Raportul ANSPDCP 2025 în cifre: ce înseamnă pentru companii și instituții

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a publicat raportul de activitate pentru 2025. Am parcurs cele 141 de pagini și am extras ce contează pentru o organizație care prelucrează date personale: unde a crescut riscul, cât costă greșelile, ce cere Autoritatea după un incident și ce se poate face înainte.

Raportul anual este cea mai bună radiografie a modului în care se aplică GDPR în România: nu ce spune legea, ci ce se sancționează efectiv, pentru ce fapte și cu ce sume. Cifrele de mai jos sunt preluate direct din raport, iar echivalentele în euro sunt cele calculate de Autoritate. La finalul articolului găsiți prezentarea completă, cu graficele aferente.

Activitatea ANSPDCP în 2025 pe scurt

• 12.297 plângeri, sesizări și notificări — +130% față de 2024
• 488 investigații finalizate
• 105 amenzi, în cuantum total de 2.565.020 lei (511.400 EUR)
• 145 avertismente, 182 măsuri corective, 3 avertizări, 5 decizii

Pe fiecare indicator, direcția este aceeași: mai multe sesizări, mai multe amenzi, sume mai mari.

Plângerile s-au dublat: de unde vine, de fapt, riscul

Din cele 12.297 sesizări, 11.278 sunt plângeri depuse de persoane fizice — de la 4.887 în 2024, o creștere de 131%. Restul de 1.019 sunt sesizări (814) și notificări de încălcare a securității datelor transmise de operatori (205, dintre care 202 în baza GDPR).

Concluzia practică: probabilitatea ca o organizație să ajungă în atenția Autorității nu depinde în primul rând de controalele planificate, ci de clienții, angajații și vecinii care reclamă. Temele plângerilor din 2025 confirmă acest lucru: nerespectarea principiilor de prelucrare, dreptul de acces și dreptul la ștergere ignorate, divulgarea datelor către terți (inclusiv pe rețele sociale sau la avizier), supravegherea video, marketingul nesolicitat, raportările la Biroul de Credit.

Două teme sunt noi în 2025: mesajele electorale trimise persoanelor fizice și blocarea conturilor de pe rețelele de socializare. Raportul nu explică saltul de volum, dar acestea sunt explicația probabilă.

Mai multe amenzi, mai mari, mai puține avertismente

Autoritatea a aplicat 105 amenzi în 2025, față de 83 în 2024 (+27%) și 69 în 2022 (+52%). Cuantumul total a ajuns la 2,56 milioane lei, +38% față de anul anterior: 96 amenzi în baza GDPR (2.378.020 lei) și 9 în baza Legii nr. 506/2004 privind comunicațiile electronice (187.000 lei).

Amenda medie: aproximativ 24.400 lei, adică 4.870 EUR. Nicio amendă de ordinul milioanelor de euro în 2025 — dar 105 operatori au plătit, iar avertismentele au scăzut de la 186 în 2023 la 145. Autoritatea sancționează mai des cu amendă și, aproape întotdeauna, adaugă măsuri corective cu termen de implementare: 182 în 2025.

Notificarea unei breșe: unde este miza cea mai mare

Raportul separă investigațiile din oficiu — declanșate de notificările de breșă și de sesizări — de cele pornite din plângeri. Diferența de miză este semnificativă:

• Din oficiu: 312 investigații finalizate, 58 de amenzi în valoare de 1.995.894 lei, 54 avertismente, 64 măsuri corective. Amenda medie GDPR: ~36.300 lei (7.150 EUR).
• Pe plângeri: 332 investigații demarate, 47 de amenzi în valoare de 589.320 lei, 91 avertismente, 118 măsuri corective. Amenda medie GDPR: ~12.700 lei (2.530 EUR).

Amenzile din investigațiile din oficiu au atins în 2025 un maxim istoric: 357.500 EUR, de la 46.750 EUR în 2021 — de 7,6 ori mai mult în patru ani. Cu alte cuvinte, momentul în care notificați o breșă este momentul în care Autoritatea vă verifică măsurile de securitate.

Cauzele breșelor notificate se repetă de la un an la altul: e-mailuri trimise destinatarului greșit, atacuri ransomware, site-uri și aplicații insuficient securizate, aplicații lansate fără testare, acces neautorizat la sistemele de supraveghere video.

Fișele de caz: cât costă greșelile banale

Raportul publică peste 30 de fișe de caz. Niciuna nu descrie o tehnologie exotică; toate descriu proceduri care lipsesc. Câteva exemple, cu sumele aferente:

• Fluturașii de salariu trimiși altor angajați — 3.000 EUR. Aplicația HR, furnizată de un terț, a generat fișiere greșite când doi utilizatori au rulat simultan același modul; scenariul nu fusese testat. Răspunde operatorul, nu furnizorul.
• Factura cu seria și numărul CI trimisă pe e-mail unei persoane care a sunat să o ceară — 2.000 EUR. Nicio verificare a identității solicitantului.
• Tabelul cu clienți publicat pe Facebook, la o tombolă — 5.000 EUR pentru lipsa măsurilor de securitate și încă 1.000 EUR pentru că breșa nu a fost notificată.
• Ransomware prin conexiune VPN, cu credențiale legitime — 8.000 EUR. Măsura corectivă: autentificare multifactor pentru toate conturile cu acces la distanță.
• Fost angajat care a dat colegilor parolele sistemului de contracte — 7.000 EUR. Măsura: procedură de revocare a accesului la plecare.
• Camerele „pentru pază” folosite în cercetarea disciplinară a angajaților — 5.000 EUR. Scopul declarat nu acoperă un alt scop.
• Mențiunea „persoană agresivă” din baza de date a unei firme de curierat — 1.000 EUR, pentru că o notă internă despre o persoană identificabilă este dată personală (CJUE, C-434/16), plus 3.000 EUR pentru cererea de acces rămasă fără răspuns.
• Angajata unui furnizor de utilități care a răspuns pe Facebook cu restanțele unei cliente — 1.000 EUR pentru operator, care nu a putut dovedi instruirea personalului.
• Cea mai mare amendă individuală din fișele de caz: 20.000 EUR, pentru o platformă de e-commerce ale cărei vulnerabilități au permis redirecționarea clienților către o pagină de plată falsă.

Articolul cel mai des invocat este art. 32 GDPR — securitatea prelucrării. Instituțiile publice primesc, potrivit Legii nr. 190/2018, avertisment însoțit de plan de remediere, dar cazurile lor apar în raport cu aceeași claritate: date ale pensionarilor publicate pe site-ul unei case de pensii, numele și adresa unei petente trimise de o primărie la 30 de vecini, înregistrări video folosite de un inspectorat de poliție pentru cercetarea disciplinară a propriilor agenți.

În instanță: ce nu funcționează ca apărare

Dintre contestațiile împotriva amenzilor definitivate între 2019 și 2025, 47 din 55 (85%) au fost câștigate de Autoritate. În 2025 se aflau pe rolul instanțelor 195 de dosare, iar din cele 55 de cereri noi, 35 contestau procese-verbale de sancționare.

Hotărârile definitive citate în raport sunt utile pentru oricine cântărește o contestație:

• „Prima abatere” nu justifică, singură, înlocuirea amenzii cu avertisment (Tribunalul Cluj, menținută de Curtea de Apel Cluj).
• Faptul că operatorul a notificat el însuși breșa nu este circumstanță atenuantă: notificarea este o obligație, iar omisiunea ei este o contravenție distinctă (Tribunalul Timiș).
• Termenul de prescripție pentru sancțiuni este de 3 ani, potrivit Legii nr. 102/2005 — nu 6 luni, ca în regimul contravențional general.
• Într-un caz privind folosirea WhatsApp pentru sesizările consumatorilor, instanța a reținut că operatorul avea posibilitatea să consulte propriul responsabil cu protecția datelor înainte de implementare.

O autoritate la 41% din personal, cu volum dublu de lucru

ANSPDCP a încheiat anul 2025 cu 33 de angajați contractuali și 2 demnitari — 36 de posturi ocupate în medie, adică 41% din cele 87 prevăzute de lege — și un buget de 6,09 milioane lei. Raportul menționează plăți restante pentru prima dată de la înființare, iar misiunea de evaluare Schengen a recomandat României să asigure Autorității resurse suficiente.

Cu aceste resurse, volumul procesat s-a dublat și amenzile au crescut. Este rezonabil să presupunem că presiunea de control nu va scădea.

Ce cere ANSPDCP după un incident și ce puteți face înainte

Măsurile corective impuse în 2025 sunt remarcabil de consistente de la un caz la altul:

1. Instruirea periodică a personalului, cu dovada instruirii — apare în aproape fiecare fișă de caz.
2. Autentificare multifactor pentru toate conturile cu acces la distanță.
3. Politică de complexitate și schimbare a parolelor.
4. Jurnalizarea accesului la sisteme, păstrată 30–120 de zile, cu backup al log-urilor.
5. Testarea periodică a sistemelor, inclusiv în mediu de test, înainte de producție.
6. Revocarea accesului și dezactivarea conturilor foștilor angajați.
7. Proceduri pentru cererile persoanelor vizate: răspuns complet, copia datelor, în 30 de zile.
8. Evaluarea impactului asupra protecției datelor (DPIA) pentru prelucrările din Decizia nr. 174/2018.
9. Implicarea responsabilului cu protecția datelor în deciziile care privesc date personale.

Toate sunt obligații impuse după incident, cu termen de conformare și dovezi de prezentat. Implementate înainte, costă o fracțiune din amendă și din remediere.

Concluzii

1. Riscul vine de la persoanele vizate, nu de la controalele planificate. 11.278 din cele 12.297 sesizări sunt plângeri ale clienților, angajaților și vecinilor.
2. Sancțiunile devin mai ferme. Mai multe amenzi, cuantum mai mare, mai puține avertismente, 182 de măsuri corective cu termen.
3. Miza cea mai mare este la notificarea unei breșe. Investigațiile din oficiu au amenda medie de aproape trei ori mai mare decât cele pe plângeri.
4. Cauzele sunt banale și repetitive. E-mail greșit, parole slabe, lipsă MFA, aplicații netestate, angajați neinstruiți.
5. Contestarea rar funcționează. 85% din contestații pierdute; „prima abatere” și „am notificat singuri” nu sunt circumstanțe atenuante.

Ce urmează: Regulamentul (UE) 2025/2518, privind procedurile în cazurile transfrontaliere, se aplică de la 2 aprilie 2027; pachetul Digital Omnibus propune modificări ale definiției datelor personale și ale registrului de evidență a prelucrărilor, iar ANSPDCP a transmis deja observații; evaluarea Schengen a cerut resurse suplimentare pentru Autoritate.

Întrebări frecvente

Cât a fost amenda medie GDPR în România în 2025?
Aproximativ 24.400 lei (4.870 EUR): 2.565.020 lei împărțiți la 105 amenzi. În investigațiile din oficiu media este ~7.150 EUR, iar în cele pornite din plângeri ~2.530 EUR.

Ce se întâmplă după ce notific o breșă la ANSPDCP?
Notificarea este obligatorie în 72 de ore (art. 33 GDPR). Autoritatea poate deschide o investigație din oficiu asupra măsurilor de securitate; în 2025, aceste investigații au dus la 58 de amenzi. Instanțele au reținut că notificarea nu este circumstanță atenuantă, dar lipsa ei este o contravenție distinctă.

Merită să contest o amendă ANSPDCP?
Statistic, 85% din contestațiile definitivate între 2019 și 2025 au fost pierdute de operatori. O contestație are sens când există erori de fapt sau de procedură în procesul-verbal, nu pentru a obține clemență pe motiv de „prima abatere”.

Acest articol este o analiză independentă realizată de GDPR Complet, firmă de consultanță în protecția datelor și securitate cibernetică. Nu reprezentăm ANSPDCP; plângerile către Autoritate se depun la dataprotection.ro.

Sursa: Raportul de activitate al ANSPDCP pentru anul 2025 — dataprotection.ro

📥 Descărcați prezentarea „Raportul ANSPDCP 2025 în cifre — analiză GDPR Complet”

Cum vă ajută GDPR Complet

Peste 400 de organizații din România lucrează cu noi pentru conformitatea GDPR, NIS2 și AI Act: DPO externalizat, audit și implementare GDPR, Responsabil NIS2 externalizat, consultanță AI Act și instruire cu testare pe GDPREdu.ro. Certificați ISO 9001 și ISO 27001, cu Certificat DNSC și asigurare de răspundere profesională.

Solicitați o ofertă: contact@gdprcomplet.ro · 0745 258 676 · gdprcomplet.ro