GDPR si Email Marketing in Romania: Ghid Practic 2026

GDPR e o lege europeana din 2018. Pentru email marketing, ce trebuie sa retii e simplu: ai voie sa trimiti emailuri comerciale daca persoana e de acord sa le primeasca.

De acord inseamna doua lucruri: persoana a spus da explicit (a bifat un checkbox, a completat un formular, a confirmat printr-un email) si persoana stie la ce a spus da, adica i-ai zis clar ca primeste emailuri de marketing, nu doar informari.

In Romania, peste GDPR mai e si Legea 506/2004, mai stricta pe partea de email si SMS comercial. Pe scurt: daca te respecti pe GDPR, esti ok si pe legea romana.

1. Consimtamant corect, nu pre-bifat. Un checkbox separat, NEbifat, cu text clar. Checkbox pre-bifat nu e consimtamant, e presupunere. Sa combini acceptarea Termenilor cu marketingul e tot ilegal.

2. Unsubscribe in fiecare email, usor de gasit. Vizibil, nu ascuns cu font de 6 pixeli, si trebuie sa functioneze dintr-un singur click. Cele mai multe amenzi din Romania pe email marketing sunt pe asta.

3. Politica de confidentialitate accesibila. Explici ce date colectezi, de ce, cu cine le imparti, cat le pastrezi si cum se poate dezabona cineva. O pagina simpla in romana e suficienta.

4. Sursele de date - Booking, check-in, comenzi online - le POTI folosi, dar cu un checkbox separat pentru oferte. Fara bifa, emailul ramane doar pentru lucruri legate de rezervare. Pentru liste vechi fara dovada consimtamantului, trimite un singur email de re-permission si pastrezi doar cine confirma.

5. Cat timp pastrezi datele. Doar cat ai nevoie. Subscriberii inactivi de 12-18 luni: stergi sau trimiti re-engagement. Datele de comenzi le tii cat cere legea contabila (10 ani in Romania), dar separat de lista de marketing. Orice cerere de stergere, o rezolvi in maxim 30 de zile.

Liste cumparate sau scrape-uite. Cineva iti vinde 5.000 de contacte garantat verificate GDPR pe 200 EUR. Niciodata. Raspunderea juridica e a ta, nu a vanzatorului. Prima intrebare a autoritatii e: aveti dovada consimtamantului? Raspunsul mi-au vandut altii nu e o aparare valida.

Mesaje dupa dezabonare. In decembrie 2024, ANSPDCP a amendat English Home SRL cu 5.000 EUR: o persoana a cerut in mai multe randuri sa nu mai primeasca mesaje, iar firma a continuat (sursa: comunicat ANSPDCP, decembrie 2024). Cand cineva apasa dezabonare, iesirea e instant si completa.

Trimitere fara mecanism de opozitie clar. In ianuarie 2026, ANSPDCP a amendat Money Seeds S.R.L. cu un total de circa 3.000 EUR (5.000 lei plus 10.178 lei) pentru ca a trimis mesaje comerciale fara un mecanism simplu de opozitie (sursa: comunicat ANSPDCP, 8 ianuarie 2026). Linkul de dezabonare e o cerinta legala, nu un detaliu cosmetic.

O parte din lucruri se rezolva in spatele tau daca platforma e bine facuta. Cu o platforma serioasa ai automat: unsubscribe one-click in fiecare email (linkul standard cerut de Gmail si Yahoo din 2024), un log de consimtamant cu timestamp si sursa pentru fiecare subscriber si suprimare automata, adica cine se dezaboneaza iese instant din toate campaniile viitoare.

Construiesti conformitatea de la inceput, nu adaugata la final. Iar ce face deja, face corect.

Pot trimite la contactele din Booking? Da, dar doar daca la check-in sau la rezervarea directa ai un checkbox separat pentru oferte. Pentru cei care nu au bifat, comunici doar lucruri legate de sederea lor.

Trebuie sa cer din nou consimtamant pentru lista veche? Daca nu ai dovada cum ai colectat-o, da, recomandat. Un email de re-permission si pastrezi doar cine confirma.

Ce risc daca nu respect? In Romania, ANSPDCP aplica amenzi intre 5.000 si 35.000 EUR in cazurile uzuale de email sau SMS comercial. Pentru firme mici, riscul e mai putin amenda si mai mult timpul pierdut cu investigatia.

E nevoie de DPO? Pentru o pensiune sau un magazin mic, in general nu. DPO-ul e obligatoriu doar pentru categorii speciale.

Acest articol e informativ si nu inlocuieste consultanta juridica pentru cazuri complexe.