Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a aplicat două amenzi în valoare totală de 62.714 lei (echivalentul a 12.000 euro) băncii UniCredit România, după ce o investigație a confirmat că datele personale ale unui număr semnificativ de clienți cu credite ipotecare au fost divulgate neautorizat prin notificări transmise eronat.
Ce a constatat ANSPDCP
Investigația, finalizată în luna mai 2026, a stabilit că UniCredit Bank SA a încălcat mai multe prevederi ale Regulamentului (UE) 2016/679 (GDPR). Concret, banca nu a implementat măsuri tehnice și organizatorice adecvate pentru protejarea confidențialității datelor clienților și nu a notificat autoritatea de supraveghere în termenul legal de 72 de ore de la identificarea incidentului de securitate.
Ancheta a fost declanșată ca urmare a unei petiții depuse de o persoană fizică, care a sesizat posibile încălcări ale regulamentului european privind protecția datelor.
Cum s-a produs scurgerea de date
Incidentul a apărut în contextul reînnoirii polițelor de asigurare obligatorii pentru clienții cu credite ipotecare. Banca a transmis notificări privind expirarea polițelor prin mesagerie mobilă, online banking și e-mail, însă din cauza procesării manuale defectuoase a unui fișier, aceste mesaje au ajuns la alte persoane decât destinatarii de drept.
Datele expuse includ: numele şi prenumele clientului, adresa de domiciliu, adresa şi valoarea imobilului asigurat, calitatea de client al băncii pentru produs de creditare cu ipotecă, data de expirare şi costurile poliței de asigurare. Numărul persoanelor afectate este descris de autoritate ca semnificativ.
Sancțiunile aplicate de ANSPDCP
Autoritatea a emis două amenzi distincte, fiecare acoperind câte o încălcare separată a GDPR:
52.270 lei (10.000 euro) – pentru neimplementarea unor măsuri tehnice și organizatorice adecvate, prin încălcarea art. 32 alin. (1) lit. b) și alin. (2) și (4) din GDPR, care impun operatorilor de date asigurarea unui nivel de securitate corespunzător riscului de prelucrare, inclusiv capacitatea de a garanta confidențialitatea datelor.
10.454 lei (2.000 euro) – pentru netransmiterea notificării de securitate în termenul legal de 72 de ore, prin încălcarea art. 33 alin. (1) din GDPR, deși banca deținea informații concrete privind breșa de confidențialitate.
Context și implicații GDPR
Cazul scoate în evidență două tipuri de obligații pe care operatorii de date trebuie să le respecte simultan: una proactivă — implementarea de sisteme și proceduri care să prevină breșele de securitate — și una reactivă — notificarea promptă a autorității atunci când un incident se produce totuși.
Sancțiunile aplicate UniCredit România reconfirmă abordarea ANSPDCP de a analiza separat fiecare tip de încălcare și de a aplica amenzi cumulate, o practică aliniată cu recomandările Comitetului European pentru Protecția Datelor (EDPB).
La nivel european, numărul investigațiilor privind gestionarea necorespunzătoare a datelor în sectorul bancar este în creștere, instituțiile financiare reprezentând o țintă frecventă datorită volumului și sensibilității informațiilor prelucrate.
