Orice site care strânge date personale, chiar și printr-un simplu formular de contact, trebuie să le spună oamenilor cine le primește datele și ce face cu ele. Lista exactă a informațiilor e la art. 13 din GDPR. O luăm mai jos punct cu punct, ca să-ți poți verifica politica de confidențialitate a site-ului.
Pe scurt
- Informarea se dă în momentul în care colectezi datele (art. 13 alin. (1) GDPR).
- Trebuie să fie concisă, transparentă, inteligibilă și ușor accesibilă, într-un limbaj clar și simplu (art. 12 alin. (1)).
- Art. 13 cere 12 informații: 6 de bază (alin. (1)) și 6 suplimentare (alin. (2)).
- Nu e nevoie să repeți ce știe deja persoana (art. 13 alin. (4)).
Când se aplică
Art. 13 se aplică atunci când datele sunt colectate direct de la persoana vizată: un formular de contact, o comandă, o abonare, un cont de client. Informarea se face în momentul obținerii datelor (art. 13 alin. (1)). Practic, lângă fiecare formular pui un text scurt, cu link spre politica completă.
Cine dă informarea? Operatorul, adică cel care stabilește scopurile și mijloacele prelucrării (art. 4 pct. 7). Dacă site-ul e al firmei tale, operatorul e firma ta, nu agenția care l-a construit.
Informațiile de bază (art. 13 alin. (1))
- identitatea și datele de contact ale operatorului și, după caz, ale reprezentantului său;
- datele de contact ale DPO-ului, dacă ai unul;
- scopurile prelucrării și temeiul juridic al fiecăruia;
- interesele legitime urmărite, atunci când temeiul este interesul legitim (art. 6 alin. (1) lit. f));
- destinatarii sau categoriile de destinatari ai datelor, de exemplu firma de găzduire sau platforma de newsletter;
- transferurile către țări terțe sau organizații internaționale, dacă există, cu garanțiile aplicabile.
Informațiile suplimentare (art. 13 alin. (2))
- cât timp păstrezi datele sau, dacă nu se poate stabili, criteriile după care stabilești durata;
- drepturile persoanei: acces, rectificare, ștergere, restricționarea prelucrării, opoziție și portabilitatea datelor;
- dreptul de a retrage oricând consimțământul, acolo unde prelucrarea se bazează pe consimțământ;
- dreptul de a depune plângere la autoritatea de supraveghere, adică la ANSPDCP;
- dacă furnizarea datelor e o obligație legală sau contractuală ori o condiție pentru încheierea unui contract, dacă persoana e obligată să le dea și ce se întâmplă dacă nu le dă;
- existența deciziilor automatizate, inclusiv a creării de profiluri, cu informații despre logica folosită și despre consecințele pentru persoană.
Temeiul pentru formularul de contact
Un punct care merită verificat: temeiul juridic al formularului. Când cineva îți cere o ofertă, prelucrarea e necesară pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract (art. 6 alin. (1) lit. b)). Pentru acest scop nu ai nevoie de consimțământ, deci nici de o bifă obligatorie de consimțământ.
Consimțământul își are locul la scopurile care nu sunt necesare cererii. Acolo, căsuțele bifate dinainte, tăcerea sau lipsa unei acțiuni nu constituie consimțământ, iar retragerea lui trebuie să fie la fel de simplă ca acordarea (Întrebări frecvente ANSPDCP, întrebarea 16, cu trimitere la art. 7 alin. (3) și la considerentul 32).
Forma contează
Art. 12 alin. (1) cere ca informarea să fie concisă, transparentă, inteligibilă și ușor accesibilă, într-un limbaj clar și simplu. Un text lung, copiat de pe alt site, cu alt operator, alte scopuri și alți furnizori, nu îndeplinește art. 13: informațiile trebuie să descrie prelucrările tale.
Politica se actualizează când se schimbă ceva: un furnizor nou, un formular nou, un scop nou. Dacă vrei să folosești datele deja colectate într-un alt scop, informezi persoanele înainte de această prelucrare (art. 13 alin. (3)).
Cookie-urile au regulile lor, în Legea 506/2004. Stocarea de informații în dispozitivul vizitatorului cere acordul acestuia și informarea lui prealabilă (art. 4 alin. (5)), cu excepțiile de la art. 4 alin. (6).
Verificare rapidă
- Operatorul e numit corect, cu date de contact complete?
- Fiecare formular are scopul și temeiul lui?
- Sunt trecuți destinatarii, adică furnizorii care primesc datele?
- E scris cât timp păstrezi datele?
- Sunt enumerate drepturile și dreptul de plângere la ANSPDCP?
- Lângă fiecare formular există un text scurt și un link spre politică?
Scopurile, destinatarii și termenele de păstrare se regăsesc și în registrul activităților de prelucrare (art. 30 alin. (1)), deci un registru la zi face politica mai ușor de scris. Dacă ai un DPO, datele lui de contact intră și ele în politică; vezi când este obligatoriu un DPO.
Vrei să-ți verificăm politica de confidențialitate?
Ne trimiți adresa site-ului. Verificăm politica, formularele și cookie-urile și îți spunem ce lipsește.
Surse
- Regulamentul (UE) 2016/679 (GDPR), text consolidat în limba română: art. 4 pct. 7, art. 6 alin. (1), art. 12 alin. (1), art. 13 și art. 30 alin. (1).
- ANSPDCP, Întrebări frecvente: întrebarea 16.
- Legea nr. 506/2004, forma consolidată: art. 4 alin. (5) și (6).
Articolul prezintă textul legii și explicațiile oficiale ale ANSPDCP, la 10 noiembrie 2026. Nu înlocuiește analiza situației concrete a firmei tale.