E site-ul tău gata de Legea 195/2024? Checklist în 10 puncte

Nu-ți trebuie avocat ca să afli dacă site-ul tău are o problemă. Îți trebuie 15 minute, o fereastră incognito și lista de mai jos.

Contextul, pe scurt: din 23 august 2026, Legea 195/2024 înlocuiește vechea Lege 133/2011 și aduce regulile GDPR la noi. Autoritatea care supraveghează e CNPDCP. Amenzile merg până la 2.000.000 lei sau 2% din cifra de afaceri — aplicate gradual: 10% din cuantum în primul an, 40% în al doilea, 100% din al treilea. Deci nu-i panică. Dar nici nu-i „las' că vedem la anul".

Hai pe puncte.

Partea vizibilă — o verifici singur, acum

1. Bannerul de cookie blochează ceva cu adevărat?

Regula: nimic non-esențial nu se încarcă înainte de consimțământ. Nici Google Analytics, nici Meta Pixel, nici scripturile de remarketing. Standardul tehnic e Google Consent Mode v2, cu tot ce-i non-esențial oprit din start.

Aici pică cele mai multe site-uri din Moldova. Au banner, arată bine, dar nu blochează nimic — apeși „Refuz" și tracking-ul curge mai departe. Un banner decorativ nu-i conformitate. E dovadă scrisă că știai și n-ai făcut.

Testul (5 minute): deschide site-ul în incognito. Refuză tot din banner. Deschide dev tools (F12) → Network. Reîncarcă pagina. Cauți cereri spre googletagmanager.com, google-analytics.com, connect.facebook.net. Dacă apar — ai picat punctul 1.

2. Politica de confidențialitate are temeiuri, nu doar vorbe?

O pagină „Politica de confidențialitate" copiată de pe alt site nu ajunge. Legea cere temeiuri documentate pentru fiecare prelucrare: ce date colectezi, pe ce bază, cât le ții, cui le transmiți.

Testul: citește-ți politica și pune o singură întrebare — „pentru fiecare tip de date, scrie negru pe alb de ce am voie să le prelucrez?" Dacă răspunsul e un paragraf generic despre „respectăm confidențialitatea", ai treabă.

3. Formularele au notă de informare și checkbox separat pentru marketing?

Formularul de contact colectează date personale. Deci lângă el trebuie o notă scurtă de informare și link spre politică. Iar dacă vrei să-i trimiți omului și emailuri de marketing — checkbox separat, ne-bifat din start. Consimțământul pre-bifat nu-i consimțământ.

Testul: deschide formularul de contact. Are notă de informare? Are checkbox de marketing separat? E ne-bifat? Trei de „da" sau ai picat. Detalii pe larg în ghidul despre formulare și consimțământ.

4. Omul își poate retrage consimțământul mai târziu?

Ai apăsat „Accept" luni. Marți te-ai răzgândit. Legea zice că retragerea trebuie să fie la fel de ușoară ca acordarea. Practic: un link sau buton pe site — de regulă în footer — care redeschide preferințele de cookie.

Testul: acceptă cookie-urile, apoi caută pe site cum le refuzi înapoi. Dacă singura cale e să-ți ștergi cookie-urile din browser, ai picat.

5. Consimțământul e granular?

„Accept tot sau nimic" nu mai merge. Omul trebuie să poată alege separat: da la statistici, nu la marketing. Minim două categorii distincte în banner, fiecare cu propriul comutator.

Testul: deschide bannerul. Există opțiuni separate pentru analytics și marketing, sau doar două butoane mari „Accept" / „Refuz"?

6. Linkul din banner duce unde trebuie?

Detaliu mic, greșeală frecventă: „Mai multe detalii" din banner trebuie să ducă la politica de confidențialitate sau la pagina de cookie-uri. Nu la contact, nu la homepage, nu la o pagină 404.

Testul: apasă linkul din banner. Unde ai ajuns?

Partea nevăzută — procese, nu butoane

Astea nu se văd pe site. Dar la un control, primele întrebări sunt despre ele.

7. Ai registrul activităților de prelucrare (RoPA)?

Un document intern care listează ce date prelucrezi, pe ce temei, cât le păstrezi și cui le transmiți. Pentru un business mic cu un site și un formular, nu-i roman — câteva pagini. Dar trebuie să existe și să fie adevărat.

8. Ai DPIA acolo unde riscul e ridicat?

DPIA e o evaluare de impact pentru prelucrările cu risc ridicat — monitorizare la scară largă, date sensibile, profilare. Un site simplu de prezentare rareori ajunge aici. Dar dacă ai camere, date medicale sau profilezi clienți, întreabă-te serios.

9. Ai un proces pentru cererile oamenilor?

Orice persoană îți poate cere: ce date ai despre mine, șterge-le, dă-mi-le într-un format portabil. Întrebarea nu-i „am voie să refuz" — n-ai. Întrebarea e: dacă mâine vine o astfel de cerere pe email, cine o preia, cum găsești datele și în cât timp răspunzi?

Testul: întreabă-te sincer — dacă primesc azi o cerere de ștergere, știu ce fac? Dacă răspunsul e „aș căuta pe Google", punctul e picat.

10. Ai plan pentru breșe — 72 de ore?

Ți-a spart cineva baza de date sau un angajat a trimis lista de clienți cui nu trebuia? Ai 72 de ore să notifici CNPDCP. Trei zile trec repede când nu știi nici ce s-a scurs, nici cine anunță. Planul înseamnă: cine detectează, cine decide, cine notifică, pe ce canal.

Câte puncte ai bifat?

• 8–10: ești peste marea majoritate. Verifică-le periodic, nu-i o bifă unică.
• 4–7: partea vizibilă probabil șchioapătă. Vestea bună: punctele 1–6 se repară tehnic, relativ repede.
• 0–3: normal — așa arată majoritatea site-urilor din Moldova acum. De-asta ai deadline pe 23 august și aplicare graduală: e timp să faci curat, nu să intri în panică.

Cel mai des picat rămâne punctul 1 — bannerul care nu blochează nimic. Dacă vrei să-l înțelegi până la capăt, i-am dedicat un articol separat.

Un ultim lucru, spus cinstit

Checklistul ăsta îți arată unde stai. Nu înlocuiește un avocat. Partea tehnică — banner, formulare, blocarea scripturilor — se rezolvă pe site. Dar temeiurile juridice, registrul și politicile finale merită validate de un jurist specializat în protecția datelor. Asta-i informare generală, nu sfat juridic personalizat — situația ta concretă poate avea particularități pe care doar un avocat le prinde.

Ce poți face fără nimeni, chiar azi: testul de la punctul 1. Incognito, refuz, dev tools. Două minute — și știi deja mai mult despre site-ul tău decât știai azi-dimineață.