Despăgubirile civile GDPR (art. 82)

Art. 82 din GDPR dă oricărei persoane dreptul de a obține despăgubiri de la operator sau de la persoana împuternicită pentru prejudiciul material sau moral cauzat de o încălcare a protecției datelor. Reclamantul trebuie să dovedească încălcarea, un prejudiciu real și legătura de cauzalitate, dar prejudiciul moral nu trebuie să atingă un prag minim de gravitate. Acțiunea se judecă la instanța civilă din România, separat de plângerea la ANSPDCP.

Pe scurt

Orice persoană care a suferit un prejudiciu material (pierderi financiare) sau moral (suferință, stres, pierderea controlului asupra datelor) în urma unei încălcări a GDPR are dreptul, în temeiul art. 82 din Regulamentul (UE) 2016/679, să obțină despăgubiri de la operator sau de la persoana împuternicită de operator. Simpla încălcare a regulamentului nu este suficientă: reclamantul trebuie să dovedească o încălcare, un prejudiciu real și legătura de cauzalitate dintre ele — însă prejudiciul moral nu trebuie să atingă un prag minim de gravitate. În România, acțiunea se introduce la instanța civilă, separat de plângerea administrativă la ANSPDCP.

Cadrul legal

Dreptul la despăgubiri pentru încălcarea protecției datelor are ca temei direct articolul 82 din Regulamentul general privind protecția datelor (GDPR). Fiind un regulament al Uniunii Europene, GDPR este direct aplicabil în România, fără a fi nevoie de transpunere printr-o lege internă.

Art. 82 alin. (1) GDPR — Dreptul la despăgubiri și răspunderea Orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a prezentului regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit.

Sursa: Regulamentul (UE) 2016/679, art. 82 (accesat 2026-09-08)

Restul articolului stabilește regimul răspunderii:

• Art. 82 alin. (2) — operatorul răspunde pentru prejudiciul cauzat de prelucrarea care încalcă GDPR; persoana împuternicită (procesatorul) răspunde numai dacă nu a respectat obligațiile specifice procesatorilor sau a acționat în afara ori împotriva instrucțiunilor legale ale operatorului.
• Art. 82 alin. (3) — operatorul sau procesatorul este exonerat dacă dovedește că nu este răspunzător „în niciun fel” pentru evenimentul care a cauzat prejudiciul.
• Art. 82 alin. (4) — când mai mulți operatori/procesatori sunt implicați în aceeași prelucrare, fiecare răspunde pentru întregul prejudiciu (răspundere solidară), pentru a asigura despăgubirea efectivă a persoanei vizate.
• Art. 82 alin. (5) — cel care a plătit integral despăgubirile poate recupera de la ceilalți partea corespunzătoare răspunderii lor (acțiune în regres).
• Art. 82 alin. (6) — procedurile se introduc la instanțele competente potrivit dreptului intern (trimitere la art. 79 alin. (2) GDPR).

Considerentul (146) al GDPR impune ca noțiunea de „prejudiciu” să fie interpretată în sens larg, iar despăgubirea să fie integrală și efectivă.

Cadrul național român

• Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR completează regulamentul la nivel național, dar nu instituie un regim propriu de despăgubiri — dreptul rămâne cel din art. 82 GDPR.

  Sursa: Legea nr. 190/2018 (accesat 2026-09-08)

• Codul civil (Legea nr. 287/2009) furnizează dreptul comun al răspunderii civile delictuale, aplicabil pentru aspectele lăsate de GDPR dreptului intern (cuantificarea prejudiciului, probatoriu, prescripție): art. 1349 (răspunderea delictuală), art. 1357 (răspunderea pentru fapta proprie), art. 1385 (repararea integrală) și art. 1391 (repararea prejudiciului nepatrimonial — daunele morale).

  Sursa: Codul civil (accesat 2026-09-08)

• ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal), înființată prin Legea nr. 102/2005, soluționează plângerile administrative și aplică amenzi (art. 77 și 83 GDPR) — o cale distinctă de acțiunea civilă în despăgubiri.

Explicație detaliată

Cele trei condiții cumulative

Prin hotărârea de referință Österreichische Post (C-300/21, 4 mai 2023), Curtea de Justiție a Uniunii Europene (CJUE) a stabilit că dreptul la despăgubiri din art. 82 depinde de trei condiții cumulative:

1. o încălcare a GDPR;
2. un prejudiciu material sau moral efectiv suferit;
3. o legătură de cauzalitate între încălcare și prejudiciu.

Consecința practică majoră: simpla încălcare a GDPR nu dă, în sine, dreptul la despăgubiri. Nu este suficient să arăți că operatorul ți-a prelucrat ilegal datele — trebuie să dovedești și că ai suferit un prejudiciu concret ca urmare a acestei încălcări.

Sursa: CJUE, C-300/21, Österreichische Post (accesat 2026-09-08)

Prejudiciul moral: fără prag de gravitate

În aceeași cauză, CJUE a decis că prejudiciul moral nu trebuie să atingă un prag minim de gravitate pentru a fi despăgubit; o normă națională care ar impune un asemenea prag este contrară art. 82. Ideea a fost confirmată în Gemeinde Ummendorf (C-456/22) și Scalable Capital (C-182/22 și C-189/22, 20 iunie 2024).

Ce poate fi prejudiciu moral:

• pierderea controlului asupra propriilor date, chiar și pentru o perioadă scurtă (Natsionalna agentsia za prihodite, C-340/21);
• temerea fondată privind o posibilă utilizare abuzivă viitoare a datelor, în urma unei breșe de securitate — poate constitui prin ea însăși prejudiciu moral, cu condiția ca temerea să fie reală, nu pur ipotetică (C-340/21);
• stresul, disconfortul sau atingerea adusă reputației.

Totuși, prejudiciul trebuie dovedit. În MediaMarktSaturn (C-687/21), CJUE a precizat că un risc pur ipotetic de utilizare abuzivă, care nu s-a materializat, nu este un prejudiciu compensabil. Iar în Scalable Capital, Curtea a arătat că „furtul de identitate” ca temei distinct presupune ca un terț să fi utilizat efectiv identitatea persoanei — dar simpla sustragere ori pierdere a controlului asupra datelor rămâne despăgubibilă dacă cele trei condiții sunt îndeplinite.

Sarcina probei

Repartizarea sarcinii probei este esențială:

• Persoana vizată (reclamantul) trebuie să dovedească încălcarea, prejudiciul și legătura de cauzalitate.
• Operatorul (pârâtul) poartă sarcina de a dovedi că măsurile tehnice și organizatorice erau adecvate (art. 24 și 32 GDPR) și, pentru a se exonera, că nu este răspunzător „în niciun fel” pentru evenimentul cauzator (art. 82 alin. (3)). Curtea a subliniat în C-340/21 că o breșă provocată de un terț nu face automat operatorul răspunzător, dar nici nu îl exonerează automat.

Răspunderea din art. 82 este, în esență, o răspundere întemeiată pe o culpă prezumată: potrivit CJUE (C-687/21), culpa operatorului se prezumă, iar acesta se poate elibera doar dacă probează absența oricărei răspunderi.

Funcția pur compensatorie a despăgubirii

Un principiu constant al CJUE: despăgubirea din art. 82 are o funcție exclusiv compensatorie, nu punitivă sau disuasivă (Krankenversicherung Nordrhein, C-667/21; juris GmbH, C-741/21). De aici decurg mai multe reguli de cuantificare:

• gradul de culpă al operatorului nu se ia în considerare la stabilirea sumei (C-667/21);
• despăgubirea nu se reduce pentru că, în paralel, autoritatea a aplicat o amendă administrativă în temeiul art. 83 (C-741/21);
• prejudiciul rezultat dintr-o breșă de date nu este, prin natura sa, mai puțin important decât o vătămare fizică (Scalable Capital);
• instanțele pot acorda sume mici, cu condiția ca acestea să repare integral prejudiciul suferit;
• în anumite cazuri, o scuză poate constitui o despăgubire suficientă pentru prejudiciul moral, dacă asigură repararea integrală (Patērētāju tiesību aizsardzības centrs, C-507/23, 4 octombrie 2024).

Cine răspunde: operator, procesator, răspundere solidară

Regula de principiu: operatorul răspunde pentru încălcările prelucrării. Procesatorul (persoana împuternicită) răspunde doar în situațiile limitate de la art. 82 alin. (2) — nerespectarea obligațiilor proprii sau depășirea instrucțiunilor operatorului. Când în aceeași operațiune sunt implicați mai mulți actori, art. 82 alin. (4) instituie o răspundere solidară pentru întregul prejudiciu, tocmai pentru ca persoana vizată să poată fi despăgubită efectiv de oricare dintre ei; ulterior, cel care a plătit are acțiune în regres împotriva celorlalți (alin. (5)).

Aspecte practice

Pentru persoana vizată care cere despăgubiri

• Cele două căi sunt independente și cumulabile. Poți depune o plângere la ANSPDCP (gratuită, art. 77 GDPR) și poți introduce acțiune civilă în despăgubiri la instanță (art. 82). O amendă aplicată de ANSPDCP nu îți aduce ție bani — despăgubirea o obții doar prin acțiunea civilă.
• Instanța competentă. Competența materială se stabilește după valoarea cererii, nu automat la tribunal: judecătoria pentru cereri evaluabile în bani de până la 200.000 lei inclusiv, tribunalul peste acest prag (art. 94-95 Cod proc. civ.). Cum cele mai multe cereri GDPR individuale au valori modeste, ele revin de regulă judecătoriei. Teritorial, poți alege între instanța de la sediul operatorului și cea de la domiciliul tău (art. 79 alin. (2) GDPR permite sesizarea instanței de la reședința persoanei vizate). Reține că acțiunea este supusă taxei judiciare de timbru la valoare (OUG nr. 80/2013) — vezi Costuri, competență și situații speciale.
• Construiește dosarul probator. Pregătește dovezi pentru toate cele trei condiții:
  1. încălcarea — notificarea breșei, corespondența cu operatorul, decizia ANSPDCP dacă există;
  2. prejudiciul — extrase bancare (pentru pierderi materiale), mesaje de phishing/spam primite după breșă, documente medicale privind stresul, capturi care arată expunerea datelor;
  3. legătura de cauzalitate — cronologia care leagă breșa de consecințe.
• Nu conta pe „încălcarea în sine”. După C-300/21, invocarea simplă a nerespectării GDPR, fără un prejudiciu concret, nu este suficientă.
• Prescripția. Acțiunea în despăgubiri se prescrie în 3 ani (art. 2517 Cod civil), care curg — pentru fapta ilicită — de la data la care ai cunoscut sau trebuia să cunoști atât prejudiciul, cât și pe cel răspunzător (art. 2528 Cod civil). Pentru breșe cu efecte întârziate ori prelucrări continue, momentul de început diferă — vezi Costuri, competență și situații speciale.

Pentru operatori și procesatori (apărare și prevenție)

• Documentează conformitatea. Întrucât sarcina probei măsurilor adecvate îți revine (art. 24, 32 GDPR), păstrează evidența evaluărilor de risc, a măsurilor tehnice/organizatorice, a instruirilor și a DPIA-urilor. Aceste documente sunt principalul tău mijloc de apărare și baza exonerării de la art. 82 alin. (3).
• Clarifică rolurile în contracte. Actul de prelucrare (DPA) dintre operator și procesator trebuie să delimiteze clar obligațiile și instrucțiunile; el determină cine răspunde la art. 82 alin. (2) și susține o eventuală acțiune în regres (alin. (5)).
• Amenda ANSPDCP nu te „acoperă”. O amendă administrativă nu reduce despăgubirile civile datorate persoanelor vizate (C-741/21) — cele două forme de răspundere coexistă.
• Atenție la breșe cu mulți afectați. Într-un incident care afectează mii de persoane, expunerea totală poate fi semnificativă chiar dacă suma individuală e mică; răspunderea solidară (alin. (4)) te poate obliga să acoperi întregul prejudiciu față de reclamant.

Greșeli frecvente

• ❌ A crede că plângerea la ANSPDCP aduce automat despăgubiri persoanei vizate.
• ❌ A cere daune morale „pentru principiu”, fără a proba niciun efect negativ concret.
• ❌ (Operator) A presupune că o breșă cauzată de un hacker exclude automat răspunderea — exonerarea cere dovada că nu ești răspunzător în niciun fel (C-340/21).

Costuri, competență și situații speciale

Această secțiune răspunde întrebărilor practice care apar frecvent după ce dreptul de principiu (art. 82) este stabilit: cât costă acțiunea, la ce instanță se depune, de la când curge prescripția și cum se aplică regulile în situații particulare (salariat, minor, persoană decedată, operator din afara UE).

Cât costă acțiunea: taxa judiciară de timbru

Acțiunea în despăgubiri întemeiată pe art. 82 GDPR este o cerere evaluabilă în bani (daune materiale și/sau morale), deci este supusă taxei judiciare de timbru la valoare, calculată pe tranșe potrivit art. 3 alin. (1) din OUG nr. 80/2013. Nu există o scutire specială pentru litigiile GDPR, iar capătul de daune morale se timbrează la valoarea pretinsă, la fel ca daunele materiale.

Sursa: OUG nr. 80/2013, art. 3 (accesat 2026-09-08)

Pentru cererile de valoare mică, timbrajul poate fi disproporționat față de suma pretinsă. Două atenuări:

• Ajutorul public judiciar (OUG nr. 51/2008) — scutire, reducere, eșalonare sau amânare a taxei pentru persoanele cu venituri reduse (art. 6-8).

  Sursa: OUG nr. 51/2008 (accesat 2026-09-08)

• Principiul reparării efective — considerentul (146) GDPR și principiul efectivității din dreptul UE impun ca dreptul la despăgubiri să nu fie făcut „practic imposibil sau excesiv de dificil". O taxă de timbru vădit descurajantă pentru o cerere GDPR legitimă poate fi, în teorie, contestată prin acest principiu, dar în dreptul pozitiv român OUG nr. 80/2013 rămâne dreptul comun aplicabil.

La ce instanță: competența materială

Recomandarea generică „la tribunal" nu este corectă ca regulă. Competența materială depinde de valoarea pretenției:

Sursa: Codul de procedură civilă, art. 94-95 (accesat 2026-09-08)

Cum majoritatea cererilor GDPR individuale au valori modeste, ele revin de regulă judecătoriei, nu tribunalului. Valoarea daunelor morale intră în calculul pragului. Competența teritorială rămâne alternativă: reclamantul poate alege între instanța sediului operatorului și instanța de la reședința sa (art. 79 alin. (2) GDPR).

De când curge prescripția de 3 ani

Termenul de 3 ani (art. 2517 Cod civil) curge, pentru fapta ilicită, potrivit regulii speciale din art. 2528 alin. (1) Cod civil: de la data la care păgubitul a cunoscut sau trebuia să cunoască atât paguba, cât și pe cel răspunzător — nu neapărat de la data faptei.

• Prelucrare ilegală continuă: termenul se raportează la fiecare act de prelucrare, atât timp cât încălcarea persistă.
• Breșă cu efecte întârziate (phishing, furt de identitate apărute după luni de zile): termenul nu curge de la breșă, ci de la momentul în care persoana a cunoscut prejudiciul real și pe cel răspunzător.
• Limita UE: un termen intern de prescripție care ar face repararea „excesiv de dificilă" poate fi înlăturat de instanță în temeiul principiului efectivității cerut de art. 82 și considerentul (146).

Sursa: Codul civil, art. 2517 și 2528 (accesat 2026-09-08)

Situația salariatului (angajator = operator)

Când angajatorul, în calitate de operator, prelucrează ilegal sau expune datele salariatului, calificarea acțiunii nu este tranșată:

• dacă prejudiciul este strâns legat de executarea raportului de muncă, cererea poate fi tratată ca conflict de muncă — competența tribunalului (complet specializat în litigii de muncă), cu scutirea salariatului de taxa de timbru (art. 270 Codul muncii);
• dacă prejudiciul poate fi analizat autonom, ca răspundere delictuală de drept comun, se aplică regulile obișnuite de competență (după valoare) și de timbraj.

⚠️ Încadrarea unei cereri de despăgubiri GDPR ca litigiu de muncă versus acțiune civilă delictuală este o chestiune încă neclarificată în jurisprudența română; calificarea concretă influențează instanța competentă și regimul taxei. Se recomandă consultarea unui avocat. Sursa: Codul muncii, art. 266-275 (accesat 2026-09-08)

Persoana vizată minoră

GDPR se aplică datelor minorilor și le acordă o protecție specifică, întrucât copiii sunt mai puțin conștienți de riscurile prelucrării (considerentul (38)). Practic:

• acțiunea în despăgubiri pentru minor se introduce prin reprezentantul legal (părinte sau tutore), în numele minorului (art. 80-81 CPC);
• vulnerabilitatea specifică a minorului este un factor de individualizare — poate justifica daune morale mai ridicate pentru același tip de breșă;
• prescripția nu curge liber în dauna minorului: art. 2532 pct. 3-4 Cod civil suspendă cursul prescripției cât timp minorul nu are reprezentant legal ori între cel ocrotit și ocrotitorul său, protejând astfel dreptul copilului până la clarificarea reprezentării.

Persoana vizată decedată

Regulamentul nu se aplică datelor persoanelor decedate (considerentul (27)), chestiunea fiind lăsată dreptului intern. În dreptul român:

• dreptul la despăgubirea pentru prejudiciul moral al defunctului este, în principiu, intransmisibil — moștenitorii îl pot valorifica doar dacă defunctul pornise deja acțiunea (ori dreptul fusese stabilit printr-o hotărâre/tranzacție), potrivit logicii art. 1391 alin. (4) Cod civil;
• moștenitorii pot cere însă daune morale proprii (prejudiciu „prin ricoșeu"), pentru suferința sau atingerea adusă lor prin breșă;
• daunele materiale deja născute în patrimoniul defunctului se transmit pe cale succesorală.

⚠️ Transmiterea daunelor morale la moștenitori rămâne o materie doctrinară și cazuistică; soluția depinde de stadiul acțiunii la data decesului.

Valoarea probatorie a deciziei ANSPDCP în procesul civil

Cele două căi fiind independente (art. 77 și art. 79 GDPR), nu este obligatorie parcurgerea prealabilă a plângerii la ANSPDCP înainte de acțiunea civilă. Cât privește proba:

• o decizie ANSPDCP care constată încălcarea nu are autoritate de lucru judecat asupra instanței civile; ea este un înscris supus liberei aprecieri a judecătorului (un mijloc de probă puternic, dar nu obligatoriu);
• reciproc, dacă ANSPDCP a respins plângerea, instanța civilă poate constata autonom încălcarea și acorda despăgubiri, pe baza propriei administrări a probelor.

Standardul de probă a daunei morale minore

Tensiunea dintre „fără prag de gravitate" (C-300/21, C-456/22) și „prejudiciu real și concret" (C-687/21) se rezolvă la nivelul probatoriului: reclamantul trebuie să dovedească existența unui prejudiciu real, oricât de mic, dar nu gravitatea lui. Pentru o daună morală minoră, existența poate fi dovedită prin prezumții simple (art. 329 Cod proc. civ.) coroborate cu declarația reclamantului și cu martori; proba obiectivă (documente medicale, extrase financiare) nu este obligatorie pentru existență, dar consolidează cuantumul. Un risc pur ipotetic, nematerializat, nu constituie prejudiciu.

Operator stabilit într-un stat terț

Când operatorul nu are sediu în UE (de exemplu, o platformă din SUA):

• competența se poate întemeia pe art. 79 alin. (2) GDPR (forul reședinței obișnuite a persoanei vizate), reclamantul român putând acționa în România; pentru un pârât fără domiciliu în UE, Bruxelles I bis (art. 6) trimite oricum la regulile naționale de competență;
• reprezentantul din UE desemnat conform art. 27 GDPR este un punct de contact și poate fi vizat de proceduri (considerentul (80));
• executarea este partea dificilă: o hotărâre română nu beneficiază de regimul UE fără exequatur în afara Uniunii, astfel încât recuperarea depinde de dreptul statului terț, de eventuale convenții de recunoaștere sau de existența unor active ale operatorului în UE.

Sursa: Regulamentul (UE) 1215/2012, art. 6; GDPR art. 27 și 79 (accesat 2026-09-08)

Legislație europeană

Dreptul la despăgubiri analizat în acest articol are, prin natura sa, un temei integral european: art. 82 GDPR este direct aplicabil în România, iar conținutul său a fost conturat de jurisprudența CJUE (a se vedea secțiunile Cadrul legal, Explicație detaliată și tabelul din Practică și opinii). Secțiunea de față nu reia acele elemente, ci adaugă dimensiunile europene complementare: valorificarea colectivă a dreptului la despăgubiri și regimul transfrontalier.

Directive și regulamente aplicabile

1. Reprezentarea persoanelor vizate — art. 80 GDPR. Pe lângă acțiunea individuală, GDPR permite ca dreptul la despăgubiri să fie exercitat prin reprezentare.

Art. 80 alin. (1) GDPR — Persoana vizată are dreptul să mandateze un organism, o organizație sau o asociație fără scop lucrativ, cu obiective de interes public în domeniul protecției datelor, să depună plângere și să exercite în numele său drepturile prevăzute la art. 77–79, precum și — în cazul în care dreptul intern prevede aceasta — dreptul de a primi despăgubiri prevăzut la art. 82. Sursa: Regulamentul (UE) 2016/679, art. 80 (accesat 2026-09-08)

Despăgubirea colectivă în temeiul art. 82 depinde, așadar, de existența unui mecanism procedural în dreptul intern — pe care România l-a introdus recent (mai jos).

2. Acțiunile de reprezentare — Directiva (UE) 2020/1828. Directiva instituie, la nivelul întregii Uniuni, acțiunile de reprezentare pentru protecția intereselor colective ale consumatorilor (măsuri de încetare și măsuri reparatorii), introduse de „entități calificate”. Esențial pentru materia noastră: Anexa I enumeră actele UE ale căror încălcări intră în domeniul de aplicare, iar lista include Regulamentul (UE) 2016/679 (GDPR) — deci breșele de date pot face obiectul unor acțiuni colective.

Directiva (UE) 2020/1828 privind acțiunile de reprezentare pentru protecția intereselor colective ale consumatorilor și de abrogare a Directivei 2009/22/CE. Sursa: EUR-Lex, CELEX 32020L1828 (accesat 2026-09-08)

Transpunerea în dreptul român

Directiva (UE) 2020/1828 a fost transpusă prin Legea nr. 414/2023 privind desfășurarea acțiunilor în reprezentare pentru protecția intereselor colective ale consumatorilor (publicată în Monitorul Oficial nr. 1158 din 20 decembrie 2023) — considerată prima reglementare expresă de tip „class action” din dreptul român.

Sursa: Legea nr. 414/2023 (accesat 2026-09-08)

Ce înseamnă practic pentru despăgubirile GDPR:

• o entitate calificată (asociație de consumatori sau organism îndreptățit) poate introduce o acțiune colectivă în numele consumatorilor afectați de aceeași încălcare, urmărind atât încetarea practicii, cât și măsuri reparatorii;
• consumatorii trebuie să își exprime consimțământul scris (opt-in) într-un termen de 30 de zile de la începerea acțiunii, iar odată reprezentați nu mai pot introduce acțiuni individuale pentru aceeași faptă;
• măsurile reparatorii dispuse pot fi valorificate în termen de 3 ani de la hotărârea definitivă.

Acest mecanism completează, fără a înlocui, acțiunea individuală în despăgubiri din art. 82 GDPR: pentru breșele cu mii de afectați și prejudicii individuale mici — situație frecventă în practică — acțiunea de reprezentare este calea care face despăgubirea efectivă (obiectiv urmărit de considerentul (146) GDPR).

⚠️ Rezervă: România a transpus directiva cu întârziere față de termenul UE (20 decembrie 2022 / aplicare de la 25 iunie 2023) și a fost vizată de o procedură de constatare a neîndeplinirii obligațiilor (infringement). Aplicarea concretă a Legii 414/2023 la litigiile GDPR este încă la început; legătura cu protecția datelor derivă din Anexa I a directivei transpuse, nu dintr-o mențiune expresă în textul legii.

Jurisprudență CJUE

Linia jurisprudențială care definește art. 82 (C-300/21, C-340/21, C-456/22, C-667/21, C-687/21, C-741/21, C-182/22 și C-189/22, C-507/23) este tratată în detaliu în secțiunile Explicație detaliată și Practică și opinii și nu se repetă aici. La data redactării (2026-09-08) nu există o hotărâre CJUE ulterioară cauzei C-507/23 (4 octombrie 2024) care să modifice aceste principii; verificările pe eur-lex/curia nu au relevat o cauză nouă pe art. 82 privind cuantificarea prejudiciului moral.

Aspecte practice din perspectivă europeană

Pentru breșele transfrontaliere (operator dintr-un alt stat membru, afectați din România), pe lângă art. 82 se aplică:

• Forul acțiunii — art. 79 alin. (2) GDPR: persoana vizată poate acționa fie la instanțele din statul unde operatorul are un sediu, fie la instanțele din statul unde își are reședința obișnuită. Această regulă specială permite reclamantului român să introducă acțiunea în România, chiar împotriva unui operator străin.

  Sursa: Regulamentul (UE) 2016/679, art. 79 (accesat 2026-09-08)

• Recunoașterea și executarea hotărârii — Regulamentul (UE) 1215/2012 (Bruxelles I bis): o hotărâre română de despăgubire GDPR este recunoscută și executabilă în celelalte state membre fără procedură de exequatur, ceea ce face efectivă recuperarea sumelor de la un operator cu active în altă țară a UE.

  Sursa: EUR-Lex, CELEX 32012R1215 (accesat 2026-09-08)

• Legea aplicabilă — Regulamentul (CE) 864/2007 (Roma II): art. 82 GDPR oferă temeiul uniform al răspunderii în toată Uniunea; pentru aspectele lăsate dreptului intern (cuantificarea daunelor morale, probatoriu), Roma II determină legea națională aplicabilă răspunderii necontractuale — de regulă cea a statului unde se produce prejudiciul (art. 4).

  Sursa: EUR-Lex, CELEX 32007R0864 (accesat 2026-09-08)

Concluzia practică: temeiul dreptului la despăgubiri este unic și european (art. 82, interpretat de CJUE), dar întinderea despăgubirii, procedura de reprezentare colectivă și executarea transfrontalieră depind de o rețea de instrumente UE și de dreptul intern al fiecărui stat membru.

Întrebări frecvente

1. Pot cere despăgubiri doar pentru că o firmă mi-a prelucrat ilegal datele? Nu este suficient. Potrivit CJUE (C-300/21), pe lângă încălcare trebuie să dovedești un prejudiciu concret (material sau moral) și legătura de cauzalitate. Simpla încălcare a GDPR nu dă, în sine, dreptul la despăgubiri.

2. Trebuie ca prejudiciul moral să fie „grav” ca să primesc bani? Nu. Prejudiciul moral nu trebuie să atingă un prag minim de gravitate (C-300/21, C-456/22). Chiar și pierderea controlului asupra datelor pe scurt timp sau temerea fondată de utilizare abuzivă pot fi despăgubite — dar trebuie dovedite ca efecte reale.

3. Care este diferența dintre plângerea la ANSPDCP și acțiunea în despăgubiri? Plângerea la ANSPDCP (art. 77) este gratuită și poate duce la o amendă plătită statului. Despăgubirea bănească pentru tine se obține numai printr-o acțiune civilă în instanță (art. 82). Cele două căi sunt independente și pot fi urmate în paralel.

4. Firma spune că vinovat e hackerul, nu ea. Mai pot obține despăgubiri? Posibil. Faptul că breșa a fost cauzată de un terț nu exonerează automat operatorul (C-340/21). Operatorul scapă de răspundere doar dacă dovedește că nu este răspunzător în niciun fel pentru eveniment — de exemplu, că avea măsuri de securitate adecvate (art. 24, 32).

5. Cât timp am la dispoziție ca să dau în judecată? Termenul general de prescripție este de 3 ani (art. 2517 Cod civil), care curge, de regulă, de la data la care ai cunoscut prejudiciul și persoana răspunzătoare.

6. Poate operatorul reduce despăgubirea invocând amenda deja plătită sau buna sa credință? Nu. Despăgubirea are funcție exclusiv compensatorie: nu se reduce nici pentru că s-a aplicat o amendă în paralel (C-741/21), nici în funcție de gradul de culpă sau de atitudinea operatorului (C-667/21, C-507/23). Ea trebuie doar să repare integral prejudiciul suferit.

Practică și opinii

Un val de clarificări de la CJUE (2023–2024)

Interpretarea art. 82 a fost modelată aproape integral de o serie de trimiteri preliminare, în special de la instanțe germane. Tendința de fond: Curtea a facilitat accesul la despăgubiri eliminând pragul de gravitate, dar a temperat inflația cererilor cerând dovada unui prejudiciu real și limitând despăgubirea la funcția sa compensatorie.

⚠️ Opinie / analiză doctrinară — Comentatorii (de ex. sinteza Matheson, „CJEU Provides Clarity on Right to Compensation for GDPR Infringements") observă că, deși aceste hotărâri clarifică principiile de bază, rămân incertitudini practice privind cuantificarea concretă a prejudiciului moral, lăsată în mare parte instanțelor naționale și regulilor interne de reparare a daunelor. Sursa: Matheson — CJEU Provides Clarity on Right to Compensation for GDPR Infringements (accesat 2026-09-08)

Ce înseamnă pentru practica din România

Instanțele române aplică direct art. 82 GDPR, interpretat obligatoriu în lumina jurisprudenței CJUE, și completează cu dreptul comun al răspunderii delictuale (Codul civil) pentru cuantificarea daunelor morale. În practică, sumele acordate pentru prejudiciu moral tind să fie moderate, în acord cu funcția compensatorie a despăgubirii și cu tradiția instanțelor românești de a evita daunele morale cu caracter punitiv.

⚠️ Această secțiune sintetizează tendințe jurisprudențiale și opinii; pentru un caz concret consultați un avocat specializat în protecția datelor. Blocurile de jurisprudență națională (poziția 70) urmează a fi completate de agenții de îmbogățire cu decizii concrete ale instanțelor române.

Referințe

Legislație

1. Regulamentul (UE) 2016/679 (GDPR), art. 82 „Dreptul la despăgubiri și răspunderea” și considerentul (146) — eur-lex.europa.eu, CELEX 02016R0679-20160504
2. Regulamentul (UE) 2016/679 (GDPR), art. 79 „Dreptul la o cale de atac judiciară eficientă împotriva unui operator sau împotriva unei persoane împuternicite” — eur-lex.europa.eu
3. Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR — legislatie.just.ro
4. Legea nr. 102/2005 (republicată) privind ANSPDCP — legislatie.just.ro
5. Codul civil (Legea nr. 287/2009), art. 1349, 1357, 1385, 1391 (răspunderea delictuală, repararea integrală, daune morale), art. 2517, 2528 și 2532 (prescripție extinctivă — termen, început, suspendare) — legislatie.just.ro
6. Codul de procedură civilă (Legea nr. 134/2010), art. 94-95 (competența materială — pragul de 200.000 lei) și art. 329 (prezumții judiciare) — legislatie.just.ro
7. OUG nr. 80/2013 privind taxele judiciare de timbru, art. 3 (cereri evaluabile în bani) — legislatie.just.ro
8. OUG nr. 51/2008 privind ajutorul public judiciar în materie civilă — legislatie.just.ro
9. Codul muncii (Legea nr. 53/2003), art. 266-275 (jurisdicția muncii) și art. 270 (scutirea de taxă) — legislatie.just.ro
10. Regulamentul (UE) nr. 1215/2012 (Bruxelles I bis), art. 6 (pârât fără domiciliu în UE) — eur-lex.europa.eu, CELEX 32012R1215
11. Regulamentul (UE) 2016/679 (GDPR), art. 27 (reprezentantul operatorilor din afara UE) și considerentele (27), (38), (80) — eur-lex.europa.eu

Jurisprudența CJUE

12. CJUE, C-300/21, UI c. Österreichische Post AG, 4 mai 2023 — eur-lex.europa.eu
13. CJUE, C-340/21, Natsionalna agentsia za prihodite, 14 decembrie 2023 — eur-lex.europa.eu
14. CJUE, C-456/22, Gemeinde Ummendorf, 14 decembrie 2023 — eur-lex.europa.eu
15. CJUE, C-667/21, Krankenversicherung Nordrhein, 21 decembrie 2023 — eur-lex.europa.eu
16. CJUE, C-687/21, MediaMarktSaturn, 25 ianuarie 2024 — eur-lex.europa.eu
17. CJUE, C-741/21, juris GmbH, 11 aprilie 2024 — eur-lex.europa.eu
18. CJUE, C-182/22 și C-189/22, Scalable Capital, 20 iunie 2024 — eur-lex.europa.eu
19. CJUE, C-507/23, Patērētāju tiesību aizsardzības centrs, 4 octombrie 2024 — eur-lex.europa.eu

Analize și comentarii

20. Matheson, CJEU Provides Clarity on Right to Compensation for GDPR Infringements — matheson.com
21. M. J. Santos Morón, Reflexiones en torno a la jurisprudencia del TJUE sobre la acción indemnizatoria del art. 82 RGPD, Cuadernos de Derecho Transnacional (UC3M) — e-revistas.uc3m.es