GDPR pe site-ul firmei: ce trebuie să ai, explicat practic

Regulamentul general privind protecția datelor (GDPR, Regulamentul UE 2016/679) se aplică oricărei firme care prelucrează date personale ale unor persoane din Uniunea Europeană. Pentru site-uri, la GDPR se adaugă regulile privind cookie-urile și comunicațiile electronice, care în România sunt prevăzute de Legea nr. 506/2004. Autoritatea de supraveghere este ANSPDCP.

Ghidul de mai jos este o listă practică pentru un site de prezentare sau un magazin mic. Nu înlocuiește un consultant în protecția datelor, mai ales dacă prelucrezi date sensibile (de exemplu, date medicale).

Ce date personale colectează un site obișnuit

• Formularele: nume, e-mail, telefon, mesajul trimis.
• Statisticile de trafic: adrese IP, identificatori de cookie, comportamentul pe site.
• Pixelii de reclamă: Meta, Google Ads, TikTok și alții, care leagă vizita de un profil publicitar.
• Elementele încorporate: hărți, videoclipuri, widgeturi de chat, care pot seta propriile cookie-uri.
• Conturile și comenzile, la magazine și aplicații: adrese de livrare, istoric de comenzi.
• Jurnalele serverului: adrese IP și ore de acces, păstrate pentru securitate.

Primul pas este să faci lista: ce date, prin ce element al site-ului, cu ce scop, la ce furnizor ajung. Fără această listă, nu poți scrie o politică de confidențialitate corectă.

Politica de confidențialitate

Trebuie să fie ușor de găsit (de obicei în subsolul fiecărei pagini și lângă fiecare formular) și scrisă clar. Conține cel puțin:

• cine este operatorul: denumirea firmei, datele de contact;
• ce date colectezi și din ce surse;
• scopul fiecărei prelucrări și temeiul legal (de exemplu, răspunsul la o cerere de ofertă, executarea unui contract, obligații legale, consimțământ pentru marketing);
• cui transmiți datele: găzduire, e-mail, curieri, contabilitate, furnizori de analiză;
• dacă datele ajung în afara Spațiului Economic European și pe ce bază;
• cât timp păstrezi datele;
• drepturile persoanei (acces, rectificare, ștergere, opoziție, portabilitate, plângere la ANSPDCP) și cum le exercită.

Un text copiat de pe alt site, care pomenește furnizori pe care nu îi folosești și omite pe cei pe care îi folosești, nu te protejează. Politica trebuie să descrie site-ul tău.

Cookie-urile și bannerul de consimțământ

Cookie-urile strict necesare funcționării (coșul de cumpărături, sesiunea de autentificare, memorarea alegerii privind cookie-urile) nu cer consimțământ. Celelalte, de analiză și de marketing, cer consimțământ înainte de a fi setate. Asta înseamnă:

• scripturile de analiză și pixelii de reclamă nu se încarcă până când vizitatorul nu acceptă;
• butonul de refuz este la fel de vizibil și ușor de folosit ca cel de acceptare;
• nu există căsuțe bifate în prealabil;
• vizitatorul poate alege pe categorii (analiză, marketing) și își poate schimba oricând alegerea, de exemplu dintr-un link în subsol;
• alegerea se memorează, ca să nu apară bannerul la fiecare pagină.

Greșeala cea mai frecventă este un banner „decorativ”: apare frumos, dar scripturile de reclamă rulează deja în spate. Verifică simplu: deschide site-ul într-o fereastră privată, nu apăsa nimic și uită-te în instrumentele pentru dezvoltatori ale browserului, la cookie-uri și cereri de rețea. Dacă vezi cereri către platforme de reclamă înainte de acord, bannerul nu funcționează. Pe site-ul nostru folosim Google Consent Mode v2, cu scripturile de marketing încărcate doar după acord; aceeași abordare o implementăm pe site-urile clienților.

Politica de cookie-uri, separată sau ca secțiune în politica de confidențialitate, enumeră cookie-urile folosite, scopul, furnizorul și durata.

Formularele de contact și de ofertă

• Cere doar datele necesare. Pentru o cerere de ofertă îți trebuie, de obicei, numele, o modalitate de contact și mesajul. Data nașterii sau CNP-ul nu.
• Informează la momentul colectării: un rând sub formular, cu link către politica de confidențialitate.
• Nu condiționa răspunsul de abonarea la newsletter. Consimțământul pentru e-mailuri de marketing se cere separat, printr-o căsuță nebifată.
• Nu cere consimțământ unde nu e cazul. Pentru a răspunde la o cerere trimisă de vizitator, temeiul este de regulă demersul făcut la cererea lui înainte de un contract, nu consimțământul. O căsuță obligatorie „sunt de acord cu prelucrarea datelor” e adesea inutilă și uneori greșită.
• Protejează formularul împotriva spamului fără să adaugi trackere inutile.

Furnizorii: găzduire, e-mail, analiză

Fiecare furnizor care prelucrează date în numele tău (găzduirea, serviciul de e-mail, platforma de newsletter, CRM-ul) este „persoană împuternicită” și trebuie să existe un contract de prelucrare a datelor cu el. La furnizorii mari, acesta face parte din termenii serviciului. Verifică și unde sunt stocate datele. Dacă folosești un asistent de chat pe site, la fel: află ce date păstrează și unde.

Păstrarea și securitatea datelor

Stabilește cât timp păstrezi cererile din formular (de exemplu, până la încheierea discuției plus o perioadă rezonabilă) și șterge-le apoi. Site-ul trebuie să folosească HTTPS, parolele de administrare trebuie să fie puternice și unice, iar accesul la datele colectate trebuie limitat la cine are nevoie. Dacă are loc o încălcare a securității datelor, GDPR cere, în anumite condiții, notificarea ANSPDCP în 72 de ore de la constatare.

Lista de verificare

1. Politică de confidențialitate specifică site-ului, legată din subsol și din formulare.
2. Politică de cookie-uri cu lista reală a cookie-urilor.
3. Banner care blochează efectiv scripturile neesențiale până la acord, cu refuz la fel de ușor ca acceptarea.
4. Posibilitatea de a schimba alegerea ulterior.
5. Formulare care cer doar datele necesare, cu informare la colectare.
6. Consimțământ separat, nebifat, pentru marketing.
7. Contracte de prelucrare cu furnizorii.
8. Termen de păstrare stabilit și respectat.
9. HTTPS și acces securizat la administrare.

Pe lângă GDPR, un site de firmă are și alte obligații de informare: datele firmei, informațiile ANPC pentru consumatori, termenii. Le găsești în ghidul despre informațiile legale obligatorii. Pentru magazine online, vezi și secțiunea legală din ghidul pentru magazin online de la zero.

Site-urile pe care le construim la e-Web includ banner de consimțământ funcțional și structura documentelor legale. Scrie-ne dacă vrei să verificăm site-ul tău actual.