Ce ne spun amenzile GDPR din 2026 despre securitatea datelor

Anul 2026 are doua fete. In Europa, autoritatea olandeza de protectie a datelor a amendat Uber cu 824,99 milioane de euro, cea mai mare amenda GDPR a anului de pana acum. In Romania, ANSPDCP a anuntat, pana la 5 noiembrie, 38 de sanctiuni cu amenda, insumand aproximativ 504.000 de euro, la care se adauga 90.000 de lei aplicati in temeiul Legii nr. 506/2004.

Sumele nu se pot compara. Lectiile, da. Cele mai mari amenzi din Romania nu au pornit de la interpretari juridice sofisticate, ci de la erori de securitate pe care operatorii le puteau evita: un furnizor nesupravegheat, aplicatii modificate fara control, angajati cu acces nelimitat, o platforma neactualizata. Nu intamplator, 22 dintre cele 38 de sanctiuni privesc securitatea prelucrarii.

Am ales cinci cazuri: amenda primita de Uber si patru dintre cele mai mari sanctiuni aplicate in Romania. Pentru fiecare, ne-am uitat la acelasi lucru: unde a fost greseala.

Uber: 825 de milioane de euro pentru decizii pe care nu le-a luat un om

Pe 21 august 2026, Autoriteit Persoonsgegevens a amendat Uber B.V. si Uber Technologies Inc. cu 824.990.000 de euro. Este cea mai mare amenda GDPR a anului de pana acum si a doua ca marime de la intrarea in aplicare a regulamentului, dupa cea de 1,2 miliarde de euro aplicata Meta in 2023.

Intre 2018 si 2022, programele Uber urmareau comportamentul soferilor si evaluarile primite de la clienti. Pe aceasta baza, conturile erau dezactivate automat: temporar, la suspiciuni de frauda, temporar sau definitiv, la evaluari considerate insuficiente. Un sofer dezactivat nu mai putea prelua curse, deci nu mai avea venit.

Plangerea a fost depusa in 2020 la autoritatea franceza de Liga Drepturilor Omului, in numele a 171 de soferi. A fost preluata de autoritatea olandeza, competenta ca autoritate principala, pentru ca sediul principal european al Uber se afla in Olanda.

Greseala. Decizii cu efecte majore asupra unor persoane au fost luate fara o interventie umana reala. Articolul 22 din GDPR limiteaza strict deciziile bazate exclusiv pe prelucrarea automata si, chiar acolo unde le permite, cere garantii, inclusiv dreptul de a obtine interventia unui om si de a contesta decizia. Autoritatea a retinut, separat, ca soferii nu au fost informati suficient despre aceste decizii, cum cer articolele 13 si 14.

Ce urmeaza. Uber a contestat amenda, care nu este definitiva. Directia este insa clara. Directiva (UE) 2024/2831 privind munca prin intermediul platformelor, care trebuie transpusa pana la 2 decembrie 2026, prevede expres ca orice decizie de restrictionare, suspendare sau incetare a contului unei persoane care presteaza munca prin platforme se ia de un om.

Lectia depaseste platformele de transport. Orice firma care lasa un sistem automat sa blocheze conturi, sa respinga cereri sau sa evalueze angajati trebuie sa poata arata cine verifica decizia si cum o poate contesta persoana afectata.

Renault Commercial Roumanie: 125.000 de euro pentru securitatea unui furnizor

Cea mai mare amenda aplicata in Romania in 2026 a fost anuntata pe 25 martie. Un atac informatic asupra unei aplicatii administrate de o persoana imputernicita a operatorului a dus la accesarea si publicarea neautorizata a datelor unui numar foarte mare de persoane: nume, date de contact, adresa, CNP, data nasterii, date din cartea de identitate si din permisul de conducere, serii de sasiu, functia si angajatorul.

ANSPDCP a aplicat o amenda de 637.262,50 lei, echivalentul a 125.000 de euro, pentru incalcarea articolului 32, coroborat cu articolul 28 alineatul (1).

Greseala. Aplicatia nu era a operatorului, dar datele erau. Articolul 28 alineatul (1) il obliga sa lucreze numai cu persoane imputernicite care ofera garantii suficiente de securitate. Autoritatea a retinut ca aceasta conditie nu a fost asigurata, iar masurile nu erau proportionale cu riscul prelucrarii.

Lectia. Externalizarea muta munca, nu raspunderea. Contractul cu furnizorul nu este suficient: operatorul trebuie sa poata demonstra ce a verificat inainte de a-i incredinta datele si cum il supravegheaza pe parcurs.

Orange Romania: 100.000 de euro pentru doua erori de proiectare

Amenda anuntata pe 17 iulie porneste de la doua incidente.

In primul, o eroare de sincronizare intre doua aplicatii interconectate a asociat contul unui client cu cel al unui angajat. Clientul putea vedea si descarca facturile de echipamente ale altor clienti, cu nume, adrese si seria si numarul cartii de identitate.

In al doilea, aplicatia de gestionare a solicitarilor era expusa public, fara VPN, fara autentificare in doi pasi si fara restrictionarea accesului dupa adresa IP. Un atac a permis sustragerea unui volum mare de date: CNP, copii ale cartilor de identitate, informatii despre carduri bancare, coduri IBAN, date de autentificare.

ANSPDCP a aplicat 20.000 de euro pentru incalcarea articolului 25 alineatul (1) si 80.000 de euro pentru incalcarea articolului 32.

Greselile. Doua aplicatii interconectate au produs o eroare pe care niciun control nu a prins-o la timp. O aplicatie interna a fost lasata accesibila din internet fara un strat suplimentar de protectie. Iar eficienta masurilor de securitate nu era testata periodic.

Lectia. Amenda pe articolul 25 este semnalul important: protectia datelor se verifica la fiecare modificare, nu doar la lansare. Masura corectiva dispusa o spune explicit: un proces de monitorizare si testare a tuturor aplicatiilor, care sa acopere actualizarile, modificarile de configurare si interconectarile.

Amato Bestseller: 45.000 de euro si 50.000 de lei pentru acces fara reguli

Investigatia a pornit de la sesizarile mai multor persoane, iar comunicatul a aparut pe 6 august.

Angajatii si fostii angajati ai operatorului au avut acces neautorizat la datele unui numar considerabil de persoane: nume, telefon, grad de rudenie, profesie, stare civila, venituri, oras de domiciliu, date despre familie si despre sanatate. Personalul nu fusese instruit si nu primise proceduri de lucru. In plus, operatorul prelucra mai multe date decat era necesar, inclusiv date privind sanatatea, nu informa complet persoanele vizate si facea apeluri comerciale prin sisteme automate, fara consimtamantul prealabil al destinatarilor.

Amenzile: 15.000 de euro pentru articolul 32 alineatul (4), 10.000 de euro pentru articolul 14, 20.000 de euro pentru articolul 5 alineatul (1) litera c) raportat la articolul 9 si 50.000 de lei pentru articolul 12 alineatul (1) din Legea nr. 506/2004.

Greselile. Accesul la date nu era diferentiat, iar fostii angajati au putut ajunge in continuare la ele. Datele despre sanatate, o categorie speciala, erau prelucrate fara sa fie necesare. Iar marketingul prin apeluri automate a ignorat regula consimtamantului prealabil.

Lectia. Articolul 32 alineatul (4) este adesea uitat: operatorul trebuie sa se asigure ca orice persoana care are acces la date le prelucreaza numai la instructiunile lui. Fara proceduri, instruire si drepturi de acces revocate la timp, fiecare angajat poate deveni o sursa de scurgere a datelor.

HOMELUX: 15.000 de euro si 30.000 de lei pentru o platforma neactualizata

Comunicatul din 31 iulie descrie un scenariu tipic pentru comertul online. Un atac a vizat platforma pe care functiona site-ul operatorului, o platforma care nu corespundea versiunii oficiale lansate de producator. Conturile clientilor foloseau parole simple, iar deficienta nu a fost remediata nici dupa incident. Datele in cauza erau nume, adrese, adrese de e-mail si parole. Separat, site-ul plasa module cookie care nu erau necesare din punct de vedere tehnic, fara acordul utilizatorilor.

ANSPDCP a aplicat 15.000 de euro pentru incalcarea articolului 32 si 30.000 de lei pentru incalcarea Legii nr. 506/2004.

Greselile. O platforma care nu corespundea versiunii oficiale a producatorului. Parole simple, pastrate si dupa atac. Module cookie plasate fara consimtamant.

Lectia. Masurile corective dispuse sunt, practic, o lista de verificare pentru orice magazin online: un plan de testare periodica a sistemelor si a modificarilor, inclusiv a celor facute de furnizori; cerinte minime de complexitate pentru parole; autentificare cu mai multi factori pentru conturile de administrator; dezactivarea conturilor inactive; acces limitat la strictul necesar; mecanisme de detectare si blocare a atacurilor; filtrarea datelor introduse de utilizatori si restrictionarea accesului la interfetele de administrare.

Ce cere acum ANSPDCP, concret

Dincolo de sume, comunicatele din 2026 au o trasatura noua: masurile corective sunt tot mai precise. Autoritatea nu se mai limiteaza la a constata ca masurile au fost inadecvate. Spune ce trebuie facut. Cateva exemple din ultimele luni:

• accesul din exterior la sistemele informatice numai prin VPN si autentificare cu mai multi factori (Auchan Romania, octombrie);
• jurnale de acces pastrate cel putin 30 de zile, cu un proces de salvare a lor (Gerocossen, august; Global Customer Care Services, octombrie);
• numai date fictive in mediile de dezvoltare si testare (MyConnector Platform, octombrie);
• verificarea periodica a drepturilor de acces ale angajatilor si instruirea lor (ING Bank, noiembrie);
• inlocuirea pontajului pe baza de amprenta cu o solutie fara date biometrice (Tip Top Food Industry, septembrie);
• instruirea personalului pentru recunoasterea mesajelor frauduloase de tip phishing (Poliserv JG, august).

Luate impreuna, aceste masuri formeaza un standard de referinta. La un control, va fi greu de sustinut ca o masura ceruta deja altor operatori, in situatii asemanatoare, nu era adecvata si in cazul dumneavoastra.

Ce merita sa faca o firma acum

1. 1

   Verificati furnizorii care va prelucreaza datele. Cereti dovezi privind securitatea inainte de a semna si verificati-le periodic. Cazul Renault arata ca raspunderea ramane la operator.

2. 2

   Testati orice modificare a aplicatiilor, inclusiv interconectarile dintre ele, inainte de a le pune in functiune. Cazul Orange arata ce se intampla altfel.

3. 3

   Nu expuneti sistemele interne pe internet fara VPN si autentificare cu mai multi factori.

4. 4

   Limitati si revocati accesul angajatilor: drepturi strict necesare, retrase la plecarea din firma, si jurnale de acces pastrate suficient pentru a reconstitui un incident.

5. 5

   Actualizati platformele si impuneti parole solide, cu autentificare cu mai multi factori pentru conturile de administrator.

6. 6

   Revizuiti deciziile automate. Acolo unde un sistem decide singur asupra unei persoane, prevedeti interventia umana, informarea persoanei si o cale reala de contestare.

7. 7

   Notificati la timp. In 2026, UniCredit Bank a primit o amenda separata, de 2.000 de euro, pentru notificarea intarziata a unui incident, iar Altex Romania amenzi distincte pentru nenotificarea autoritatii si pentru neinformarea persoanei afectate.

Unde va putem ajuta

In toate cazurile de mai sus, problema tehnica a fost dublata de una de organizare: furnizori neverificati, proceduri lipsa, acces neguvernat, incidente gestionate tarziu. Pe aceasta parte va putem ajuta: verificarea si contractele cu persoanele imputernicite, politicile de acces si de pastrare a jurnalelor, procedura de gestionare si notificare a incidentelor, evaluarea impactului pentru sistemele noi si pregatirea pentru un control ANSPDCP.

Pentru o discutie despre situatia dumneavoastra, ne puteti scrie la office@dataconsulting.ro.

Analiza reflecta comunicatele publicate de ANSPDCP pana la 5 noiembrie 2026 si decizia Autoriteit Persoonsgegevens din 21 august 2026, contestata de Uber. Sumele in euro sunt echivalentele indicate de ANSPDCP. Acte normative: Regulamentul (UE) 2016/679 (GDPR); Legea nr. 506/2004; Directiva (UE) 2024/2831 privind imbunatatirea conditiilor de munca prin intermediul platformelor.