestionarea eficientă a acestor solicitări.
3. Transparență și informare corectă
Politicile de confidențialitate trebuie să ofere informații clare despre scopurile prelucrării, temeiurile legale și drepturile persoanelor vizate.
4. Controlul accesului la date sensibile
Datele medicale, CNP-urile sau alte informații sensibile trebuie protejate prin măsuri suplimentare de securitate și prin limitarea accesului doar la persoanele autorizate.
5. Cooperarea cu autoritatea de supraveghere
Nerespectarea solicitărilor ANSPDCP poate conduce la sancțiuni suplimentare, chiar și atunci când încălcarea inițială este minoră.
Cazurile analizate arată că respectarea cerințelor GDPR nu este doar o obligație legală, ci și o componentă esențială a gestionării riscurilor organizaționale. Într-un context în care incidentele de securitate și utilizarea datelor personale devin tot mai frecvente, organizațiile trebuie să trateze conformitatea GDPR ca pe un proces continuu, care implică politici interne, instruirea personalului și monitorizarea constantă a modului în care sunt prelucrate datele personale.
Întrebări frecvente
Cât de mari pot fi amenzile GDPR în România?
Sancțiunile aplicate de ANSPDCP variază considerabil în funcție de gravitatea încălcării. În primele luni din 2026, valoarea totală a amenzilor a depășit 366.000 lei, cu sancțiuni individuale între aproximativ 5.000 lei și peste 100.000 lei. La nivel european, GDPR prevede plafoane maxime de până la 20 de milioane de euro sau 4% din cifra de afaceri anuală globală, în funcție de tipul încălcării.
Care sunt cele mai frecvente greșeli sancționate de ANSPDCP?
Analiza sancțiunilor din 2026 arată cinci probleme recurente: măsuri de securitate IT insuficiente, gestionarea incorectă a cererilor persoanelor vizate (acces, ștergere, opoziție), lipsa transparenței privind prelucrarea datelor, marketing direct fără consimțământ și necooperarea cu autoritatea de supraveghere. Multe dintre aceste incidente puteau fi prevenite prin proceduri interne clare și măsuri tehnice adecvate.
Cum se calculează o amendă GDPR?
ANSPDCP stabilește cuantumul amenzii luând în calcul gravitatea și durata încălcării, numărul persoanelor afectate, caracterul intenționat sau din neglijență al faptei, categoriile de date implicate (datele sensibile precum cele medicale cresc gravitatea), măsurile luate pentru limitarea prejudiciului și gradul de cooperare cu autoritatea. Necooperarea în cadrul unei investigații poate atrage sancțiuni suplimentare, chiar și când încălcarea inițială este minoră.
Cum evit o amendă GDPR?
Cele mai multe amenzi pot fi prevenite prin câteva măsuri: implementarea unor măsuri tehnice de securitate adecvate (politici de parole, control al accesului, criptare, monitorizarea incidentelor), respectarea în termen a drepturilor persoanelor vizate, transparență prin politici de confidențialitate clare, controlul accesului la datele sensibile și cooperarea cu ANSPDCP. Conformitatea GDPR trebuie tratată ca un proces continuu, cu politici interne, instruirea personalului și monitorizare constantă.
Vrei să eviți greșelile care duc la amenzi GDPR?
Îți evaluăm programul de conformitate și îți spunem clar ce riscuri ai și ce să rezolvi întâi.