L'autorité roumaine de protection des données (ANSPDCP) a publié un bilan des décisions de justice relatives aux contestations de ses sanctions pour la période 2023-2025.

Sur 73 recours formés contre ses décisions de sanction, 22 ont été définitivement jugés. L'ANSPDCP a obtenu gain de cause dans 19 de ces affaires. Onze amendes ont été intégralement confirmées par les tribunaux à l'encontre des opérateurs Libra Internet Bank SA (11 000 €), Partidul Uniunea Salvați Romania (3 000 €), Body Line SRL (10 000 €), E.On Energie Romania SA (5 000 €), Medijobs Platform SRL (5 000 €), CN Poșta Română (5 000 €), Technik Leb SRL (3 000 €), OTP Bank Romania SA (3 000 €), Synobis Medical SRL (10 000 lei, soit environ 2 000 €), Primăria Comunei Albeni (10 000 lei, soit environ 2 000 €) et une personne physique (450 €). Dans trois autres cas, les amendes ont été remplacées par des avertissements, et cinq sanctions d'avertissement ont été confirmées. Trois plaintes ont cependant été admises en faveur des opérateurs.

Le Tribunal de Bucarest a confirmé l'amende de 3 000 € infligée au Partidul Uniunea Salvați Romania pour violation des article 5 paragraphe 1 points a) et b), de l'article 6 paragraphe 1 et de l'article 9 paragraphe 2 du RGPD. Le parti avait rendu accessibles et interrogeables sur son site des données personnelles (noms, adresses, numéros d'identité, certificats médicaux) extraites de sites d'autorités publiques, sans base légale ni consentement. La juridiction a jugé la sanction légale et proportionnée, notant que le responsable du traitement n'avait pas contesté les faits. Le parti n'a pas fait appel et a payé l'amende.

La Cour d'appel de Bucarest a maintenu les amendes d'un montant total de 11 000 € contre Libra Internet Bank SA pour manquements aux article 12 paragraphes 2 et 4 et à l'article 15 paragraphes 3 et 4 du RGPD. La banque avait refusé de communiquer à un client ses données personnelles et les enregistrements vidéo le concernant. La cour a qualifié l'attitude de la banque d'"opaque", considérant que le manquement n'était pas de faible gravité. L'argument selon lequel la demande du client était abusive a été rejeté, la banque n'ayant pas démontré son caractère "manifestement infondé ou excessif" au sens de l'article 12 paragraphe 5. La récidive de l'opérateur a également été prise en compte.

La Cour d'appel de Cluj a validé la sanction de 10 000 lei (environ 2 000 €) et l'avertissement prononcés à l'encontre de Synobis Medical SRL. L'amende concernait une violation de la loi locale sur la vie privée et les communications électroniques (Loi n° 506/2004) relative aux témoins de connexion, et l'avertissement un manquement aux articles 12 à 14 du RGPD. La société utilisait des témoins de connexion sur son site sans avoir obtenu le consentement préalable des utilisateurs ni les avoir correctement informés. La cour a jugé l'amende proportionnée, estimant qu'un simple avertissement était insuffisant en raison du "danger social" que représente le non-respect des règles sur les témoins de connexion. Des facteurs atténuants, tels que la négligence et l'absence de sanctions antérieures similaires, ont justifié une amende au minimum légal.