GDPR pentru site-uri: obligațiile legale

Un site care colectează date personale trebuie să aibă o politică de confidențialitate clară, o politică de cookie-uri, un mecanism real de consimțământ pentru cookie-urile neesențiale, un temei legal pentru fiecare prelucrare, măsuri tehnice de securitate și o modalitate simplă prin care vizitatorii își pot exercita drepturile. În România, autoritatea de supraveghere este ANSPDCP.

Textul de mai jos este o orientare practică pentru administratorii de site-uri, nu consultanță juridică. Pentru situații complexe, cum sunt prelucrările la scară mare sau datele din categorii speciale, discuția cu un avocat specializat rămâne necesară. Scopul aici este să știi ce trebuie verificat pe un site obișnuit de prezentare sau pe un magazin online mic.

Ce înseamnă date personale pe un site obișnuit

Mulți administratori cred că nu prelucrează date personale pentru că nu cer buletinul nimănui. În realitate, aproape orice site colectează astfel de date. Intră în categorie numele și adresa de e-mail dintr-un formular de contact, numărul de telefon, adresa de livrare, dar și adresa IP, identificatorii din cookie-uri și datele de comportament colectate de instrumentele de analiză.

Consecința este directă: dacă ai un formular de contact, un newsletter sau un instrument de analiză instalat, ai obligații GDPR. Nu contează dacă firma are trei angajați sau trei sute.

Documentele obligatorii pe site

• Politica de confidențialitate, care explică ce date colectezi, în ce scop, pe ce temei legal, cât timp le păstrezi și cui le transmiți.
• Politica de cookie-uri, cu lista categoriilor folosite și a instrumentelor terțe implicate.
• Termenii și condițiile, obligatorii în special pentru magazinele online, împreună cu informațiile privind retragerea din contract.
• Datele complete de identificare a operatorului: denumire, CUI, număr de înregistrare la Registrul Comerțului, adresă și date de contact.
• Un punct de contact pentru cererile privind datele personale, de obicei o adresă de e-mail dedicată.

Aceste documente trebuie să fie accesibile din orice pagină, de regulă din subsol, și scrise într-un limbaj pe care îl înțelege un om obișnuit. Un text copiat de pe alt site, cu numele altei firme rămas în interior, este mai rău decât inexistent: arată neglijență și induce în eroare.

Bannerul de cookie-uri: cum arată unul corect

Aici se concentrează majoritatea problemelor. Consimțământul trebuie să fie liber exprimat, specific, informat și dat printr-o acțiune clară. Practic, asta înseamnă câteva reguli ferme.

• ✓ Niciun cookie neesențial și niciun script de tracking nu se încarcă înainte de acordul explicit al vizitatorului.
• ✓ Butonul de refuz este la fel de vizibil și la fel de accesibil ca butonul de acceptare.
• ✓ Există opțiunea de configurare pe categorii: strict necesare, statistici, marketing, preferințe.
• ✓ Nicio casetă nu este bifată în prealabil, iar continuarea navigării nu echivalează cu acordul.
• ✓ Consimțământul poate fi retras oricând, la fel de simplu cum a fost dat.
• ✓ Alegerea vizitatorului este înregistrată, cu dată și versiune a politicii, pentru a putea fi dovedită.

Greșeala cea mai frecventă

Bannerul afișat decorativ, în timp ce instrumentele de analiză și pixelii de publicitate se încarcă din prima secundă, indiferent ce apasă utilizatorul. Se verifică în câteva secunde, din consola browserului, iar diferența dintre o implementare reală și una cosmetică este vizibilă imediat. Soluția tehnică modernă presupune declanșarea condiționată a etichetelor și transmiterea stării de consimțământ către platformele de publicitate, subiect tratat pe larg în ghidul de configurare GA4 și Google Tag Manager.

Formularele de contact și newsletterul

Fiecare formular trebuie să colecteze strict datele necesare scopului declarat. Dacă trimiți o ofertă prin e-mail, nu ai nevoie de CNP, de adresă completă sau de data nașterii. Principiul minimizării nu este o formalitate, ci prima linie de apărare în cazul unui incident de securitate.

Pentru newsletter, consimțământul se colectează separat de trimiterea formularului de contact, printr-o casetă distinctă, nebifată. Fiecare mesaj comercial trimis ulterior trebuie să conțină o modalitate simplă de dezabonare, funcțională și onorată prompt. Aceste reguli fac parte din practica normală de email marketing și nu îngreunează procesul, dacă sunt implementate de la început.

Securitate, găzduire și furnizori terți

GDPR cere măsuri tehnice și organizatorice adecvate. În traducere practică, pentru un site obișnuit înseamnă certificat SSL activ pe tot site-ul, actualizări la zi pentru platformă și extensii, parole puternice cu autentificare în doi pași pentru conturile de administrare, copii de siguranță testate periodic și limitarea accesului la panoul de administrare doar la persoanele care chiar au nevoie.

Un capitol des ignorat este cel al furnizorilor. Găzduirea, platforma de newsletter, instrumentul de analiză, procesatorul de plăți, serviciul de chat sunt toți persoane împuternicite, iar relația cu ei trebuie reglementată contractual. Verifică și unde sunt stocate datele, mai ales când furnizorul este din afara Uniunii Europene. Partea de întreținere curentă intră firesc într-un contract de mentenanță și securitate site, iar detaliile tehnice le găsești în articolul despre securitatea unui site WordPress.

Drepturile vizitatorilor și cum le răspunzi

Orice persoană îți poate cere accesul la datele proprii, rectificarea lor, ștergerea, restricționarea prelucrării, portabilitatea sau se poate opune prelucrării. Termenul standard de răspuns este de o lună, extensibil în cazuri justificate. În practică, ce contează este să ai un proces: cine primește cererea, cum verifică identitatea solicitantului, unde caută datele și cine semnează răspunsul.

Ține un registru intern simplu al cererilor primite și al răspunsurilor date. Într-o eventuală verificare, capacitatea de a demonstra că ai reacționat corect valorează mai mult decât orice document redactat impecabil, dar niciodată aplicat.

Ce verifici înainte de lansarea unui site nou

Conformitatea este mult mai ieftină când se gândește din faza de proiectare. Când construim un site, cerințele legale intră în lista de livrabile alături de structură și design, ca parte din procesul de web design, nu ca o adăugire de ultim moment. Verificările minime, înainte de a trece site-ul live, sunt: documentele publicate și corecte, bannerul funcțional, formularele minimizate, SSL activ, backup configurat și instrumentele de analiză declanșate condiționat.

Întrebări frecvente despre GDPR pe site

Am nevoie de responsabil cu protecția datelor?

Nu în majoritatea cazurilor. Desemnarea unui responsabil devine obligatorie pentru autorități publice, pentru monitorizarea sistematică la scară largă a persoanelor sau pentru prelucrarea la scară largă a datelor din categorii speciale. Un site de prezentare sau un magazin online mic nu se încadrează, de regulă, în aceste situații.

Un site fără formulare trebuie să afișeze banner de cookie-uri?

Dacă folosește doar cookie-uri strict necesare pentru funcționare, nu are nevoie de consimțământ, dar trebuie să informeze despre ele. În momentul în care instalezi un instrument de analiză sau un pixel de publicitate, situația se schimbă și consimțământul devine obligatoriu.

Pot folosi Google Analytics în continuare?

Da, în condițiile în care implementarea respectă consimțământul, ai încheiat documentele necesare cu furnizorul, ai activat setările de minimizare disponibile și menționezi instrumentul în politica de confidențialitate. Problemele apărute în practică au vizat aproape întotdeauna implementările care ignorau complet consimțământul.

Ce risc dacă nu fac nimic?

Amenzile sunt posibile, dar riscul imediat pentru o firmă mică vine de obicei din altă direcție: o sesizare a unui client nemulțumit, o verificare declanșată de un incident de securitate sau pierderea unui contract cu un partener care își auditează furnizorii. Costul conformării de bază este mult sub costul oricăreia dintre aceste situații.