GDPR site web: checklistul pentru date, cookie-uri, formulare și politica de confidențialitate

Pe scurt

GDPR se aplică oricărui site care colectează date personale, adică aproape oricărui site: formulare, cookie-uri de analiză, pixeli de reclame, newsletter, jurnalele serverului. Ai nevoie de o politică de confidențialitate care descrie aceste date, de acordul vizitatorului înainte de tag-urile neesențiale, de contracte cu furnizorii și de HTTPS. Checklistul de mai jos le ia în ordinea configurării.

Ce cere GDPR de la un site web

GDPR cere ca datele personale strânse prin site să aibă un scop clar și un temei legal, să fie doar cele necesare, păstrate cât e nevoie și protejate, iar omul să știe ce se întâmplă cu ele. Date personale sunt orice informații despre o persoană care poate fi identificată: nume, e-mail, telefon, dar și adresa IP sau un identificator salvat într-un cookie.

Magnet Media pornește de la ideea că oricine deține un website are obligația legală să aplice GDPR. Mai precis, obligațiile apar când site-ul prelucrează date personale, ceea ce face aproape orice site.

Pe un site se aplică, în paralel, două seturi de reguli:

• GDPR, regulamentul european de protecție a datelor, acoperă orice dată personală: formular, newsletter, cont de client.
• Regulile pentru cookie-uri vin din directiva europeană e-Privacy, transpusă în legislația română. Ele cer acordul vizitatorului înainte să salvezi sau să citești informații pe dispozitivul lui, chiar dacă nu sunt date personale, cu excepția celor strict necesare pentru funcționarea site-ului. Acordul se dă după standardul de consimțământ din GDPR.

Răspunderea este a firmei care deține site-ul, numită în GDPR operator, nu a hostingului sau a celui care a construit site-ul. gdprcomplet.ro împarte conformarea unui website în cinci pași, începând cu securizarea site-ului, conformarea formularelor și obținerea consimțământului. Ordinea de mai jos pornește mai devreme, de la inventarul datelor: nu poți descrie, securiza sau cere acord pentru ceva ce nu știi că există în site.

Pasul 1: ce date personale colectează site-ul tău

Primul pas este lista tuturor locurilor prin care site-ul strânge sau transmite date personale. Multe nu vin din formulare, ci din scripturi și servicii externe pe care nu le vezi în pagină.

• Ai notat câmpurile fiecărui formular și unde ajunge fiecare trimitere.
• Ai lista scripturilor externe și a tag-urilor active în Google Tag Manager, dacă îl folosești.
• Ai identificat conținutul încorporat: video-uri, hărți, postări sociale, fonturi externe.
• Ai notat scopul fiecărei surse: răspuns la cerere, măsurare, reclame, securitate.
• Ai scos ce nu mai folosești: tag-uri din campanii vechi, scripturi uitate.

De ce contează: politica descrie lista, bannerul controlează ce e pe ea, iar contractele se fac cu furnizorii de pe ea. Fiecare script scos înseamnă un rând mai puțin în politică și o pagină mai ușoară; inventarul scripturilor externe e și un pas din optimizarea vitezei unui site.

Pasul 2: bannerul de cookie-uri și consimțământul

Bannerul de cookie-uri este obligatoriu când site-ul folosește cookie-uri sau scripturi care nu sunt strict necesare, cum sunt cele de analiză, de reclame sau conținutul încorporat care plasează cookie-uri. Acestea pornesc doar după ce vizitatorul acceptă, nu odată cu pagina.

Fără acord funcționează doar ce e strict necesar, ca sesiunea, coșul sau cookie-ul care ține minte alegerea din banner. Pentru rest:

• Acceptul e o acțiune clară, un click pe „Accept”. Derularea paginii sau închiderea bannerului nu înseamnă acord.
• Refuzul e la fel de ușor. GDPR cere ca retragerea consimțământului să fie la fel de simplă ca acordarea lui; în practică, „Refuz” stă pe același ecran, la fel de vizibil.
• Nimic bifat dinainte. GDPR spune explicit că tăcerea și căsuțele bifate dinainte nu înseamnă consimțământ.
• Alegerea se poate schimba oricând, dintr-un link „Setări cookie-uri” din subsol, iar dovada acordului se păstrează.

Un banner corect nu ajută dacă tag-urile se încarcă oricum din codul paginii. Când toate trec prin Google Tag Manager, le condiționezi de consimțământ dintr-un singur loc. Documentația Google descrie modul de consimțământ (Consent Mode), prin care alegerea vizitatorului ajunge la tag-urile Google: în varianta de bază, ele nu se încarcă până la acord; în cea avansată, se încarcă de la început și trimit semnale fără cookie-uri. Ce variantă alegi decizi cu juristul.

Trimiterile de pe server, cum e Conversions API de la Meta, pleacă din codul site-ului, nu din browser, deci bannerul nu le oprește automat; codul trebuie să verifice alegerea vizitatorului. Un landing page pentru campanii adună de obicei cele mai multe tag-uri, deci acolo verifici întâi.

Un scenariu frecvent: Google Analytics și pixelul de reclame pornesc corect doar după „Accept”. Pe pagina de contact e însă o hartă Google Maps încorporată, pe alta un video de pe YouTube, iar fonturile vin de pe serverele Google. Cine refuză își trimite oricum adresa IP către trei servicii externe. Rezolvarea e tehnică: harta și video-ul se încarcă după un click, iar fonturile se găzduiesc pe serverul site-ului.

Decizia pentru o firmă mică. Un site fără analytics, reclame sau conținut încorporat de la terți nu are nevoie de banner, doar de politica de confidențialitate. Dacă nu rulezi reclame, nu instala pixeli „pentru mai târziu”: fiecare tag e o categorie în banner și un rând în politică.

• „Accept” și „Refuz” sunt pe primul ecran, la fel de vizibile, fără categorii bifate dinainte.
• Tag-urile de analiză și de reclame, inclusiv cele trimise de pe server, pornesc doar după acord.
• Hărțile și video-urile încorporate se încarcă după acord sau după un click.
• „Setări cookie-uri” redeschide bannerul, iar retragerea acordului oprește tag-urile.
• Politica de cookie-uri le listează pe categorii, cu furnizorul, scopul și durata.

De ce contează: bannerul îl poate verifica oricine din browser, iar un „Refuz” care nu oprește nimic lasă datele să plece exact ca înainte.

Pasul 3: formularele, câmpurile și ce îi spui omului

Un formular conform GDPR cere doar datele de care ai nevoie ca să răspunzi, spune lângă butonul de trimitere ce faci cu ele și duce la politica de confidențialitate. Pentru o cerere de ofertă nu ai nevoie, de regulă, de o bifă de consimțământ: temeiul e chiar cererea omului.

GDPR îți cere un temei legal pentru fiecare scop. Pe un site de firmă, cele mai frecvente sunt:

• Cererea omului sau contractul: răspunsul la o cerere de ofertă, o programare, o comandă.
• Consimțământul: newsletter, reclame personalizate, cookie-uri neesențiale. Se cere separat și se poate retrage oricând.
• Obligația legală: de exemplu, păstrarea facturilor.
• Interesul legitim: de exemplu, protecția anti-spam, dacă nu trece peste drepturile vizitatorului.

Temeiul potrivit pentru fiecare scop îl stabilește juristul, pornind de la inventar. Lângă buton pui o frază ca „Folosim datele doar ca să îți răspundem. Detalii în politica de confidențialitate.”, cu link.

Să zicem că o clinică din București are un formular de programare care cere CNP-ul și un câmp liber „Descrieți problema”, unde pacienții scriu diagnostice, iar cererile ajung pe e-mail la toată recepția. Datele despre sănătate sunt o categorie specială în GDPR, cu reguli mai stricte. Pentru o programare ajung numele, telefonul și intervalul preferat; detaliile medicale se discută la consultație.

Pe o pagină de campanie, fiecare câmp în plus scade și șansa ca formularul să fie trimis; cum arată formularul unui landing page bun e explicat separat.

• Fiecare câmp are un motiv; nu ceri CNP sau date de sănătate printr-un formular obișnuit.
• Lângă buton există fraza despre scopul datelor și linkul spre politică.
• Newsletterul are bifă separată, nebifată, care nu condiționează trimiterea cererii.
• Ai stabilit cât timp păstrezi cererile care nu devin clienți.
• Cererile ajung doar la cine le procesează.

De ce contează: formularul e locul în care omul îți dă date de bunăvoie, deci primul loc în care se vede dacă le ceri cu măsură.

Pasul 4: furnizorii care primesc date și transferurile în afara UE

Fiecare serviciu extern care primește date din site, de la hosting la CRM, le prelucrează în numele tău și are nevoie de un contract de prelucrare a datelor cu firma ta. Dacă le stochează sau le accesează în afara Spațiului Economic European (UE plus Norvegia, Islanda și Liechtenstein), transferul trebuie să aibă o bază recunoscută.

Furnizorii mari au de obicei acordul de prelucrare a datelor (DPA) inclus în termeni sau disponibil de acceptat din contul de administrare; îl salvezi și notezi unde e. La furnizorii mici și la colaboratorul care face mentenanța și are acces la baza de date, contractul se face explicit.

Comisia Europeană explică pe site-ul ei regulile pentru datele personale în interiorul și în afara UE. Pe scurt, un transfer în afara SEE e permis când Comisia a recunoscut țara ca având o protecție adecvată sau când furnizorul folosește garanții aprobate, cum sunt clauzele contractuale standard. Documentația fiecărui furnizor spune ce mecanism folosește; unde poți alege regiunea de stocare, alege una din UE.

• Ai lista furnizorilor: hosting, CDN, e-mail, CRM, newsletter, analytics, chat, programări, backup.
• Pentru fiecare ai acordul de prelucrare a datelor, salvat.
• Știi unde stochează fiecare datele și, în afara SEE, pe ce bază le transferă.
• Conturile furnizorilor sunt pe firma ta, nu pe adresa personală a unui angajat sau colaborator.

De ce contează: pentru vizitator, firma ta răspunde de date, indiferent pe ce server ajung.

Pasul 5: politica de confidențialitate a site-ului

Politica de confidențialitate explică, pe înțeles, cine colectează datele, ce date, de ce, pe ce temei, cât timp le păstrezi, cui le transmiți și ce drepturi are omul. O scrii după inventarul de la pasul 1, nu după un model descărcat, și o verifici cu un jurist sau cu un specialist în protecția datelor (DPO).

Politica GDPR a site-ului și nota de informare GDPR, pentru care se caută des modele, sunt același lucru: informarea pe care o datorezi omului când îi colectezi datele. Ce cuprinde:

• Cine ești: firma, datele de identificare, un contact pentru protecția datelor.
• Ce date colectezi, pe surse, și de ce, cu temeiul fiecărui scop.
• Cât timp le păstrezi sau după ce criteriu stabilești durata.
• Cui le transmiți și dacă ajung în afara SEE, cu garanția folosită.
• Drepturile persoanei: acces, rectificare, ștergere, restricționare, portabilitate, opoziție, retragerea consimțământului, plus dreptul de a face plângere la ANSPDCP.
• Dacă datele sunt obligatorii și ce se întâmplă fără ele, de exemplu nu poți răspunde la cerere.

GDPR cere ca informarea să fie concisă, ușor de găsit și clară, deci un text lung copiat din regulament nu ajută doar pentru că pare complet. Politica stă pe o pagină proprie, legată din subsol și de lângă formulare. La un magazin online e doar una dintre paginile legale; restul sunt în ghidul despre actele necesare unui magazin online.

• Politica descrie fiecare sursă din inventar și nimic din ce nu există în site.
• Fiecare scop are temeiul și durata de păstrare.
• Linkul spre politică e în subsol și lângă fiecare formular.
• Textul a fost verificat de un jurist sau de un DPO.
• Știi cine actualizează politica când se adaugă un instrument nou.

De ce contează: politica e comparată cu ce face efectiv site-ul, iar un tag care lipsește din ea se vede imediat.

Pasul 6: securitatea datelor, de la HTTPS la copiile de siguranță

GDPR cere măsuri tehnice potrivite pentru protecția datelor, iar criptarea e dată ca exemplu chiar în regulament. Pentru un site, minimul este HTTPS pe toate paginile, acces protejat la administrare și copii de siguranță. Cum funcționează criptarea găsești în ghidul despre certificatul SSL.

La un proiect de creare site web la Magnitude Web, certificatul SSL e inclus și configurat la lansare, formularele au protecție anti-spam și trimit cererile pe e-mail sau în CRM-ul pe care îl folosești deja, iar la final primești acces complet la cod, domeniu și hosting.

• Site-ul se deschide doar pe HTTPS, iar adresele HTTP redirecționează automat.
• Administrarea, hostingul, domeniul și e-mailul au conturi individuale, parole unice și autentificare în doi pași; conturile foștilor colaboratori sunt închise.
• Platforma și dependențele sunt actualizate, iar copiile de siguranță au fost testate prin restaurare.
• Ai un plan pentru o breșă de securitate: cine află, cine decide, cine anunță.

De ce contează: o parolă refolosită sau contul uitat al unui fost colaborator deschide accesul la toate cererile primite prin site.

Pasul 7: cererile persoanelor și ANSPDCP

Oricine ți-a lăsat date prin site poate cere să le vadă, să le corecteze, să le șteargă sau să se opună folosirii lor, iar tu răspunzi fără întârziere, în termenul prevăzut de GDPR. Dacă nu primește răspuns, poate face plângere la ANSPDCP.

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) își descrie activitatea, pe dataprotection.ro, ca supraveghere a respectării regulilor de prelucrare a datelor personale în mediul public și privat; acolo găsești informațiile oficiale despre plângeri și breșe de securitate. Dacă datele din site ajung la cine nu trebuie, GDPR îți poate cere să anunți ANSPDCP într-un termen scurt și, când riscul e mare, chiar persoanele afectate; condițiile le verifici cu juristul.

Un scenariu frecvent: un fost client cere ștergerea datelor, iar firma îl șterge din CRM. Adresa lui rămâne însă în platforma de newsletter, în căsuța de e-mail și într-un export făcut pentru o campanie. Cu inventarul de la pasul 1 știi unde să cauți. Ștergerea are și limite: facturile se păstrează cât cere legislația contabilă, iar asta se explică în răspuns.

• Ai o adresă pentru cererile despre date, trecută în politică, și un responsabil.
• Ai lista locurilor în care se caută datele unei persoane.
• Păstrezi o evidență a cererilor și a răspunsurilor.

De ce contează: o cerere ignorată e cel mai simplu motiv de plângere, pentru că omul vede singur că nu i-ai răspuns.

Cum verifici dacă un site respectă GDPR

Partea tehnică o verifici din browser, ca un vizitator: într-o fereastră privată refuzi cookie-urile și te uiți ce se încarcă totuși. Testul nu înlocuiește verificarea juridică a politicii.

1. Deschide site-ul într-o fereastră privată și apasă „Refuz”.
2. În instrumentele pentru dezvoltatori ale browserului (tasta F12), verifică dacă au apărut cookie-uri de analiză sau de reclame și, în secțiunea Network, cereri către astfel de servicii.
3. Trimite un formular de test: fraza de informare, linkul spre politică, bifa de newsletter nebifată.
4. Acceptă din „Setări cookie-uri”, apoi retrage acordul și verifică dacă tag-urile se opresc.
5. Compară politica cu ce ai văzut: fiecare serviciu întâlnit trebuie să apară acolo.

Reiei verificarea la fiecare instrument nou, la fiecare campanie care aduce un tag și la orice schimbare de furnizor.

Greșeli frecvente la GDPR pe site

Greșelile de mai jos nu țin de textul juridic, ci de diferența dintre ce scrie în politică și ce face site-ul.

1. Politica copiată de pe alt site sau dintr-un model vechi, care descrie alte instrumente decât ale tale. Unele modele citează încă Legea 677/2001, abrogată în 2018, după intrarea în aplicare a GDPR.
2. Bannerul fără „Refuz” pe primul ecran sau cu toate categoriile bifate dinainte.
3. Tag-uri puse direct în codul paginii, pe lângă Google Tag Manager, pe care bannerul nu le controlează.
4. Bifa obligatorie „Sunt de acord cu GDPR” pe formularul de contact, folosită apoi și pentru newsletter.
5. Conținutul încorporat uitat: hărți, video-uri și fonturi externe care transmit date înainte de orice alegere.
6. Datele păstrate la nesfârșit: cereri vechi în inbox, exporturi uitate pe laptopuri.

Întrebări frecvente

Este obligatoriu bannerul de cookie-uri pe un site?

Da, dacă site-ul folosește cookie-uri sau scripturi care nu sunt strict necesare: analytics, pixeli de reclame, conținut încorporat care plasează cookie-uri. Un site care folosește doar cookie-uri strict necesare, cum sunt sesiunea sau coșul, nu are nevoie de banner, dar are nevoie de politica de confidențialitate.

Este ilegal un site fără politică de confidențialitate?

Dacă site-ul colectează date personale, iar aproape orice site o face prin formulare, cookie-uri sau jurnalele serverului, GDPR te obligă să informezi oamenii ce faci cu ele. Pe un site, informarea înseamnă în practică politica de confidențialitate, deci lipsa ei înseamnă lipsa informării.

Am nevoie de un DPO pentru site-ul firmei?

De cele mai multe ori, nu. Un responsabil cu protecția datelor e obligatoriu în anumite situații, de exemplu la autoritățile publice sau la firmele a căror activitate principală presupune monitorizarea pe scară largă a oamenilor ori prelucrarea pe scară largă a datelor sensibile, cum sunt cele despre sănătate. Pentru verificarea politicii poți lucra însă cu un jurist sau cu un DPO extern.

Google Analytics este conform GDPR?

Depinde de configurare. Cookie-urile de analiză au nevoie de acordul vizitatorului, deci Google Analytics pornește după acceptare sau prin Consent Mode, în varianta aleasă cu juristul. În plus, accepți din cont termenii de prelucrare a datelor, setezi perioada de păstrare și menționezi furnizorul și transferul în politică.