Ce trebuie să existe legal pe un site din România

Subsolul site-ului tău are probabil un rând cu „Toate drepturile rezervate” și un link către o politică de confidențialitate pe care nu a citit-o nimeni de când a fost pusă. Poate a fost copiată de pe alt site, poate încă are numele altei firme în ea. Bannerul de cookie-uri spune „Acest site folosește cookie-uri” și are un singur buton. Așa arată o parte bună din site-urile din România, inclusiv unele făcute cu bugete serioase.

Problema nu e doar amenda. Un client care caută CUI-ul firmei înainte să plătească și nu îl găsește pleacă. Un cumpărător care nu găsește politica de retur sună la telefon sau face reclamație la ANPC. Iar Google Analytics pornit înainte de acord îți aduce, în cel mai bun caz, date pe care nu ai voie să le folosești.

Mai jos ai cerințele grupate pe bucăți, de la datele firmei până la accesibilitate, fiecare cu trimiterea la textul de lege, ca să poți verifica singur.

Datele firmei: ce trebuie să apară pe fiecare pagină

Legea 365/2002 privind comerțul electronic cere, la articolul 5, ca datele de identificare ale furnizorului de servicii să fie puse la dispoziție „direct, permanent și ușor accesibil”. Se aplică oricărui site prin care o firmă își prezintă sau vinde serviciile, nu doar magazinelor. O pagină „Contact” nu e suficientă singură: locul care îndeplinește toate cele trei condiții e subsolul fiecărei pagini.

Ce trebuie să apară:

• denumirea completă a firmei, cu forma juridică (SRL, SA, PFA);
• sediul social, cu adresa completă;
• numărul de înregistrare la Registrul Comerțului;
• codul unic de înregistrare (CUI), cu prefixul RO dacă firma e plătitoare de TVA;
• date de contact prin care poți fi găsit efectiv: o adresă de email și un număr de telefon;
• capitalul social, pentru SRL și SA;
• datele autorității de supraveghere, dacă activitatea ta e supusă unei autorizări (de exemplu servicii financiare, sănătate, turism).

Un detaliu nou: din 2024, numărul de la Registrul Comerțului se acordă în format nou, fără bare, de tipul J2024123456789. Firmele înființate înainte păstrează numărul vechi, de tipul J40/1234/2015. Dacă ai înființat firma recent, verifică să nu fi preluat formatul vechi dintr-un șablon.

Politica de confidențialitate: ce trebuie să spună, nu doar să existe

Regulamentul UE 2016/679 (GDPR) cere, la articolele 13 și 14, ca persoana ale cărei date le colectezi să primească un set de informații în momentul colectării. Politica de confidențialitate e documentul care le pune la un loc. Un text generic nu îndeplinește cerința, pentru că informațiile sunt specifice firmei tale.

Conținutul minim:

• cine e operatorul: denumirea firmei și datele de contact;
• ce date colectezi: nume, email, telefon, adresă de livrare, date de plată, adresă IP, date din cookie-uri;
• în ce scop și pe ce temei le prelucrezi: executarea unui contract (comanda), consimțământ (newsletterul), obligație legală (facturarea), interes legitim (securitatea site-ului);
• cât timp le păstrezi, pe categorii, cu perioade concrete sau cu criteriul după care le stabilești;
• cui le transmiți: furnizorul de hosting, serviciul de email, curierul, procesatorul de plăți, Google Analytics sau alt serviciu de statistici, plus dacă vreunul e în afara UE;
• drepturile persoanei (acces, rectificare, ștergere, opoziție, portabilitate, retragerea consimțământului) și cum le poate exercita, de obicei printr-o adresă de email;
• datele responsabilului cu protecția datelor, dacă ai unul;
• dreptul de a depune plângere la ANSPDCP, autoritatea din România.

Lista cu destinatarii e cea mai des greșită, pentru că se schimbă: alt hosting, alt curier, un chat nou pe site. Fiecare schimbare trebuie să ajungă și în politică. Dacă site-ul are un plan de întreținere periodică, pune revizuirea politicii pe aceeași listă cu actualizările.

Cookie-uri: bannerul care doar informează nu e suficient

Legea 506/2004, care transpune în România directiva ePrivacy, cere acordul utilizatorului înainte de stocarea sau citirea oricărei informații de pe dispozitivul lui, cu excepția celor strict necesare pentru funcționarea site-ului. Peste ea se suprapune GDPR, care spune cum trebuie să arate acordul: liber, specific, informat și dat printr-o acțiune clară.

Tradus în ce trebuie să facă site-ul:

• Cookie-urile strict necesare (sesiunea, coșul, limba, alegerea din banner) pot fi puse fără acord.
• Cookie-urile de statistici (Analytics), de marketing (Ads, pixelul Meta) și cele ale conținutului încorporat (YouTube, hărți) se pun doar după ce vizitatorul a acceptat.
• Refuzul trebuie să fie la fel de ușor ca acceptul: un buton „Refuz” lângă „Accept”, pe același nivel, nu ascuns după „Setări”.
• Vizitatorul trebuie să poată schimba alegerea ulterior, de obicei printr-un link în subsol care redeschide bannerul.
• Politica de cookie-uri listează fiecare cookie sau categorie: cine îl pune, cu ce scop și cât durează.

Testul simplu: deschide site-ul într-o fereastră privată, nu apăsa nimic în banner și uită-te în consola browserului la cererile de rețea. Dacă vezi cereri către google-analytics.com sau facebook.com, bannerul e decorativ. Scripturile trebuie blocate până la acord, nu doar declarate.

Pentru Google Analytics și Google Ads există Consent Mode: bannerul îi transmite lui Google starea acordului, iar scripturile se comportă corespunzător. Modul de bază nu încarcă nimic până la acord; modul avansat trimite semnale fără cookie-uri înainte de acord și e mai greu de apărat. Alege conștient, nu lăsa setarea implicită a pluginului.

Formulare și newsletter: ce ceri și cum ceri

Orice formular de pe site colectează date personale, deci intră sub GDPR. Cerințele sunt puține și concrete:

• o mențiune scurtă lângă butonul de trimitere, cu scopul prelucrării și un link către politica de confidențialitate;
• nicio căsuță bifată implicit, mai ales cea pentru newsletter sau marketing;
• doar câmpurile de care ai nevoie: pentru o cerere de ofertă nu ai nevoie de CNP, pentru un newsletter nu ai nevoie de telefon.

Newsletterul are regulile lui. Consimțământul trebuie să fie explicit (opt-in), separat de acceptarea termenilor sau de plasarea comenzii. Fiecare mesaj trimis trebuie să conțină un link de dezabonare care funcționează dintr-un singur clic. Și trebuie să poți dovedi acordul: data, ora, adresa IP și formularul prin care a fost dat. Serviciile de email marketing le păstrează automat; pentru o listă importată din Excel, dovada lipsește.

Magazine online: obligațiile în plus

Un magazin online are, pe lângă tot ce e mai sus, un set de obligații din legislația de protecție a consumatorului. Cele mai multe vin din OUG 34/2014 privind drepturile consumatorilor în contractele la distanță și din OUG 140/2021 privind garanția de conformitate.

Câteva cerințe țin de fluxul de comandă, nu de o pagină statică. Prețul total, cu TVA și livrare, se afișează înainte ca clientul să apese butonul de comandă, iar butonul spune clar că implică o obligație de plată. După comandă, clientul primește o confirmare pe email cu termenii aplicabili, apoi factura.

Dreptul de retragere se aplică consumatorilor, adică persoanelor fizice care cumpără în afara activității lor profesionale. Are excepții (produse personalizate, perisabile, sigilate și desigilate), dar ele trebuie scrise explicit în termeni. Dacă termenii nu informează deloc despre retragere, ordonanța prelungește perioada de retragere cu 12 luni.

Linkul ANPC și cel către platforma SOL se pun în subsol, pe toate paginile, cu pictogramele oficiale de pe anpc.ro și cu adresa ec.europa.eu/consumers/odr. Comisia Europeană a anunțat închiderea platformei SOL în 2025; verifică pe anpc.ro forma actuală a cerinței înainte să scoți linkul. Când pornești un magazin online de la zero, paginile acestea se planifică odată cu structura site-ului, nu după lansare.

Accesibilitate: obligația nouă din 2025

Directiva UE 2019/882, Actul european privind accesibilitatea, se aplică din 28 iunie 2025 anumitor produse și servicii, printre care comerțul electronic, serviciile bancare pentru consumatori, transportul de pasageri și comunicațiile electronice. România a transpus-o prin lege națională. Pe scurt: un magazin online sau un serviciu vândut consumatorilor prin site trebuie să poată fi folosit și cu un cititor de ecran sau doar de la tastatură.

Standardul de referință e EN 301 549, care pentru site-uri trimite la WCAG 2.1 nivelul AA. În practică înseamnă text alternativ la imagini, contrast suficient între text și fundal, formulare cu etichete corecte, navigare de la tastatură, structură logică de titluri, subtitrare la video. Microîntreprinderile care prestează servicii sunt exceptate de la cerințele directivei, dar excepția depinde de numărul de angajați și de cifra de afaceri, deci verific-o pentru cazul tău concret în legea națională de transpunere.

Ce lipsește cel mai des în practică

Lista vine din site-urile preluate sau verificate în ultimii ani, în ordinea frecvenței.

• CUI și numărul de la Registrul Comerțului lipsesc din subsol. Apar pe factură, apar în contract, dar pe site e doar numele comercial.
• Politica de confidențialitate e copiată de pe alt site. Uneori cu numele celeilalte firme rămas în text, alteori cu furnizori pe care nu i-ai folosit niciodată.
• Bannerul de cookie-uri doar informează. Un buton „Am înțeles”, fără refuz, iar scripturile se încarcă oricum.
• Analytics pornește înainte de acord. De obicei pentru că a fost pus direct în temă sau prin Tag Manager, ocolind bannerul.
• Linkul ANPC lipsește sau duce la o pagină care nu mai există.
• Termenii și condițiile nu pomenesc de dreptul de retragere sau îl limitează la „produse defecte”, ceea ce e altceva.
• Formularul de contact are căsuța de newsletter bifată implicit sau nu are nicio mențiune despre prelucrare.

Niciuna nu cere buget mare; cele mai multe se rezolvă într-o zi de lucru. Securitatea datelor e tot o obligație din GDPR, la articolul 32 (actualizări, backup, protecție împotriva accesului neautorizat), un subiect separat, tratat în programul de site-uri securizate.

Lista de verificare

• Subsolul are denumirea, sediul, numărul de la Registrul Comerțului, CUI, email, telefon și capitalul social.
• Politica de confidențialitate e scrisă pentru firma ta și listează furnizorii reali.
• Politica de cookie-uri listează cookie-urile care chiar există pe site.
• Bannerul are „Accept” și „Refuz” pe același nivel și blochează scripturile până la acord.
• Un link „Setări cookie-uri” din subsol redeschide bannerul.
• Formularele au mențiunea de prelucrare și nicio căsuță bifată implicit.
• Newsletterul cere opt-in și fiecare mesaj are link de dezabonare.
• Magazin: termeni și condiții cu dreptul de retragere de 14 zile și formularul de retragere.
• Magazin: politica de retur, garanția de conformitate, prețul total înainte de comandă.
• Magazin: pictograma ANPC și linkul SOL în subsol, confirmare de comandă pe email, factură.
• Site-ul se poate parcurge doar de la tastatură și imaginile au text alternativ.
• Ai notat data ultimei revizuiri a politicilor și cine o face următoarea dată.