Control ANSPDCP la o firmă mică: ce verifică și cum te pregătești

În februarie 2026, Tensa Art Design SA a primit o amendă de 101.794 de lei, echivalentul a 20.000 de euro. Motivul nu era o scurgere de date și nici un client nemulțumit, ci faptul că firma nu a răspuns la adresa trimisă de ANSPDCP în timpul investigației (comunicatul ANSPDCP din februarie 2026).

Aici afli cum începe un control al ANSPDCP la o firmă mică, ce forme poate lua, ce documente îți cere de obicei, cât timp ai să răspunzi, cum se termină și cum contești o amendă. La final găsești lista cu ce să ai pregătit într-un dosar, înainte să primești prima adresă.

Important: articolul are caracter informativ și nu constituie consultanță juridică. Dacă ai primit deja o adresă de la ANSPDCP, discută cazul cu un specialist în protecția datelor sau cu un avocat.

Pe scurt

• Cele mai multe controale pornesc de la o plângere, o sesizare sau un incident pe care l-ai notificat. ANSPDCP poate începe și din oficiu, inclusiv fără să te anunțe.

• Pentru o firmă mică, controlul începe de obicei cu o adresă scrisă, cu întrebări și un termen de răspuns. Mai rar ești chemat la sediul ANSPDCP sau primești o vizită.

• Răspunzi complet și în termen. Pentru lipsa răspunsului, ANSPDCP dă amenzi separate, de la câteva mii la peste 100.000 de lei.

• Contează dovezile, nu declarațiile. Amenzile spun aproape mereu că firma „nu a făcut dovada”: a răspunsului la o cerere, a informării, a consimțământului.

• Ai 15 zile ca să plătești sau să contești procesul-verbal, la secția de contencios administrativ a tribunalului.

1. Cum începe un control

Procedura de efectuare a investigațiilor, aprobată prin Decizia ANSPDCP nr. 161/2018, spune că o investigație pornește la plângere sau din oficiu. Cele din oficiu pot veni, printre altele, dintr-o notificare de încălcare a securității datelor, dintr-o sesizare, din presă, de pe internet sau de la altă autoritate (articolele 3 și 5).

În practică, pentru o firmă mică sunt trei porți de intrare:

• Plângerea unui om ale cărui date le ai: un client care nu a primit copia datelor, un fost angajat filmat în birou, cineva care primește oferte pe care nu le-a cerut.

• Incidentul pe care l-ai notificat chiar tu: un laptop pierdut, un cont spart. ANSPDCP poate verifica ce măsuri de securitate aveai.

• O sesizare despre ceva vizibil: o cameră îndreptată spre stradă, un act de identitate afișat la casă, un site fără informațiile obligatorii.

În 2025, ANSPDCP a primit 11.278 de plângeri, 814 sesizări și 205 notificări de incidente. A finalizat 488 de investigații, dintre care 312 din oficiu, și a deschis 332 de investigații pentru plângerile considerate admisibile (Raportul de activitate ANSPDCP pe 2025, capitolul III).

Odată pornită, investigația nu se limitează la plângere. Articolul 8 din procedură permite verificarea „oricăror aspecte” privind prelucrarea datelor. O plângere despre o cerere fără răspuns poate ajunge la registru și la contractele cu furnizorii.

2. În scris, la sediul ANSPDCP sau la tine

Investigația se poate face pe teren, la sediul autorității sau în scris (articolul 16 din procedură). Pentru o firmă mică, cea mai frecventă e cea în scris.

Investigația în scris

Primești o adresă cu întrebări și cu lista documentelor cerute. Răspunzi în scris, în termenul stabilit de ANSPDCP, cu dovezi în copii certificate pentru conformitate cu originalul (articolul 33). Pe fiecare copie scrii „conform cu originalul” și semnezi. După răspuns, ANSPDCP poate închide cazul, poate continua în scris sau poate veni la tine.

Convocarea la sediul ANSPDCP

Primești o adresă de convocare, cu data și ora, și cu ce trebuie să aduci: documente, înregistrări, uneori echipamente, actele reprezentantului (articolul 32).

Controlul pe teren

Echipa de control se legitimează și prezintă o împuternicire pe numele firmei tale. Vizita poate fi anunțată sau inopinată (articolul 14). Inspectorii pot cere orice document, pot face copii, pot verifica calculatoarele și sistemele, inclusiv pe cele accesate de la distanță, și pot face fotografii sau înregistrări (articolul 19). Controlul nu începe înainte de ora 8 și nu continuă după ora 18 fără acordul tău scris (Legea 102/2005, art. 14).

Nu poți refuza accesul sau documentele invocând confidențialitatea lor. Dacă inspectorii sunt împiedicați, ANSPDCP poate cere o autorizare de la Curtea de Apel București.

3. Ce documente îți cere de obicei

Adresa depinde de subiect, dar comunicatele de sancțiuni arată ce caută ANSPDCP. Aproape fiecare amendă spune că firma „nu a făcut dovada” sau „nu a prezentat dovezi”. Sarcina probei e a ta: articolul 5 alineatul (2) din GDPR spune că operatorul trebuie să poată demonstra că respectă regulile.

Pe lângă dovezile legate de plângere, adresa conține de obicei întrebări generale: ce date prelucrezi și în ce scop, pe ce temei, cât le păstrezi, cine are acces, ce furnizori le primesc, ce măsuri de securitate ai. Răspunsurile vin aproape toate din registrul activităților de prelucrare, pe care articolul 30 alineatul (4) din GDPR îți cere să-l pui la dispoziția autorității la cerere.

4. Termenul de răspuns și ce se întâmplă dacă taci

Legea nu fixează un termen general. Îl stabilește ANSPDCP în adresă și trebuie respectat. Dacă ai un motiv serios, de exemplu documentele sunt la contabil sau persoana care se ocupă e în concediu medical, cere în scris o amânare înainte de expirarea termenului: autoritatea poate amâna sau suspenda investigația și la cererea ta, pentru motive justificate (articolul 15 din procedură).

Dacă nu răspunzi, încalci obligația de cooperare din articolul 31 din GDPR și puterile autorității din articolul 58 alineatul (1). Amenda se dă separat de fapta reclamată. Câteva cazuri recente:

• Tensa Art Design SA, februarie 2026: 101.794 de lei pentru că nu a răspuns la o adresă, într-o investigație pornită de la o sesizare despre cookie-uri.

• Altex România SRL, martie 2026: patru amenzi, în total 40.768 de lei, pentru că nu a dat curs solicitărilor ANSPDCP în investigația unor plângeri despre cereri fără răspuns (comunicatul din martie 2026).

• Hayat Dent SRL, februarie 2026: întâi un avertisment și obligația de a da informațiile, apoi, pentru că nu le-a dat nici în termenul nou, amendă de 10.190 de lei (comunicatul din februarie 2026).

Pe lângă amendă, ANSPDCP poate da o amendă cominatorie de până la 3.000 de lei pentru fiecare zi de întârziere, dacă refuzi să dai informațiile sau să te supui investigației (Legea 102/2005, art. 18). Invers, cooperarea contează în favoarea ta: articolul 83 alineatul (2) litera f) din GDPR o pune printre criteriile după care se stabilește amenda.

5. Cum se termină: avertisment, amendă sau măsuri corective

Dacă nu găsește nicio încălcare, ANSPDCP închide investigația în scris printr-o notă de finalizare (articolul 33 alineatul (3) din procedură). Altfel, încheie un proces-verbal de constatare și sancționare, cu una sau mai multe dintre:

• avertismentul, sancțiunea fără bani, pentru încălcările mai ușoare;

• amenda, stabilită în euro după articolul 83 din GDPR și plătită în lei, la cursul BNR din ziua aplicării (Legea 102/2005, art. 15);

• măsurile corective: să răspunzi la o cerere, să refaci nota de informare, să muți o cameră, să instruiești personalul, cu un termen.

În 2025, ANSPDCP a aplicat 105 amenzi, în total 2.565.020 de lei, 145 de avertismente și 182 de măsuri corective (comunicatul ANSPDCP din septembrie 2026 despre raportul pe 2025). Avertismentul nu e „scăpare”: dacă nu îndeplinești măsura corectivă la termen, ANSPDCP poate face o nouă investigație (articolul 25 alineatul (8)), iar cazul Hayat Dent arată că urmează amenda.

La procesul-verbal poți face obiecțiuni în 15 zile de la primire; ele devin parte din document (articolele 32 și 33 din procedură). Obiecțiunile nu înlocuiesc contestația în instanță.

Drumul unui control, cu termenele. Sursa: Procedura de efectuare a investigațiilor (Decizia ANSPDCP 161/2018); Legea 102/2005, art. 14–18; GDPR, art. 31 și 58.

6. Plătești sau contești: 15 zile

Pentru amenzile ANSPDCP, regulile de bază sunt în Legea 102/2005, art. 17, nu în regimul obișnuit al contravențiilor:

• Contestația se depune la secția de contencios administrativ a tribunalului competent, în 15 zile de la primirea procesului-verbal sau a deciziei. Hotărârea tribunalului se poate ataca numai cu apel, la curtea de apel.

• Plata se face în 15 zile de la primire. Contestația suspendă doar plata amenzii, nu și măsurile corective.

• Procesul-verbal necontestat în 15 zile devine titlu executoriu, fără altă formalitate.

Ordonanța Guvernului nr. 2/2001 privind regimul contravențiilor se aplică doar unde Legea 102/2005 nu prevede altceva (articolul 19 alineatul (2)). Termenul în care ANSPDCP poate sancționa o faptă e de 3 ani de la săvârșire, cu reguli speciale pentru încălcările care durează (art. 15 alin. (4)).

Contestațiile nu câștigă des. Din cele 448 de amenzi GDPR aplicate între 2019 și mai 2026, au fost contestate 135. Din cele 96 de procese încheiate, 72 s-au terminat în favoarea ANSPDCP, inclusiv cele în care instanța a redus amenda sau a înlocuit-o cu avertisment (comunicatul ANSPDCP din mai 2026). Contestația are sens când faptele sunt greșit reținute sau amenda e disproporționată.

Dosarul pentru control: ce să ai pregătit

Un dosar ținut la zi, pe hârtie sau într-un folder, îți permite să răspunzi într-o zi, nu într-o lună. Ce pui în el:

1. Registrul activităților de prelucrare, actualizat, cu data ultimei revizuiri.

2. Notele de informare pentru angajați, candidați, clienți și camere video, plus dovada că le-ai dat: semnătura angajatului, linkul de pe site, poza semnului de la intrare.

3. Temeiul pentru fiecare activitate și, unde folosești interesul legitim, testul scris; unde folosești consimțământul, dovada lui, cu data.

4. Lista furnizorilor care lucrează cu datele și contractul de prelucrare cu fiecare.

5. Evidența cererilor primite de la oameni: data primirii, răspunsul, data trimiterii.

6. Registrul incidentelor, inclusiv al celor pe care ai decis să nu le notifici, cu motivul.

7. Măsurile de securitate, descrise pe scurt: cine are acces la ce, parole și autentificare în doi pași, copii de rezervă.

8. Dovada instruirii angajaților și angajamentele de confidențialitate semnate.

9. Analizele scrise: dacă îți trebuie responsabil cu protecția datelor (DPO) sau evaluare de impact, cu concluzia.

10. Persoana care răspunde la ANSPDCP și cine o înlocuiește.

Lista e aceeași cu minimul GDPR al unei firme mici. Dacă îți lipsește ceva, începe cu ghidul GDPR pentru o firmă mică, apoi cu evidența cererilor persoanelor vizate, pentru că acolo pornesc cele mai multe plângeri.

Când primești adresa

• Notează data primirii și termenul. Dacă nu poți răspunde la timp, cere amânare în scris, înainte de termen.

• Răspunde la fiecare întrebare, în ordinea din adresă, cu documentele numerotate și certificate.

• Dacă plângerea e întemeiată, rezolv-o acum: trimite răspunsul la cerere, corectează nota, mută camera. Spune în răspuns ce ai făcut.

Întrebări frecvente

Dosarul pentru control, ținut la zi cu SmartDPO

În SmartDPO, registrul prelucrărilor se completează din răspunsurile tale și se exportă în PDF sau Excel oricând îl cere ANSPDCP. Cererile oamenilor păstrează cronologia ca dovadă că ai răspuns la timp, registrul incidentelor se ține singur, iar instruirile angajaților rămân în evidență, cu rezultatul fiecărui test. Vezi ce face aplicația sau încearcă planul gratuit, pentru o singură firmă.