Amenzi GDPR de 26.750 de lei pentru o clinică medicală și stomatologică. Datele personale ale pacienților, accesate și divulgate fără temei legal

Clinica dentara, sancționată pentru încălcarea GDPR

Protecția datelor cu caracter personal în sectorul medical revine în atenție în urma unei investigații finalizate în octombrie 2026 de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal.

Potrivit informațiilor comunicate de autoritate, operatorul a fost sancționat pentru încălcarea mai multor prevederi ale Regulamentului (UE) 2016/679, cunoscut drept GDPR.

Investigația a fost declanșată în urma unei sesizări formulate de o persoană vizată, care a reclamat o posibilă încălcare a legislației privind protecția datelor personale.

În urma verificărilor, ANSPDCP a constatat două categorii distincte de abateri, referitoare la legalitatea prelucrării datelor pacienților și la obligația operatorului de a coopera cu autoritatea de supraveghere.

Două amenzi, în valoare totală de 5.000 de euro

Pentru neregulile identificate, autoritatea a aplicat două sancțiuni contravenționale.

Prima amendă, în cuantum de 10.700 de lei (2.000 de euro), a fost aplicată pentru încălcarea articolului 83 alineatul (5) litera e), coroborat cu articolul 58 alineatul (1) literele a) și e) din GDPR.

Potrivit constatărilor, societatea nu a furnizat toate informațiile solicitate de ANSPDCP în exercitarea atribuțiilor sale de investigare.

A doua amendă, în valoare de 16.050 de lei (3.000 de euro), a vizat încălcarea articolului 5 alineatul (1) litera a) și a articolului 6 alineatul (1) din GDPR, referitoare la principiile prelucrării datelor și existența unui temei legal.

Valoarea cumulată a sancțiunilor este de 26.750 de lei.

Numele și numerele de telefon ale unor pacienți au fost divulgate

Una dintre principalele constatări ale investigației a vizat accesarea și divulgarea unor date cu caracter personal aparținând pacienților.

Conform comunicatului ANSPDCP, informațiile vizate au inclus numele, prenumele și numerele de telefon ale unor persoane.

Autoritatea a stabilit că aceste date au fost prelucrate fără un temei legal, cu încălcarea principiului legalității, echității și transparenței.

În domeniul medical, chiar și informațiile aparent obișnuite, precum datele de contact, necesită o gestionare responsabilă, deoarece sunt colectate și utilizate în cadrul unei relații profesionale bazate pe confidențialitate.

Comunicatul nu precizează numărul pacienților afectați și nici circumstanțele complete în care datele au fost divulgate.

Obligația clinicilor medicale de a coopera cu autoritatea de supraveghere

Un alt aspect evidențiat de investigație privește obligația operatorilor de date de a coopera cu ANSPDCP.

În cadrul unui control, clinicile, cabinetele medicale și ceilalți operatori trebuie să pună la dispoziția autorității informațiile și documentele solicitate în mod legal, necesare verificării respectării GDPR.

Nefurnizarea acestora poate constitui o încălcare distinctă a regulamentului, indiferent de abaterea care a determinat inițial declanșarea investigației.

În cazul clinicii dentare, această nerespectare a obligațiilor de cooperare a determinat aplicarea unei sancțiuni separate.

Ce trebuie să știe administratorii clinicilor și cabinetelor medicale despre GDPR

Respectarea Regulamentului General privind Protecția Datelor reprezintă o obligație pentru toate unitățile medicale care colectează și utilizează informații despre pacienți.

Clinicile medicale, cabinetele stomatologice, laboratoarele de analize și centrele de diagnostic trebuie să asigure existența unui temei legal pentru prelucrarea datelor, să stabilească reguli clare de acces și să implementeze măsuri tehnice și organizatorice adecvate.

În practică, conformitatea GDPR presupune inclusiv instruirea personalului, limitarea accesului la informațiile pacienților, protejarea evidențelor electronice și respectarea procedurilor de transmitere a datelor către terți.

În plus, datele referitoare la sănătatea pacienților beneficiază de o protecție suplimentară, fiind încadrate în categoria specială de date prevăzută de articolul 9 din GDPR.

Este important de precizat că nu orice prelucrare de date medicale necesită consimțământul pacientului. În funcție de scop și de cadrul legal aplicabil, pot exista și alte temeiuri legitime de prelucrare, inclusiv pentru furnizarea serviciilor medicale.

Confidențialitatea datelor, esențială pentru încrederea pacienților

Cazul analizat de ANSPDCP readuce în discuție responsabilitatea furnizorilor de servicii medicale de a proteja informațiile persoanelor care le solicită serviciile.

Confidențialitatea datelor nu reprezintă doar o obligație administrativă, ci și o componentă importantă a relației dintre pacient și personalul medical.

Accesarea nejustificată a informațiilor, divulgarea neautorizată sau utilizarea acestora în alte scopuri decât cele permise de lege pot afecta drepturile pacienților și pot atrage sancțiuni semnificative.

În comunicatul privind această investigație, autoritatea a apreciat că gravitatea circumstanțelor constatate justifică aplicarea sancțiunilor, în raport cu criteriile prevăzute de articolul 83 din Regulamentul (UE) 2016/679.

Pentru administratorii de clinici și cabinete medicale, cazul reprezintă un exemplu concret al consecințelor nerespectării obligațiilor de protecție a datelor personale și al importanței implementării unor proceduri GDPR adaptate activității medicale.

Surse

• Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) - Comunicat „Amenzi pentru încălcarea RGPD”, transmis la 28 octombrie 2026.

• Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului privind protecția datelor cu caracter personal.

• ANSPDCP - Ghiduri și materiale informative privind aplicarea Regulamentului General privind Protecția Datelor.