RGPD (GDPR)
Europa încearcă să-ți protejeze datele din 1995. Abia în 2018 legea a căpătat dinți. Amenzile aplicate depășesc acum, în total, 7 miliarde de euro. Publicitatea comportamentală e în continuare modelul de afaceri dominant.
Cum să citești pagina. Atinge orice cuvânt subliniat ca să vezi termenul juridic exact și o definiție scurtă. Deschide orice casetă „Detalii” pentru dovezi și pentru punctele controversate. Textul principal se descurcă singur — poți să le sari pe ambele și tot prinzi întreaga idee.
Drumul lung
Directiva UE privind protecția datelor din 1995 a stabilit drepturile de bază la viața privată. Până în anii 2010 ajunsese depășită — Facebook, Google și Amazon construiseră afaceri multimiliardare pe colectarea de date comportamentale la o scară pe care directiva nu o anticipase niciodată. RGPD a fost adoptat oficial în 2016 și a devenit aplicabil pe 25 mai 2018.
Ce cere RGPD
Datele cu caracter personal pot fi colectate doar pe baza unuia dintre temeiurile juridice (lawful basis) prevăzute de lege — printre care și consimțământul real, informat. Oamenii au dreptul să-și acceseze, să-și corecteze și să-și șteargă datele. Încălcările securității datelor trebuie raportate în 72 de ore. Amenzile pot ajunge la 4% din cifra de afaceri anuală globală. Regulamentul se aplică oricărei organizații care prelucrează datele persoanelor aflate în UE — indiferent unde își are sediul organizația.
Temei juridic (lawful basis) / consimțământ
Conform RGPD, o companie nu îți poate prelucra datele cu caracter personal doar pentru că vrea; are nevoie de unul dintre cele șase „temeiuri juridice”, dintre care cel mai discutat e consimțământul tău liber exprimat, informat și specific. „Liber exprimat” e capcana: un consimțământ ascuns într-o căsuță bifată dinainte sau smuls printr-un banner manipulator nu e consimțământ valabil în fața legii — de aceea atât de multe acțiuni de aplicare a legii depind de felul în care a fost proiectată alegerea, nu de faptul că s-a dat click pe o căsuță.
Surse
- GDPR Article 6 — lawfulness of processing.
- GDPR Recital 32 — conditions for consent.
- European Data Protection Board (2023), Report of the work undertaken by the Cookie Banner Taskforce.
Amenzile
2019: Franța amendează Google cu 50 de milioane de euro. 2021: Luxemburg amendează Amazon cu 746 de milioane de euro — o decizie anulată în apel în martie 2026: instanța a confirmat încălcările, dar a trimis cazul înapoi la autoritatea de supraveghere. 2023: Irlanda amendează Meta cu 1,2 miliarde de euro — cea mai mare amendă RGPD consemnată vreodată — pentru transferul ilegal al datelor utilizatorilor din UE în Statele Unite. 2023: Irlanda amendează TikTok cu 345 de milioane de euro pentru încălcări privind datele copiilor. 2024: Irlanda amendează LinkedIn cu 310 milioane de euro. 2025: TikTok primește o nouă amendă, de 530 de milioane de euro. Amenzile aplicate în temeiul RGPD depășesc, în total, 7 miliarde de euro.
Ce a realizat și ce nu
RGPD a stabilit că protecția datelor e un drept legal cu consecințe financiare. A creat o normă globală: aplicabilitatea lui extrateritorială le-a dat companiilor din toată lumea un motiv să-și schimbe practicile. Ce nu a făcut e să pună capăt capitalismului de supraveghere. Bannerele de consimțământ pentru cookie-uri, concepute adesea ca design manipulator (dark patterns) care îi împinge pe utilizatori spre acceptare, oferă o conformare doar de formă. Modelul supravegherii comportamentale continuă. Amenzile sunt mari în termeni absoluți și mici pe lângă companiile cărora le sunt aplicate: amenda record de 1,2 miliarde de euro dată companiei Meta a reprezentat aproximativ 1% din veniturile grupului din anul anterior — cam patru zile din ele — față de un plafon legal de 4%. Cele mai multe dintre cele mai mari amenzi sunt încă în apel și neplătite, iar dacă amenzile de această mărime schimbă comportamentul e contestat: există puține dovezi, într-un sens sau altul, despre efectul lor de descurajare. RGPD e cel mai puternic cadru de protecție a vieții private din lume și un răspuns insuficient la amploarea problemei.
Design manipulator (dark patterns)
Interfețe proiectate să te împingă spre alegerea preferată de companie, nu spre cea pe care ai face-o liber: butonul uriaș „Acceptă tot” lângă un „Refuză” gri, ascuns la trei click-uri distanță. Exploatează setările implicite, obstacolele și ierarhia vizuală. Conform RGPD, se poate susține că un consimțământ obținut astfel nu e liber exprimat — dar bannerele rămân aproape universale, pentru că prețul ignorării regulii e mic față de valoarea datelor.
Surse
- EDPB Guidelines 03/2022 on deceptive design patterns (2022; versiunea 2.0, adoptată la 14 februarie 2023).
Cum știm — de ce 7 miliarde de euro în amenzi aplicate nu au schimbat modelul
Trei motive structurale. Primul, scara: o amendă record de 1,2 miliarde de euro înseamnă bani adevărați, dar a reprezentat aproximativ 1% din veniturile Meta din anul anterior și e încă în apel; cât de mult descurajează amenzile de această mărime e contestat, iar dovezile sunt puține, într-un sens sau altul. Al doilea, blocajul aplicării: prin mecanismul „ghișeului unic” (one-stop-shop) al RGPD, conduce autoritatea din țara în care compania își are sediul european — ceea ce trimite majoritatea cazurilor Big Tech prin DPC, autoritatea irlandeză, criticată de alte autorități pentru o aplicare lentă și îngustă. Al treilea, teatrul conformării: un banner de consimțământ poate exista tehnic și totuși să fie proiectat să anuleze alegerea pe care o oferă doar cu numele.
Lectura onestă. RGPD a reușit să stabilească protecția datelor ca drept aplicabil și ca normă globală; nu a reușit să demonteze supravegherea ca model de afaceri, pentru că economia modelului supraviețuiește amenzilor. E un argument despre aplicare și design, nu despre întrebarea dacă legea a meritat adoptată.
În România
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (Legea nr. 102/2005; Legea nr. 190/2018). România aplică RGPD (GDPR) prin Legea nr. 190/2018; ANSPDCP, înființată în 2005, asigură respectarea lui. În 2025 a aplicat 105 amenzi, în total circa 2,57 milioane de lei (aproximativ 511.000 de euro), în urma a 488 de investigații, potrivit raportului său de activitate. ANSPDCP — legislație primarăANSPDCP — comunicat de presă, raportul de activitate 2025 (14 septembrie 2026)
Verificat 23 septembrie 2026
În Republica Moldova
- Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) (Legea nr. 17-XVI/2007; Legea nr. 195/2024). CNPDCP, din 2007 autoritatea autonomă pentru protecția datelor, aplică Legea nr. 195/2024 — un cititor din Republica Moldova depune plângere acolo, nu la o autoritate a UE. CNPDCP — datepersonale.md
- Legea nr. 195/2024 privind protecția datelor cu caracter personal (Monitorul Oficial nr. 367-369, art. 574, 23 august 2024). Republica Moldova nu este în UE, deci RGPD (GDPR) nu se aplică direct — dar de la 23 august 2026 este în vigoare Legea nr. 195/2024, care transpune RGPD în legislația Republicii Moldova. Până atunci s-a aplicat Legea nr. 133/2011. CNPDCP — Despre Legea nr. 195/2024CNPDCP — legea publicată în Monitorul Oficial (23 august 2024)
Verificat 25 septembrie 2026
Surse
- GDPR Enforcement Tracker — un tabel actualizat permanent al amenzilor aplicate în temeiul RGPD, citat pentru totalul lor curent: 7,57 miliarde de euro la 17 octombrie 2026.
- GDPR Article 6 — lawfulness of processing.
- GDPR Article 33 — notification of a personal data breach.
- GDPR Article 83 — general conditions for imposing administrative fines — „de până la 20 000 000 EUR sau, în cazul unei întreprinderi, de până la 4 % din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior, luându-se în calcul cea mai mare valoare” (art. 83 alin. (5)).
- EDPB Guidelines 03/2022 on deceptive design patterns (2022; versiunea 2.0, adoptată la 14 februarie 2023).
- Autoritatea Europeană pentru Protecția Datelor (European Data Protection Supervisor, EDPS) — supraveghetorul independent al prelucrării datelor de către instituțiile UE însele (distinctă de EDPB, care coordonează aplicarea RGPD între autoritățile naționale).
- Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 … repealing Directive 95/46/EC (General Data Protection Regulation) — articolul 99 alineatul (2): se aplică de la 25 mai 2018; articolul 94 și nota de subsol 4: Directiva 95/46/CE din 24 octombrie 1995, abrogată de la aceeași dată.
- Conseil d'État, Décision n° 430810 du 19 juin 2020, Google LLC — confirmă amenda de 50 de milioane de euro aplicată de CNIL companiei Google (deliberarea SAN-2019-001 din 21 ianuarie 2019).
- European Data Protection Board (28 iulie 2021), Binding decision 1/2021 on the dispute arisen on the draft decision of the Irish Supervisory Authority regarding WhatsApp Ireland under Article 65(1)(a) GDPR — obiecțiile altor autorități față de „the limited scope of the investigation” (sfera limitată a investigației); Comitetul „instructs the IE SA to set out a higher fine amount” (cere autorității irlandeze să stabilească o amendă mai mare).
- Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (Germania), Ulrich Kelber (16 martie 2021), scrisoare către comisia LIBE a Parlamentului European despre DPC, autoritatea irlandeză (în germană; copie publicată de noyb) — peste 50 de plângeri privind WhatsApp trimise DPC din 2018, „von denen bis heute keine einzige abgeschlossen ist” (dintre care niciuna nu a fost soluționată până azi).
- Zuboff, S. (2019), The Age of Surveillance Capitalism, PublicAffairs.
- Data Protection Commission, final decision IN-20-8-1 on Meta Platforms Ireland (data transfers) (12 mai 2023) — amenda de 1,2 miliarde de euro și, ca bază de calcul, veniturile Meta din 2022, de 116,61 miliarde de dolari (§9.124); ponderea (aproximativ 1%) și zilele (cam patru) sunt calculate la cursul de referință BCE din data deciziei.
- Data Protection Commission — fines (actualizat la 21 septembrie 2026): peste 4,4 miliarde de euro în amenzi aplicate, aproximativ 20 de milioane de euro încasate; o amendă contestată în apel nu poate fi încasată.
- Lintvedt, M. N. (2022), Putting a price on data protection infringement, International Data Privacy Law 12(1), 1–15 — „there is little evidence of the effect of mere imposition of fines” (există puține dovezi despre efectul simplei aplicări a amenzilor).
- Cour administrative (Luxembourg), arrêt n° 52757C du rôle (12 martie 2026), Arrêt de la Cour administrative en relation avec un des grands acteurs mondiaux au niveau du commerce en ligne (Justice Luxembourg, 13 martie 2026) — decizia CNPD din 15 iulie 2021, prin care Amazon primise o amendă de 746 de milioane de euro, anulată în întregime; încălcările, confirmate în linii mari; cazul, trimis înapoi la CNPD ca să evalueze vinovăția și să aleagă măsura.