Un scenariu tot mai des întâlnit în România: o firmă comandă un site la o agenție, plătește, primește site-ul „la cheie”, iar după câteva luni descoperă că bannerul de cookie-uri nu blochează nimic până la consimțământ sau că lipsește cu totul. Întrebarea care apare imediat este cine răspunde în fața ANSPDCP și a clienților finali: firma al cărei nume apare pe site sau agenția care l-a construit? Răspunsul scurt este că, de regulă, răspunderea principală rămâne la firma care deține site-ul, dar agenția nu este scutită automat, iar contractul dintre cele două părți face diferența între o situație clară și un litigiu prelungit.
Operator sau împuternicit: rolurile care decid răspunderea
Regulamentul general privind protecția datelor (GDPR) lucrează cu două roluri principale. Operatorul este entitatea care stabilește scopurile și mijloacele prelucrării datelor. Persoana împuternicită prelucrează datele în numele operatorului, pe baza instrucțiunilor acestuia. Definițiile complete se găsesc în textul oficial al Regulamentului (UE) 2016/679, la articolul 4, iar obligațiile fiecărui rol sunt detaliate în articolele 24 și 28.
Aplicat la un site de prezentare sau la un magazin online, firma care deține site-ul este aproape întotdeauna operatorul: ea decide că vrea Google Analytics, pixel de Facebook, chat online sau un sistem de remarketing. Agenția care instalează aceste instrumente acționează, de obicei, ca împuternicit sau ca simplu furnizor de servicii tehnice, în funcție de cât de mult decide singură.
Consecința practică este că obligația de a obține un consimțământ valabil pentru cookie-urile neesențiale cade pe operator. Faptul că agenția a uitat să configureze blocarea scripturilor nu transferă răspunderea legală față de autoritate. În schimb, operatorul poate întoarce prejudiciul către agenție pe cale contractuală, dacă are pe ce să se bazeze.
Când agenția devine ea însăși operator
Există situații în care agenția nu mai este doar executant. Dacă agenția instalează din proprie inițiativă un tag de tracking pentru a-și măsura propriile campanii, dacă folosește datele vizitatorilor de pe site-ul clientului pentru a construi audiențe reutilizate la alți clienți sau dacă decide singură ce instrumente de marketing se încarcă, ea stabilește scopuri proprii și devine operator (sau operator asociat) pentru acele prelucrări. În acest caz, răspunderea directă față de autoritate se împarte.
Este un punct pe care multe agenții din România îl trec cu vederea: template-urile refolosite de la un proiect la altul vin adesea cu scripturi „moștenite” pe care nimeni nu le mai verifică. Un audit rapid al codului, înainte de livrare, evită exact acest tip de expunere.
Ce ar trebui să conțină contractul cu agenția
Cele mai multe contracte de dezvoltare web tratează conformitatea într-o frază generică de tipul „site-ul va respecta legislația în vigoare”. Formularea sună liniștitor, dar nu spune nimic despre cine face ce. Un contract util ar trebui să acopere cel puțin următoarele:
- Acordul de prelucrare a datelor (DPA), obligatoriu conform articolului 28 din GDPR atunci când agenția are acces la date personale (formulare, conturi de utilizator, comenzi, loguri).
- Livrabile explicite pentru cookie-uri: banner de consimțământ, blocarea scripturilor înainte de acceptare, politică de cookie-uri, jurnal al consimțămintelor, posibilitatea de retragere.
- Inventarul instrumentelor terțe instalate la livrare, cu mențiunea că orice adăugare ulterioară necesită acordul scris al clientului.
- Responsabilitatea pentru mentenanță: cine verifică periodic dacă au apărut cookie-uri noi după actualizări de pluginuri sau campanii.
- Clauze de răspundere și despăgubire pentru cazul în care neconformitatea este cauzată de o eroare a agenției.
- Procedura la incident: în cât timp anunță agenția clientul dacă descoperă o problemă și cine comunică cu autoritatea.
Fără aceste elemente, clientul care primește o sancțiune rămâne cu o singură cale: să demonstreze în instanță că agenția a executat defectuos, ceea ce este costisitor și incert.
Conformitatea cookie ca serviciu recurent
Tot mai multe agenții din România au înțeles că un site „conform la livrare” nu rămâne conform de la sine. Un plugin de WordPress actualizat, o campanie nouă de remarketing sau un widget de chat adăugat de un angajat al clientului pot introduce cookie-uri noi peste noapte. De aceea, unele agenții oferă conformitatea cookie ca serviciu lunar, alături de mentenanță și hosting.
Modelul funcționează bine când este descris clar: agenția scanează periodic site-ul, actualizează declarația de cookie-uri, verifică bannerul și păstrează dovezile consimțământului. Clientul rămâne operator, dar externalizează partea operațională către un partener care are instrumente și procese pentru asta. Important este ca abonamentul să nu fie vândut ca „garanție de conformitate”, ci ca serviciu de monitorizare și întreținere, pentru că deciziile despre ce instrumente se folosesc rămân la client.
Cum gestionezi zeci de site-uri de clienți fără haos
Pentru o agenție cu 30, 50 sau 100 de site-uri în portofoliu, verificarea manuală devine imposibilă. Câteva practici care s-au dovedit utile:
- Un singur punct de administrare. Platformele de consimțământ cu funcții dedicate agențiilor permit administrarea tuturor domeniilor dintr-un singur cont, cu scanări automate și rapoarte per client. Un exemplu de resursă în acest sens este pagina dedicată gestionarea consimțământului pentru mai mulți clienți, care descrie cum poate fi organizat acest tip de flux.
- Un șablon de configurare aprobat intern, aplicat la fiecare proiect nou, astfel încât bannerul, categoriile de cookie-uri și textele să fie consistente.
- Un registru per client cu instrumentele terțe instalate, data ultimei scanări și persoana de contact de la client care aprobă modificările.
- Alerte la schimbări: dacă scanarea detectează cookie-uri noi, cineva din agenție trebuie să afle înainte ca un vizitator sau autoritatea să observe.
- Separarea accesului, astfel încât fiecare client să-și poată vedea propriul site și rapoartele lui, fără să aibă acces la datele altor clienți ai agenției.
Această disciplină protejează ambele părți: clientul are dovezi că a luat măsuri rezonabile, iar agenția are un istoric care arată că și-a respectat obligațiile contractuale.
Ce poți face concret, indiferent de ce parte a mesei stai
Dacă ești client, cere agenției lista scripturilor terțe instalate pe site și verifică singur, într-o fereastră de navigare privată, dacă bannerul chiar blochează cookie-urile până la acceptare. Recitește contractul și, dacă nu există un acord de prelucrare a datelor, solicită unul. Dacă ești agenție, adaugă conformitatea cookie în lista de livrabile, documentează ce ai instalat și oferă clientului o opțiune clară de monitorizare continuă. În ambele cazuri, cea mai proastă variantă este să presupui că răspunderea e la celălalt: în fața autorității, numele de pe site contează, iar în fața instanței contează ce ați semnat.
