În acest capitol
02Cele trei familii: tehnice, analitice, de profilare
Ca să înțelegi dacă un site are nevoie de banner trebuie să faci inventarul a ceea ce instalează și să pui fiecare instrument în familia lui. Familiile sunt trei și doar una cere întotdeauna consimțământ.
Cookie-urile tehnice
Sunt cele strict necesare pentru a oferi serviciul cerut de persoană: menținerea autentificării în zona rezervată, păstrarea conținutului coșului, limba aleasă, protejarea unui formular de trimiterile automate, distribuirea traficului între mai multe servere. Fără ele site-ul nu funcționează cum se așteaptă persoana. Nu necesită consimțământ: ajunge să spui că există, în informare.
Cookie-urile analitice
Servesc la numărarea vizitelor și la înțelegerea modului în care e folosit site-ul: ce pagini se citesc, de unde vin oamenii, de pe ce dispozitive. Aici ghidurile Garante Privacy din 2021 fac o distincție importantă. Cele analitice pot fi tratate ca cele tehnice, deci fără consimțământ, doar dacă sunt respectate împreună toate aceste condiții:
- nu permit identificarea directă a persoanei: de exemplu adresa IP este mascată cel puțin în ultima ei parte;
- servesc doar la producerea de statistici agregate;
- privesc un singur site (sau o singură aplicație), fără să urmărească persoana în altă parte;
- dacă serviciul e oferit de terți, aceștia nu încrucișează datele cu alte informații și nu le cedează altora.
Dacă lipsește chiar și una dintre aceste condiții, cele analitice devin instrumente care necesită consimțământ, exact ca cele de profilare.
Cookie-urile de profilare și de marketing
Sunt cele care construiesc un profil al persoanei ca să-i arate publicitate țintită sau să personalizeze conținutul după comportamentul ei, adesea pe mai multe site-uri. Apar aproape mereu când o pagină conține pixelii rețelelor sociale, platforme publicitare și multe dintre serviciile încorporate ale terților. Pentru acestea consimțământul prealabil este întotdeauna necesar: nimic nu se instalează înainte ca persoana să spună da.
| Familie | La ce servește | Exemple | Consimțământ |
|---|---|---|---|
| Tehnice | funcționarea serviciului cerut | autentificare, coș, limbă, siguranța formularelor | nu, ajunge informarea |
| Analitice „asimilate” | statistici agregate ale unui singur site | contor de vizite cu IP mascat | nu, dacă toate condițiile sunt respectate |
| Analitice „depline” | statistici cu date identificabile sau încrucișate | instrumente ale terților care refolosesc datele | da, înainte de instalare |
| Profilare și marketing | profiluri de interese, publicitate țintită | pixelii rețelelor sociale, rețele publicitare | da, mereu și înainte |
Cuvintele capitolului
Vocabularul confidențialității, în opt cărți
Atinge o carte ca s-o întorci.
04Serviciile externe: video, hărți, pixeli și fonturi
Cele mai multe site-uri ale afacerilor mici nu instalează cookie de profilare intenționat. Le instalează din inerție, prin bucăți luate din alte servicii și lipite în pagină pentru că sunt comode. Fiecare dintre aceste bucăți face ceva ce vizitatorul nu vede: browserul contactează alt server, îi comunică adresa IP și adesea primește sau citește un cookie.
Videoclipul încorporat
Cadrul YouTube sau al altei platforme, lipit cu codul de încorporare, încarcă fișierele playerului de pe serverele platformei imediat ce se deschide pagina, chiar dacă nimeni nu apasă „play”. Există modul „confidențialitate sporită” (adresa youtube-nocookie.com), care reduce urmărirea până pornește videoclipul, dar nu o anulează. Soluția cea mai curată este încărcarea în doi pași: în locul playerului e o imagine cu un aviz, iar videoclipul adevărat se încarcă doar când persoana îl cere.
Harta interactivă
Același lucru: harta încorporată se conectează la serverele furnizorului la deschiderea paginii. Ca să fie găsit sediul ajung adesea o imagine statică a hărții, salvată pe serverul propriu, și un link „Deschide în Maps” care duce persoana la aplicație doar dacă vrea.
Pixelii rețelelor sociale și ai publicității
Pixelul servește prin definiție la a măsura cine a văzut ce, pentru a arăta apoi publicitate acelor persoane: este profilare și cere mereu consimțământ prealabil. Nu poate porni odată cu încărcarea paginii, ci doar după „da”. Simplele linkuri către profilurile sociale, în schimb, sunt linkuri obișnuite: cât timp nu sunt apăsate, nu se întâmplă nimic.
Fonturile încărcate din afară
E cazul cel mai subtil. Servicii ca Google Fonts, când furnizează doar fișierele fonturilor, nu instalează cookie; browserul însă le descarcă de pe serverele furnizorului și deci îi comunică adresa IP a vizitatorului. În Germania, Tribunalul regional din München, printr-o hotărâre din 20 ianuarie 2022, i-a recunoscut unui vizitator o despăgubire de 100 de euro tocmai pentru această transmitere fără temei juridic. Nu e o hotărâre italiană, iar justiția germană a respins apoi cererile în masă născute din acel caz, dar principiul e clar: și un apel către terți fără cookie trebuie declarat, iar el poate fi evitat cu totul găzduind fonturile pe serverul propriu.
Statisticile terților
În iunie 2022, Garante Privacy, la încheierea unei anchete coordonate cu celelalte autorități europene, a declarat ilegală folosirea Google Analytics de către un site italian, din cauza transferului de date în Statele Unite fără garanții adecvate. În iulie 2023, Comisia Europeană a adoptat apoi o nouă decizie privind caracterul adecvat pentru transferurile către companiile americane care aderă la „Data Privacy Framework”, care a schimbat cadrul transferurilor. Ce nu s-a schimbat este regula consimțământului: dacă instrumentul nu respectă toate condițiile pentru a fi asimilat celor tehnice, e nevoie de consimțământ înainte de a-l activa.
Fiecare bucată externă, pe lângă tema confidențialității, cântărește și asupra vitezei: scripturile, fonturile și playerele video sunt printre cauzele cele mai frecvente ale paginilor lente. Explic asta în capitolul despre Core Web Vitals.
05Documentele care chiar sunt necesare
Bannerul, când există, e doar partea vizibilă. În spate sunt câteva documente pe care GDPR le cere oricui prelucrează date personale, chiar și unei afaceri mici cu un site de câteva pagini. Punctul de plecare e mereu același: ce date colectez, de ce și unde ajung.
1
Informarea privind confidențialitatea
Cine este titularul și cum îl contactezi, ce date se colectează, în ce scopuri și pe ce temei juridic, pentru cât timp, cui se comunică, ce drepturi are persoana (articolele 12 și 13 din GDPR).
2
Cookie policy
Lista instrumentelor instalate, împărțite pe familii, cu durata, entitatea care le instalează și modul de revizuire a alegerilor. Trebuie să corespundă cu ce face site-ul cu adevărat.
3
Dovada consimțământului
Când consimțământul e necesar, titularul trebuie să poată demonstra că a fost dat (articolul 7). Sistemul bannerului înregistrează ce a ales persoana și când.
4
Registrul prelucrărilor
Un document intern care enumeră prelucrările de date ale afacerii (articolul 30). Scutirea pentru cine are sub 250 de angajați nu se aplică dacă prelucrarea nu e ocazională, adică aproape mereu.
5
Acordurile cu furnizorii
Cine prelucrează date în numele tău, ca furnizorul de hosting, de email sau al programului de gestiune, trebuie numit persoană împuternicită printr-un acord scris (articolul 28).
Informarea: scrisă ca să fie înțeleasă
Articolul 12 din GDPR cere ca informațiile să fie date într-o formă concisă, transparentă, inteligibilă și ușor accesibilă, într-un limbaj simplu și clar. Un text copiat de pe alt site, plin de prelucrări pe care site-ul tău nu le face, nu respectă această regulă: spune lucruri false, iar o informare care descrie greșit ce se întâmplă este o problemă în sine. Se scrie pornind de la inventarul real și se actualizează de fiecare dată când site-ul se schimbă.
Temeiurile juridice: nu totul e consimțământ
O greșeală răspândită este să crezi că orice prelucrare necesită consimțământ. Articolul 6 din GDPR prevede șase temeiuri juridice diferite, iar pentru un site cele mai frecvente sunt trei:
- executarea unui contract sau a unor măsuri cerute de persoană: răspunsul la o cerere de ofertă, gestionarea unei rezervări, livrarea unei comenzi;
- obligația legală: păstrarea facturilor, îndeplinirea obligațiilor fiscale;
- consimțământul: trimiterea newsletterului promoțional, instalarea instrumentelor de profilare.
A cere un consimțământ care nu e necesar, de exemplu pentru a răspunde la o întrebare venită prin formularul de contact, nu adaugă protecție și o derutează pe persoană.
Formularele site-ului
Fiecare formular care colectează date trebuie să aibă, lângă butonul de trimitere, o trimitere scurtă la informare. Dacă formularul servește și scopurilor de marketing, căsuța consimțământului trebuie să fie separată și nebifată de la început: consimțământul se dă printr-un gest activ, nu se ia înapoi. Pentru listele de email e o bună practică confirmarea în doi pași, mesajul care cere un clic pe un link pentru a finaliza abonarea, care este și cea mai bună dovadă a consimțământului. Cum se construiește o comunicare prin email care respectă aceste reguli și ajunge cu adevărat în căsuță explic în capitolul despre emailul profesional al firmei.
06Confidențialitate înseamnă și protejarea datelor
GDPR nu cere doar acte în ordine: cere ca datele colectate să fie protejate în mod adecvat riscului (articolul 32). Pentru site-ul unei afaceri mici asta înseamnă câteva lucruri foarte concrete:
- site-ul răspunde doar în HTTPS, astfel datele din formulare circulă criptate;
- se colectează doar datele necesare: un formular de contact nu are nevoie de data nașterii;
- datele colectate nu rămân împrăștiate în căsuțe de email comune sau în foi de calcul uitate, ci într-un loc cu accese controlate;
- accesele la zona de administrare sunt protejate de parole robuste și de al doilea factor, cum explic în capitolul despre parole, autentificare în doi factori și passkey;
- există copii de siguranță și un plan pentru când ceva merge prost.
Dacă un portal colectează rezervări, accese ale clienților sau plăți, discuția se extinde la criptare, protecția împotriva atacurilor și proiectarea bazei de date: o abordez în capitolul despre portaluri integrate, rezervări și PWA.
Când ceva merge prost: încălcarea securității datelor
Un atac, un furt de credențiale, un calculator pierdut cu datele clienților: GDPR numește aceste evenimente încălcări ale securității datelor cu caracter personal (în engleză „data breach”). Dacă încălcarea prezintă un risc pentru persoane, titularul trebuie să o notifice către Garante Privacy în 72 de ore de când a aflat de ea (articolul 33) și, dacă riscul este ridicat, să-i anunțe și pe cei vizați (articolul 34). Toate încălcările, chiar și cele nenotificate, se notează într-un registru intern. Cum te pregătești dinainte, cu backup și plan de restaurare, este tema capitolului despre backupul firmei și ransomware.
Cât riști
Articolul 83 din GDPR stabilește limitele sancțiunilor administrative: până la 10 milioane de euro sau 2% din cifra de afaceri mondială anuală pentru unele încălcări, până la 20 de milioane sau 4% pentru cele mai grave, cum ar fi prelucrarea fără temei juridic sau încălcarea drepturilor persoanelor. Sunt plafoane maxime, iar Garante Privacy gradează sancțiunea după gravitate, durată, cooperare și dimensiunea titularului. Pentru o afacere mică, riscul cel mai concret este însă adesea altul: reclamația unui client, avertismentul cu ordinul de a intra în legalitate și încrederea pierdută.
Quiz
Patru întrebări pentru titularul site-ului
Alege un răspuns pentru fiecare întrebare: explicația apare imediat.
Un client descoperă că datele din formularul de contact au ajuns online dintr-o greșeală. În cât timp trebuie anunțat Garante Privacy, dacă există un risc pentru persoane?
Articolul 33 din GDPR stabilește 72 de ore de când titularul află de încălcare.
Pe ce temei îi răspunzi celui care îți cere o ofertă prin formularul site-ului?
Răspunsul la o cerere a persoanei intră în executarea unor măsuri precontractuale (articolul 6): aici consimțământul nu e necesar.
Când pot fi tratate statisticile vizitelor ca cookie tehnice?
Condițiile Garante Privacy sunt toate împreună: IP mascat, statistici agregate, un singur site, nicio încrucișare a datelor de către furnizor.
În formular e căsuța pentru primirea newsletterului. Cum trebuie să fie?
Consimțământul pentru marketing se dă printr-un gest activ și nu poate fi condiția pentru a primi un răspuns.
Un site în regulă nu este cel cu bannerul cel mai mare. Este cel care colectează doar ce îi trebuie, o spune cu cuvinte clare și păstrează bine datele.Principiul minimizării, în practică
07Verificarea site-ului tău în șapte pași
Poți face singur o primă verificare, cu browserul și o jumătate de oră. Nu înlocuiește o verificare profesională, dar îți spune imediat dacă există probleme evidente.
- Deschide site-ul într-o fereastră privată, ca să nu existe alegeri salvate din vizitele anterioare.
- Înainte să apeși orice, deschide instrumentele pentru dezvoltatori (F12), fila Aplicație, secțiunea Cookie: dacă există deja cookie ale terților sau de profilare, blocarea prealabilă nu funcționează.
- În fila Rețea, reîncarcă pagina și uită-te la domeniile contactate: fiecare domeniu care nu e al tău este un serviciu extern de inventariat.
- Dacă există banner, închide-l cu X-ul și verifică din nou: nu trebuie să apară nimic nou.
- Încearcă să refuzi: trebuie să te coste un clic, ca acceptarea.
- Citește informarea și cookie policy: descriu cu adevărat ce ai văzut în fila Rețea?
- Verifică formularele: există trimiterea la informare, iar căsuțele pentru marketing sunt goale de la început?
Site-ul „în regulă de fațadă”
- banner care apare, dar cookie-urile pornesc înainte
- doar butonul „Acceptă”, refuzul e ascuns
- informare copiată de pe alt site
- video și hărți încorporate fără aviz
- căsuțe de marketing deja bifate
Site-ul cu adevărat în regulă
- inventarul instrumentelor făcut și actualizat
- niciun instrument opțional înainte de consimțământ
- acceptă și refuză cu aceeași greutate, X-ul care refuză
- informare scrisă pe baza a ce face site-ul
- bucăți externe înlocuite sau încărcate la cerere
O parte din această muncă depinde de codul site-ului: blocarea prealabilă, încărcarea la cerere a videoclipurilor, fonturile găzduite pe serverul propriu. Cine alege un furnizor pentru site-ul său ar trebui să întrebe încă de la ofertă cum vor fi gestionate aceste puncte și pe numele cui vor rămâne datele și instrumentele: vorbesc despre asta în capitolul despre cine deține cu adevărat site-ul tău.
Pune-te la încercare
Site-ul tău respectă confidențialitatea și regulile cookie?
Întrebări frecvente
Bannerul de cookie este obligatoriu pentru toate site-urile?
Nu. E necesar doar dacă site-ul instalează sau citește instrumente care nu sunt strict necesare, cum ar fi cele de profilare sau ale terților care nu pot fi asimilate celor tehnice. Un site care folosește doar cookie tehnice trebuie totuși să aibă informarea, dar nu și bannerul.
Pot considera consimțământ faptul că persoana continuă să navigheze?
Nu. Ghidurile Garante Privacy din 2021 exclud ca simpla derulare a paginii să valoreze consimțământ: e nevoie de o acțiune pozitivă și înregistrabilă, cum ar fi clicul pe un buton.
Statisticile vizitelor necesită consimțământ?
Depinde de cum sunt configurate. Dacă IP-ul e mascat, datele servesc doar la statistici agregate ale unui singur site, iar furnizorul nu le încrucișează și nu le cedează, sunt asimilate cookie-urilor tehnice. Altfel e nevoie de consimțământ prealabil.
Un videoclip YouTube încorporat necesită consimțământ?
Playerul încorporat contactează serverele platformei la deschiderea paginii și poate instala instrumente ale terților. Soluția cea mai sigură este să-l încarci doar după un clic al persoanei, arătând mai întâi o imagine cu un aviz.
Cât de des pot reafișa bannerul cuiva care a refuzat?
Conform Garante Privacy, doar dacă se schimbă semnificativ condițiile prelucrării, dacă nu se poate ști că alegerea fusese deja făcută sau dacă au trecut cel puțin șase luni de la afișarea precedentă.
O afacere mică trebuie să țină registrul prelucrărilor?
Aproape mereu da. Scutirea de la articolul 30 pentru cine are sub 250 de angajați nu se aplică dacă prelucrarea nu este ocazională, iar gestionarea clienților, a facturilor sau a rezervărilor nu este.
Surse
- Garante per la protezione dei dati personali, „Linee guida cookie e altri strumenti di tracciamento”, 10 iunie 2021 (în italiană): derularea, comanda X, analiticele asimilate celor tehnice, cookie wall, cele șase luni.
- Garante per la protezione dei dati personali, pagina tematică „Cookie” (în italiană): regulile pe scurt și documentele legate.
- Regulamentul (UE) 2016/679 (GDPR), textul oficial pe EUR-Lex (în italiană): articolele 6, 7, 12, 13, 28, 30, 32, 33, 34 și 83.
- Garante per la protezione dei dati personali, comunicatul din 23 iunie 2022 despre Google Analytics (în italiană): transferul datelor în Statele Unite.
- Comisia Europeană, decizia privind caracterul adecvat al cadrului UE-SUA pentru confidențialitatea datelor, 10 iulie 2023 (în italiană).
- IHK, fișa despre hotărârea Landgericht München I din 20 ianuarie 2022 (3 O 17493/20) privind Google Fonts (în germană).
Capitol actualizat în octombrie 2026. Este un ghid de popularizare scris de cineva care construiește site-uri și software, nu o consultanță juridică: pentru cazurile particulare și pentru redactarea informării și a registrului afacerii tale, e bine să te sprijini pe un profesionist în protecția datelor. Regulile citate provin din textele oficiale indicate mai sus.