GDPR și cookie-uri: ce trebuie să aibă site-ul tău

Litera legii e lungă; ce trebuie să faci pe un site obișnuit de firmă încape pe o pagină. Mai jos e ce verificăm noi la fiecare livrare și ce rămâne în seama ta după. Nu e consultanță juridică: pentru situații speciale (date medicale, minori, marketing intens) vorbește cu un avocat.

Ce înseamnă „date personale” pe un site

Orice te ajută să identifici o persoană: nume, e-mail, telefon, adresă IP, dar și ce a făcut pe site, dacă poți lega acțiunile de ea. Un site de prezentare colectează date în trei locuri: formularul de contact, statisticile (Analytics) și, pentru magazine, comanda. Pentru fiecare trebuie să știi ce colectezi, de ce, cât ții și cui dai mai departe.

1. Politica de confidențialitate

Obligatorie, cu link în subsolul fiecărei pagini. Trebuie să spună, pe limba oamenilor: cine ești (firma, adresa, un e-mail pentru cererile legate de date), ce date colectezi și în ce scop, cât le păstrezi, cui le transmiți (curier, procesator de plăți, Google), ce drepturi are persoana (acces, ștergere, opoziție) și că se poate adresa ANSPDCP. Nu copia de pe alt site: dacă politica spune că folosești Mailchimp și tu nu folosești, e la fel de greșită ca lipsa ei.

2. Banner-ul de cookie-uri, dar corect

Aici e cea mai mare confuzie. Nu orice site are nevoie de banner. Cookie-urile strict necesare (sesiune, limbă, coșul de cumpărături, protecția formularelor) nu cer consimțământ; trebuie doar menționate în politică. Consimțământul e obligatoriu pentru cookie-urile de statistică (Google Analytics), de marketing (Meta Pixel, Google Ads) și pentru conținutul încorporat care urmărește vizitatorul (clipuri YouTube, anumite hărți).

Dacă ai nevoie de banner, regulile sunt simple: până apasă „Accept”, nu se încarcă niciun cookie neesențial; „Refuz” e la fel de vizibil ca „Accept”; se poate alege pe categorii; decizia se poate schimba mai târziu dintr-un link din subsol. Banner-ul care spune „continuând navigarea, acceptați” nu mai e valabil din 2019.

La Aisite, site-urile pleacă fără cookie-uri de urmărire. Dacă bifezi Analytics sau Pixel, banner-ul de consimțământ vine odată cu ele, configurat cum trebuie.

3. Formularele

Sub formularul de contact: o propoziție („Folosim datele doar ca să-ți răspundem”) și link la politică. Fără căsuță de bifat obligatorie pentru asta: răspunsul la mesajul trimis e o justificare suficientă. Căsuța devine obligatorie când vrei să folosești e-mailul și pentru altceva, cum ar fi newsletter sau oferte. Atunci trebuie să fie nebifată din start și separată de restul.

4. Termeni și condiții

Pentru un site de prezentare sunt opționali, dar utili (cine e proprietarul conținutului, limitarea răspunderii). Pentru un magazin online sunt obligatorii și trebuie să acopere: identificarea vânzătorului, prețurile și taxele, livrarea, plata, dreptul de retragere în 14 zile cu formularul aferent, garanția, cum se rezolvă reclamațiile și linkul către ANPC. Aici chiar merită un avocat sau măcar un șablon bun, personalizat cu grijă.

5. Ce se întâmplă în spate

Trei lucruri pe care nu le vede nimeni, dar care contează la un control sau la o plângere:

• Contracte cu furnizorii. Găzduirea, curierul, platforma de e-mail și noi, ca dezvoltator, suntem „împuterniciți” și e nevoie de un acord de prelucrare a datelor. La furnizorii mari e în termenii standard; la noi e anexă la contract.
• Cât ții datele. Mesajele din formular: 1–2 ani. Comenzile: 10 ani, pentru că le cere legislația contabilă. Newsletter: până se dezabonează.
• Ce faci la o cerere. Dacă cineva îți scrie „ștergeți-mi datele”, ai o lună să răspunzi. Nu ai nevoie de proceduri stufoase; ai nevoie să știi unde sunt datele și cine le șterge.

Amenzi și realitate

ANSPDCP a amendat în România și firme mici, de obicei după o plângere de la un client sau de la un fost angajat, cu sume de la câteva mii de euro în sus. Motivele cele mai frecvente: camere video fără informare, e-mailuri de marketing fără consimțământ, date expuse public din neglijență. Un site pus la punct nu te scapă de restul, dar e partea vizibilă și prima verificată.

Lista de bifat

1. Politica de confidențialitate scrisă pentru firma ta, cu link în subsol.
2. Politica de cookie-uri, chiar dacă ai doar cookie-uri necesare.
3. Banner de consimțământ doar dacă ai cookie-uri neesențiale, cu „Refuz” la vedere.
4. Formulare cu o propoziție de informare și, unde e cazul, căsuță nebifată pentru marketing.
5. Pentru magazin: termeni și condiții, politică de retur, link ANPC.
6. Un e-mail unde ajung cererile privind datele și o persoană care le răspunde.