Ce este o politică de confidențialitate și de ce nu e opțională
Regulamentul (UE) 2016/679 — cunoscut ca GDPR — impune prin articolele 13 și 14 o obligație clară: orice operator de date trebuie să informeze persoanele vizate despre cum le sunt prelucrate datele, în momentul colectării sau, dacă datele sunt obținute indirect, într-un termen rezonabil. Politica de confidențialitate este instrumentul principal prin care îți îndeplinești această obligație de transparență.
Cine are nevoie de o astfel de politică? Practic orice firmă cu prezență digitală: site de prezentare cu formular de contact, magazin online, aplicație mobilă, newsletter, platformă de recrutare. Dacă colectezi un singur câmp — un nume, o adresă de email — ești operator de date și obligația există.
Riscul real nu e doar amenda de la ANSPDCP, deși aceasta poate ajunge la 20 de milioane de euro sau 4% din cifra de afaceri globală. Riscul mai concret, pentru firmele mici și medii din România, este pierderea credibilității: un client care nu găsește o politică clară pe site-ul tău nu va lăsa date de card, nu va completa un formular de lead, nu va cumpăra.
Politica de confidențialitate și politica de cookies sunt două documente separate. Prima acoperă toate prelucrările de date personale ale firmei. A doua se referă specific la tehnologiile de tracking și stocare pe dispozitivul utilizatorului. Nu le combina într-un singur document — creează confuzie și poate fi sancționabilă.
Ce trebuie să conțină obligatoriu un model corect de politică de confidențialitate GDPR
Un model corect nu înseamnă un document lung și complicat. Înseamnă un document complet. Iată elementele pe care le verific în orice audit GDPR și pe care ANSPDCP le urmărește în controale:
Denumire completă, CUI, adresă sediu, date de contact. Dacă ai numit un DPO (Responsabil cu Protecția Datelor), numele și contactul acestuia sunt obligatorii separat.
Ce date colectezi și de ce. Nu generic — specific. „Date de identificare pentru executarea contractului de vânzare-cumpărare" e corect. „Date pentru scopuri comerciale" nu e suficient.
Consimțământ, executarea unui contract, obligație legală, interes legitim, protecția intereselor vitale sau sarcină de interes public. Fiecare scop are propriul temei — nu există un temei universal.
Cel mai ignorat punct. Nu „atât cât este necesar" — ci termene concrete: „3 ani de la finalizarea contractului", „5 ani conform legislației fiscale în vigoare, verificată pe lex.justice.ro".
Google Analytics, Stripe, Mailchimp, firma de contabilitate, furnizorul de hosting — toți trebuie menționați. Dacă nu știi lista procesatorilor tăi, aceasta e prima problemă de rezolvat.
Dacă folosești platforme cu servere în SUA sau altă țară terță, transferul trebuie menționat împreună cu garanțiile aplicabile: clauze contractuale standard (SCC), decizii de adecvare ale Comisiei Europene.
Nu uita: drepturile persoanelor vizate trebuie enumerate explicit — acces, rectificare, ștergere, opoziție, portabilitate, restricționare. Și, obligatoriu, dreptul de a depune plângere la ANSPDCP, cu datele de contact ale autorității.
Cele mai frecvente greșeli din modelele copiate de pe internet
Am văzut sute de politici de confidențialitate în audituri. Cele mai multe au cel puțin două-trei probleme grave. Iată unde dau greș cel mai des firmele românești:
- Politică generică fără datele reale ale firmei — invalidată automat în caz de control
- Temeiuri juridice lipsă sau greșite — consimțământul invocat pentru prelucrări bazate pe contract
- Durata de retenție formulată vag: „atât cât este necesar" fără niciun termen concret
- Procesatorii de date nelistați — platformele SaaS, hosting-ul, email marketing-ul
- Politică neactualizată după schimbări în stiva tehnologică (ex: schimbare provider hosting, adoptare nouă platformă CRM)
- Traduceri automate din engleză cu terminologie juridică incorectă pentru dreptul român
- Absența referinței la ANSPDCP ca autoritate de supraveghere competentă
- Politica de cookies inclusă în politica de confidențialitate fără separare clară
„Un model de politică descărcat de pe internet e ca un costum de pe raft: poate arăta bine la prima vedere, dar nu se potrivește niciodată perfect. Și exact nepotrivirea aia o vede primul auditor care intră pe site."
Model orientativ: structura minimă pentru o firmă din România
Mai jos găsești structura minimă pe care o recomand firmelor românești ca punct de plecare. Aceasta nu înlocuiește consultanța juridică sau un audit GDPR real, dar îți arată ce secțiuni nu pot lipsi:
| Secțiunea | Ce conține | Obligatorie? |
|---|---|---|
| 1. Cine suntem | Denumire, CUI, adresă, contact DPO dacă există | ✅ Da |
| 2. Ce date colectăm și de ce | Tabel sau listă pe scopuri, cu temeiul juridic aferent | ✅ Da |
| 3. Cu cine împărțim datele | Lista procesatorilor și destinatarilor, inclusiv platforme third-party | ✅ Da |
| 4. Cât timp păstrăm datele | Termene specifice per categorie de date | ✅ Da |
| 5. Drepturile tale | Cum se exercită, termen de răspuns 30 de zile calendaristice, contact | ✅ Da |
| 6. Cookies | Trimitere către politica separată de cookies | ✅ Da |
| 7. Modificări ale politicii | Modalitatea prin care utilizatorii sunt notificați la actualizări | ✅ Da |
Modelul orientativ de mai sus este un cadru de lucru, nu un document finalizat. Fiecare firmă are o realitate proprie: tipuri diferite de date, procesatori diferiți, scopuri specifice. O politică corectă reflectă exact ceea ce face firma ta — nu ceea ce face altă firmă cu un profil similar.
Când un model standard nu mai este suficient
Există situații în care o politică standard, oricât de bine redactată, nu acoperă complexitatea reală a prelucrărilor. Acestea sunt cazurile în care ai nevoie de o abordare personalizată și, de multe ori, de o Evaluare a Impactului asupra Protecției Datelor (DPIA):
Dacă te regăsești în oricare dintre situațiile de mai sus, o politică descărcată de pe internet nu te protejează. Te expune.
Cum verifică ANSPDCP conformarea și ce urmărește în controale
Cel mai frecvent declanșator al investigațiilor ANSPDCP este plângerea unei persoane vizate. Un client care a cerut ștergerea datelor și nu a primit răspuns în 30 de zile, un utilizator care nu găsește politica pe site, un angajat care nu a fost informat corect — toate acestea pot deveni plângeri formale.
În controale, ANSPDCP verifică în mod tipic:
- Prezența politicii pe website: vizibilă, accesibilă direct, în limba română
- Coerența între politica declarată și practica reală de prelucrare
- Existența Registrului Activităților de Prelucrare (art. 30 GDPR) — solicitat în orice control
- Existența contractelor cu procesatorii de date (DPA — Data Processing Agreement)
- Proceduri documentate de răspuns la cererile persoanelor vizate
- Istoricul consimțămintelor colectate, dacă consimțământul e invocat ca temei
Amenzi aplicate în România există deja, inclusiv pentru firme de dimensiuni medii. Sumele nu sunt întotdeauna spectaculoase în cifre absolute, dar impactul reputațional este semnificativ — și deciziile ANSPDCP sunt publice. În 2026, transparența față de autoritate nu mai e negociabilă.
Registrul Activităților de Prelucrare (art. 30 GDPR) este un document intern, nu publicat pe site, dar obligatoriu pentru marea majoritate a firmelor. Dacă nu îl ai, primul control va evidenția această lipsă imediat. Politica de confidențialitate și registrul trebuie să fie coerente între ele.
Pasul următor: de la model la conformare reală
Un model descărcat de pe internet e un punct de plecare, nu o soluție completă. Conformarea GDPR reală înseamnă mai mult decât un document pe site: înseamnă procese interne documentate, un registru al activităților de prelucrare, proceduri clare de răspuns la cererile persoanelor vizate, contracte cu procesatorii și o cultură organizațională care respectă principiile GDPR zi de zi.
Rolul unui audit GDPR este exact acesta: să identifice golurile reale înainte să o facă un control ANSPDCP sau o plângere a unui client. Nu e un exercițiu birocratic — e o hartă clară a riscurilor tale reale și a pașilor concreți de remediere.
Dacă nu știi de unde să începi, o primă discuție gratuită cu un consultant îți poate clarifica în mai puțin de o oră: ce ai deja corect, ce lipsește și care sunt prioritățile reale pentru situația firmei tale. Fără jargon, fără liste interminabile de documente inutile — direct la ce contează.
Articolul are caracter informativ și nu constituie consultanță juridică.
Ai nevoie de ajutor concret?
Golden Audit Consulting® te ajută cu implementare, audit și conformare — fără birocrație inutilă.