GDPR pentru e-commerce: checklist tehnic pentru developer, 2026

GDPR nu e doar privacy policy de copy-paste. Sunt 14 lucruri concrete pe care un developer trebuie să le implementeze ca magazinul dumneavoastră online să fie conform real, nu doar pe hârtie. Iată checklist-ul, fără jargon legal, cu trimiteri la cod unde e relevant.

Cele 14 puncte de implementat tehnic

1. Cookie consent banner cu opt-in granular

Fără «acceptați cookies?» cu un buton mare verde și restul ascuns. Bannerul trebuie să permită utilizatorului să accepte sau să respingă pe categorii: necesare, analytics, marketing, personalizare. Refuzul nu trebuie să fie mai greu decât acceptul.

Tool-uri recomandate: Cookiebot, Iubenda, Osano. Sau implementare custom (~ 1 zi de dev).

2. Cookies de marketing și analytics, încărcate doar după consent

Google Analytics, Meta Pixel, TikTok Pixel: niciunul nu se încarcă în browser până când utilizatorul nu apasă «accept». Verificați în tab-ul Network din DevTools că nu pleacă request-uri către google-analytics.com înainte de consent.

3. Privacy policy actualizat și versionat

Privacy policy nu e document static. Versionat cu data ultimei modificări. Notificare către utilizatori la schimbări semnificative. Listați concret: ce date colectați, de ce, cu cine le împărtășiți, cât timp le păstrați.

4. Data export pentru utilizator (drept la portabilitate)

În cont, buton «descarcă datele mele». Generează ZIP cu toate datele utilizatorului în format machine-readable (JSON sau CSV). Comenzi, adrese, mesaje, preferințe.

5. Data deletion (drept la ștergere / right to be forgotten)

Buton «șterge contul» care chiar șterge datele, nu doar «dezactivează». Excepții legale (date contabile cu retention 5-10 ani conform legii române) se anonimizează: nu se șterg fizic, dar se înlocuiesc identificatorii personali.

6. Data minimization la colectare

Nu colectați telefonul dacă nu-l folosiți. Nu cereți CNP-ul dacă nu emiteți factură fiscală. Câmpurile «opționale» să fie cu adevărat opționale, fără asterisc roșu de obligativitate ascunsă.

7. Encryption la rest pentru date sensibile

Parole: bcrypt cu cost factor 12+. Tokenuri sensibile: encryption AES-256 înainte de a fi stocate în DB. Pentru aplicații FinTech / MedTech, encryption la nivel de coloană în DB.

8. Encryption în tranzit (HTTPS obligatoriu)

HTTPS pe absolut tot, inclusiv pe paginile «statice». HSTS header. Certificat valid (Let's Encrypt e gratuit, nu există scuze). Verificat cu SSL Labs să fie A+.

9. Audit logs pentru acțiuni sensibile

Log când: user-ul își schimbă parola, modifică email, exportă date, șterge cont. Admin-ul accesează date utilizator. Date sensibile sunt modificate. Logurile imutabile (append-only) cu retention configurabil.

10. Data Processing Agreement (DPA) cu sub-procesatori

Folosiți Stripe, AWS, SendGrid, Mailchimp? Toate sunt sub-procesatori conform GDPR. Trebuie listate în privacy policy + DPA semnat cu fiecare.

11. Notificare breach în 72 de ore

Plan scris de incident response. Cine notifică ANSPDCP, cine notifică utilizatorii afectați, ce date includ în notificare. Planul nu așteaptă incidentul: e pregătit dinainte.

12. Server și backup în UE (sau cu adequacy decision)

Server US fără DPF certification = problemă GDPR. AWS EU-Frankfurt, Hetzner Falkenstein, GCP europe-west sunt în regulă. Backup-uri în aceeași zonă.

13. Cookies third-party, minimizate

Embed-urile YouTube, Google Maps și fonturile externe plantează toate cookies third-party. Folosiți versiunile fără cookies (YouTube nocookie, font self-hosted) sau încărcați-le doar după consent.

14. DPO (Data Protection Officer)

Necesar dacă procesați date pe scară mare sau date sensibile. Pentru e-commerce mediu, opțional dar recomandat. Poate fi extern (consultant pe contract).

Penalități reale, nu teoretice

ANSPDCP a aplicat în 2024-2025 amenzi între €5.000 și €100.000 magazinelor online românești pentru: cookie consent prost configurat, lipsă de privacy policy, refuz la cereri de export date. Nu e «problemă teoretică». Aplicarea s-a strâns.

Audit GDPR rapid pentru site-ul dumneavoastră

1. Deschideți site-ul în incognito. Apăsați DevTools > Network. Vedeți câte request-uri pleacă spre alte domenii înainte de consent. Dacă vedeți google-analytics, facebook sau doubleclick, site-ul nu e conform.
2. Căutați «privacy policy» sau «politică de confidențialitate». Verificați data ultimei actualizări. Dacă e mai veche de 12 luni, e aproape sigur învechită.
3. Înregistrați un cont de test. Căutați «descarcă datele mele» și «șterge contul». Dacă lipsesc, aveți o problemă.
4. Verificați în privacy policy că sunt listați sub-procesatorii (Stripe, AWS etc.). Lipsă = problemă.