GDPR, cookie-uri și obligațiile legale ale unui site de firmă în România

Partea legală a unui site de firmă oscilează în practică între două extreme la fel de greșite: site-uri fără nicio pagină legală și nicio informare, și site-uri sufocate de bannere agresive de cookie-uri copiate de pe site-uri corporatiste, pentru colectări de date pe care nici nu le fac. Ghidul acesta pune ordinea de bun-simț: ce e obligatoriu, ce e opțional și ce e teatru inutil. O precizare cinstită înainte de start: suntem un studio web, nu un birou de avocatură — pentru situații complexe sau colectări masive de date, consultă un specialist.

GDPR pe scurt, pentru proprietarul de site

GDPR — regulamentul european de protecție a datelor, aplicabil și în România — se rezumă pentru un site de firmă la o idee simplă: dacă prelucrezi date personale ale vizitatorilor, trebuie să o faci cu temei, să-i informezi și să le respecți drepturile. Date personale înseamnă orice identifică o persoană: nume, email, telefon, adresă IP, comportament urmărit prin cookie-uri.

Prima întrebare pe care să ți-o pui e ce date colectează efectiv site-ul tău. Pentru un site de prezentare tipic, răspunsul e adesea surprinzător de puțin: un formular de contact și, eventual, niște statistici de trafic. Obligațiile tale se dimensionează după acest răspuns — nu după bannerele văzute la alții.

Paginile legale de care ai nevoie

• Politica de confidențialitate — obligatorie practic pentru orice site de firmă: cine ești (datele firmei), ce date colectezi și prin ce (formulare, cookie-uri, jurnale de server), în ce scop, cui le transmiți, cât le păstrezi, ce drepturi au vizitatorii (acces, ștergere, rectificare) și cum te contactează pentru asta. Scrisă pe înțeles, nu copiată dintr-un șablon corporatist cu clauze despre operațiuni pe care nu le faci.
• Termeni și condiții — recomandată: caracterul informativ al conținutului, proprietatea intelectuală, limitarea răspunderii. Pentru magazine online devine obligatorie și mult mai amplă (retururi, livrare, ANPC — alt regim juridic decât prezentarea).
• Datele de identificare ale firmei — obligatorii la vedere: denumirea, CUI/CIF, sediul. Practica curentă: subsolul site-ului plus pagina de contact.

Cookie-urile și banner-ul: când îți trebuie și când nu

Subiectul cu cea mai multă confuzie. Regula reală e simplă:

• Cookie-uri strict necesare funcționării (sesiune, coș, preferințe tehnice) — nu cer consimțământ. Se menționează în politica de confidențialitate, atât.
• Cookie-uri de urmărire și marketing (Google Analytics, pixel Facebook, remarketing) — cer consimțământ înainte de activare. Adică banner real, cu opțiuni reale, în care „Refuz” chiar oprește urmărirea, nu doar închide banner-ul.

Concluzia care surprinde: un site care nu folosește unelte de urmărire nu are nevoie de banner de cookie-uri deloc. Site-ul pe care îl citești acum e exact în situația asta — fără urmărire, fără banner, în deplină regulă. Bannerul apărut „ca să fim acoperiți” pe un site care nu urmărește pe nimeni nu acoperă nimic: doar enervează vizitatorii și scade conversia. Iar reversul: banner-ul decorativ pus peste un site care urmărește oricum, indiferent de alegere, e o încălcare, nu o protecție.

Formularul de contact, corect

Formularul colectează date personale, deci: cere doar ce îți trebuie (nume, contact, mesaj — nu CNP-ul și data nașterii), spune lângă formular ce se întâmplă cu datele, folosește-le doar pentru a răspunde solicitării — nu pentru abonarea automată la newsletter — și transmite-le securizat (site-ul pe HTTPS, obligatoriu oricum). Abonarea la comunicări comerciale cere bifă separată, nebifată din start.

Greșelile frecvente pe site-urile firmelor mici

1. Politica de confidențialitate copiată de la altă firmă, cu tot cu numele acelei firme uitat prin text — am văzut-o de mai multe ori decât am putea crede.
2. Analytics și pixeli instalați „din oficiu” de constructorul site-ului, activi fără consimțământ și nemenționați nicăieri. Verifică ce rulează pe site-ul tău — s-ar putea să nu știi.
3. Lipsa datelor firmei — CUI-ul și denumirea nu sunt opționale și lipsa lor scade și încrederea clienților, nu doar conformitatea.
4. Emailuri comerciale către oricine a completat formularul de contact — solicitarea de ofertă nu e abonare la marketing.
5. Certificat SSL lipsă — dincolo de aspectul legal al securității datelor, „Nesecurizat” în bara browserului alungă clienții singur.

Abordarea sănătoasă: minimalism cu acte în regulă

Filozofia pe care o aplicăm la proiectele noastre: colectează minimum, declară tot ce colectezi, nu instala urmărire fără motiv real. Un site de prezentare poate funcționa excelent — inclusiv cu măsurarea rezultatelor prin Search Console, care nu urmărește vizitatorii individual — fără niciun cookie de tracking. Mai puține date colectate înseamnă mai puține obligații, mai puține riscuri și, deloc întâmplător, un site mai rapid și vizitatori mai puțin iritați. Conformitatea cea mai ieftină e să nu faci lucrurile care o complică.

Checklist de conformitate pentru site-ul de prezentare

Rezumatul practic, de bifat punct cu punct pentru un site de firmă tipic:

1. Datele firmei (denumire, CUI/CIF, sediu) vizibile în subsol și la contact;
2. Politica de confidențialitate adaptată la ce face efectiv site-ul, accesibilă din subsol;
3. Termeni și condiții, măcar în formă scurtă și corectă;
4. HTTPS activ pe tot site-ul, fără pagini rămase pe http;
5. Inventarul cookie-urilor făcut: știi exact ce scripturi rulează pe site și ce colectează fiecare;
6. Dacă există urmărire (Analytics, pixeli): banner de consimțământ real, care blochează scripturile până la acord;
7. Dacă nu există urmărire: fără banner — și verificat că într-adevăr nu există;
8. Formularul cere doar datele necesare și spune ce se întâmplă cu ele;
9. Comunicările comerciale doar cu bifă separată, opt-in, nebifată din start;
10. Un om din firmă știe cine răspunde dacă un client cere ștergerea datelor.

Zece puncte, o după-amiază de lucru pentru un site de prezentare — și dosarul e închis pentru ani, cu revizuire doar când schimbi ceva ce colectează date.

Semnul bun la alegerea furnizorului de site

Subiectul legal e și un test util în alegerea cui îți construiește site-ul: întreabă la ofertă „cum tratați partea de GDPR și cookie-uri?”. Răspunsul profesionist sună a inventar și proporționalitate — ce colectează site-ul, ce declară, ce consimțământ cere. Răspunsurile-semnal de alarmă: „punem un banner și e rezolvat” (teatru fără acoperire), „nu vă trebuie nimic din astea” (necunoaștere) sau tăcerea totală pe subiect. Firma care îți construiește prezența online trebuie să știe regulile terenului pe care construiește — la fel de firesc cum un constructor de case știe autorizațiile.