Amenzile GDPR lovesc tot mai dur companiile din România: sancțiuni de aproximativ 330.000 de euro în doar câteva luni

Breșele de securitate informatică, aplicațiile vulnerabile, parolele slabe și erorile comise de angajați au atras, în 2026, amenzi de sute de mii de euro pentru companiile din România. O analiză realizată de Centrul de Formare APSAP asupra sancțiunilor anunțate de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal arată că insuficienta protejare a sistemelor informatice reprezintă principala cauză a amenzilor GDPR.

În 15 cazuri de sancționare prezentate public de ANSPDCP în perioada martie-iunie 2026, amenzile au însumat aproximativ 330.000 de euro, la care s-au adăugat sancțiuni de încă 35.000 de lei. În 11 dintre cele 15 cazuri, autoritatea a constatat încălcarea articolului 32 din Regulamentul general privind protecția datelor, care obligă operatorii să adopte măsuri tehnice și organizatorice adecvate riscurilor.

Peste 5.500 de plângeri și notificări în patru luni

Volumul activității ANSPDCP arată că domeniul protecției datelor nu mai este unul marginal pentru companii și instituții.

În primele patru luni ale anului 2026, autoritatea a primit 5.519 plângeri, sesizări și notificări privind incidente de securitate. Pe baza acestora au fost deschise 228 de investigații.

În urma controalelor au fost aplicate 25 de amenzi, în valoare totală de 1.187.492 de lei, echivalentul a aproximativ 239.000 de euro. În același interval, autoritatea a mai aplicat 42 de avertismente și a dispus 41 de măsuri corective.

Principalele probleme reclamate au vizat divulgarea datelor pe site-uri sau pe rețelele de socializare, atacurile cibernetice, pierderea corespondenței, prelucrarea datelor biometrice, supravegherea video, comunicările comerciale nesolicitate, cookie-urile și nerespectarea cererilor de acces sau de ștergere a datelor.

Amenzi de 125.000 și 100.000 de euro

Cea mai mare sancțiune inclusă în analiza APSAP, în valoare de 125.000 de euro, a fost aplicată Renault Commercial Roumanie, după compromiterea unei aplicații administrate prin intermediul unui furnizor extern.

În urma atacului, în mediul online au fost publicate date precum nume, coduri numerice personale, serii ale cărților de identitate, numere ale permiselor de conducere și date de contact.

Autoritatea a reținut nu doar lipsa unor măsuri de securitate adecvate, ci și faptul că operatorul nu s-a asigurat că furnizorul căruia îi încredințase prelucrarea datelor oferea garanții suficiente.

Cazul arată că externalizarea unei aplicații sau a unui serviciu informatic nu înlătură răspunderea companiei care deține datele.

Orange România a primit, la rândul său, amenzi în valoare totală de 100.000 de euro. O sancțiune de 20.000 de euro a vizat lipsa protecției datelor încă din momentul conceperii sistemelor, iar o alta, de 80.000 de euro, a fost aplicată pentru insuficienta securizare a prelucrării.

Printre problemele identificate s-au numărat o eroare de sincronizare care a permis unui client să descarce facturile altor persoane și expunerea publică a unei aplicații de ticketing care nu era protejată prin VPN, autentificare în doi pași sau restricții de acces bazate pe adresa IP. Atacul a dus la sustragerea unui volum mare de date, inclusiv copii ale unor documente de identitate și informații referitoare la carduri bancare.

Aplicațiile netestate și parolele slabe, printre vulnerabilitățile sancționate

În cazul HOMELUX, autoritatea a constatat că platforma utilizată de companie nu mai corespundea versiunii oficiale lansate de producător și că erau permise parole cu un nivel redus de complexitate.

Compania a fost amendată cu 15.000 de euro pentru problemele de securitate. Separat, a primit o sancțiune de 30.000 de lei pentru folosirea unor cookie-uri fără respectarea condițiilor privind informarea și consimțământul utilizatorilor.

Altex România a primit amenzi cumulate de 10.000 de euro, după ce o vulnerabilitate din procesul de validare a conturilor din aplicația mobilă a permis accesarea datelor unei alte persoane.

ANSPDCP a aplicat o amendă de 7.000 de euro pentru lipsa măsurilor tehnice și organizatorice adecvate, 2.000 de euro pentru că incidentul nu a fost notificat autorității și 1.000 de euro pentru că persoana afectată nu a fost informată.

Printre datele accesate neautorizat s-au numărat numele, prenumele, facturile și adresele de livrare. Autoritatea a obligat compania să revizuiască mecanismele de autentificare și validare a conturilor, să introducă testări periodice ale vulnerabilităților și să își instruiască personalul.

Greșelile angajaților nu exonerează compania

O parte importantă a incidentelor nu a fost provocată de atacuri cibernetice complexe, ci de erori sau acțiuni ale angajaților.

Banca Transilvania a primit o amendă de 5.000 de euro după ce un salariat a accesat, la cererea unui terț și în afara atribuțiilor de serviciu, extrasele de cont ale unei persoane.

ING a fost sancționată cu 4.000 de euro după ce un extras de cont a fost înmânat unei persoane care nu avea dreptul să îl primească.

Un angajat al unei firme care presta servicii pentru Kaufland a permis accesul unei persoane în camera de supraveghere video a unui magazin, iar imaginile au ajuns ulterior pe o rețea socială. Amenda aplicată în acest caz a fost de 2.000 de euro.

Poșta Română a primit o sancțiune de 5.000 de euro după pierderea sau distrugerea unor documente expediate de Direcția Generală de Asistență Socială Constanța. Corespondența conținea informații despre obligații fiscale, anchete sociale și fapte penale.

Instanțele au stabilit în mai multe dosare că operatorii răspund pentru erorile angajaților, inclusiv atunci când aceștia nu respectă procedurile interne. Simpla existență a unor politici scrise sau a unor cursuri formale nu este suficientă dacă organizația nu poate demonstra că personalul a înțeles și aplică regulile.

UniCredit, amendată după trimiterea datelor către clienții greșiți

UniCredit Bank a primit două amenzi în valoare totală de 12.000 de euro după ce notificările referitoare la expirarea unor polițe de asigurare au fost transmise altor persoane decât destinatarii corecți.

Incidentul a fost provocat de prelucrarea manuală defectuoasă a unui fișier. Au fost divulgate date precum numele și adresa clientului, adresa și valoarea imobilului asigurat, calitatea de client al băncii, data expirării poliței și costul acesteia.

Banca a primit o amendă de 10.000 de euro pentru lipsa măsurilor adecvate de securitate și una de 2.000 de euro pentru notificarea cu întârziere a incidentului către autoritate.

Potrivit Regulamentului GDPR, operatorii trebuie să notifice autoritatea, de regulă, în cel mult 72 de ore din momentul în care au luat cunoștință despre o încălcare a securității datelor.

Faptul că o companie raportează incidentul nu înseamnă că va scăpa de sancțiune pentru cauzele care au făcut posibilă breșa. În același timp, ascunderea incidentului sau raportarea cu întârziere poate atrage amenzi suplimentare.

Pe lângă sancțiunea aplicată UniCredit, Altex a fost amendată atât pentru lipsa notificării către autoritate, cât și pentru neinformarea persoanei afectate.

Amenzi și pentru cookie-uri, apeluri comerciale și cereri ignorate

ANSPDCP nu sancționează doar breșele informatice. AVIZIERO a primit o amendă de 5.000 de lei pentru plasarea unor cookie-uri care nu erau necesare funcționării tehnice a site-ului, fără informarea corespunzătoare și fără obținerea acordului prealabil.

Dormeo Home a fost amendată cu 1.000 de euro după ce a continuat să contacteze telefonic o persoană care își exercitase dreptul de opoziție față de prelucrarea datelor în scop de marketing.

Ascendex Technology a primit o sancțiune de 11.000 de euro pentru modul în care a soluționat cereri de ștergere a datelor. Într-un caz, compania a avut nevoie de aproximativ 12 luni și nu a transmis un răspuns final persoanei care formulase solicitarea, iar în alte situații durata a ajuns la 37 de luni.

Trei sferturi dintre procesele finalizate, câștigate de autoritate

Statisticile ANSPDCP arată că operatorii contestă în instanță mai puțin de o treime dintre amenzi.

Din cele 448 de sancțiuni aplicate în baza GDPR între 2019 și mai 2026, 135, reprezentând aproximativ 30%, au fost contestate. Din 96 de litigii finalizate, 72 au fost soluționate în favoarea autorității, fie prin menținerea integrală a amenzii, fie prin confirmarea existenței contravenției, chiar dacă sancțiunea a fost redusă sau înlocuită cu un avertisment.

Instanțele au subliniat că încălcările GDPR sunt contravenții „de pericol”, nu doar „de rezultat”. Prin urmare, autoritatea nu trebuie să demonstreze că o persoană a suferit efectiv un prejudiciu. Faptul că datele au fost expuse sau că măsurile de securitate au fost insuficiente poate fi suficient pentru aplicarea sancțiunii.

Analiza sancțiunilor din 2026 arată că firmele trebuie să poată demonstra că își testează periodic sistemele, că folosesc autentificarea multifactor, parole suficient de complexe și niveluri de acces limitate, că își instruiesc efectiv angajații și că au proceduri clare pentru raportarea incidentelor în termenul legal.

Un contract încheiat cu un furnizor IT, existența unor proceduri interne sau organizarea formală a unui curs GDPR nu înlătură răspunderea atunci când, în practică, datele clienților sau ale angajaților rămân expuse.