72% dintre site-urile cu formular nu spun ce se întâmplă cu datele: ce cere GDPR

Pe scurt

De ce am făcut studiul

E al patrulea dintr-o serie de șase, toate din aceeași verificare a 2.000 de firme. Primul, despre cookie-urile puse fără acord, descrie pe larg cum am ales firmele și cum am verificat site-urile. Celelalte sunt despre pictograma ANPC și despre datele firmei pe site.

Formularul de contact e locul în care un site strânge date personale aproape sigur: oricine îl folosește își scrie numele și o cale prin care să fie găsit. Ne-a interesat dacă firmele spun, acolo, ce fac cu ele. E și o greșeală pe care o vedem des la firmele care ne cer site-uri: politica de confidențialitate există, copiată de undeva, dar formularul nu trimite la ea.

Metoda

Cine a făcut studiul și cine l-a plătit

Studiul l-a făcut și l-a plătit DEVICOM TECH SRL, firma care publică acest blog. Nu l-a comandat nimeni altcineva. Facem site-uri pentru firme, așa că avem nevoie să știm cum arată piața de fapt: ce se greșește cel mai des, ce lipsește și de unde pornesc firmele cu care lucrăm. Programul care a deschis site-urile l-am scris cu ajutorul unui asistent AI; regulile lui le-am verificat de mână, pe site-uri reale.

Populația și eșantionul

Din cele 4.478 de firme active care și-au declarat un site la Registrul Comerțului, am tras la sorți 2.000. 1.025 de site-uri au putut fi verificate complet; detaliile sunt în metoda primului studiu. Dintre ele, 676 (66,0%) aveau cel puțin un formular pe prima pagină sau pe pagina de contact. Pe ele sunt calculate cifrele de mai jos, în afară de cele marcate altfel.

Ce am verificat

Pe fiecare site, deschis ca de un vizitator nou, pe telefon, am citit formularele de pe prima pagină și de pe pagina de contact. Am numărat ca formular orice formular cu un câmp de e-mail, de telefon sau de mesaj, deci și formularele de abonare la newsletter. Apoi:

• formularul informează, dacă în textul lui apare o trimitere la GDPR, la datele personale, la confidențialitate sau la prelucrarea datelor, ori dacă are o legătură spre politica de confidențialitate;
• site-ul are politică, dacă prima pagină are o legătură spre o politică de confidențialitate;
• bifă bifată dinainte, dacă formularul are o căsuță deja bifată când se deschide pagina.

Un site cu două formulare, dintre care unul informează și altul nu, a intrat la „fără informare”: omul care îl folosește pe al doilea nu află nimic. Am verificat de mână 5 site-uri numărate „fără informare”, căutând și în jurul formularului, nu doar în el. Niciunul nu avea informarea alături. E o verificare mică și o spunem ca atare.

Cât de precise sunt cifrele

Am calculat marja de eroare cu metoda Wilson, la 95%: dacă am repeta tragerea la sorți de multe ori, în 95 din 100 de cazuri cifra adevărată ar cădea în intervalul de mai jos.

Cifrele nu sunt ponderate. Concluzia rezistă la marjă: chiar la limita de jos, aproape 69% dintre site-urile cu formular au cel puțin unul care nu informează.

Ce am găsit

Două din trei site-uri de firme au un formular, deci strâng date personale. Dintre ele, aproape trei din patru lasă cel puțin un formular fără niciun cuvânt despre ce se întâmplă cu datele. La 193 de site-uri nu există nici măcar o politică de confidențialitate legată de pe prima pagină: omul nu are de unde afla.

Bifele bifate dinainte sunt rare: 15 site-uri, adică 2,2%. Aproape toate firmele care pun o căsuță o lasă goală, cum trebuie.

Politica există, dar nu la formular

Cel mai frecvent caz nu e lipsa totală, ci jumătatea de drum: 295 de site-uri, adică 43,6%, au o politică de confidențialitate legată de pe prima pagină, dar formularul nu trimite la ea și nu spune nimic. Firma a făcut efortul să aibă documentul, dar el nu ajunge la om în momentul în care contează.

Pentru firmele din grupul din mijloc, reparația e cea mai ieftină din tot studiul: textul există deja, lipsește doar un rând cu legătura spre el, pus lângă buton.

Pe domenii și pe mărimi

Intervalele se suprapun aproape complet, deci domeniul nu face o diferență pe care s-o putem demonstra. Industria prelucrătoare are cifra cea mai mică (62,5%), dar și intervalul ei se atinge cu al celorlalte. Problema e a tuturor, nu a unei bresle.

Firmele cu peste 10 milioane de lei cifră de afaceri informează ceva mai des: 64,3% fără informare, față de 74-75% la celelalte. E o tendință, nu o certitudine: intervalele (56,9-71,1% și 69,6-80,2% la cele mai mici) se suprapun puțin. Și chiar la firmele mari, aproape două din trei au un formular care nu spune nimic despre date.

Ce spune legea

Informarea, în momentul în care datele sunt luate

Alineatul (2) al aceluiași articol adaugă, tot „în momentul în care datele cu caracter personal sunt obținute”, perioada de păstrare și drepturile omului. De aceea un rând scurt la formular, cu legătură spre o politică completă, e soluția obișnuită: rândul spune esențialul, politica restul.

Cum trebuie să arate informarea

Bifa: nu e obligatorie, dar nici nu poate fi bifată dinainte

GDPR nu cere o căsuță de bifat la un formular de contact. Cere informarea de mai sus. Căsuța contează doar dacă firma cere consimțământul pentru ceva, de exemplu pentru newsletter, iar atunci nu poate fi bifată din oficiu:

Cui i se aplică

Oricărei firme care primește date personale prin formular: numele și adresa de e-mail ale unui om sunt date personale, indiferent dacă omul scrie în nume propriu sau din partea firmei lui. În România, autoritatea care controlează e ANSPDCP.

Articolul descrie ce se vede pe site-uri și ce spun textele oficiale. Nu e consultanță juridică, iar pentru un caz anume întreabă un avocat.

Cum se compară

Nu am găsit altă măsurătoare publică, pe un eșantion aleator, a informării de la formularele site-urilor din România. Verificarea noastră mai veche, pe 25 de site-uri, descrisă în ce trebuie să aibă legal site-ul unei firme, a numărat altceva: căsuța de acord, care nu e obligatorie. Cele două cifre nu se pot compara.

Tot despre formulare, dar din alt unghi, e experimentul cu 12 cereri de ofertă: acolo am măsurat dacă cineva răspunde, nu ce se spune despre date.

Limitele studiului

• Doar textul din formular. Un rând de informare pus lângă formular, dar în afara lui în codul paginii, n-a fost numărat. Verificarea de mână pe 5 site-uri n-a găsit niciun caz, dar 5 e puțin. Cifra reală poate fi ceva mai mică.
• Două pagini. Am citit formularele de pe prima pagină și de pe pagina de contact. Formularele de pe alte pagini (o pagină de ofertă, de exemplu) n-au intrat.
• Prezența, nu conținutul. Am verificat dacă există o trimitere la date, nu dacă textul ei e complet sau corect. Iar politica am căutat-o doar ca legătură de pe prima pagină.
• Și formularele de newsletter au intrat, fiindcă și ele strâng o adresă de e-mail.
• Doar firmele cu site declarat la Registru, într-o singură zi, 30 septembrie 2026.

Ce recomandăm

1. Pune un rând sub butonul de trimitere, de felul: „Datele tale le primește [firma], ca să-ți răspundă. Detalii în politica de confidențialitate.”, cu legătură spre ea.
2. Fă-l la fiecare formular, inclusiv la cel de newsletter și la cele de pe alte pagini.
3. Verifică politica de confidențialitate: să fie a firmei tale, să spună cât timp ții mesajele și cine le primește (de exemplu, furnizorul de e-mail).
4. Nu pune bifă dacă nu ceri consimțământ. Dacă pui una, pentru newsletter, las-o goală.

Cum îți verifici singur site-ul

Deschide pe telefon pagina de contact și uită-te la formular, până la buton. Dacă în jurul lui scrie cine primește datele și există o legătură spre politica de confidențialitate, e în regulă. Apoi apasă legătura și vezi dacă politica e chiar a firmei tale, cu numele ei, nu a altcuiva.

Întrebări frecvente

Ce cere GDPR la un formular de contact pe site?

Articolul 13 din GDPR cere ca omul să primească informațiile despre prelucrare în momentul în care își lasă datele: cine e operatorul și cum îl contactează, în ce scop și pe ce temei se prelucrează datele, cine le primește. În practică: un rând scurt lângă butonul de trimitere, cu legătură spre politica de confidențialitate.

Este obligatorie bifa GDPR la formularul de contact?

Nu. GDPR cere informarea, nu o căsuță de bifat. Consimțământul e doar unul dintre temeiurile din art. 6 alin. (1); altul, la lit. b), e prelucrarea necesară „pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract”, cum e o cerere de ofertă. Dacă pui totuși o căsuță, de exemplu pentru newsletter, ea nu are voie să fie bifată dinainte: considerentul 32 din GDPR spune că o căsuță bifată în prealabil nu e consimțământ.

Ajunge să am politică de confidențialitate pe site?

Nu ajunge singură. Articolul 13 cere informarea în momentul obținerii datelor, deci la formular. O politică pusă doar în subsolul site-ului, fără nicio trimitere lângă formular, nu ajunge la om atunci când își scrie datele. În studiul nostru, 43,6% dintre site-urile cu formular erau exact în situația asta.

Ce trebuie să scrie în informarea de la formular?

Pe scurt: cine primește datele (firma), de ce (ca să răspundă la mesaj), și unde se află restul informațiilor (legătura spre politica de confidențialitate). Politica completează cu restul cerut de art. 13: temeiul, cât timp se păstrează datele, cui ajung și ce drepturi are omul.

Unde găsesc textul GDPR în limba română?

ANSPDCP, autoritatea română pentru protecția datelor, publică textul regulamentului în limba română pe dataprotection.ro. Același text e și pe EUR-Lex, portalul legislației europene.

Dacă vrei să mă uit eu

Îți verific site-ul gratuit, pe aceleași criterii ca în studiu: fiecare formular, ce spune despre date și dacă politica de confidențialitate se potrivește cu ce face site-ul. Scrie-mi din pagina de contact, cu adresa site-ului.

Întrebări despre metodă sau despre cifre: mihai@devicom.ro. Nu publicăm rezultatele pe site-uri individuale, ca să nu numim firme.