GDPR pentru firme mici: ce trebuie să faci concret (nu teoria)

GDPR se aplică și firmelor mici? Da.

Dacă ai măcar un client, un angajat sau un formular de contact pe site — procesezi date personale. GDPR se aplică. Dar vestea bună: pentru o firmă mică, conformitatea nu e complicată dacă știi ce contează.

Ce trebuie să faci concret

1. Registrul de prelucrare a datelor

Un document simplu (poate fi Excel) unde notezi: ce date colectezi, de la cine, de ce, unde le stochezi, cât timp le păstrezi. Nu trebuie să fie sofisticat — trebuie să existe.

2. Politica de confidențialitate pe site

Pagina pe site care explică vizitatorilor ce date colectezi, cum le folosești, cui le transmiți. Obligatorie dacă ai site. Template-uri gratuite există peste tot.

3. Acordul de prelucrare cu furnizorii

Dacă folosești servicii care procesează date în numele tău (email marketing, CRM, contabilitate cloud), trebuie un acord de prelucrare (DPA) cu fiecare. Majoritatea furnizorilor îl au deja pregătit — trebuie doar semnat.

4. Consimțământul explicit

Newsletter, cookie-uri de marketing, formulare de contact — ai nevoie de consimțământ explicit (checkbox nebifat implicit, text clar). „Prin utilizarea site-ului acceptați..." NU e valid.

Ce poți ignora (ca firmă mică)

• DPO (responsabil protecția datelor) — obligatoriu doar pentru autorități publice sau firme care procesează date sensibile la scară largă
• Evaluarea de impact (DPIA) — doar dacă procesezi date sensibile sau monitorizezi sistematic persoane
• Notificarea ANSPDCP — nu mai e obligatorie înregistrarea ca operator (a fost eliminată)

Amenzi GDPR — risc real sau sperietoare?

Amenzile maxime (20 milioane EUR sau 4% din CA) sunt pentru giganți tech. Pentru firme mici, ANSPDCP aplică de regulă avertismente sau amenzi de 2.000-10.000 EUR. Dar chiar și 2.000 EUR doare la o firmă cu 3 angajați.

Am primit o cerere de ștergere date. Ce fac?

Răspunzi în maxim 30 de zile. Ștergi datele din toate sistemele (inclusiv backup-uri, dacă e fezabil). Poți refuza doar dacă ai o obligație legală de păstrare (ex: facturi — 10 ani). Documentează cererea și răspunsul.

Trebuie să am cookie banner pe site?

Dacă folosești doar cookie-uri esențiale (sesiune, autentificare) — nu. Dacă ai Google Analytics, Facebook Pixel sau orice tracking — da, ai nevoie de banner cu opțiune reală de refuz.