Politica de Confidențialitate. Obligația Nr. 1 a Oricărui Website.

Politica de confidentialitate trebuie să conțină:

• Identitatea operatorului: denumire, sediu, date de contact, DPO (dacă este desemnat)
• Categoriile de date prelucrate: date de identificare (nume, email, telefon), date de tranzacție (comenzi, plăți), date tehnice (IP, cookies, device), date sensibile (dacă este cazul)
• Scopurile prelucrării: executarea contractului, facturare, livrare, marketing direct, îmbunătățirea serviciilor, securitate
• Baza legală: pentru fiecare scop, indicarea bazei legale din art. 6 GDPR
• Destinatarii datelor: categoriile de terți care primesc datele (procesatori, autorități, parteneri)
• Transferuri internaționale: dacă datele sunt transferate în afara UE/SEE, mecanismul de transfer
• Durata de stocare: pentru fiecare categorie de date, criteriile de determinare a duratei
• Drepturile persoanelor vizate: lista completă cu descrierea fiecărui drept și modalitatea de exercitare

• Consimțământul (art. 6 alin. 1 lit. a): liber dat, specific, informat, neechivoc. Utilizabil pentru: newsletter, marketing direct, cookies neesențiale, profilare. Retragerea trebuie să fie la fel de ușoară ca acordarea
• Executarea contractului (lit. b): prelucrarea necesară pentru livrarea unui produs comandat, crearea contului de utilizator, procesarea plății. Nu necesită consimțământ separat
• Obligația legală (lit. c): facturare (Codul Fiscal), raportare la autorități, combaterea spălării banilor (Legea 129/2019). Nu necesită consimțământ
• Interesul legitim (lit. f): securitatea rețelei, prevenirea fraudei, marketing direct către clienți existenți (soft opt-in). Necesită un test de bilanțare (LIA — Legitimate Interest Assessment)
• Greșeala frecventă: utilizarea consimțământului pentru prelucrări necesare executării contractului. Dacă baza legală este contractul, nu cereți consimțământ — creează confuzie și riscul retragerii consimțământului

• Dreptul de acces (art. 15): persoana vizată poate solicita confirmarea prelucrării și o copie a datelor
• Dreptul la rectificare (art. 16): corectarea datelor inexacte sau completarea datelor incomplete
• Dreptul la ștergere / „dreptul de a fi uitat" (art. 17): ștergerea datelor când: nu mai sunt necesare, consimțământul a fost retras, prelucrarea este ilegală. Excepții: obligații legale de păstrare (facturi: 5 ani)
• Dreptul la portabilitate (art. 20): primirea datelor în format structurat, utilizat în mod curent și care poate fi citit automat (CSV, JSON)
• Dreptul la opoziție (art. 21): opoziția la prelucrarea bazată pe interes legitim sau marketing direct. La opoziție la marketing direct, prelucrarea încetează imediat
• Termen de răspuns: maximum 30 de zile de la primirea cererii, extensibil cu 60 de zile pentru cereri complexe

• Problemă practică: aproape orice website folosește servicii cu servere în SUA: Google Analytics, Meta Pixel, Mailchimp, AWS, Cloudflare. Fiecare constituie un transfer internațional de date
• Mecanisme de transfer: decizie de adecvare (SUA — EU-US Data Privacy Framework, valabil din 2023), Standard Contractual Clauses (SCC — Decizia UE 2021/914), reguli corporatiste obligatorii (BCR)
• Obligație de informare: politica trebuie să indice: țările destinatare, mecanismul de transfer, modul în care persoana vizată poate obține o copie a garanțiilor
• Transfer Impact Assessment (TIA): evaluare obligatorie a legislației țării destinatare, pentru a verifica dacă oferă protecție „esențial echivalentă" cu GDPR

• DPO (Data Protection Officer): obligatoriu pentru: autorități publice, operatori care prelucrează date la scară largă, monitorizarea sistematică a persoanelor la scară largă. Opțional, dar recomandat, pentru oricine
• ANSPDCP (Autoritatea Națională): autoritatea de supraveghere din România. Primește plângeri de la persoane vizate, efectuează investigații, aplică amenzi
• Amenzi GDPR: până la 20 milioane EUR sau 4% din cifra de afaceri anuală globală (se aplică cea mai mare). ANSPDCP aplică amenzi efective: în 2023 până la 2025 au fost aplicate sancțiuni de la 2.000 EUR la 150.000 EUR companiilor din România
• Plângerile persoanelor vizate: orice persoană se poate plânge la ANSPDCP dacă consideră că drepturile sale GDPR sunt încălcate. ANSPDCP are obligația de a investiga