Aplicarea GDPR în 2026: amenzi mari și proceduri noi

Publicat 19 octombrie 2026 · Actualizat 22 octombrie 2026 · De Dazr

Amendă de 403 milioane de euro pentru Google pentru date de localizare, proceduri transfrontaliere mai rapide din aprilie 2027 și modificări GDPR propuse.

La opt ani după ce GDPR a început să se aplice, controlul respectării sale aduce în continuare decizii mari, iar modul de soluționare a cazurilor transfrontaliere urmează să se schimbe.

Decizii recente

Uber, 824,99 milioane de euro (publicată la 8 octombrie 2026). Autoritatea olandeză pentru protecția datelor (AP) a constatat că Uber dezactiva conturile șoferilor prin decizii complet automatizate, temporar în caz de suspiciune de fraudă sau de evaluări slabe și definitiv în caz de evaluări slabe persistente, cu încălcarea articolului 22, și nu i-a informat suficient pe șoferi (articolul 13). Cazul a pornit de la plângerile a 171 de șoferi francezi depuse la CNIL și privește perioada 2018–2022. Uber a contestat decizia, așa că aceasta nu este definitivă.
Google, 403 milioane de euro (21 septembrie 2026). Data Protection Commission din Irlanda (DPC), ca autoritate principală, a constatat că Google a încălcat GDPR în prelucrarea datelor de localizare din Activitatea pe web și în aplicații, Istoricul locațiilor și Precizia locației: legalitate și echitate, transparență, responsabilitate și durata stocării. Google trebuie să pună prelucrarea în conformitate în termen de șase luni.
TikTok, 530 de milioane de euro (2 mai 2025). DPC a constatat că TikTok nu a demonstrat că datele utilizatorilor din SEE, accesate de la distanță de personal din China, beneficiau de o protecție în esență echivalentă (articolul 46 alineatul (1)) și că politica de confidențialitate nu numea țările implicate (articolul 13 alineatul (1) litera (f)).

Împreună arată că deciziile automatizate, transferurile internaționale, transparența și păstrarea datelor doar cât este necesar sunt sursa celor mai mari amenzi.

Proceduri transfrontaliere mai rapide din 2 aprilie 2027

Regulamentul (UE) 2025/2518 adaugă norme procedurale pentru cazurile GDPR transfrontaliere. A fost publicat la 12 decembrie 2025 și se aplică din 2 aprilie 2027. Armonizează criteriile de admisibilitate a plângerilor, le dă petenților și companiilor dreptul de a fi ascultați și de a cunoaște constatările preliminare și stabilește termene: în principiu 15 luni pentru o investigație, prelungibile cu 12 luni în cazurile complexe, și o procedură simplificată pentru cazurile simple. Regulile de fond ale GDPR nu se schimbă.

Omnibusul digital propus de Comisie în noiembrie 2025 include modificări ale GDPR, precum un prag mai ridicat și un termen mai lung pentru notificarea încălcărilor securității datelor către autorități și un punct unic de raportare a incidentelor. CEPD și AEPD au susținut unele părți în avizul comun din februarie 2026 și și-au exprimat îngrijorarea față de altele. Sunt propuneri: astăzi se aplică în continuare termenul de 72 de ore pentru notificarea unei încălcări.

Ce să verificați

Registrul activităților de prelucrare și duratele de stocare, mai ales pentru datele de localizare și alte date sensibile.
Evaluările transferurilor pentru orice acces din afara SEE, inclusiv asistența de la distanță.
Politici de confidențialitate care numesc clar destinatarii și țările.
O procedură pentru încălcări care respectă termenul de 72 de ore.
Acolo unde un software decide asupra oamenilor, de exemplu blocând un cont: o verificare umană reală și o explicație clară pentru persoanele vizate.

Surse

Doar cu titlu informativ, nu constituie consultanță juridică. Ultima actualizare: 22 octombrie 2026.

Subiecte: GDPR, Sancțiuni, UE

Disponibil și în: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål