Sancțiunile GDPR sunt măsuri legale dispuse de autorități pentru încălcarea regulamentului protecției datelor. Acestea cuprind amenzi administrative (până la 20 mil. EUR sau 4% din cifra de afaceri), avertismente, mustrări și ordine de conformare. Amenzile trebuie să fie eficace, proporționale și disuasive; autoritățile publice din România beneficiază de un regim mai blând cu amendă maximă de 200.000 lei.
Sancțiunile sub GDPR se împart în două categorii: măsuri corective și amenzi administrative. Măsurile corective, prevăzute la articolul 58 GDPR, sunt dispozitive ale autorității de supraveghere și includ avertismente, mustrări, ordine de conformare cu obligațiile din regulament, interdicția de a prelucra date, rectificarea sau ștergerea datelor, și suspendarea transferurilor către țări terțe.
Amenzile administrative urmează o ierarhie pe bază de gravitate. Pentru încălcări tehnice—cum sunt nerespectarea măsurilor de securitate, neținerea de evidențe sau notificarea târzie a incidentelor—autoritatea poate aplica amenzi până la 10.000.000 EUR sau 2% din cifra de afaceri mondială totală anuală (se ia valoarea mai mare). Pentru încălcări grave—cum sunt încălcarea principiilor fundamentale de prelucrare, negare a drepturilor persoanelor vizate, sau nerespectarea unui ordin al autorității—amenzile pot ajunge la 20.000.000 EUR sau 4% din cifra de afaceri (valoarea mai mare).
Calculul cuantumului unei amenzi ia în considerare criterii stabilite în art. 83 alin. (2) GDPR: gravitatea și durata încălcării, numărul de persoane vizate afectate, caracterul intenționat sau neglijent al faptei, categoriile de date (cu accent pe drepturile persoanelor vizate), măsurile de atenuare și cooperarea cu autoritatea. Datele sensibile agravează sancțiunea; încălcări anterioare o majorează.
România aplică un regim special pentru autoritățile și organismele publice în baza Legii nr. 190/2018. Acestea nu pot fi amendate direct la un prim control. Procedura începe cu avertisment și plan de remediere; amenda (maxim 200.000 lei) se aplică doar dacă măsurile de conformare nu sunt îndeplinite în termenul stabilit. Acest regim diferit reflectă principiul proporționalității, dar a generat dezbateri privind suficiența disuzivă a plafonului pentru instituții mari cu acces la date sensibile ale milioanelor de cetățeni.
Legătura cu alte domenii este strânsă. Amenzile GDPR sunt independente de despăgubirile civile ale persoanelor vizate (art. 82), de răspunderea penală pentru aceeași faptă, și de reglementări speciale cum este Legea 506/2004 pe e-Privacy. Procesul-verbal ANSPDCP poate fi contestat în contencios administrativ.
Pentru context complet, consultă glosarul GDPR.
Întrebări frecvente
1. Ce sunt sancțiunile GDPR și care sunt tipurile principale? Sancțiunile GDPR cuprind măsuri corective dispuse de autorități (avertismente, mustrări, ordine de conformare) și amenzi administrative. Amenzile sunt ponderate pe două plafoane: până la 10.000.000 EUR sau 2% din cifra de afaceri mondială pentru încălcări tehnice (securitate, evidențe), și până la 20.000.000 EUR sau 4% pentru încălcări grave (principii, drepturi persoanelor vizate, transferuri internaționale).
2. Cum sunt sancționate autoritățile publice? Autoritățile și organismele publice beneficiază de un regim special în România. Conform art. 83 alin. (7) GDPR și Legii nr. 190/2018, primesc inițial un avertisment și un plan de remediere. Amenda (maximum 200.000 lei) se aplică doar dacă măsurile de conformare nu sunt implementate în termenul stabilit.
3. Sunt considerate sancțiuni și măsurile corective non-pecuniare? Da. Măsurile corective (art. 58 alin. (2) GDPR) cuprind avertismente, mustrări, ordine de conformare și interdicția de a prelucra date. Amenda administrativă este doar una dintre aceste măsuri; nu orice control conduce la sancțiune pecuniară.