GDPR pentru firme mici în 2026: obligații și amenzi

În septembrie 2026, ANSPDCP a amendat o firmă din industria alimentară cu 26.236 lei (5.000 euro) pentru un lucru pe care îl au sute de firme mici din România: un sistem de pontaj cu amprentă. Motivul: datele biometrice ale angajaților erau prelucrate fără bază legală validă, iar scopul (prezența la program) putea fi atins cu soluții mai puțin intruzive. Autoritatea a dispus înlocuirea întregului sistem.

Asta e realitatea GDPR în 2026: nu ești amendat pentru un dosar incomplet, ci pentru lucruri concrete — o cameră pusă greșit, un pontaj cu amprentă, un formular de contact fără notă de informare. Mai jos e ce trebuie făcut, în ordinea în care contează.

Firma ta este „operator de date”. Nu există scutire pentru microîntreprinderi

Dacă ai clienți, angajați sau colaboratori, prelucrezi date cu caracter personal: nume, telefon, adresă, CNP de pe contracte, poze de la lucrări, recenzii, conversații pe WhatsApp. Regulamentul (UE) 2016/679 nu are un prag de cifră de afaceri sau de număr de angajați sub care nu se aplică. Un PFA cu zero angajați este operator exact ca o firmă cu 200.

Ce se schimbă în funcție de mărime este volumul de documentație, nu existența obligațiilor.

O firmă de servicii adună, de regulă: date de contact ale clienților, CNP și serie CI de pe contracte și procese-verbale, fotografii de la lucrări, dosare de personal cu concedii medicale (date de sănătate, categorie specială) și înregistrări video din sediu sau atelier.

Cât costă greșelile: ce a sancționat ANSPDCP în 2025–2026

Potrivit raportului de activitate al ANSPDCP pentru 2025, autoritatea a primit 12.297 plângeri, sesizări și notificări, a derulat 488 de investigații și a aplicat 105 amenzi, însumând 2.565.020 lei (circa 511.000 euro), plus 182 de măsuri corective și 145 de avertismente. În primele patru luni din 2026 ritmul s-a menținut: 5.519 plângeri și sesizări, 228 de investigații, 25 de amenzi în valoare de 1.187.492 lei.

Caz (publicat de ANSPDCP)	Amendă	Motivul
Tip Top Food Industry (sept. 2026)	26.236 lei / 5.000 €	Pontaj și acces cu amprentă, fără bază legală (art. 5(1)(c) + art. 9)
Amato Bestseller (iun. 2026)	285.395 lei în total	Acces neautorizat al angajaților și foștilor angajați, fără instruire și proceduri (art. 32(4)); informare incompletă (art. 14); date excesive, inclusiv de sănătate (art. 5(1)(c) + 9); apeluri automate fără consimțământ (50.000 lei, Legea 506/2004)
Renault Commercial Roumanie (mart. 2026)	637.262,50 lei / 125.000 €	Atac informatic pe o aplicație ținută de un împuternicit; măsuri de securitate insuficiente (art. 32) și lipsa garanțiilor la alegerea împuternicitului (art. 28(1))
Persoană fizică, site evita-teparii.ro (ian. 2026)	50.890 lei / 10.000 €	Publicare de buletine și acuzații, fără bază legală; nu a răspuns la cererea de ștergere; nu a răspuns autorității
Piramida Trade Invest (invest. mai 2025)	3.000 €	Camere audio-video pe angajați, fără informare prealabilă completă și fără a demonstra că s-au încercat variante mai puțin intruzive
There's An AI For That (oct. 2025)	30.000 lei	Cookie-uri neesențiale fără informare clară și fără consimțământ expres (art. 4(5) lit. a și b, Legea 506/2004)

Plafoanele teoretice din art. 83 RGPD sunt mari — până la 10.000.000 euro sau 2% din cifra de afaceri mondială pentru încălcarea obligațiilor din art. 25–39, și până la 20.000.000 euro sau 4% pentru încălcarea principiilor (art. 5, 6, 7, 9) ori a drepturilor persoanelor (art. 12–22), reținându-se valoarea cea mai mare. În practică, pentru firme mici amenzile reale stau în intervalul 1.000–15.000 euro, dar vin aproape întotdeauna însoțite de măsuri corective care costă bani și timp: scoate camerele, schimbă sistemul de pontaj, refă informările.

Documentele minime pe care le cere un control

1. Registrul activităților de prelucrare

Art. 30 alin. (5) RGPD prevede o excepție pentru întreprinderile cu mai puțin de 250 de angajați — dar numai dacă prelucrarea nu riscă să afecteze drepturile persoanelor, nu este ocazională și nu include categorii speciale de date (art. 9) sau date penale (art. 10). O firmă care are angajați, deci dosare de personal și concedii medicale, prelucrează date de sănătate în mod sistematic. Practic, excepția nu se aplică.

Nu îți trebuie un document de 40 de pagini. Un tabel cu o linie pe fiecare activitate (clienți, angajați, recrutare, supraveghere video, newsletter) și coloane pentru scop, bază legală, categorii de date, cui le transmiți și cât le ții este suficient ca punct de plecare.

2. Nota de informare pentru clienți

Art. 13 și 14 RGPD cer ca persoana să afle, în momentul colectării, cine ești, pentru ce îi iei datele, pe ce bază legală, cât le păstrezi, cui le dai mai departe și ce drepturi are. Concret: o politică de confidențialitate pe site și o mențiune scurtă lângă formularul de contact și în contractul de prestări servicii. În cazul Amato Bestseller, informarea incompletă a costat singură 52.310 lei.

3. Informarea și instruirea angajaților

Cea mai scumpă amendă din dosarul Amato (78.465 lei) a fost pentru art. 32 alin. (4): firma nu s-a asigurat că oamenii care lucrează sub autoritatea ei prelucrează datele doar conform instrucțiunilor, nu i-a instruit și nu le-a pus la dispoziție proceduri. Rezultatul: angajați și foști angajați cu acces la date. Două măsuri care previn asta: acces diferențiat pe rol și închiderea conturilor în ziua plecării.

4. Contracte cu împuterniciții (art. 28)

Contabilul extern, firma de IT, platforma de facturare, serviciul de e-mail marketing, firma de curierat — toți prelucrează datele tale și au nevoie de un acord de prelucrare. Cazul Renault arată de ce contează: amenda a venit pentru o breșă produsă la furnizor, iar autoritatea a reținut și încălcarea art. 28(1) — obligația de a alege doar împuterniciți care oferă garanții suficiente.

Camere, GPS și pontaj: zona cu cele mai multe amenzi

România are aici reguli mai strice decât minimul european. Art. 5 din Legea nr. 190/2018 permite supravegherea video sau monitorizarea comunicațiilor electronice la locul de muncă numai dacă sunt îndeplinite cumulativ cinci condiții:

1. interesele legitime ale angajatorului sunt temeinic justificate și prevalează asupra drepturilor angajaților;
2. angajatorul a făcut informarea prealabilă obligatorie, completă și explicită a angajaților;
3. angajatorul a consultat sindicatul sau, după caz, reprezentanții angajaților înainte de introducerea sistemului;
4. alte forme mai puțin intruzive au fost încercate și s-au dovedit ineficiente;
5. durata de stocare este proporțională cu scopul și nu mai mare de 30 de zile, cu excepția cazurilor expres prevăzute de lege sau temeinic justificate.

Lipsa oricăreia dintre ele face monitorizarea nelegală. Firma Piramida Trade Invest a fost amendată exact pentru punctele 2 și 4, iar măsura corectivă a fost demontarea camerelor din birouri, depozit și hala de producție.

Amprenta pentru pontaj: răspunsul e „nu”

Amprenta este dată biometrică, deci categorie specială (art. 9). Cazul Tip Top Food Industry din septembrie 2026 confirmă poziția autorității: dacă prezența la program poate fi urmărită cu un card, un cod sau o aplicație, folosirea amprentei încalcă principiul minimizării. Dacă ai un astfel de sistem, planifică înlocuirea lui înainte să ajungă o plângere la ANSPDCP.

Site, formulare și cookie-uri

Cookie-urile nu intră sub RGPD, ci sub Legea nr. 506/2004, și sunt sancționate separat. Pentru orice cookie care nu e strict necesar funcționării site-ului (analytics, pixel de Facebook, remarketing) ai nevoie de informare clară și de consimțământ înainte de plasare. Un banner „prin continuarea navigării accepți” nu este consimțământ: amenda din octombrie 2025 pentru un site cu cookie-uri neesențiale fără acord a fost de 30.000 lei.

La fel de riscante sunt apelurile și mesajele comerciale. Art. 12 alin. (1) din Legea nr. 506/2004 interzice apelurile prin sisteme automate fără consimțământ prealabil expres — în dosarul Amato, componenta asta a valorat 50.000 lei.

Breșă de securitate: primele 72 de ore

Dacă pierzi un laptop cu baza de clienți, cineva îți sparge e-mailul sau trimiți o listă de clienți la adresa greșită, ai o breșă. Pașii:

1. Oprește scurgerea — schimbă parolele, revocă accesele, izolează sistemul afectat.
2. Documentează ce date, câte persoane, când ai aflat, ce ai făcut. Obligația de documentare internă există pentru toate incidentele, chiar și cele nenotificate.
3. Evaluează riscul pentru persoanele vizate.
4. Notifică ANSPDCP în maximum 72 de ore de la momentul în care ai luat cunoștință, prin formularul autorității, dacă există risc pentru drepturile persoanelor.
5. Informează persoanele afectate direct, dacă riscul este ridicat.

Întârzierea notificării este o faptă distinctă, sancționată separat: în 2026 au existat amenzi dedicate exclusiv depășirii termenului de 72 de ore, de ordinul a 2.000 euro, pe lângă amenda pentru breșa în sine.

Ai nevoie de DPO?

Art. 37 alin. (1) RGPD face obligatorie desemnarea unui responsabil cu protecția datelor în trei situații: prelucrarea e făcută de o autoritate publică; activitatea principală presupune monitorizare periodică și sistematică a persoanelor pe scară largă; activitatea principală presupune prelucrarea pe scară largă a categoriilor speciale de date (art. 9) ori a datelor penale (art. 10).

O firmă mică de servicii nu intră, de regulă, în niciuna dintre ele. Există însă o capcană locală: art. 4 alin. (2) din Legea nr. 190/2018 cere, atunci când prelucrezi un CNP în baza interesului legitim, garanții suplimentare — printre care desemnarea unui responsabil cu protecția datelor, termene de stocare și instruirea periodică a personalului. De aceea copia de buletin luată „din reflex” de la fiecare client este o idee proastă: fără bază legală clară (contract sau obligație legală), nu o cere. Dacă nu ai obligație de DPO, numește o persoană responsabilă intern care să țină registrul și să răspundă la cereri.

Checklist: 10 pași realizabili într-o săptămână

1. Fă lista locurilor unde ții date: laptop, telefon, Drive, platforma de facturare, caietul de comenzi, grupurile de WhatsApp.
2. Completează un registru simplu al activităților de prelucrare.
3. Pune o politică de confidențialitate pe site și o mențiune lângă formularul de contact.
4. Adaugă o clauză de prelucrare a datelor în contractul de prestări servicii.
5. Semnează acorduri de prelucrare cu contabilul, firma de IT și platformele pe care le folosești.
6. Dă fiecărui angajat o informare scrisă și o scurtă instruire; semnează-le.
7. Verifică camerele: unghiuri, pictograme, informare, consultarea angajaților, stocare de maximum 30 de zile.
8. Scoate din circuit pontajul cu amprentă, dacă există.
9. Configurează corect bannerul de cookie-uri: blocare înainte de consimțământ, opțiune de refuz la fel de simplă ca acceptul.
10. Scrie o procedură de o pagină pentru breșe, cu termenul de 72 de ore și cine sună pe cine.

Întrebări frecvente

Sunt PFA, fără angajați. Mi se aplică GDPR?

Da. Dacă prelucrezi date ale clienților, ești operator. Nu ai nevoie de DPO și probabil nu de un registru extins, dar ai nevoie de informarea clienților, de o bază legală pentru fiecare prelucrare și de minime măsuri de securitate. Datele propriei persoane nu intră în discuție — doar cele ale altora.

Pot publica poze de la lucrări cu interiorul casei clientului?

Numai cu acordul lui, obținut separat și documentat, nu „ascuns” într-o clauză de contract. Dacă în imagine apar persoane, obiecte personale sau elemente care identifică adresa, riscul crește. Varianta sigură: o clauză opțională distinctă, bifată de client, cu posibilitatea de a se retrage oricând.

Ce se întâmplă dacă un client cere ștergerea datelor?

Ai 30 de zile să răspunzi, cu posibilitate de prelungire la 60 de zile printr-o notificare motivată. Răspunsul poate fi și un refuz parțial motivat — de exemplu, nu poți șterge o factură emisă. Ce nu poți face este să ignori cererea: în cazul site-ului evita-teparii.ro, nerespectarea cererii de ștergere a fost amendată distinct cu 5.089 lei.

Concluzie

GDPR pentru o firmă mică se reduce la cinci lucruri: să știi ce date ai, să spui oamenilor ce faci cu ele, să nu colectezi mai mult decât îți trebuie, să limitezi accesul și să ai un plan pentru ziua în care ceva se scurge. Restul e documentație, care se face o dată și se actualizează anual.

Cauți un specialist pentru lucrările tale sau vrei să îți aduci serviciile în fața clienților care caută activ? Publică o cerere sau îți creezi un profil pe ServiceMarket și lucrezi cu oameni verificați, cu termeni clari de la început.

Acest material are caracter informativ și reflectă reglementările și practica ANSPDCP disponibile la data publicării. Nu înlocuiește consultanța unui avocat sau a unui specialist în protecția datelor pentru situația concretă a firmei tale.