Pentru organizații
Amenzi și sancțiuni
Odată cu intrarea în vigoare a Legii nr. 195/2024, contravențiile din Codul contravențional (art. 74¹–74³ și 423⁴) au fost abrogate. Acum, CNPDCP aplică direct amenzi operatorilor și persoanelor împuternicite, printr-o decizie emisă în urma unei investigații. Amenzile se varsă la bugetul de stat art. 86.
Pe această pagină
Plafoanele amenzilor
| Nivel | Încălcări | Amenda maximă |
|---|---|---|
| Nivelul I art. 88 alin. (1) |
Obligațiile operatorului și ale persoanei împuternicite: consimțământul copiilor (art. 8), prelucrarea fără identificare (art. 11), protecția datelor de la concepție, contractele cu împuterniciții, evidențele, securitatea, notificarea incidentelor, DPIA, DPO (art. 25–39), certificarea (art. 42–43). Tot aici intră obligațiile organismelor de certificare și de monitorizare. | 1 000 000 lei sau 1% din cifra de afaceri |
| Nivelul II art. 88 alin. (2)–(3) |
Principiile de bază și temeiurile legale, inclusiv consimțământul (art. 5–7) și datele speciale (art. 9); drepturile persoanelor (art. 12–22); transferurile în străinătate (art. 44–49); cazurile specifice de prelucrare (cap. VI, inclusiv IDNP); nerespectarea măsurilor corective ale CNPDCP sau refuzul accesului inspectorilor. | 2 000 000 lei sau 2% din cifra de afaceri |
Pentru întreprinderi se aplică valoarea cea mai mare dintre suma fixă și procentul din cifra totală de afaceri realizată în anul anterior sancționării. Dacă în acel an nu există cifră de afaceri, se ia ultimul an în care a existat art. 88 alin. (5). Sancțiunile se aplică și autorităților și instituțiilor publice art. 88 alin. (4).
Dacă aceeași operațiune încalcă mai multe prevederi, amenda totală nu poate depăși plafonul pentru cea mai gravă încălcare art. 87 alin. (4).
Aplicarea graduală a amenzilor
Legea prevede o perioadă de adaptare. Din cuantumul final al amenzii stabilite de CNPDCP se aplică art. 90 alin. (4):
Intervalele sunt calculate de la data intrării în vigoare a legii, 23.08.2026. Momentul relevant (data încălcării sau data deciziei) va fi clarificat prin practica CNPDCP și a instanțelor.
Cum se stabilește amenda
Amenda trebuie să fie eficace, proporțională și disuasivă. Ea se aplică doar pentru încălcări săvârșite intenționat sau din neglijență art. 87 alin. (1), (3). CNPDCP ține cont de art. 87 alin. (2):
- natura, gravitatea și durata încălcării, numărul persoanelor afectate și prejudiciul suferit de ele;
- caracterul intenționat sau neglijent;
- măsurile luate pentru reducerea prejudiciului;
- gradul de responsabilitate, ținând cont de măsurile tehnice și organizatorice existente;
- încălcările anterioare;
- gradul de cooperare cu CNPDCP;
- categoriile de date afectate;
- modul în care Centrul a aflat de încălcare, adică dacă operatorul a notificat-o singur;
- respectarea măsurilor dispuse anterior;
- aderarea la coduri de conduită sau la mecanisme de certificare;
- alți factori, cum ar fi beneficiile financiare obținute sau pierderile evitate.
Pentru încălcări minore sau dacă amenda ar fi o sarcină disproporționată pentru o persoană fizică, CNPDCP poate emite un avertisment în locul amenzii art. 87 alin. (2). Constatarea unei încălcări nu duce automat la amendă.
Alte măsuri corective
Pe lângă amendă sau în locul ei, CNPDCP poate art. 60 alin. (2):
- emite avertizări privind operațiunile planificate și avertismente pentru încălcări;
- dispune satisfacerea cererilor persoanelor vizate;
- dispune punerea în conformitate a prelucrării, într-un termen stabilit;
- obliga operatorul să informeze persoanele despre un incident;
- limita temporar sau definitiv prelucrarea, inclusiv prin interdicție;
- dispune rectificarea, ștergerea sau restricționarea datelor;
- retrage certificările;
- suspenda fluxurile de date către alte state.
Termenul de executare a deciziei este de până la 6 luni. Termenul pentru plata benevolă a amenzii este de cel puțin 2 luni de la comunicare. Deciziile se execută silit conform Codului de executare art. 85. Deciziile CNPDCP pot fi contestate în instanța de contencios administrativ art. 73.
Comunicațiile electronice (Legea nr. 72/2025)
Regulile speciale din capitolul XVIII al Legii comunicațiilor electronice nr. 72/2025, cum ar fi cele privind cookie-urile, comunicările comerciale nesolicitate sau incidentele la furnizorii de comunicații, au un regim de răspundere separat de amenzile CNPDCP descrise mai sus:
- răspunderea contravențională: legea trimite la Codul contravențional, de exemplu pentru furnizorul de servicii de comunicații electronice care, prin neglijență, contribuie la trimiterea de comunicări nesolicitate art. 124 alin. (7). Agenția Națională pentru Reglementare în Comunicații aplică sancțiuni pentru încălcarea legii, în limita competențelor sale art. 7 alin. (2) pct. 18), art. 34;
- controlul CNPDCP asupra furnizorilor: Centrul poate verifica măsurile de securitate ale furnizorilor și emite recomandări, poate cere informarea abonaților despre o încălcare și verifică evidența încălcărilor art. 115 alin. (3), (8), (11);
- acțiunea în instanță: orice persoană afectată de comunicări nesolicitate, inclusiv un furnizor care își apără interesele comerciale, poate cere în instanță încetarea sau interzicerea încălcărilor art. 124 alin. (6).
Dacă aceeași faptă înseamnă și o prelucrare de date fără temei legal sau ignorarea opoziției la marketing, se aplică și Legea nr. 195/2024, cu amenzile CNPDCP de nivelul II art. 6, art. 21, art. 88 alin. (2).
Răspunderea civilă și penală
Independent de amenzile CNPDCP, operatorul poate fi obligat de instanță să plătească despăgubiri pentru prejudiciul material și moral cauzat art. 76. Faptele care întrunesc elementele unei infracțiuni, de exemplu accesul ilegal la informația computerizată, sunt sesizate organelor de urmărire penală art. 80 alin. (7).
DataProtection.md · dataprotection.md/ro/sanctiuni/ · Informație actualizată la 10 octombrie 2026
DataProtection.md este un portal informativ independent, neafiliat CNPDCP. Informațiile publicate nu constituie consultanță juridică. Textele oficiale ale actelor normative sunt disponibile în Monitorul Oficial și pe legis.md.