Ce trebuie să faci pentru GDPR într-o afacere de servicii

Pentru GDPR, o afacere de servicii are de făcut câteva lucruri concrete: strângi doar datele pe care chiar le folosești, îi spui clientului ce faci cu ele, ceri acord separat pentru mesajele cu oferte și hotărăști cât le păstrezi și cine le vede. Mai știi dinainte ce faci la o cerere de ștergere sau la un telefon pierdut. Nu e un sfat juridic, iar cazul tău exact îl verifici cu un jurist.

Pe scurt

• Ce date nu folosești nu le ceri.
• Reamintirea unei programări ține de serviciul cerut. Pentru oferte, regula de bază e acordul dat dinainte.
• La o cerere de ștergere ai, de regulă, o lună să răspunzi. Facturile le păstrezi.
• La o scurgere de date cu risc pentru oameni, anunți autoritatea în cel mult 72 de ore.

Duminică, 23:10. Cobori dintr-un taxi și îți dai seama că telefonul afacerii a rămas pe bancheta din spate. Pe el sunt WhatsApp-ul cu patru sute de clienți, agenda și emailul, iar codul de deblocare era 1111, ca să-l știe și colegele. Luni te întrebi pe cine anunți. Răspunsul e mai jos, dar e mai bine să-l citești înainte de taxi.

Ce date strângi și de ce ai nevoie de fiecare?

GDPR, adică Regulamentul (UE) 2016/679, cere la art. 5 să strângi doar datele necesare scopului. Art. 6 spune că orice folosire a datelor are nevoie de un temei: un contract cu omul, o obligație legală, acordul lui sau un interes legitim al tău, cântărit față de drepturile lui (textul oficial pe EUR-Lex, verificat 15.10.2026). Pe înțeles, fiecare rubrică din formular are nevoie de un motiv.

Ce ceri	La ce îți folosește	Temeiul probabil, de confirmat cu juristul
Numele și telefonul	Programarea și anunțul, dacă se schimbă ceva	Contractul, adică serviciul cerut
Datele de facturare	Factura	Obligația legală
Alergii, contraindicații, istoric medical	Siguranța procedurii	Date de sănătate, categorie specială (art. 9). Doar dacă procedura le cere
Data nașterii	O felicitare de ziua lui	Acordul lui. Ziua și luna ajung
Poze înainte și după, pentru Instagram	Promovarea	Acordul lui, cerut separat
CNP, serie de buletin	De obicei, la nimic	Dacă nu ți-l cere o lege, nu-l ceri

Despre datele de sănătate dintr-un salon am scris separat, în articolul despre fișa clientei și consimțământul online.

Ce trebuie să afle clientul?

Art. 13 cere ca omul să afle, chiar când îi iei datele, cine ești, de ce îi folosești datele și pe ce temei, cui le dai mai departe, cât le păstrezi, ce drepturi are și că se poate plânge la autoritatea de protecție a datelor, ANSPDCP. Practic, e o pagină pe site, pe înțelesul clientului, cu linkul în formularul de programare și în confirmare, scrisă sau verificată de un jurist pornind de la tabelul de mai sus.

Când îți trebuie acordul pentru mesaje?

Confirmarea, reamintirea sau mutarea unei programări țin de serviciul cerut de client. Ofertele, reducerile de Black Friday sau „avem loc liber mâine, profitați” sunt comunicări comerciale.

Legea 506/2004, la art. 12, interzice comunicările comerciale prin poștă electronică fără consimțământul expres dat dinainte de cel care le primește. Legea definește poșta electronică larg, ca orice mesaj text, voce, sunet sau imagine trimis printr-o rețea publică, deci intră aici și SMS-ul. Excepția e pentru email: adresa primită de la un client, la o vânzare, o poți folosi pentru servicii asemănătoare ale tale, dacă i-ai dat atunci și în fiecare mesaj posibilitatea să refuze (legislatie.just.ro, Legea 506/2004, forma consolidată din 8.10.2024, verificat 15.10.2026). Pentru WhatsApp, varianta prudentă e să ai acordul. Unde nu e clar dacă un mesaj e comercial, întrebi juristul.

Acordul se cere cu o bifă separată, nebifată dinainte, și se păstrează cu data la care a fost dat. Când omul spune „nu mai vreau”, te oprești: GDPR, la art. 21, îi dă dreptul să se opună oricând marketingului direct. În august 2026, ANSPDCP a amendat cu aproximativ 2.000 de euro o firmă care a continuat să sune și să trimită SMS-uri unui om care se opusese, a doua amendă a ei în același an pentru același motiv (StartupCafe, 8.09.2026, după comunicatul ANSPDCP, verificat 15.10.2026). Pentru felicitările de sărbători, vezi mesajul de Crăciun pentru clienți.

Cât păstrezi datele și cine are acces la ele?

Cât timp. GDPR nu dă un număr de ani pentru clienții unui salon sau ai unui service. Cere doar să nu păstrezi datele mai mult decât e necesar (art. 5 alin. (1) lit. e)). Pentru facturi, termenul ți-l spune contabilul, după legea contabilității. Pentru restul, stabilești un termen, îl verifici cu juristul și îl treci în pagina de informare.

Cine din echipă. Fiecare om vede doar ce îi trebuie: recepția are nevoie de agendă, iar fișa cu alergiile n-o privește. Când cineva pleacă, îi oprești accesul în aceeași zi.

Cine din afară. Programul de programări, contabilul și firma care îți găzduiește site-ul lucrează cu datele clienților în numele tău. Art. 28 cere un contract cu fiecare, numit de obicei acord de prelucrare a datelor. La programele mari, el stă în termenii de utilizare.

Ce faci când un client cere să-i ștergi datele?

Art. 17 îi dă omului dreptul să ceară ștergerea, de exemplu când datele nu mai sunt necesare sau când își retrage acordul. Art. 12 alin. (3) îți dă o lună să răspunzi, gratuit, cu prelungire de încă două luni la cererile complicate, dacă îi spui asta în prima lună. Ștergerea are excepții, de exemplu facturile, pe care legea te obligă să le păstrezi.

Verifici că cererea vine chiar de la omul respectiv, îi cauți datele peste tot, ștergi ce nu ai obligația să păstrezi și îi răspunzi în scris ce a rămas și de ce. Notezi data.

Partea grea e căutarea. Fă o probă acum, cu un client oarecare: caută-l în agendă, în WhatsApp, în email, în contactele telefonului, în tabele, în caietul de la recepție și în galeria cu poze. Câte locuri găsești, atâtea ai de curățat la fiecare cerere.

Ce faci dacă se pierde telefonul sau un email pleacă greșit?

Încălcarea securității datelor înseamnă că datele ajung unde nu trebuie, se pierd sau se strică: telefonul uitat în taxi, emailul trimis tuturor clienților cu adresele la vedere, în CC, sau o fostă colegă care încă intră în agendă.

Art. 33 cere să anunți autoritatea fără întârziere și, dacă se poate, în cel mult 72 de ore de când ai aflat, afară de cazul în care riscul pentru oameni e puțin probabil. Dacă riscul e ridicat, art. 34 cere să-i anunți și pe clienții afectați. Orice incident îl notezi, chiar și pe cel pe care nu-l raportezi (art. 33 alin. (5)). Notificarea se face online, la Notificare breșă RGPD, pe site-ul ANSPDCP (verificat 15.10.2026).

Propunerea europeană numită Digital Omnibus ar duce termenul la 96 de ore, dar la 15 octombrie 2026 aștepta încă votul în comisiile Parlamentului European (fișa procedurii 2025/0360(COD), verificat 15.10.2026). Până se schimbă legea, rămân 72 de ore.

Pentru telefonul din taxi: îl blochezi sau îl ștergi de la distanță, schimbi parolele de la email și de la agendă, notezi ce s-a întâmplat și hotărăști cu juristul dacă notifici.

WhatsApp și telefonul personal: unde e riscul?

Datele clienților stau de obicei pe telefon. Trei reguli ajută mult:

• Telefonul afacerii are cod de deblocare și ștergerea de la distanță pornită.
• Afacerea are numărul ei de WhatsApp, ca la plecarea cuiva conversațiile să rămână la ea.
• Pozele, fișele și buletinele clienților nu stau în galeria personală și nici în grupul echipei, iar ce ține de sănătate nu se cere și nu se trimite pe WhatsApp.

Pentru cabinete și clinici am scris separat despre mesajele pacienților pe WhatsApp.

Ce nu rezolvă un program?

Niciun program nu te face conform cu GDPR. Pagina de informare, termenele și decizia de a notifica rămân la tine și la jurist. Un sistem poate doar să adune datele clienților într-un singur loc, cu acces stabilit pe oameni și cu acordurile trecute la fiecare client, cu data lor, ca o cerere de ștergere să însemne un singur loc de căutat. Așa lucrează evidența clienților la noi, cu datele stocate în Uniunea Europeană, la Frankfurt. Pornirea e de la 3.499 RON, plus 749 RON pe lună, cu detaliile pe pachete. Dacă vrei să vedem împreună unde stau acum datele clienților tăi, programează discuția gratuită.

Întrebări frecvente

Ce trebuie să faci pentru GDPR într-o afacere de servicii?

Strângi doar datele de care ai nevoie, îi spui clientului ce faci cu ele, ceri acord pentru oferte și stabilești cât le păstrezi. Cazul tău îl verifici cu un jurist.

Am nevoie de acord ca să trimit reamintiri de programare?

De regulă, nu: reamintirea ține de serviciul cerut. Ofertele și reducerile sunt comunicări comerciale, pentru care legea cere acordul dat dinainte (Legea 506/2004, art. 12).

În cât timp răspund la o cerere de ștergere a datelor?

În cel mult o lună, gratuit, cu prelungire de două luni la cererile complicate, dacă îi spui omului asta din prima lună.

Trebuie să anunț dacă pierd telefonul cu datele clienților?

Dacă există un risc pentru clienți, anunți ANSPDCP în cel mult 72 de ore de când ai aflat. Incidentul îl notezi oricum.