Amenzi GDPR: cât costă nerespectarea și cum le eviți

Amenzile GDPR pot ajunge până la 20 de milioane de euro sau 4% din cifra de afaceri anuală globală a companiei — se aplică valoarea mai mare dintre cele două —, pentru încălcările grave: lipsa unui temei legal, securitate insuficientă a datelor sau ignorarea drepturilor persoanelor. Pentru abateri mai mici, precum documentație incompletă sau lipsa unui contract cu un furnizor, plafonul este de 10 milioane de euro sau 2% din cifra de afaceri. În practică, majoritatea amenzilor aplicate firmelor mici sunt mult sub aceste plafoane, dar pot fi în continuare dureroase pentru o afacere mică.

Acest ghid completează ghidul general despre ce este GDPR și explică cum se calculează o amendă, ce o declanșează cel mai des și cum o eviți. Nu este consultanță juridică.

Cum se calculează, practic, o amendă GDPR?

Autoritatea de supraveghere nu aplică automat plafonul maxim. Regulamentul prevede o listă de criterii pe care autoritatea trebuie să le ia în calcul: gravitatea și durata încălcării, numărul de persoane afectate, dacă încălcarea a fost intenționată sau din neglijență, ce măsuri a luat firma pentru a limita paguba, dacă a mai avut încălcări anterioare și cât de bine a cooperat cu autoritatea în timpul investigației. O firmă care raportează singură o breșă, cooperează activ și repară rapid problema riscă, de regulă, o amendă mai mică decât una descoperită de autoritate și necooperantă.

Ce tipuri de încălcări duc cel mai des la amenzi?

• Lipsa unui temei legal pentru o prelucrare — de exemplu, marketing fără consimțământ valid.
• Măsuri de securitate insuficiente, care duc la o breșă de date — parole slabe, lipsa criptării, acces neautorizat.
• Nerespectarea drepturilor persoanelor — ignorarea unei cereri de acces sau ștergere.
• Notificarea întârziată sau lipsă a unei breșe către ANSPDCP, peste termenul de 72 de ore — vezi ghidul despre ce faci la o breșă de date.
• Lipsa documentației de bază — fără registru de evidență a prelucrărilor, fără contracte cu furnizorii.

Doar firmele mari riscă amenzi mari?

Nu. Plafonul de 4% din cifra de afaceri protejează, teoretic, firmele mici de amenzi disproporționate, dar autoritățile de supraveghere din Europa, inclusiv ANSPDCP, au aplicat sancțiuni și unor firme mici și instituții publice — de multe ori pentru probleme simple de rezolvat: lipsa politicii de confidențialitate, camere de supraveghere montate greșit sau o breșă de date netratată corect. Amenda pentru o firmă mică poate fi de câteva mii de lei, dar vine adesea la pachet cu obligația de a corecta problema într-un termen scurt, sub supraveghere.

Amenda e singurul risc financiar?

Nu. Pe lângă amenda propriu-zisă, o încălcare GDPR poate atrage: cereri de despăgubire din partea persoanelor afectate, costuri de remediere tehnică sub presiune de timp, pierderea unor contracte (mulți parteneri B2B cer dovada conformității GDPR) și, cel mai des subestimat, pierderea încrederii clienților — mai ales dacă incidentul devine public. La acestea se adaugă timpul de management consumat de o investigație: răspunsuri către autoritate, documente de reconstituit și, de multe ori, o perioadă în care firma nu se poate concentra pe activitatea de bază.

Cum eviți o amendă GDPR?

1. Documentează ce prelucrezi — un registru simplu de evidență a prelucrărilor (ROPA), detaliat în ghidul GDPR pentru firme mici.
2. Verifică temeiul legal pentru fiecare categorie de date, mai ales pentru marketing.
3. Pune la punct măsuri de securitate minime — parole puternice, autentificare în doi pași, backup-uri, acces limitat.
4. Ai contracte de prelucrare cu toți furnizorii care ating date de clienți.
5. Pregătește un proces pentru breșe de date, ca să te încadrezi în termenul de 72 de ore dacă se întâmplă totuși un incident.
6. Testează-ți expunerea printr-un audit de securitate, înainte să o testeze un atacator sau un control.

Ce faci dacă ai primit o notificare sau un control de la ANSPDCP?

Răspunde în termenul indicat, cu documentele cerute, și nu ignora comunicarea — lipsa unui răspuns e tratată, de regulă, mai aspru decât o problemă reală, dar recunoscută și în curs de corectare. Dacă nu ai deja documentația de bază (ROPA, politici, contracte), e momentul să le pui la punct rapid, ideal cu sprijin de specialitate, ca să arăți autorității un demers activ de conformare, nu doar promisiuni.

Poți contesta o amendă GDPR?

Da. O decizie de sancționare a ANSPDCP este un act administrativ care poate fi contestat în instanță, în termenul legal prevăzut de decizie, dacă firma consideră că sancțiunea e nejustificată sau disproporționată față de fapta reținută. Contestația nu suspendă automat obligația de plată, iar șansele de succes depind de calitatea documentației pe care firma o poate prezenta — de exemplu, dovada că măsurile de securitate erau, la momentul incidentul, rezonabile pentru riscul respectiv. Din acest motiv, documentarea deciziilor de conformare (de ce ai ales anumite măsuri, cu ce buget și în ce termen) este utilă nu doar preventiv, ci și ca apărare, dacă lucrurile ajung totuși la o sancțiune.

Vrei să afli cât de expusă e firma ta la o amendă GDPR? Cere o evaluare de conformitate GDPR — identificăm riscurile reale și îți dăm un plan de corectare pe priorități.

Întrebări frecvente