În contextul împlinirii a opt ani de la aplicarea GDPR, ANSPDCP a anunțat că a intensificat controalele și sancțiunile privind protecția datelor personale, cu impact direct asupra companiilor din România.

În perioada ianuarie – aprilie 2026, autoritatea a primit peste 5.500 de plângeri, sesizări și notificări privind incidente de securitate și a deschis 228 de investigații. Au fost aplicate 25 de amenzi, în valoare totală de circa 239.000 euro, precum și 42 de avertismente și 41 de măsuri corective.

Cele mai frecvente probleme reclamate au vizat:

• breșe de securitate și atacuri cibernetice;

• utilizarea cookie-urilor fără consimțământ;

• comunicări comerciale nesolicitate;

• prelucrarea datelor biometrice și video;

• divulgarea datelor pe rețele sociale;

• nerespectarea drepturilor persoanelor vizate.

Autoritatea subliniază că instanțele române confirmă tot mai des sancțiunile aplicate companiilor pentru măsuri insuficiente de securitate și lipsa instruirii angajaților. Cazuri relevante au implicat companii precum Restart Energy One, PPC Energie Muntenia, Banca Transilvania și Vreau Credit.

Printre concluziile-cheie pentru mediul de afaceri:

• existența unor politici GDPR nu este suficientă fără implementare efectivă și instruirea personalului;

• erorile umane nu exonerează companiile de răspundere;

• lipsa notificării incidentelor de securitate poate atrage sancțiuni suplimentare;

• instanțele consideră proporționale amenzile chiar și în lipsa unui prejudiciu demonstrat.

ANSPDCP a mai precizat că a analizat 16 cereri de aprobare a regulilor corporatiste obligatorii (BCR) din partea companiilor multinaționale și a emis avize pentru 36 de proiecte legislative în primele patru luni ale anului.