Cookie Confirm

Model de politică de confidențialitate

Ce trebuie să conțină politica de confidențialitate a site-ului sau a magazinului tău online conform GDPR și Legii nr. 190/2018, unde o afișezi, ce greșeli apar cel mai des și un model gratuit pe care îl poți copia și completa.

Verificat ultima dată pe 16 octombrie 2026

Pe scurt

  • Spune cine ești, de ce folosești datele oamenilor, pe ce temei juridic și cât timp le păstrezi.
  • Menționează cine primește datele și dacă ele ajung în afara Europei, și pe ce garanție.
  • Explică drepturile oamenilor, inclusiv retragerea consimțământului și plângerea la ANSPDCP.
  • Pune un link către ea pe fiecare pagină și lângă fiecare formular care colectează date cu caracter personal.

Ce este o politică de confidențialitate?

O politică de confidențialitate, numită și notă de informare sau politică de protecție a datelor, este textul în care le spui oamenilor ce faci cu datele lor cu caracter personal. Pe un site este de obicei o pagină separată, cu link în subsolul fiecărei pagini. Pentru mulți proprietari de site-uri este primul pas în implementarea GDPR pe site.

Obligația vine din Regulamentul general privind protecția datelor (GDPR). Articolul 12 cere ca informațiile să fie date într-o formă concisă, transparentă, inteligibilă și ușor accesibilă, într-un limbaj clar și simplu. Articolele 13 și 14 enumeră ce trebuie să spui: articolul 13 atunci când colectezi datele chiar de la persoana respectivă, de exemplu printr-un formular, iar articolul 14 atunci când le primești de la altcineva. Informațiile trebuie oferite gratuit.

În România, GDPR se aplică direct. Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR completează regulamentul pentru anumite situații, iar ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal) verifică respectarea regulilor și primește plângerile. Detaliile pentru România sunt mai jos.

Ce trebuie să conțină?

Când colectezi date cu caracter personal de la cineva, articolul 13 îți cere următoarele informații:

  • Cine ești: numele și datele de contact ale organizației tale și, dacă ai sediul în afara UE dar oferi bunuri sau servicii în UE, ale reprezentantului tău.
  • Responsabilul cu protecția datelor, dacă ai unul, cu datele lui de contact.
  • Scopurile și temeiul juridic. Pentru fiecare scop, temeiul pe care te bazezi: consimțământ, contract, obligație legală sau interes legitim. Ghidurile europene privind transparența subliniază că scopurile și temeiul juridic trebuie să fie clare.
  • Interesul legitim, dacă acesta este temeiul. Numește interesul concret.
  • Destinatarii: cine primește datele, inclusiv persoanele împuternicite, precum firma de găzduire sau furnizorul de e-mail. Potrivit ghidurilor, cel mai util este să numești destinatarii concreți; dacă dai doar categorii, fă-le cât mai precise.
  • Transferurile în afara UE sau a SEE: faptul că are loc un transfer, dacă există o decizie privind caracterul adecvat și, dacă nu, ce garanție folosești și cum poate fi obținută o copie. Ghidurile spun că țările ar trebui, în general, numite.
  • Cât timp păstrezi datele sau criteriile după care stabilești durata. „Atât cât este necesar” nu este suficient, potrivit ghidurilor.
  • Drepturile persoanei: acces, rectificare, ștergere, restricționare, opoziție și portabilitate.
  • Dreptul de a retrage consimțământul oricând, atunci când te bazezi pe consimțământ.
  • Dreptul de a depune o plângere la o autoritate de supraveghere.
  • Dacă furnizarea datelor este obligatorie, de exemplu pentru că ai nevoie de ele pentru un contract, și ce se întâmplă dacă persoana nu le furnizează. Ghidurile adaugă că formularele online ar trebui să arate clar ce câmpuri sunt obligatorii.
  • Deciziile automate, inclusiv crearea de profiluri, dacă produc efecte juridice sau efecte similare semnificative, cu informații utile despre logica folosită și consecințe.

Dreptul de opoziție merită o atenție specială: articolul 21 cere ca el să fie adus explicit în atenția persoanei, clar și separat de alte informații, cel târziu la prima comunicare cu ea.

Unde o afișezi

Articolul 13 cere ca informațiile să fie date în momentul în care colectezi datele. Ghidurile europene privind transparența, adoptate de Comitetul European pentru Protecția Datelor (CEPD), explică ce înseamnă asta pe un site:

  • Un link pe fiecare pagină. Orice site ar trebui să publice o declarație de confidențialitate, cu un link direct, clar vizibil pe fiecare pagină, sub o denumire obișnuită, precum „Confidențialitate” sau „Politica de confidențialitate”. Un link greu de văzut din cauza poziției sau a culorii nu este ușor accesibil.
  • Acolo unde colectezi datele. Ca bună practică, pune un link către politica de confidențialitate lângă fiecare formular care colectează date cu caracter personal sau dă informațiile chiar pe aceeași pagină.
  • Nu ascunsă în termeni și condiții. Oamenii nu trebuie să o caute printre alte informații.
  • Pe niveluri, dacă este lungă. O politică structurată pe niveluri îi lasă pe oameni să sară direct la partea care îi interesează. Informațiile complete trebuie totuși să fie disponibile într-un singur loc.
  • În limba vizitatorilor. ANSPDCP i-a cerut deja unui operator ca informarea vizitatorilor să fie, în principal, în limba română.

Politica de confidențialitate, politica de cookie-uri și bannerul

Cele trei au roluri diferite:

  • Bannerul de cookie-uri cere acordul înainte să plasezi cookie-uri care nu sunt strict necesare și trimite la detalii.
  • Politica de cookie-uri explică ce cookie-uri și tehnologii similare folosești, cine le plasează și cât timp sunt păstrate, așa cum cere legea cookie-urilor din România.
  • Politica de confidențialitate acoperă toate datele cu caracter personal pe care le prelucrezi, și în afara cookie-urilor: formulare, comenzi, newslettere, serviciul pentru clienți.

Ele trebuie să trimită una la cealaltă. Politica de confidențialitate menționează instrumentele de analiză și de marketing, temeiul juridic (de obicei consimțământul) și eventualele transferuri în afara Europei, de exemplu pentru Google Analytics, și trimite la politica de cookie-uri pentru detalii. Bannerul trimite la amândouă. Retragerea acordului trebuie să fie la fel de simplă ca acordarea lui, așa că spune în ambele texte unde își pot schimba vizitatorii alegerea.

Cookie Confirm afișează un banner care înregistrează consimțământul fiecărui vizitator și trimite la politica ta de cookie-uri și la politica de confidențialitate.

În plus pentru magazinele online

Un magazin online prelucrează mai multe date decât un site obișnuit, așa că politica lui de confidențialitate are nevoie de mai multe informații:

  • Comenzi: datele de care ai nevoie pentru livrare, pe temeiul contractului. Spune că fără ele nu poți livra.
  • Facturi: legislația contabilă și fiscală te obligă să le păstrezi o anumită perioadă. Temeiul juridic este o obligație legală; scrie în politică perioada care se aplică.
  • Plată: numește procesatorul de plăți și spune dacă primești tu datele cardului sau ale contului bancar.
  • Livrare: numește firmele de curierat care primesc adresa de livrare.
  • Newsletter: pentru e-mailurile de marketing ai nevoie, în principiu, de consimțământ. Articolul 12 din Legea nr. 506/2004 are o excepție: le poți trimite clienților tăi e-mailuri despre produse sau servicii proprii similare, dacă ai obținut adresa direct de la ei la vânzare și dacă le dai posibilitatea să refuze gratuit și simplu, atât la colectarea adresei, cât și în fiecare mesaj. Spune în politica de confidențialitate pe care dintre cele două variante te bazezi.
  • Recenzii: dacă un serviciu de recenzii îi invită pe clienți după cumpărare, numește-l și spune ce date îi transmiți.
  • Conturi de client: spune cât timp păstrezi un cont și ce se întâmplă după o perioadă de inactivitate.

Ce trebuie să știi în România

  • Legea nr. 190/2018 completează GDPR. Pentru majoritatea site-urilor regulile de informare sunt cele din GDPR, dar legea are reguli speciale, de exemplu pentru prelucrarea codului numeric personal (CNP). Dacă prelucrezi CNP-ul pe baza interesului legitim, trebuie să iei garanții suplimentare, între care măsuri tehnice și organizatorice, durate de stocare stabilite și desemnarea unui responsabil cu protecția datelor. Cel mai simplu: nu cere CNP-ul în formulare dacă nu ai nevoie de el.
  • Autoritatea este ANSPDCP. În politică, numește ANSPDCP ca autoritate la care oamenii pot depune o plângere și dă datele ei de contact: B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, București, anspdcp@dataprotection.ro, www.dataprotection.ro. Pe site-ul ANSPDCP, secțiunea „Plângeri” explică procedura: dacă persoana s-a adresat întâi operatorului și nu a primit răspuns într-o lună sau nu este mulțumită de răspuns, poate depune o plângere, însoțită de dovezi.
  • Spune cine ești. ANSPDCP a sancționat în 2024 un operator care nu afișa pe site nici informarea despre cookie-uri, nici identitatea operatorului. Treci în politică denumirea firmei, CUI-ul, adresa și o adresă de e-mail la care oamenii chiar primesc răspuns.
  • Informarea trebuie să respecte articolele 12-14 din GDPR. ANSPDCP raportează informarea la aceste articole; în 2022, de exemplu, a sancționat cu avertisment un operator care plasa cookie-uri fără acord și fără informarea clară și completă cerută de articolele 12-14 din GDPR.

Greșeli frecvente

  • Un text generic copiat. Politica altui site sau a unui generator descrie alte instrumente și alte date. Dacă nu corespunde cu ce face site-ul tău, nu este transparentă.
  • Scopuri vagi. Ghidurile europene dau ca exemple neclare formulări precum folosirea datelor „pentru dezvoltarea de servicii noi”, „în scopuri de cercetare” sau „pentru servicii personalizate”, fără să spui ce înseamnă concret.
  • Fără temei juridic pentru fiecare scop. O frază generală de tipul „prelucrăm datele conform GDPR” nu spune nimic.
  • Instrumente americane fără informații despre transfer. Instrumentele de analiză, de e-mail marketing și de găzduire sunt adesea americane. Numește furnizorul, țara și garanția, de exemplu Data Privacy Framework sau clauzele contractuale standard.
  • „Atât cât este necesar.” Dă o perioadă sau criteriile.
  • Nicio mențiune despre ANSPDCP. Oamenii trebuie să afle că pot depune o plângere la autoritatea de supraveghere.
  • Doar în engleză. Vizitatorii din România trebuie să o poată înțelege ușor.
  • Neactualizată. Fiecare plugin, instrument sau persoană împuternicită nouă poate schimba ce trebuie să scrii.

Modelul

Mai jos găsești un model pe care îl poți copia. Completează tot ce este între [paranteze], șterge secțiunile de care nu ai nevoie și adaugă prelucrările care lipsesc, astfel încât textul să descrie ce face cu adevărat site-ul tău. Un model nu este consultanță juridică: dacă nu ești sigur că se potrivește situației tale, cere-i unui avocat să îl verifice.

Surse

Model de politică de confidențialitate

Politica de confidențialitate a [Numele companiei]

Ultima actualizare: [data]

Cine suntem
[Numele companiei] („noi”) administrează site-ul [adresa site-ului] [și magazinul online de la [adresa]]. Suntem operatorul datelor cu caracter personal descrise în această politică.
[Numele companiei], [strada și numărul], [localitatea], [județul / sectorul], [codul poștal], România
CUI: [cod unic de înregistrare], nr. de înregistrare la Registrul Comerțului: [J../..../....]
E-mail: [adresa de e-mail pentru protecția datelor]
[Dacă ai desemnat un responsabil cu protecția datelor: Responsabilul nostru cu protecția datelor poate fi contactat la [adresa de e-mail].]

Ce acoperă această politică
Această politică explică ce date cu caracter personal colectăm când ne vizitezi site-ul, ne contactezi, te abonezi la newsletter sau plasezi o comandă, de ce facem asta și ce drepturi ai. Cookie-urile și tehnologiile similare sunt explicate în politica noastră de cookie-uri: [link către politica de cookie-uri].

Când ne contactezi
Dacă folosești formularul de contact sau ne scrii pe e-mail, folosim numele tău, adresa de e-mail, [numărul de telefon] și mesajul tău ca să îți răspundem.
Temei juridic: interesul nostru legitim de a răspunde persoanelor care ne contactează[ sau efectuarea demersurilor pe care ni le ceri înainte de încheierea unui contract].
Păstrăm aceste mesaje [perioada, de exemplu 12 luni] după ce am răspuns la întrebarea ta, cu excepția cazului în care ele duc la o comandă.

Când plasezi o comandă
Pentru a procesa și a livra comanda folosim numele, adresa, adresa de e-mail, numărul de telefon, produsele comandate și starea plății.
Temei juridic: executarea contractului încheiat cu tine. Fără aceste date nu îți putem livra comanda.
Păstrăm datele comenzii timp de [perioada], iar facturile și documentele contabile pe durata prevăzută de legislația contabilă și fiscală, adică [perioada].
Temei juridic pentru păstrarea facturilor: îndeplinirea unei obligații legale.
[Dacă clienții își pot crea un cont: Dacă îți creezi un cont, păstrăm datele contului până când îl ștergi sau după [perioada] de inactivitate.]

Plăți
Plățile sunt procesate de [procesatorul de plăți]. Primim confirmarea că ai plătit, dar nu și datele complete ale cardului sau ale contului tău bancar. [Procesatorul de plăți] prelucrează datele de plată [în calitate de persoană împuternicită de noi / ca operator separat, conform propriei politici de confidențialitate: link].

Livrare
Transmitem numele, adresa [și adresa de e-mail sau numărul de telefon] către [firma de curierat], ca să îți poată livra comanda și să te anunțe când ajunge.

Newsletter
[Alege:]
[Dacă te abonezi, folosim adresa ta de e-mail [și prenumele] ca să îți trimitem newsletterul. Temei juridic: consimțământul tău. Te poți dezabona oricând prin linkul din fiecare newsletter sau scriindu-ne pe e-mail. Retragerea consimțământului nu afectează ce am făcut înainte de retragere.]
[Fiind client, îți putem trimite e-mailuri despre produse sau servicii proprii similare celor pe care le-ai cumpărat. Temei juridic: interesul nostru legitim de marketing direct, în condițiile articolului 12 din Legea nr. 506/2004. Poți refuza oricând, gratuit, prin linkul din fiecare e-mail sau la plasarea comenzii.]
Folosim [furnizorul de e-mail marketing] pentru a trimite newsletterul. Păstrăm adresa ta de e-mail până când te dezabonezi.

Recenzii
[Dacă este cazul: După comandă te putem ruga să îți evaluezi cumpărătura prin [serviciul de recenzii]. Pentru asta transmitem numele, adresa de e-mail și numărul comenzii către [serviciul de recenzii]. Temei juridic: [interesul nostru legitim de a colecta recenzii de la clienți / consimțământul tău]. Dacă publici o recenzie, ea apare cu [prenumele tău / numele pe care îl alegi].]

Statistici și marketing
Folosim [instrumentul de analiză] ca să vedem cum este folosit site-ul și [instrumente de marketing, de exemplu Google Ads, Meta Pixel] ca să măsurăm și să afișăm reclamele noastre. Aceste instrumente folosesc cookie-uri sau tehnologii similare. Le folosim doar dacă îți dai acordul în bannerul de cookie-uri. Îți poți schimba oricând alegerea prin [linkul „Setări cookie-uri” din partea de jos a fiecărei pagini]. Ce cookie-uri folosim, cine le plasează și cât timp sunt păstrate găsești în politica noastră de cookie-uri: [link].

Cine primește datele tale
Nu îți vindem datele cu caracter personal. Le transmitem doar în situațiile descrise în această politică sau atunci când legea ne obligă. Următoarele companii prelucrează date în numele nostru, pe baza unui contract de prelucrare a datelor:
- [Furnizorul de găzduire] – găzduirea site-ului [și a magazinului online]
- [Furnizorul de e-mail] – trimiterea e-mailurilor și a newsletterelor
- [Platforma magazinului online] – magazinul nostru online
- [Programul sau firma de contabilitate] – contabilitatea
[Adaugă sau elimină destinatari, astfel încât lista să corespundă situației tale.]

Date în afara Europei
Unele dintre aceste companii au sediul în afara Spațiului Economic European sau pot accesa date de acolo:
- [Furnizorul] din [țara]. Garanție: [decizia Comisiei Europene privind caracterul adecvat pentru Cadrul UE-SUA de confidențialitate a datelor (Data Privacy Framework) / clauzele contractuale standard].
Poți cere o copie a acestor garanții scriindu-ne la [adresa de e-mail pentru protecția datelor]. [Dacă nu este cazul: Nu transferăm date cu caracter personal în afara Spațiului Economic European.]

Cât timp păstrăm datele
Nu păstrăm datele mai mult decât este necesar pentru scopurile de mai sus. Duratele sunt menționate în fiecare secțiune. După expirarea lor, ștergem sau anonimizăm datele.

Decizii automate
Nu luăm decizii bazate exclusiv pe prelucrare automată, inclusiv crearea de profiluri, care să producă efecte juridice asupra ta sau să te afecteze în mod similar. [Dacă faci acest lucru, de exemplu verificări automate antifraudă, descrie-le, explică logica folosită și ce înseamnă pentru client.]

Drepturile tale
Ai dreptul:
- să afli ce date cu caracter personal deținem despre tine (dreptul de acces);
- să ceri corectarea datelor inexacte (dreptul la rectificare);
- să ceri ștergerea datelor (dreptul la ștergere);
- să ceri restricționarea prelucrării;
- să primești datele pe care ni le-ai furnizat într-un format structurat, utilizat în mod curent, sau să ceri transmiterea lor către altă companie, atunci când le prelucrăm pe baza consimțământului tău sau a unui contract (dreptul la portabilitate);
- să îți retragi oricând consimțământul, atunci când prelucrarea se bazează pe el. Retragerea nu afectează ce am făcut înainte.

Dreptul de opoziție
Atunci când ne bazăm pe interesul nostru legitim, te poți opune prelucrării datelor tale din motive legate de situația ta particulară. Te poți opune oricând prelucrării în scop de marketing direct, iar atunci nu îți mai folosim datele în acest scop.

Pentru a-ți exercita oricare dintre aceste drepturi, scrie-ne la [adresa de e-mail pentru protecția datelor]. Îți răspundem în cel mult o lună. Dacă cererea este complexă, putem prelungi termenul cu încă două luni; în acest caz te anunțăm în prima lună. Este posibil să îți cerem mai întâi să îți confirmi identitatea.

Plângeri
Dacă nu ești mulțumit de felul în care îți tratăm datele, te rugăm să ne contactezi mai întâi la [adresa de e-mail pentru protecția datelor]. Ai și dreptul să depui o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, cod poștal 010336, București, e-mail anspdcp@dataprotection.ro, www.dataprotection.ro (secțiunea „Plângeri”). Dacă locuiești sau lucrezi în alt stat membru al UE, te poți adresa și autorității de supraveghere din statul respectiv.

Modificări ale acestei politici
Putem actualiza această politică atunci când se schimbă serviciile noastre sau legislația. Data de la începutul paginii arată când a fost actualizată ultima dată. Dacă facem modificări importante, te anunțăm [prin e-mail / printr-un mesaj pe site].

Nu vrei să-l completezi singur?Cookie Confirm îți scrie declarația de cookie-uri pe baza a ce găsește scanerul pe site și o ține la zi când se schimbă cookie-urile.

Întrebări frecvente

Este obligatorie o politică de confidențialitate pe site?

Dacă site-ul tău colectează date cu caracter personal, de exemplu printr-un formular de contact, un newsletter, comenzi sau instrumente de analiză, GDPR te obligă să le dai oamenilor informațiile din articolele 13 și 14. Legea nu cere o pagină cu numele „politică de confidențialitate”, dar o politică de confidențialitate cu link de pe fiecare pagină este modalitatea obișnuită de a face asta. ANSPDCP a sancționat deja operatori care nu își informau clar și complet vizitatorii.

Pot folosi un generator de politică de confidențialitate?

Un generator sau un model este un punct de plecare bun, cu condiția să verifici fiecare frază în raport cu ce face cu adevărat site-ul tău: ce date colectezi, ce instrumente folosești, cine primește datele și cât timp le păstrezi. Un text care nu corespunde realității nu este transparent.

Care este diferența dintre politica de confidențialitate, nota de informare și politica de protecție a datelor?

În practică sunt același lucru: textul public prin care le spui oamenilor cum le folosești datele cu caracter personal. GDPR nu folosește niciuna dintre aceste denumiri; în România apar frecvent și „notă de informare” sau „politica de prelucrare a datelor cu caracter personal”.

Pot combina politica de confidențialitate cu politica de cookie-uri?

Da. Unele site-uri pun totul într-un singur document, altele păstrează două pagini care trimit una la cealaltă. Important este ca informațiile să fie complete și ușor de găsit, iar bannerul de cookie-uri să trimită la ele.

Ce prevede Legea nr. 190/2018 pentru site-uri?

Legea nr. 190/2018 stabilește măsurile de punere în aplicare a GDPR în România. Pentru majoritatea site-urilor, regulile de informare sunt cele din GDPR. Legea are însă reguli suplimentare pentru anumite prelucrări, de exemplu pentru codul numeric personal (CNP): dacă îl prelucrezi pe baza interesului legitim, trebuie să iei garanții suplimentare, între care desemnarea unui responsabil cu protecția datelor. Nu cere CNP-ul dacă nu ai nevoie de el.

Cât de des trebuie să actualizez politica de confidențialitate?

Ori de câte ori se schimbă prelucrarea: un instrument nou, o persoană împuternicită nouă, un scop nou sau un transfer în afara Europei. Scrie la începutul paginii data ultimei actualizări și anunță activ modificările importante.

Acest ghid oferă informații generale, nu consultanță juridică. Îl verificăm regulat, dar legile și ghidurile se schimbă. Nu ești sigur cum stai? Întreabă un avocat.

Citește mai departe

Mai multe ghiduri

Toate ghidurile →

Primele 7 zile sunt complet gratuite

Creează-ți un cont gratuit și vezi dacă Cookie Confirm ți se potrivește. Activ în 5 minute.

  • Fără card de credit
  • Apoi 7,95 € pe lună
  • Instalare plug & play
Începe perioada mea de probă gratuită

4,9/5 5.000+ de site-uri