Publicat pe 31 august 2026 · Echipa mitza.es
Agenția Spaniolă pentru Protecția Datelor (AEPD) și-a intensificat activitatea de inspecție în 2026, iar suma anuală încasată din amenzi depășește deja 40 de milioane de euro. Cele mai recente sancțiuni arată că nici mărimea, nici bugetul juridic al unei companii nu o protejează de greșeli de bază în prelucrarea datelor personale.
Cele mai importante amenzi ale anului
- Vodafone Spania: 1.050.000 de euro pentru lipsa unui temei legal valabil pentru prelucrarea anumitor date personale.
- Amadeus IT Group: 14.400.000 de euro, una dintre cele mai mari sancțiuni ale anului, pentru combinarea a două încălcări frecvente în rândul companiilor tehnologice care agrega date de la terți: prelucrarea datelor fără temei legal și informarea insuficientă a persoanelor vizate.
- Aena: peste 10.000.000 de euro pentru implementarea unor sisteme de recunoaștere facială fără a realiza în prealabil o Evaluare a Impactului asupra Protecției Datelor (DPIA), așa cum cere articolul 35 din GDPR.
- O instituție bancară: 890.000 de euro pentru sistemul său de scoring de credit bazat pe inteligența artificială.
Un tipar care se repetă: nu este doar despre date, ci despre proces
Niciuna dintre aceste sancțiuni nu provine dintr-o scurgere de date precum cele descrise deja în articolul nostru despre creșterea atacurilor ransomware din acest an. Toate au aceeași origine: procese interne care nu au documentat corect de ce se colectau anumite date, nu au informat clar utilizatorii sau nu au evaluat impactul unei tehnologii noi (recunoaștere facială, scoring bazat pe IA) înainte de a o pune în funcțiune.
De ce privește și site-urile IMM-urilor
Deși aceste cifre se referă la companii mari, greșelile de fond sunt exact aceleași pe care le poate face orice site cu un formular de contact, un newsletter sau un chatbot: colectarea de date fără un temei legal clar, lipsa explicației despre scopul lor sau introducerea unui instrument de IA (precum un asistent WhatsApp Business) fără a verifica în prealabil ce date procesează și cum este acest lucru comunicat utilizatorului.
Ce trebuie să verifici pe propriul site
- Că fiecare formular indică clar ce date colectează și în ce scop le folosește.
- Că există un temei legal identificabil pentru fiecare prelucrare de date, nu doar o căsuță de acceptare generică.
- Că orice instrument nou care procesează date ale utilizatorilor (inclusiv IA) este verificat înainte de a fi activat, nu după.
- Că politica de confidențialitate este actualizată și reflectă ce face site-ul în realitate, nu un șablon generic.
Prevenția costă mai puțin decât corecția
Cifrele acestui an arată clar că agenția verifică mai în detaliu ca niciodată. Dacă vrei să știi dacă site-ul tău are un punct slab în prelucrarea datelor înainte ca acesta să devină o problemă, poți solicita un audit tehnic care să analizeze formularele, cookie-urile și fluxurile de date ale proiectului tău.