ANSPDCP a aplicat peste 260 de amenzi de la intrarea in vigoare a GDPR in 2018. Valoarea totala depaseste 1,9 milioane de euro. Iata care sunt cele mai importante cazuri din Romania, ce greseli au dus la sanctiuni si ce poti face concret pentru a nu fi urmatorul.
Cat de activa este ANSPDCP?
Romania se afla in primele 4 tari din UE dupa numarul de amenzi aplicate anual — dupa Spania si Italia. In 2024, ANSPDCP a aplicat 83 de sanctiuni cu o valoare totala de aproximativ 373.000 EUR. In 2025, numarul a crescut la 105 amenzi, totalizand peste 511.000 EUR.
Spre deosebire de autoritatile din Irlanda sau Luxemburg, care aplica amenzi rare dar uriase (Irlanda: 4 miliarde EUR cumulate, in principal din cazul Meta), ANSPDCP aplica frecvent amenzi de dimensiune medie. Valoarea medie a unei amenzi in Romania este de aproximativ 5.000–15.000 EUR — suficienta sa fie dureroasa pentru orice firma, mica sau mare.
260+
Amenzi aplicate din 2018
1,9 mil.
EUR total cumulat
Top 4
in UE dupa frecventa
Cazuri reale — ce s-a intamplat si ce lectii raman
UniCredit Bank SA
2019 — Art. 25(1) GDPR — protectia datelor inca din faza de proiectare
Ce s-a intamplat: La platile online, datele personale ale platitorului (inclusiv CNP-ul si adresa) erau vizibile destinatarilor platii. Afectati: peste 350.000 de persoane.
Lectia: Sistemele IT trebuie gandite cu protectia datelor incorporata din faza de design, nu adaugata ulterior.
Rompetrol Downstream SRL
2023 — Art. 32 GDPR — masuri de securitate inadecvate
Ce s-a intamplat: Date ale clientilor (copii dupa buletine si adeverinte de salariu) au fost accesate intern fara autorizare si folosite pentru a obtine credite frauduloase de la IFN-uri in numele clientilor.
Lectia: Accesul angajatilor la datele clientilor trebuie strict controlat si monitorizat. Privilegiile de acces excesive sunt un risc GDPR direct.
Raiffeisen Bank SA
2019 — Art. 32 GDPR — securitate insuficienta a prelucrarii
Ce s-a intamplat: Doi angajati ai bancii au primit prin WhatsApp datele de identitate ale unor clienti de la o firma de brokeraj si au efectuat 1.194 de simulari de credit pe 1.177 de persoane fara acordul acestora.
Lectia: Transmiterea datelor personale prin aplicatii de mesagerie (WhatsApp, email personal) reprezinta o incalcare GDPR. Este necesara o politica clara privind canalele autorizate.
UiPath SRL
2023 — Art. 25 si 32 GDPR — masuri tehnice insuficiente
Ce s-a intamplat: Un fisier continand datele personale a aproximativ 600.000 de utilizatori ai platformei UiPath Academy (nume, email, companie, certificari) a fost expus public timp de circa 10 zile din cauza unei configurari gresite.
Lectia: O simpla greseala de configurare poate expune sute de mii de persoane. Auditurile de securitate periodice si testarea configuratiilor sunt obligatorii.
Orange Romania SA
2025 — Art. 12, 17 GDPR — nerespectarea dreptului la stergere
Ce s-a intamplat: Un client care nu a finalizat un abonament a solicitat stergerea datelor. Orange nu a raspuns in termenul legal si a pastrat copii ale actului de identitate mai mult decat era permis.
Lectia: Cererile de stergere (dreptul de a fi uitat) primesc raspuns in termen de o luna, prelungibil cu doua luni pentru cererile complexe (art. 12 alin. (3) GDPR). Ignorarea cererilor venite din partea persoanelor vizate este una dintre cele mai frecvente cauze de amenzi.
EON Energie Romania SA
2025 — Art. 32 GDPR — masuri de securitate inadecvate
Ce s-a intamplat: Un atac cibernetic a permis accesul neautorizat si exfiltrarea conturilor de utilizatori, inclusiv adrese de email si parole.
Lectia: Victima unui atac cibernetic poate primi amenda GDPR daca masurile de securitate implementate anterior au fost insuficiente. A fi atacat nu exonereaza de raspundere.
Care sunt cele mai frecvente cauze de amenzi GDPR?
Analizand toate cazurile din Romania, trei tipuri de incalcari apar in mod repetat:
- Masuri de securitate inadecvate (Art. 32 GDPR)
Cel mai frecvent motiv de amenda. Include: date transmise prin canale neprotejate (WhatsApp, email personal), configuratii gresite ale sistemelor, parole slabe, acces nerestrictionat la datele clientilor.
- Lipsa notificarii incidentelor in 72 de ore (Art. 33 GDPR)
Daca are loc o bresa de securitate, organizatia are obligatia sa notifice ANSPDCP in cel mult 72 de ore. Intarzierea sau omiterea notificarii atrage amenzi separate.
- Nerespectarea drepturilor persoanelor vizate (Art. 12, 17 GDPR)
Lipsa raspunsului in termen de o luna la cererile de stergere a datelor, acces sau rectificare. Cazul Orange (40.000 EUR) este cel mai recent exemplu.
Ce sectoare sunt cel mai des sanctionate?
ANSPDCP nu vizeaza exclusiv marile corporatii. Amenzile au fost aplicate in toate sectoarele:
Banci si institutii financiare
UniCredit, Raiffeisen, Hora Credit, BCR
Energie si utilitati
Rompetrol, EON — sectorul cel mai sanctionat in oct. 2025
Telecomunicatii
Orange, Telekom, Vodafone
Retail si e-commerce
Altex, Sephora, IKEA, Kaufland
Tech si software
UiPath — cea mai mare amenda din sectorul tech
Persoane fizice / politicieni
Calin Georgescu — cookies fara consimtamant
Dar amenzile AI Act?
Regulamentul se aplica etapizat. Practicile interzise se aplica din 2 februarie 2025; cele mai multe dintre celelalte reguli, inclusiv obligatiile de transparenta, din 2 august 2026; obligatiile pentru sistemele de risc ridicat din Anexa III, din 2 decembrie 2027, potrivit Regulamentului (UE) 2026/1744 (Omnibusul digital), in vigoare din 27 iulie 2026. Amenzile maxime ajung la 35 milioane EUR sau 7% din cifra de afaceri globala — semnificativ peste nivelul GDPR.
Aplicarea in Romania depinde insa de legea nationala. Printr-un memorandum al Guvernului din 12 martie 2026, ANCOM a fost desemnata autoritate de supraveghere a pietei si punct unic de contact, alaturi de ANSPDCP pentru sistemele biometrice si de ASF si BNR pentru serviciile financiare. Un memorandum nu confera insa competente de control si sanctionare. ANCOM a precizat in iulie 2026 ca acestea pot urma doar intrarii in vigoare a legii nationale, care, potrivit celor mai recente informatii publice, nu fusese adoptata.
Concluzia practica nu este ca exista timp. Obligatiile se aplica deja; doar mecanismul national de sanctionare este in asteptare. Cand va exista, o firma neorganizata va raspunde in fata a doua autoritati: ANSPDCP pentru GDPR si ANCOM pentru AI Act.
Masuri pentru evitarea amenzilor
- 1Verificarea canalelor prin care circula datele personale
WhatsApp, e-mail personal, fisiere Excel nesecurizate — sunt surse frecvente de incidente. Datele clientilor si angajatilor trebuie sa circule exclusiv prin sisteme autorizate si securizate.
- 2Implementarea unei proceduri de notificare a incidentelor
Angajatii trebuie sa cunoasca pasii in cazul identificarii unui incident. Termenul de notificare a ANSPDCP este de 72 de ore — fara o procedura scrisa, exista riscul depasirii termenului.
- 3Raspuns la cererile persoanelor vizate in termen de o luna
Stergere, acces, rectificare — orice cerere primita de la un client sau angajat trebuie tratata si solutionata in termen. Ignorarea ei atrage sanctiuni.
- 4Restrictionarea accesului la datele personale
Nu toti angajatii au nevoie de acces la toate datele. Principiul minimizarii accesului reduce semnificativ riscul de incident intern.
Pentru contextul complet al obligatiilor GDPR ce stau la baza acestor amenzi, vezi articolul nostru despre GDPR si protectia datelor — ce trebuie sa stie orice firma.
Intrebari frecvente despre amenzile GDPR
Cate amenzi GDPR a aplicat ANSPDCP in Romania?
ANSPDCP a aplicat peste 260 de amenzi GDPR din 2018 pana in prezent, totalizand peste 1,9 milioane EUR. Romania se afla in primele 4 tari din UE dupa numarul de amenzi aplicate anual. In 2024 au fost 83 de sanctiuni (373.000 EUR), iar in 2025 numarul a crescut la 105 amenzi (peste 511.000 EUR).
Care este cea mai mare amenda GDPR in Romania?
Cea mai mare amenda GDPR aplicata in Romania este de 150.000 EUR (Raiffeisen Bank, 2019, redusa ulterior la 15.000 EUR in instanta). Urmeaza UniCredit Bank cu 130.000 EUR si Rompetrol Downstream cu 110.000 EUR. In sectorul tech, cea mai mare amenda este pentru UiPath (70.000 EUR).
Care sunt cele mai frecvente cauze de amenzi GDPR?
Trei tipuri de incalcari apar repetat: masuri de securitate inadecvate (Art. 32) — canale neprotejate, configuratii gresite, acces nerestrictionat; lipsa notificarii incidentelor in 72 de ore (Art. 33); nerespectarea drepturilor persoanelor vizate (Art. 12, 17) — lipsa raspunsului la cereri de stergere sau acces.
O firma mica poate fi amendata de ANSPDCP?
Da. ANSPDCP nu vizeaza exclusiv marile corporatii — amenzile au fost aplicate firmelor de toate dimensiunile, inclusiv microintreprinderi si chiar persoane fizice. Valoarea medie a unei amenzi pentru firme mici si medii in Romania este de 5.000-15.000 EUR. Un audit GDPR gratuit poate identifica riscurile concrete inainte de un control.
Cand se pot aplica amenzi AI Act in Romania?
Obligatiile se aplica etapizat (interdictii din februarie 2025, transparenta din august 2026, risc ridicat din decembrie 2027). In Romania, ANCOM a fost desemnata prin memorandum, dar competentele de sanctionare depind de o lege nationala inca neadoptata. Sumele pot atinge 35 milioane EUR sau 7% din cifra de afaceri — vezi articolul nostru despre EU AI Act pentru firme din Romania. Pentru o pregatire ordonata, GLOBAL DATA PROTECTION SRL (dataconsulting.ro) ofera audit GDPR + AI Act integrat.