De ce site-ul tău este primul loc unde ANSPDCP se uită
Înainte să intre în firma ta, înainte să ceară documente, înainte de orice altceva — inspectorul ANSPDCP deschide site-ul tău. E primul lucru vizibil și verificabil, fără să anunțe nimeni. Și are motive bune să înceapă de acolo: website-ul este punctul în care tu colectezi date de la utilizatori în mod direct — prin formulare, prin cookies, prin newsletter, prin comenzi online.
Amenzile aplicate de ANSPDCP în România pornesc frecvent de la sesizări legate de două lucruri extrem de vizibile: absența politicii de confidențialitate sau un banner de cookies implementat greșit. Nu e nevoie de un incident major de securitate — e suficient că cineva a dat o sesizare pentru că nu a găsit butonul "Refuză" pe site-ul tău.
Dacă te uiți la rapoartele publice ale ANSPDCP din ultimii ani, vei găsi sancțiuni aplicate unor firme românești tocmai pentru că nu aveau consimțământ explicit documentat sau pentru că politica de confidențialitate lipsea complet. Sumele nu sunt întotdeauna astronomice la prima abatere, dar avertismentele formale sunt publice și pot afecta reputația firmei.
ANSPDCP poate demara o investigație din oficiu sau ca urmare a unei sesizări de la orice persoană fizică. Nu ai nevoie de un concurent cu rea credință — e suficient un utilizator nemulțumit care nu a găsit cum să refuze cookies.
Realitatea în 2026 este că nu mai poți trata conformitatea GDPR ca pe un formular bifat o dată și uitat. Site-ul tău este un organism viu care colectează date în fiecare zi.
Politica de confidențialitate: ce trebuie să conțină obligatoriu
Politica de confidențialitate nu este un document de formă. Este informarea pe care o dai utilizatorilor conform articolului 13 din GDPR — și trebuie să fie completă, corectă și în limba română dacă te adresezi utilizatorilor români. Un template în engleză copiat de pe internet nu este valid.
Nu este suficient doar numele firmei. Trebuie să incluzi adresa completă, CUI-ul, datele de contact — inclusiv o adresă de email la care utilizatorii pot trimite cereri legate de datele lor.
Pentru fiecare tip de prelucrare trebuie să specifici baza legală: consimțământ, contract, obligație legală sau interes legitim. Scris clar, nu generic.
Ce date colectezi, cât timp le păstrezi și de ce. Drepturile persoanei vizate trebuie enumerate explicit: acces, rectificare, ștergere, portabilitate, opoziție.
Dacă folosești Google Analytics, Mailchimp, un CRM extern — datele utilizatorilor tăi ajung acolo. Trebuie să menționezi explicit cine sunt acești destinatari și unde sunt localizați.
Un detaliu pe care îl ignoră mulți: politica trebuie să fie accesibilă dintr-un link vizibil în footer-ul fiecărei pagini. Nu ascunsă undeva în adâncul site-ului.
Bannerul de cookies: cele mai frecvente greșeli în 2026
Bannerul de cookies este, ironic, cel mai vizibil element GDPR de pe site-ul tău — și cel mai adesea implementat greșit. Să clarificăm câteva lucruri esențiale.
Cookies strict necesare (sesiune, coș de cumpărături, autentificare) nu necesită consimțământ — sunt indispensabile funcționării site-ului. Cookies de analiză și marketing (Google Analytics, Facebook Pixel, remarketing) necesită consimțământ explicit ÎNAINTE de a fi activate.
| Practică | Legal? | De ce |
|---|---|---|
| Buton "Acceptă tot" fără "Refuză tot" | ❌ Nu | EDPB cere opțiuni simetrice — dacă e ușor să accepți, trebuie să fie la fel de ușor să refuzi |
| Casete pre-bifate pentru cookies de marketing | ❌ Nu | Consimțământul trebuie să fie o acțiune activă, nu una pasivă (art. 7 GDPR) |
| Banner care dispare automat după câteva secunde | ❌ Nu | Dispariția automată nu echivalează cu consimțământ valid |
| CMP cu Accept / Refuză / Setări granulare | ✅ Da | Utilizatorul alege activ, consimțământul este documentat și retractabil |
| Google Consent Mode v2 integrat cu CMP | ✅ Da | Asigură că tracking-ul se activează doar după consimțământ, nu înainte |
Când vorbești cu tehnicianul tău despre implementarea unui CMP (Consent Management Platform), cere-i să documenteze cum se stochează consimțământul, cum poate fi retras și că niciun cookie de analiză sau marketing nu se activează înainte ca utilizatorul să accepte explicit.
„Un banner de cookies care arată conformitate, dar în spatele lui activează tracking-ul înainte de consimțământ, este mai periculos decât absența bannerului — pentru că creează o aparență falsă de conformitate."
— Rareș Nicorici, Lead Auditor IRCA, Golden Audit Consulting
Formulare de contact, newsletter și comenzi online: puncte calde
Fiecare formular de pe site-ul tău care colectează date personale este un punct de colectare ce trebuie tratat individual. Nu e suficient să ai o politică de confidențialitate undeva — informarea trebuie să fie în proximitatea formularului, vizibilă și clară.
Pentru formularul de contact: adaugă o propoziție clară lângă butonul de trimitere — cine procesează datele, în ce scop și unde pot fi găsite detalii complete. Un link către politica de confidențialitate este minim necesar, dar nu suficient fără o informare sumară în proximitate.
Pentru newsletter: caseta de bifare pentru abonare trebuie să fie nebifată implicit și separată de acceptarea termenilor și condițiilor. Nu poți condiționa utilizarea site-ului de abonarea la newsletter. Și da — trebuie să existe o metodă simplă de dezabonare în fiecare email trimis.
Pentru e-commerce, lucrurile sunt puțin mai nuanțate:
Baza legală este executarea contractului — nu ai nevoie de consimțământ separat pentru a procesa datele necesare livrării și facturării.
Faptul că cineva a cumpărat de la tine nu îți dă automat dreptul să îi trimiți emailuri promoționale. Ai nevoie de consimțământ separat sau de interes legitim documentat corespunzător.
Referitor la retenție: datele unui client care nu a mai cumpărat de 2 ani nu pot fi păstrate la nesfârșit. Trebuie să ai o politică clară — de exemplu, 3 ani de la ultima tranzacție pentru datele fiscale (conform reglementărilor contabile în vigoare), și perioade mai scurte pentru date de marketing.
Google Analytics, Facebook Pixel și alte tool-uri de tracking: ce faci cu ele
Acesta este un subiect pe care mulți îl tratează superficial — și tocmai de aceea este unul dintre punctele calde în orice verificare GDPR.
Google Analytics 4 transferă date în SUA. Din perspectiva Capitolului V al GDPR, un transfer internațional de date necesită garanții adecvate. Google operează sub cadrul EU-US Data Privacy Framework, ceea ce oferă un nivel de protecție recunoscut — dar trebuie să menționezi acest lucru explicit în politica de confidențialitate și să te asiguri că GA4 se activează doar după consimțământul utilizatorului.
Facebook Pixel colectează date comportamentale detaliate și le trimite către Meta. Categoria este clar "marketing" — nu poate fi activat fără consimțământ explicit. Dacă Pixel-ul se încarcă înainte ca utilizatorul să accepte cookies de marketing, ești în neconformitate.
În politica de confidențialitate trebuie să specifici pentru fiecare tool de tracking: ce date colectează, unde sunt transferate datele, care este baza legală și cum poate utilizatorul să opteze în afara tracking-ului.
Ai nevoie de DPO? Condițiile exacte conform GDPR
Aceasta este probabil întrebarea pe care o primesc cel mai des. Și răspunsul onest este: depinde, dar pentru majoritatea site-urilor de prezentare sau magazinelor online mici — nu.
Articolul 37 din GDPR stabilește trei situații în care DPO (Responsabilul cu Protecția Datelor) este obligatoriu: autorități și organisme publice, operatori care efectuează monitorizarea persoanelor la scară largă ca activitate de bază, și operatori care prelucrează categorii speciale de date la scară largă (date de sănătate, date biometrice etc.).
Monitorizare la scară largă nu înseamnă că ai mulți vizitatori pe site. Înseamnă că activitatea ta principală implică urmărirea sistematică a comportamentului persoanelor — de exemplu, o platformă de publicitate comportamentală sau un sistem de supraveghere video pe domeniu public.
Dacă ai un site de prezentare, un blog sau un magazin online de dimensiuni medii — nu ești obligat să numești un DPO. Dar dacă decizi să nu numești unul, documentează această decizie. Cel mai simplu mod este să incluzi în registrul de evidență a prelucrărilor o secțiune care explică de ce nu se aplică obligativitatea DPO în cazul tău.
Poți numi voluntar un DPO — și pentru firmele care vor să demonstreze maturitate în gestionarea datelor, este o decizie bună.
Checklist practic: 10 lucruri de verificat pe site-ul tău azi
Ia această listă și bifează sincer ce ai și ce îți lipsește. Nu e un exercițiu teoretic — e primul pas real spre conformitate.
- Politica de confidențialitate există, este actualizată pentru 2026 și este accesibilă printr-un link vizibil în footer-ul fiecărei pagini
- Bannerul de cookies are trei opțiuni funcționale: Acceptă tot / Refuză tot / Setări — fără pre-bifări, fără dispariție automată
- Fiecare formular care colectează date are o informare GDPR în proximitate, nu doar un link ascuns
- Abonarea la newsletter este pe o casetă separată, nebifată implicit, cu metodă simplă de dezabonare în fiecare email
- Google Analytics, Facebook Pixel și orice alt tool de tracking se activează exclusiv după consimțământul explicit al utilizatorului
- Registrul de evidență a prelucrărilor este completat — obligatoriu pentru firme cu peste 250 de angajați, recomandat pentru orice firmă
- Datele de contact ale operatorului sunt complete și corecte în politica de confidențialitate (adresă, email, CUI)
- Durata de retenție este specificată pentru fiecare categorie de date prelucrate
- Există o procedură internă documentată pentru răspunsul la cererile persoanelor vizate — termenul legal este 30 de zile conform art. 12 GDPR
- Contractele de prelucrare a datelor (DPA) sunt semnate cu toți sub-procesatorii: hosting, email marketing, CRM, orice altă platformă care procesează date în numele tău
Dacă din cele 10 puncte de mai sus ai bifat mai puțin de 7, site-ul tău are lacune de conformitate care pot fi identificate în orice verificare. Nu amâna — cu cât mai devreme rezolvi, cu atât mai puțin risc acumulezi.
Următorul pas: cum verifici dacă ești cu adevărat conform
Un audit GDPR al website-ului nu înseamnă doar să bifezi o listă. Înseamnă să înțelegi concret ce date colectezi, de ce le colectezi, unde ajung și cât timp le ții. Înseamnă să ai documentația care demonstrează că ai luat decizii conștiente — nu că ai copiat un template de undeva.
Prima discuție cu un specialist îți poate clarifica în 30 de minute care sunt riscurile reale pentru site-ul tău specific. Nu generic, nu teoretic — concret, pe tipul tău de activitate și pe tool-urile pe care le folosești deja.
Articolul are caracter informativ și nu constituie consultanță juridică.
Ai nevoie de ajutor concret?
Golden Audit Consulting® te ajută cu implementare, audit și conformare — fără birocrație inutilă.