Pe 23 august 2026 a intrat în vigoare Legea nr. 195/2024 privind protecția datelor cu caracter personal. Vechea lege 133/2011 a ieșit din uz cu o zi înainte. Diferența nu e cosmetică: noul text este transpunerea GDPR, iar amenzile au crescut de la sume simbolice la până la 1 milion de lei sau 1% din cifra de afaceri pentru încălcări procedurale și până la 2 milioane sau 2% pentru încălcarea principiilor și a drepturilor persoanelor.
Există o singură veste bună: legea prevede o perioadă de tranziție la sancțiuni — în primul an se aplică 10% din sumă, în al doilea 40%, iar de la al treilea an întreaga sumă. Adică acum e momentul să puneți lucrurile la punct, nu peste doi ani.
Mai jos — ce trebuie să aibă concret un site de business din Moldova. Fără teorie juridică, doar lista de verificat.
1. O politică de confidențialitate care chiar spune ceva
Nu un text copiat de pe un site străin. Legea cere să informați persoana despre lucruri precise: cine este operatorul, ce date colectați, pentru ce scop, pe ce temei juridic, cât timp le păstrați, cui le transmiteți și ce drepturi are omul.
Partea utilă: legea permite să informați prin publicare pe site, nu prin notificări individuale. Adică o pagină bine scrisă rezolvă obligația pentru toți vizitatorii deodată.
Verificare rapidă: deschideți politica voastră și căutați denumirea completă a firmei, IDNO-ul, adresa și o adresă de e-mail la care se pot trimite cereri. Dacă nu sunt acolo, politica nu vă acoperă.
2. Numele operatorului, nu „administrația site-ului\"
Formularea „ne rezervăm dreptul\" și „administrația site-ului\" nu înseamnă nimic juridic. Operatorul e o persoană juridică cu nume, IDNO și adresă. Dacă aveți mai multe branduri pe același domeniu, tot o singură firmă răspunde — scrieți care.
Un truc care economisește timp: țineți datele firmei într-un singur loc în cod și trageți-le de acolo în politică, în termeni, în subsolul paginii și în e-mailurile automate. Altfel, la prima schimbare de adresă veți avea patru versiuni diferite pe același site.
3. Bannerul de cookie-uri care chiar blochează, nu doar anunță
Cea mai răspândită greșeală în Moldova: bannerul apare, dar Google Analytics, Meta Pixel sau Yandex Metrica s-au încărcat deja. Asta nu e consimțământ, e decor.
Tehnic, lucrurile trebuie legate invers: implicit totul e refuzat, scripturile de analiză se încarcă doar după apăsarea butonului. Dacă folosiți Google Tag Manager, asta înseamnă consent mode setat pe `denied` înainte de încărcarea containerului și `update` după acceptare.
Verificare rapidă: deschideți site-ul în fereastră privată, refuzați cookie-urile și uitați-vă în tab-ul Network dacă mai pleacă cereri către servicii de analiză. Dacă pleacă, bannerul nu funcționează.
4. Formularele: o bifă separată, nu una singură pentru tot
Dacă formularul de contact colectează nume, telefon și e-mail, asta e prelucrare de date. Iar dacă pe lângă răspunsul la cerere vreți să trimiteți și newsletter, e nevoie de un consimțământ separat — o bifă pentru prelucrarea cererii, alta pentru comunicări de marketing. O bifă unică „sunt de acord cu totul\" nu ține.
Consimțământul trebuie să poată fi dovedit, deci logați momentul: ce text era afișat, când a fost bifat, de la ce adresă. Fără asta, în caz de plângere nu aveți ce arăta.
5. Un canal real pentru cererile oamenilor
Persoana are dreptul să ceară accesul la datele sale, rectificarea, ștergerea sau să se opună prelucrării. Termenul de răspuns e de o lună, iar răspunsul e gratuit.
Practic asta înseamnă trei lucruri: o adresă de e-mail publicată special pentru asta, un șablon de răspuns pregătit din timp și un registru în care notați fiecare cerere și ce ați răspuns. Prima cerere vine întotdeauna într-un moment prost — e mai ieftin să aveți șablonul scris dinainte.
6. Registrul activităților de prelucrare
Documentul intern în care scrieți ce date prelucrați, în ce scop, pe ce temei, cât timp le păstrați și cine are acces. Nu se publică, dar se prezintă la control.
Atenție la o capcană: scutirea pentru firmele sub 250 de angajați nu se aplică dacă prelucrarea nu este ocazională. Un site cu formulare care funcționează zilnic nu e prelucrare ocazională. Practic, majoritatea firmelor cu site au nevoie de registru.
Două confuzii care costă scump
„Datele sunt publice, deci pot face orice cu ele.\" Faptul că o informație e publicată într-un registru de stat nu o scoate de sub lege. Publicarea de către stat și agregarea ei de către voi într-un profil căutabil sunt două prelucrări diferite, cu evaluări diferite ale interesului legitim.
„Nu colectăm IDNP, deci nu sunt date personale.\" IDNP-ul nu e pragul. Date cu caracter personal înseamnă orice informație despre o persoană identificabilă. Numele plus funcția plus compania identifică omul foarte precis, fără niciun număr de identificare.
Ce facem noi
Când construim un site sau un produs, partea asta intră în proiect din start, nu se lipește la final: pagina de politică generată din datele reale ale firmei, bannerul legat corect de containerul de analitică, bifele separate în formulare cu log de consimțământ, șabloanele de răspuns și registrul completat.
Am trecut prin exercițiul ăsta pe propriile produse — inclusiv pe Datero.md, unde publicăm date din registrul de stat și unde întrebarea „ce e permis și pe ce temei\" se pune la fiecare ecran.
Dacă aveți un site și nu sunteți siguri unde stați, scrieți-ne — ne uităm la cele șase puncte de mai sus și vă spunem ce lipsește.
*Textul are scop informativ și nu ține loc de consultanță juridică. Pentru situații specifice, discutați cu un avocat specializat în protecția datelor.*