Cele mai frecvente greșeli GDPR care duc la sancțiuni

Respectarea regulilor privind protecția datelor cu caracter personal este o obligație pentru orice companie care colectează, utilizează sau stochează date despre persoane fizice. Deși GDPR este în vigoare de mai mulți ani, multe firme continuă să facă greșeli care pot atrage avertismente, măsuri corective sau amenzi.

În România, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal desfășoară în mod constant investigații, iar în anul 2026 au fost aplicate deja amenzi pentru lipsa măsurilor tehnice și organizatorice adecvate, informarea incompletă a persoanelor vizate și nerespectarea obligațiilor privind incidentele de securitate.

În acest articol vom explica cele mai frecvente greșeli GDPR și ce poate face o firmă pentru a reduce riscul unor sancțiuni.

Lipsa unui temei legal pentru prelucrarea datelor

Una dintre cele mai importante obligații GDPR este ca orice prelucrare de date să aibă un temei juridic.

O firmă nu poate colecta și utiliza date personale doar pentru că acestea îi sunt utile. În funcție de situație, prelucrarea poate avea la bază consimțământul, executarea unui contract, îndeplinirea unei obligații legale, interesul legitim sau alte temeiuri prevăzute de GDPR.

O greșeală frecventă este presupunerea că orice prelucrare poate fi justificată prin consimțământ. În realitate, consimțământul este doar una dintre bazele legale disponibile și trebuie utilizat în condițiile prevăzute de regulament.

Informarea incompletă a persoanelor vizate

Clienții, angajații și celelalte persoane ale căror date sunt prelucrate trebuie să fie informate într-un mod clar și transparent.

Politica de confidențialitate trebuie să explice, printre altele:

• ce date sunt colectate;
• în ce scop sunt utilizate;
• care este temeiul juridic al prelucrării;
• cât timp sunt păstrate datele;
• cui pot fi transmise;
• care sunt drepturile persoanei vizate.

Informarea incompletă sau formulată într-un limbaj neclar poate reprezenta o încălcare a GDPR. În 2026, ANSPDCP a aplicat, de exemplu, o amendă pentru utilizarea unei camere body-cam și lipsa informării corespunzătoare a salariaților.

Colectarea excesivă a datelor

O altă greșeală frecventă este colectarea unor date care nu sunt necesare pentru scopul urmărit.

De exemplu, o companie nu ar trebui să solicite informații suplimentare despre un client doar pentru că acestea ar putea fi utile la un moment dat. GDPR impune respectarea principiului minimizării datelor, ceea ce înseamnă că trebuie colectate doar informațiile necesare pentru scopul declarat.

Cu cât o companie colectează mai multe date, cu atât cresc și responsabilitățile și riscurile asociate protejării acestora.

Măsuri de securitate insuficiente

Protejarea datelor nu înseamnă doar existența unei politici GDPR pe hârtie. Compania trebuie să implementeze măsuri tehnice și organizatorice adecvate pentru protejarea informațiilor.

Printre acestea se pot număra:

• parole și sisteme de autentificare adecvate;
• limitarea accesului angajaților la date;
• backup-uri;
• criptarea anumitor informații;
• actualizarea sistemelor informatice;
• proceduri interne pentru incidente de securitate.

Acesta este unul dintre domeniile în care au fost aplicate recent sancțiuni în România. În mai 2026, ANSPDCP a sancționat un mare magazin online din România pentru lipsa unor măsuri tehnice și organizatorice adecvate și pentru nerespectarea obligației de notificare a unei încălcări a securității datelor.

Păstrarea datelor pentru o perioadă prea lungă

GDPR impune și respectarea principiului limitării stocării. Datele personale nu ar trebui păstrate pe o perioadă nelimitată fără o justificare legală.

O firmă trebuie să stabilească perioade de retenție pentru diferitele categorii de date și să aibă proceduri prin care informațiile care nu mai sunt necesare să fie șterse sau anonimizate, atunci când legea permite acest lucru.

Lipsa unei politici clare de retenție poate crea riscuri juridice și poate îngreuna demonstrarea conformității în cazul unui control.

Ignorarea drepturilor persoanelor vizate

Persoanele ale căror date sunt prelucrate au mai multe drepturi, printre care dreptul de acces, rectificare, ștergere, restricționare a prelucrării, opoziție și, în anumite situații, portabilitatea datelor.

O greșeală frecventă este lipsa unei proceduri interne pentru gestionarea acestor solicitări.

Compania trebuie să știe cine primește cererea, cum este verificată identitatea solicitantului, cine pregătește răspunsul și în ce termen trebuie transmis acesta.

Lipsa unei proceduri pentru incidentele de securitate

Un atac informatic, pierderea unui laptop, trimiterea unui email către destinatarul greșit sau accesarea neautorizată a unei baze de date pot reprezenta incidente de securitate.

O companie trebuie să fie pregătită să identifice și să gestioneze rapid astfel de situații. În anumite cazuri, încălcarea securității datelor trebuie notificată autorității de supraveghere, iar notificarea trebuie făcută, atunci când sunt îndeplinite condițiile legale, în termenul prevăzut de GDPR.

În practică, nerespectarea acestei obligații a dus la sancțiuni. În 2026, ANSPDCP a aplicat amenzi unor operatori pentru neîndeplinirea obligației de notificare a unei încălcări a securității datelor.

Lipsa documentației GDPR

O firmă poate respecta anumite reguli în practică, dar să nu poată demonstra acest lucru.

GDPR se bazează și pe principiul responsabilității, ceea ce înseamnă că organizația trebuie să poată demonstra conformitatea cu obligațiile aplicabile.

În funcție de activitatea companiei, documentația poate include:

• evidența activităților de prelucrare;
• politici și proceduri interne;
• informări privind prelucrarea datelor;
• acorduri cu persoanele împuternicite;
• proceduri pentru incidente de securitate;
• proceduri privind exercitarea drepturilor persoanelor vizate;
• evaluări de risc și, atunci când este cazul, evaluări de impact.

Utilizarea necorespunzătoare a datelor angajaților

GDPR se aplică și în relația dintre angajator și angajat.

Companiile trebuie să fie atente atunci când utilizează camere video, sisteme de monitorizare, înregistrări audio-video, sisteme de pontaj sau alte instrumente care implică prelucrarea datelor angajaților.

În aceste situații trebuie analizate temeiul juridic, necesitatea și proporționalitatea măsurilor, precum și obligația de informare a salariaților.

Ce amenzi pot fi aplicate

Sancțiunile GDPR sunt stabilite în funcție de natura și gravitatea încălcării, durata acesteia, caracterul intenționat sau neglijent, măsurile luate pentru reducerea prejudiciului și alte circumstanțe relevante.

În funcție de încălcare, amenzile administrative pot ajunge până la 10 milioane de euro sau 2% din cifra de afaceri mondială anuală, respectiv până la 20 de milioane de euro sau 4% din cifra de afaceri mondială anuală.

Sancțiunea nu este însă singura consecință posibilă. Autoritatea poate dispune și măsuri corective, iar un incident privind datele personale poate afecta reputația și relația companiei cu clienții.

Cum poate o firmă să evite aceste greșeli

Pentru reducerea riscurilor, este recomandat ca firma să:

• realizeze periodic o analiză a modului în care prelucrează datele;
• identifice temeiul juridic pentru fiecare categorie de prelucrare;
• actualizeze politicile de confidențialitate;
• stabilească perioade clare de păstrare a datelor;
• limiteze accesul angajaților la informațiile personale;
• implementeze măsuri tehnice și organizatorice adecvate;
• instruiască periodic angajații;
• stabilească o procedură pentru incidentele de securitate;
• verifice modul în care sunt gestionate solicitările persoanelor vizate;
• apeleze la un avocat specializat în protecția datelor cu caracter personal sau DPO atunci când situația o impune.

Conformarea GDPR nu trebuie privită ca un set de documente pregătite o singură dată. Activitatea companiei se schimbă, apar noi tehnologii, noi categorii de date și noi riscuri, iar măsurile de protecție trebuie adaptate în consecință.

Rolul avocatului și al DPO

Un avocat specializat în protecția datelor poate ajuta compania să identifice riscurile juridice și să implementeze măsurile necesare pentru conformare.

Acesta poate:

• efectua o analiză juridică a activităților de prelucrare;
• redacta și verifica documentația GDPR;
• analiza contractele cu furnizorii și partenerii;
• oferi consultanță în cazul unui incident de securitate;
• asista compania în relația cu autoritatea de supraveghere;
• reprezenta compania în eventualele litigii.

În cazul în care compania are obligația de a desemna un DPO, acesta are un rol distinct și important în monitorizarea respectării normelor privind protecția datelor.

Concluzie

Cele mai multe probleme GDPR nu apar neapărat din intenția unei firme de a încălca legea, ci din lipsa unor proceduri clare, a unei analize juridice corespunzătoare sau a unor măsuri de securitate adaptate riscurilor.

Lipsa unui temei legal, informarea incompletă, colectarea excesivă a datelor, securitatea insuficientă și gestionarea necorespunzătoare a incidentelor sunt printre problemele care pot atrage sancțiuni.

O strategie eficientă de conformare începe cu identificarea riscurilor și continuă prin implementarea unor măsuri juridice, organizatorice și tehnice adecvate. Cu sprijinul unui avocat specializat în GDPR și, atunci când este necesar, al unui DPO, compania poate reduce semnificativ riscul sancțiunilor și poate demonstra că tratează cu seriozitate protecția datelor cu caracter personal.

Sursa Imagine: Magnific