WhatsApp Business API și GDPR în România (2026)
Ghid practic de conformitate: ce obligații ai ca firmă, cum colectezi opt-in corect, ce acorduri sunt necesare cu Meta și cum gestionezi drepturile utilizatorilor.
WhatsApp Business API poate fi folosit conform GDPR în România dacă obții consimțământ explicit (opt-in), oferi opt-out simplu și semnezi DPA-ul cu Meta. Datele clienților se procesează pe baze legale clare, iar utilizatorii își pot exercita drepturile. O platformă precum Whapi.ro te ajută să gestionezi consimțământul și evidența mesajelor.
De Mihai Postolache, fondator Whapi.ro · Ultima actualizare:Ce înseamnă GDPR pentru WhatsApp Business în România?
Regulamentul General privind Protecția Datelor (GDPR) se aplică oricărei firme din România care prelucrează date personale ale cetățenilor UE. Numărul de telefon este date personale – deci orice comunicare WhatsApp intră sub incidența GDPR.
Vestea bună: WhatsApp Business API (Cloud API) poate fi utilizat conform GDPR dacă respecti obligațiile descrise în acest ghid. Sancțiunile pentru nerespectare ajung la 4% din cifra de afaceri globală sau 20 milioane EUR.
Atenție: Simpla achiziționare a unui număr de telefon (card de vizită, formular de comandă fără checkbox explicit WhatsApp) NU constituie consimțământ valid pentru marketing pe WhatsApp. Ai nevoie de un acord separat și specific.
Checklist rapid GDPR WhatsApp
Cei 5 piloni ai conformității GDPR pentru WhatsApp
Consimțământul explicit (Opt-In)
Baza legală principală pentru marketing pe WhatsApp este consimțământul explicit (Art. 6(1)(a) GDPR). Trebuie să fie:
- → Liber: nu condiționat de accesul la un serviciu
- → Specific: pentru comunicări WhatsApp (nu generic „să fiu contactat")
- → Informat: utilizatorul știe ce tip de mesaje va primi și cu ce frecvență
- → Fără ambiguitate: acțiune activă (checkbox, confirmare dublă), nu pre-bifat
Acorduri de prelucrare date (DPA)
Ca operator de date, ești obligat să ai contracte DPA cu toți procesatorii care prelucrează date în numele tău. Pentru WhatsApp API ai nevoie de:
Termenii WhatsApp de prelucrare a datelor pentru business se acceptă la activarea WhatsApp Business Platform. Pentru mesajele prin Cloud API, WhatsApp acționează ca persoană împuternicită (Business Data Processing Terms).
Whapi.ro pune la dispoziție DPA conform GDPR. Disponibil la cerere sau în contul tău.
Dreptul de Opt-Out și Ştergerea datelor
Fiecare persoană are dreptul să se dezaboneze oricând (Art. 7(3) GDPR). Obligațiile tale ca firmă:
- → Include mecanism de opt-out în fiecare mesaj de marketing (ex: „Răspunde STOP pentru dezabonare")
- → Procesează cererile de opt-out în maxim 48 ore
- → Șterge sau anonimizează datele de marketing în 30 de zile de la opt-out
- → Păstrează dovada consimțământului și a opt-out-ului pentru audit (min. 3 ani)
Drepturile persoanelor vizate
Clienții tăi pot exercita oricând aceste drepturi, iar tu trebuie să răspunzi în 30 zile:
Transferul de date internațional
Meta prelucrează date pe servere din SUA și alte țări. Conform GDPR, transferul internațional este permis prin:
- → Clauze contractuale standard (SCC) – incluse în DPA-ul Meta
- → Meta este certificată conform EU-US Data Privacy Framework (din 2023)
- → Cloud API oferă stocare locală a datelor mesajelor într-o regiune din UE (Germania), opțiune care se activează la înregistrarea numărului