L'Autorité nationale de surveillance du traitement des données à caractère personnel de Roumanie (ANSPDCP) a publié un bilan de ses activités pour les quatre premiers mois de 2026, accompagné d'une synthèse de jurisprudences récentes confirmant ses décisions de sanction.
De janvier à avril 2026, l'autorité a traité 5 519 plaintes et notifications, initiant 228 enquêtes qui ont abouti à 25 amendes pour un total de 1 187 492 lei (239 000 €), 42 avertissements et 41 mesures correctives. Les principaux manquements visaient les principes de traitement, la vidéosurveillance, la divulgation de données et les droits des personnes. Parallèlement, 358 points de vue et 36 avis sur des projets normatifs ont été émis. Depuis 2019, sur 448 amendes infligées, 135 ont été contestées, et sur 96 litiges conclus, 72 ont été résolus en faveur de l'ANSPDCP.

La Cour d'appel de Timișoara a confirmé une amende de 25 000 € contre Restart Energy One SA pour violation de l'article 32 du RGPD. Le manquement concernait la divulgation et l'accès non autorisés aux données de 750 personnes sur une période de deux ans et demi. La cour a jugé que la contravention était une infraction de péril, ne nécessitant pas la preuve d'un préjudice effectif pour être constituée, et a validé la proportionnalité de la sanction.

La Cour d'appel de Bucarest a validé une amende de 10 000 € à l'encontre de PPC Energie Muntenia SA pour violation des article 32 et article 33 du RGPD. L'incident, résultant d'une erreur humaine, a confirmé l'inadéquation des mesures de sécurité. La cour a estimé que l'historique de sanctions antérieures pour des faits similaires justifiait une sanction plus sévère et que l'absence de notification de la violation était fautive, le risque pour les personnes n'étant pas improbable.

La Cour d'appel de Iași a maintenu une amende de 10 000 € contre Body Line SRL pour des violations multiples des article 5, article 6, article 9, article 17 et article 32 du RGPD. L'entreprise avait publié sur Facebook une vidéo d'une personne sans son consentement, accompagnée de commentaires sur son origine ethnique, et avait refusé de la supprimer malgré une demande en ce sens.

La Cour d'appel de Cluj a confirmé une amende de 100 000 € infligée à la Banca Transilvania pour violation des article 32 et article 5 du RGPD. La sanction faisait suite à la divulgation intentionnelle de données client par des employés. La cour a jugé que les mesures de formation et de surveillance du personnel étaient inadéquates et que la nature virale de la diffusion sur internet constituait une circonstance aggravante.

La Cour d'appel de Bucarest a confirmé une amende de 20 000 € contre Vreau Credit SRL pour violation des article 32 et article 33 du RGPD. L'entreprise avait transmis sans autorisation les photocopies des pièces d'identité de 1 177 clients à un tiers. La justice a considéré que le nombre élevé de personnes concernées révélait une pratique habituelle et que le consentement invoqué n'était pas valide, car il n'était ni spécifique ni sans équivoque.

La Cour d'appel de Bucarest a réduit de 7 000 € à 2 000 € une amende infligée à CDI Transport Intern si International SRL pour violation de l'article 58 du RGPD. La cour a jugé ce montant proportionné au "faible degré de danger social" de l'infraction, tout en conservant un caractère dissuasif.