Sancțiuni RGPD: lecțiile unui caz din retailul românesc

Unele dintre cele mai instructive lecții de protecția datelor nu provin din doctrină, ci din practica decizională a autorității de supraveghere. În luna mai 2026, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a finalizat o investigație asupra unui operator important din comerțul de electronice și electrocasnice și a reținut încălcarea mai multor dispoziții ale RGPD. Consecințele: trei amenzi distincte și un set de măsuri corective obligatorii.

Speța merită analizată în detaliu, întrucât configurează un risc la care este expusă orice organizație care operează o aplicație, un magazin online sau o bază de date de clienți.

Situația de fapt

Investigația a fost declanșată de o plângere adresată autorității. În urma verificărilor, s-a stabilit că, din cauza unei vulnerabilități tehnice în aplicația mobilă a operatorului — la nivelul procesului de validare a contului — un utilizator a putut accesa datele cu caracter personal ale unei alte persoane vizate.

Datele expuse au inclus numele și prenumele, facturi și adrese de livrare. Nu a fost vorba despre un atac extern sofisticat, ci despre o deficiență a propriului sistem — categoria de risc care rămâne, cel mai adesea, nedetectată până la o sesizare externă.

Încălcările reținute

Autoritatea a constatat trei abateri distincte, fiecare sancționată separat.

• Absența unor măsuri de securitate adecvate (art. 32). Operatorul nu implementase măsuri tehnice și organizatorice suficiente pentru a asigura un nivel de securitate corespunzător riscului, ceea ce a făcut posibil accesul neautorizat la datele clienților.
• Neîndeplinirea obligației de notificare către autoritate (art. 33). Operatorul a omis să notifice ANSPDCP cu privire la încălcarea securității datelor, deși notificarea este obligatorie, de regulă în termen de 72 de ore de la momentul luării la cunoștință.
• Neinformarea persoanei vizate (art. 34). Operatorul nu a comunicat încălcarea persoanei ale cărei date au fost expuse, deși, atunci când incidentul prezintă un risc ridicat pentru drepturile și libertățile persoanei, informarea acesteia este obligatorie.

Cuantumul amenzilor

ANSPDCP a aplicat trei amenzi contravenționale, însumând peste 52.000 de lei (aproximativ 10.000 de euro):

• 36.461 lei (circa 7.000 euro) — pentru absența măsurilor tehnice și organizatorice adecvate (art. 32);
• 10.417 lei (circa 2.000 euro) — pentru neîndeplinirea obligației de notificare către autoritate (art. 33);
• 5.208 lei (circa 1.000 euro) — pentru neinformarea persoanei vizate (art. 34).

Este de remarcat structura sancțiunii: deși amenda pentru deficiența de securitate a fost cea mai mare, cele două amenzi aferente obligațiilor de notificare au adăugat, împreună, încă aproximativ 3.000 de euro. Cu alte cuvinte, o parte semnificativă a sancțiunii nu a fost aplicată pentru existența breșei, ci pentru omisiunea de a o notifica în mod corespunzător.

Măsurile corective dispuse

Pe lângă amenzi, autoritatea a dispus, în temeiul art. 58 din RGPD, o serie de măsuri corective obligatorii:

• revizuirea mecanismelor de validare și autentificare a conturilor de utilizator;
• testarea periodică a vulnerabilităților aplicației;
• adoptarea unor proceduri interne pentru gestionarea incidentelor de securitate și pentru evaluarea obligațiilor de notificare prevăzute de art. 33 și 34;
• instruirea periodică a personalului implicat în gestionarea incidentelor și a solicitărilor primite de la persoanele vizate;
• transmiterea unui răspuns scris către persoana care a formulat sesizarea.

Concluzii și lecții practice

Relevanța deciziei nu ține de amploarea unui atac, ci de caracterul banal al deficiențelor care au generat-o — situații care se pot regăsi în orice organizație. Reținem câteva concluzii practice:

• Securitatea nu privește exclusiv sistemele complexe. O singură funcție proiectată deficitar — validarea unui cont — a fost suficientă pentru a expune datele unei persoane. Aplicațiile trebuie testate periodic, nu doar lansate.
• Reacția cântărește la fel de mult ca prevenția. O parte din sancțiune a fost aplicată pentru pasivitatea ulterioară. Existența și respectarea unei proceduri de notificare reduc considerabil expunerea. Modul corect de a proceda este detaliat în articolul despre notificarea unei breșe la ANSPDCP.
• Persoanele vizate au drepturi care nu pot fi ignorate. Atunci când expunerea datelor prezintă un risc ridicat, informarea persoanei vizate este o obligație, nu o opțiune.
• Procedurile și instruirea nu sunt formalități. Autoritatea le-a impus expres ca măsuri corective. Costul implementării lor preventive este invariabil inferior celui suportat sub imperiul unei sancțiuni.

În esență, speța confirmă un tipar recurent în practica ANSPDCP: cele mai costisitoare consecințe nu derivă din rea-credință, ci din absența unor reguli simple — formalizate în proceduri și aplicate consecvent.

Întrebări frecvente