Formularele de pe site și Legea 195/2024: ce trebuie să conțină ca să nu ai probleme

Ai un formular de contact pe site? Felicitări — ești operator de date personale.

Nu glumesc. Nume, telefon, email — astea-s date personale. Din momentul în care omul apasă „Trimite", tu le prelucrezi. Iar din 23 august 2026, prelucrarea asta e reglementată de Legea 195/2024 — versiunea moldovenească a GDPR-ului european.

Vestea bună: un formular conform nu-i complicat. Trebuie doar să știi ce-i lipsește celui de acum.

De ce formularul tău intră sub lege

Legea se aplică oricărui business din Moldova care prelucrează date ale persoanelor. Nu doar celor cu clienți din UE. Nu doar magazinelor mari.

Iar formularul e exact locul unde colectezi date: contact, cerere de ofertă, programare, comandă, abonare la noutăți. Fiecare din ele = o prelucrare de date. Fiecare prelucrare are nevoie de un temei și de informare corectă.

Autoritatea care supraveghează e CNPDCP — Centrul Național pentru Protecția Datelor. Iar încălcările pe consimțământ și pe drepturile persoanelor sunt în tier-ul maxim: până la 2.000.000 lei sau 2% din cifra de afaceri, care e mai mare.

Ce trebuie să aibă un formular conform

Patru piese. Le iei pe rând.

1. Nota de informare

Un text scurt, vizibil lângă formular, care spune omului:

• cine ești — numele firmei, nu „noi";
• ce faci cu datele — „te contactăm ca să-ți răspundem la cerere";
• cât le ții — o perioadă concretă, nu „cât e nevoie".

Două-trei fraze. Atât. Nu-i nevoie de roman juridic deasupra butonului — pentru detalii există politica de confidențialitate.

2. Link la politica de confidențialitate

Nota scurtă trimite spre versiunea completă. Linkul stă lângă formular, iar politica descrie tot: temeiuri, destinatari, drepturi, contact.

Atenție: politica singură nu ajunge. Dacă ai politică frumoasă dar formularul nu informează pe nimeni de nimic, tot neconform ești.

3. Checkbox de marketing — separat și ne-pre-bifat

Aici pică cei mai mulți. Regulile-s simple:

• Separat. O bifă pentru newsletter, alta pentru orice altă prelucrare opțională. Nu una singură „sunt de acord cu tot".
• Ne-pre-bifat. Dacă bifa-i pusă din start, consimțământul nu e valabil. Punct.
• Opțional. Omul trebuie să poată trimite cererea de ofertă FĂRĂ să accepte marketingul. Dacă legi una de alta, consimțământul nu mai e liber.

4. Temeiul juridic corect — nuanța pe care o ratează toți

Aici e partea pe care puțini o înțeleg: consimțământul NU e temeiul universal.

Dacă omul îți completează formularul ca să ceară o ofertă sau o programare, tu nu prelucrezi datele lui pentru că „a bifat că-i de acord". Le prelucrezi pentru că el ți-a cerut ceva — ăsta-i un demers înainte de contract. Temeiul e relația precontractuală, nu consimțământul.

Ce înseamnă practic: pe formularul de cerere de ofertă nu-ți trebuie checkbox de consimțământ pentru a-i răspunde omului. Îți trebuie doar nota de informare.

Consimțământul intră în joc pentru ce e în plus față de cererea lui: newsletter, oferte viitoare pe email, remarketing. Pentru astea — da, checkbox separat, ne-pre-bifat.

De ce contează diferența? Pentru că un checkbox pus aiurea „de siguranță" te încurcă: dacă tot ce faci stă pe consimțământ, omul îl poate retrage oricând — și rămâi fără temei chiar și pentru lucruri pe care le-ai fi putut face legal pe alt temei. Temeiul corect per prelucrare nu-i birocrație. E ce te ține în picioare.

Ce se întâmplă cu datele după submit

Formularul e doar ușa. Legea se uită și la ce-i după ea.

Datele pleacă din formular spre CRM, spre inbox, poate spre un tool de email marketing. Fiecare oprire din traseul ăsta trebuie documentată în registrul activităților de prelucrare: ce date colectezi, pe ce temei, cât le ții, cine le primește.

Și încă ceva: dacă datele ajung la terți — platforma de email, CRM-ul din cloud, orice serviciu extern — omul trebuie să afle asta din politica ta. Un formular care trimite pe tăcute date către servicii nemenționate nicăieri e o problemă, nu un detaliu. Restul obligațiilor de operator le-am descris în ghidul despre registru și obligații.

Drepturile omului care a completat formularul

Persoana care ți-a lăsat datele are drepturi concrete:

• Acces — „ce date aveți despre mine?"
• Ștergere — „ștergeți-mă din baza voastră."
• Portabilitate — „dați-mi datele mele într-un format pe care-l pot lua cu mine."

Legea nu cere doar să recunoști drepturile astea pe hârtie. Cere să ai un proces prin care răspunzi la cereri: cine primește cererea, cine o rezolvă, în cât timp. Dacă azi cineva îți scrie „ștergeți-mi datele" și nimeni din firmă nu știe ce face cu emailul ăla — n-ai proces.

Greșelile pe care le vedem cel mai des

1. Checkbox pre-bifat. Cel mai frecvent și cel mai clar invalid. Consimțământul dat „din oficiu" nu există.
2. Consimțământ la grămadă. O singură bifă pentru „termeni, condiții, marketing și tot restul". Fiecare scop separat cere bifa lui.
3. Lipsa notei de informare. Formular gol-goluț: nume, telefon, „Trimite". Omul nu află nimic despre ce se întâmplă cu datele lui.
4. Terți nemenționați. Datele curg spre CRM, email marketing, servicii externe — iar politica nu pomenește pe niciunul.

Dacă te-ai regăsit în măcar una — nu ești singur. Majoritatea site-urilor din Moldova arată exact așa. Diferența e că până acum nu era nimeni să se uite. De acum e.

De unde începi

Deschide site-ul tău. Găsește fiecare formular. Pentru fiecare, întreabă-te:

1. Are notă de informare și link la politică?
2. Marketingul are bifă separată, ne-pre-bifată?
3. Știi pe ce temei prelucrezi fiecare tip de date?
4. Poți spune, negru pe alb, unde ajung datele după submit?
5. Ai un proces pentru cererile de acces și ștergere?

Cinci întrebări. Unde răspunsul e „nu" — acolo-i treaba de făcut. Iar lista completă pentru tot site-ul, nu doar formulare, o găsești în checklist-ul de conformitate.

Un lucru la final, spus direct: articolul ăsta e informare generală, nu sfat juridic. Partea tehnică — formulare, note, procese — o rezolvi cu cine îți face site-ul. Validarea finală a temeiurilor și a politicilor o face un avocat. Așa e corect și așa dormi liniștit.