Ce este ANSPDCP si ce rol are in protectia datelor?

Daca firma ta prelucreaza date personale, fie CNP-uri ale clientilor, fie adrese de email ale angajatilor, ANSPDCP este autoritatea care poate verifica daca o faci legal.

ANSPDCP este Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal, institutia care supravegheaza respectarea GDPR si a Legii 190/2018 in Romania. A fost infiintata in 2005 si functioneaza ca autoritate publica autonoma, independenta fata de guvern si fata de orice firma. Presedintele este numit de Senat pentru un mandat de 5 ani, reinnoibil o singura data.

Ce face ANSPDCP in practica?

ANSPDCP nu emite certificate si nu da consultanta. Verifica daca firmele si institutiile respecta regulile de protectie a datelor si intervine cand nu o fac.

Atributiile cu impact direct asupra unei firme:

• primeste si solutioneaza plangerile persoanelor care cred ca le-au fost incalcate drepturile
• efectueaza investigatii la firme si la institutii publice
• poate dispune suspendarea provizorie sau incetarea unei prelucrari de date
• aplica avertismente si amenzi
• primeste notificarile de incident de securitate (bresele de date)

Cand prelucrezi date personale, ANSPDCP este autoritatea la care ajunge o plangere impotriva ta. Tot ea decide daca prelucrarea ta are temei legal si masuri de securitate suficiente.

Cum decurge o investigatie ANSPDCP?

O investigatie porneste in doua feluri: pe baza unei plangeri sau din oficiu.

1. Declansarea. Un client sau un angajat depune o plangere scrisa, semnata, in romana sau engleza. Plangerile anonime nu sunt acceptate. Alternativ, ANSPDCP deschide investigatia din oficiu, de exemplu dupa o notificare de bresa de date.
2. Controlul. Echipa de control cere documente, registre si dovezi. Verificarea se poate face si la sediul firmei.
3. Raportul. Controlul se finalizeaza cu un proces verbal in care se constata daca exista incalcari.
4. Sanctiunea. Daca s-au gasit incalcari, ANSPDCP aplica un avertisment sau o amenda si poate cere oprirea prelucrarii.

In 2025, ANSPDCP a finalizat 488 de investigatii si a aplicat 105 amenzi, in valoare totala de 2.565.020 lei (circa 511.400 EUR). Fata de 2024, cand au fost 83 de amenzi insumand 1.855.807 lei, au crescut atat numarul, cat si valoarea. Cele mai multe sanctiuni au vizat masuri de securitate insuficiente, consimtamant superficial si monitorizarea angajatilor fara informare corecta.

La autoritatile si institutiile publice, controlul se incheie de regula cu un avertisment insotit de un plan de remediere, nu cu o amenda directa.

Cum se leaga ANSPDCP de GDPR si Legea 190/2018?

ANSPDCP aplica doua seturi de reguli in paralel. GDPR este regulamentul european, valabil direct in toata Uniunea. Legea 190/2018 adauga regulile nationale pentru Romania: prelucrarea CNP, monitorizarea angajatilor si desemnarea responsabilului cu protectia datelor. Cand te controleaza, ANSPDCP verifica respectarea ambelor.

Ai un cabinet stomatologic cu 6 angajati care pastreaza fise medicale ale pacientilor. Un fost pacient depune plangere ca i-ai trimis fisa pe email fara criptare. ANSPDCP iti cere registrul activitatilor de prelucrare, politica de securitate si dovada ca pacientul a fost informat. Daca lipsesc, prelucrarea este tratata ca fiind fara masuri tehnice adecvate, iar asta a fost cea mai sanctionata problema in 2025.

Un sistem ISO 27001 documenteaza chiar controalele pe care le cere ANSPDCP intr-un control: registrul de prelucrari, politica de acces, criptarea si procedura de raportare a incidentelor. Pentru maparea articol cu articol pe Legea 190/2018, vezi ghidul despre GDPR, Legea 190/2018 si ISO 27701.

Intrebari frecvente

Trebuie sa ma inregistrez la ANSPDCP?

Nu. Obligatia de notificare prealabila a prelucrarilor a disparut odata cu GDPR, in 2018. La ANSPDCP comunici doar datele de contact ale responsabilului cu protectia datelor, daca esti obligat sa numesti unul, si bresele de securitate.

Pot depune o plangere la ANSPDCP gratuit?

Da. Plangerea se depune gratuit, in scris, prin posta, email sau direct la registratura. Trebuie sa fie semnata si sa contina datele tale de identificare. Plangerile anonime se claseaza.

Cat de mare poate fi o amenda ANSPDCP?

Pentru firmele private se aplica plafoanele GDPR: pana la 20 de milioane EUR sau 4% din cifra de afaceri anuala globala. In practica, amenzile din Romania sunt mult mai mici. Media pe amenda in 2025 a fost in jur de 24.000 lei.

ANSPDCP poate veni in control fara sa anunte?

Da. ANSPDCP poate face investigatii inclusiv neanuntate, mai ales cand exista o plangere sau o notificare de bresa. Echipa de control se legitimeaza si actioneaza pe baza unei decizii a presedintelui Autoritatii.