Nota de informare pentru clienți: ce trebuie să scrie și unde o pui

În ianuarie 2026, ANSPDCP a anunțat că Money Seeds SRL a primit o amendă de 10.178 de lei pentru încălcarea articolelor 12–14 din GDPR, pe lângă alți 5.000 de lei pentru mesaje comerciale nesolicitate. Plângerea venea de la un om care primea oferte pe email deși ceruse ștergerea datelor, iar autoritatea a constatat și că firma nu a prezentat dovezi că și-a informat complet și corect clienții.

Aici afli ce trebuie să scrie în nota de informare pentru clienți, element cu element, când se aplică articolul 13 și când articolul 14, cum o scrii pe înțelesul oricui, unde o pui (tejghea, formular, programări, site, telefon) și ce greșeli au dus la amenzi.

Important: articolul are caracter informativ și nu constituie consultanță juridică. Pentru situația ta concretă, mai ales la date de sănătate sau la date primite de la alții, discută cu un specialist în protecția datelor.

Pe scurt

• Nota îi spune clientului cine ești, ce faci cu datele lui și pe ce temei, cui le dai, cât le păstrezi și ce drepturi are.

• O dai în momentul în care iei datele (articolul 13). Dacă datele vin de la altcineva, ai cel mult o lună sau până la primul contact cu omul (articolul 14).

• Limbaj simplu, fără „este posibil” și „cât este necesar”: scopuri concrete, temeiul legal pentru fiecare și termene de păstrare reale.

• Pe straturi: un text scurt acolo unde omul îți dă datele (tejghea, formular, telefon) și nota completă la un link, un cod QR sau pe hârtie.

• Păstrează dovada: la un control, tu arăți că ai informat oamenii.

Ce este nota de informare și când o dai

GDPR nu folosește cuvintele „notă de informare” sau „politică de confidențialitate”. Le folosim în practică pentru informațiile pe care articolul 13 și articolul 14 din GDPR te obligă să le dai oamenilor ale căror date le folosești. Diferența dintre cele două articole e de unde vin datele:

• Articolul 13: datele vin chiar de la om. Clienta îți dă telefonul pentru programare. Informarea se dă „în momentul obținerii” datelor, nu după.

• Articolul 14: datele vin de la altcineva. Un coleg face rezervarea pentru toată echipa, un client-firmă îți dă telefonul persoanei de contact, un partener îți trimite o listă. Ai la dispoziție un termen rezonabil, de cel mult o lună, dar dacă îl contactezi pe om, îl informezi cel târziu la primul contact, iar dacă îi dai datele mai departe, cel târziu atunci (articolul 14 alineatul (3)).

Nu o repeți dacă omul o are deja. Articolul 12 alineatul (1) stabilește și forma: „concisă, transparentă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu”, în scris sau prin alte mijloace, inclusiv electronic. Informarea e gratuită.

Ce trebuie să scrie: elementele, unul câte unul

Exemplele sunt pentru Salon Exemplu SRL, un salon fictiv cu programări.

„Temeiul legal” e motivul din articolul 6 al GDPR pentru care ai voie să folosești datele: contractul cu clientul, o obligație din lege, interesul legitim sau consimțământul. Scopurile, destinatarii și termenele le iei din registrul prelucrărilor; nota și registrul trebuie să spună același lucru.

Dacă vrei să folosești datele pentru un scop nou, de exemplu să trimiți oferte clientelor existente, le informezi înainte să începi (articolul 13 alineatul (3)). Pentru ofertele trimise prin email sau SMS se aplică în plus Legea 506/2004, art. 12, care cere acordul prealabil al omului sau, la clienții existenți și pentru produse similare, posibilitatea de a refuza la fiecare mesaj.

Articolul 14 în practică: amenda pentru primul contact

În mai 2025, ANSPDCP a amendat o firmă de cercetare de piață, Data Diggers Market Research SRL, cu 9.954,40 de lei pentru încălcarea articolului 14: nu a dat oamenilor informațiile obligatorii „la momentul primei comunicări” cu ei. La o firmă mică, situația tipică e telefonul dat de un client-firmă sau de cineva care te-a recomandat: în primul apel spui cine ești, de unde ai numărul și unde găsește nota completă.

Cum o scrii: limbaj simplu, după ghidul de transparență

Reperul oficial e Ghidul privind transparența (WP260 rev.01), adoptat de Grupul de lucru „Articolul 29”, organismul autorităților europene de protecție a datelor care a precedat EDPB, și revizuit ultima dată la 11 aprilie 2018. Comitetul European pentru Protecția Datelor (EDPB) l-a preluat la 25 mai 2018, iar ANSPDCP publică versiunea în limba română. Pe scurt:

• Fără formulări vagi. Ghidul cere evitarea expresiilor „este posibil”, „s-ar putea”, „unele”, „deseori” (punctul 13). Exemplu de practică neadecvată, din punctul 12: „Este posibil să utilizăm datele dumneavoastră cu caracter personal pentru a dezvolta produse noi”.

• Separat de contract. Informarea se diferențiază clar de clauzele contractuale și de condițiile generale (punctul 8).

• Pentru cititorul tău. Textul trebuie înțeles de un client obișnuit (punctul 9): diateza activă, liste, fără limbaj prea juridic (punctul 13).

• Tu o dai, nu el o caută. „Furnizează” înseamnă că îi dai omului informația sau îl trimiți activ la ea, prin link direct sau cod QR (punctul 33).

Formulări de evitat și variante clare, după Ghidul privind transparența (WP260 rev.01), punctele 12–13 și 29 și anexa. Exemplele de salon sunt fictive.

Unde o pui: informarea pe straturi

Nimeni nu citește la tejghea o notă de două pagini. Ghidul recomandă informarea „pe straturi” (punctele 35–38), și în magazin sau la telefon, nu doar online. Primul strat, acolo unde omul îți dă datele, spune cine ești, pentru ce folosești datele, că are drepturi, ce l-ar putea surprinde (de exemplu, reamintirile prin SMS) și unde găsește restul. Al doilea strat e nota completă, pe hârtie și la un link. Straturile nu au voie să se contrazică. Pentru o firmă mică, asta înseamnă:

• La tejghea sau la recepție: un afiș cu primul strat și un cod QR, plus nota completă tipărită, pe care o dai la cerere.

• Pe formularul de hârtie (fișa clientului, contractul): primul strat chiar pe formular, deasupra semnăturii, și nota completă pe verso sau ca anexă.

• La programările online: o frază lângă butonul de confirmare și linkul spre notă.

• Pe site: linkul spre notă pe fiecare pagină și un text scurt lângă fiecare formular. Ce faci apoi cu mesajele găsești pe blogul Webspring, în articolul despre datele primite prin formularul de contact.

• La telefon: exemplul e chiar în ghid (punctul 38). Spui primul strat în timpul apelului, apoi trimiți linkul spre nota completă prin SMS sau email.

• Camerele video: semnul de la intrare e primul strat. Ce scrii pe el găsești în articolul despre camerele video în magazin sau cabinet.

Informarea pe straturi la o firmă mică, după Ghidul privind transparența (WP260 rev.01), punctele 35–38. Canalele sunt exemple; alegi doar pe ale tale.

Nota pentru clienți și politica de confidențialitate a site-ului

Multe firme au doar o „politică de confidențialitate” scrisă odată cu site-ul, care descrie formularul, cookie-urile și poate newsletterul. Clienta care vine la salon nu află nimic din ea, iar programările și fișa ei lipsesc din text.

Nu ai nevoie de două documente. Ghidul recomandă ca toate informațiile să fie disponibile și într-un singur loc (punctul 33), deci o singură notă pentru clienți poate acoperi magazinul, programările, site-ul și camerele: o publici pe site ca politică de confidențialitate și o ai tipărită la tejghea, cu fiecare activitate cu clienți din registru. Angajații și candidații primesc note separate, cu scopurile și termenele lor.

Greșeli frecvente și amenzile ANSPDCP

• Nota copiată de la altă firmă. Are alte activități, alți furnizori, uneori alt nume de firmă. Pornește de la registru: fiecare rând cu clienți devine un paragraf în notă. Cum îl completezi găsești în ghidul despre registrul activităților de prelucrare.

• „Ne rezervăm dreptul să modificăm această politică; vă rugăm s-o verificați periodic.” Ghidul privind transparența (punctul 29) consideră asemenea mențiuni „nu numai insuficiente, ci și abuzive”. Schimbările importante (scop nou, alți destinatari, transferuri în afara SEE) le anunți activ, înainte să le aplici.

• Fără termene de păstrare. Anexa ghidului spune că nu e suficient să scrii că datele se păstrează „atâta timp cât este necesar”. Dai termene pe categorii sau criterii clare.

• Fără temei legal sau cu „consimțământul” peste tot. Dacă scrii „consimțământ” la programări, clienta înțelege că îl poate retrage oricând, deși temeiul real e contractul.

• Nota există, dar nu poți dovedi că ai dat-o. Ca la Money Seeds. Articolul 5 alineatul (2) îți cere să poți demonstra că respecți regulile: păstrează versiunile notei, cu data, și o dovadă de primire unde se poate.

Sancțiuni ANSPDCP pentru informare lipsă sau incompletă:

Și când amenda e pentru altceva, autoritatea cere des refacerea informării. În martie 2025, un hotel amendat cu 4.975 de lei după o cerere de acces rezolvată prost (articolele 12, 13 și 15) a primit și măsura de a-și informa complet clienții, „în legătură cu toate activitățile”. Plafonul legal pentru articolele 12–22 e de 20 de milioane de euro sau 4% din cifra de afaceri mondială (articolul 83 alineatul (5)).

Un model de structură pe care îl adaptezi

Primul strat (afiș, formular, frază la telefon), în 4–6 rânduri:

Salon Exemplu SRL folosește numele și telefonul tău ca să-ți facă programarea și să-ți trimită o reamintire prin SMS. Fișa ta se păstrează 2 ani de la ultima programare. Poți cere oricând să vezi, să corectezi sau să ștergi datele, la 0700 000 000 sau date@exemplu.ro, și poți face plângere la ANSPDCP. Nota completă: la recepție sau prin codul QR.

Nota completă, cu titluri-întrebări:

1. Cine suntem și cum ne contactezi (și DPO-ul, dacă ai).

2. Ce date folosim, pentru ce și pe ce temei: un paragraf pe activitate (programări, facturare, site, camere, oferte); de unde le avem, dacă nu de la tine.

3. Cui le dăm: furnizori pe categorii, autorități, contabil.

4. Dacă ajung în afara SEE; cât le păstrăm, pe categorii.

5. Ce date ești obligat să ne dai și ce se întâmplă dacă nu.

6. Drepturile tale și cum le exerciți; retragerea consimțământului; plângerea la ANSPDCP.

7. Data ultimei actualizări și cum te anunțăm de schimbări.

Întrebări frecvente

Nota de informare din registru, cu SmartDPO

În SmartDPO, politica de confidențialitate se generează din registrul prelucrărilor și din datele firmei, în română, și se publică la un link, gata de pus pe site; același link îl poți pune într-un cod QR pe afișul de la tejghea. Când schimbi ceva în registru, aplicația îți spune ce document trebuie regenerat, iar fiecare versiune rămâne în istoric. Vezi documentele pe care le generează aplicația sau pornește de la planul gratuit, care include paginile publice.