Newsletter și oferte pe email: cui ai voie să le trimiți

În noiembrie 2025, ANSPDCP a amendat o firmă cu 15.253 de lei pentru că trimisese oferte pe email unui om care spunea că nu s-a abonat niciodată. Firma nu a putut arăta când și cum și-ar fi dat el acordul și nici nu verificase dacă adresele din lista ei aparțin chiar celor care le-au trecut acolo.

Situația e des întâlnită: un client îți scrie prin formularul de pe site, tu îi răspunzi, iar adresa lui rămâne în inbox, gata de pus în lista pentru oferte. Mai jos afli când ai voie, ce excepție are legea pentru clienții care au cumpărat deja, cum arată un formular de abonare corect și ce amenzi a dat ANSPDCP în ultimul an pentru emailuri, SMS-uri și apeluri nedorite.

Important: articolul are caracter informativ și nu constituie consultanță juridică. Pentru situația ta concretă, verifică sursele oficiale sau discută cu un specialist în protecția datelor.

Pe scurt

• Regula: oferte pe email, SMS sau prin apeluri automate trimiți doar cui și-a dat înainte acordul expres. Așa spune art. 12 din Legea 506/2004.

• Formularul de contact nu e un acord pentru oferte. Omul ți-a cerut un răspuns, nu un newsletter.

• Excepția: clienților care au cumpărat de la tine le poți trimite pe email oferte pentru produse sau servicii similare, dacă le-ai oferit o cale simplă și gratuită de refuz când ți-au dat adresa și o oferi în fiecare mesaj.

• Adresele de firmă nu sunt o excepție. Legea spune explicit că regula se aplică și firmelor.

• Tu trebuie să dovedești acordul: data, formularul și confirmarea pe email.

• Amenda: între 5.000 și 100.000 de lei după Legea 506/2004, plus amenzi separate după GDPR.

Ce spune legea

Regula: acord expres, dat înainte

Mesajele comerciale prin mijloace electronice sunt reglementate în România de Legea 506/2004, aceeași lege care se ocupă și de cookie-uri (am scris despre ea în articolul despre bannerul de cookie-uri). Forma consolidată din Portalul Legislativ, actualizată ultima dată la 8 octombrie 2024, spune la art. 12 alin. (1):

„Este interzisă efectuarea de comunicări comerciale prin utilizarea unor sisteme automate de apelare și comunicare care nu necesită intervenția unui operator uman, prin fax ori prin poștă electronică sau prin orice altă metodă care folosește serviciile de comunicații electronice destinate publicului, cu excepția cazului în care abonatul sau utilizatorul vizat și-a exprimat în prealabil consimțământul expres pentru a primi asemenea comunicări.”

Contează două cuvinte: „în prealabil”, adică înainte de primul mesaj, și „expres”, adică omul a făcut ceva activ, de exemplu a bifat o căsuță. Tăcerea, o bifă deja pusă sau „dacă nu vrei, răspunde cu STOP” nu sunt acord expres.

Ce înseamnă „poștă electronică”

Legea definește poșta electronică larg, la art. 2: orice serviciu care transmite mesaje „în format text, voce, sunet sau imagine”, stocate până când destinatarul le primește. Intră aici emailul, dar și SMS-ul. Pentru WhatsApp, Messenger sau Viber, legea acoperă oricum „orice altă metodă” prin servicii de comunicații electronice, așa că varianta sigură e aceeași: fără acord, fără oferte.

Apelurile făcute de un om nu intră în art. 12 alin. (1), care vorbește doar de sistemele automate. Dar GDPR îi dă oricui dreptul să spună „nu mă mai sunați”.

Excepția pentru clienții care au cumpărat

Art. 12 alin. (2) îți permite să trimiți oferte pe email fără un acord separat, dacă sunt îndeplinite toate condițiile de mai jos:

1. ai primit adresa direct de la client;

2. ai primit-o cu ocazia unei vânzări a unui produs sau serviciu;

3. ofertele sunt pentru produse sau servicii similare pe care le vinzi tu;

4. i-ai oferit clientului, „în mod clar și expres”, posibilitatea să refuze atât la colectarea adresei, cât și în fiecare mesaj, printr-un mijloc simplu și gratuit.

Un mesaj trimis prin formularul de contact nu e o vânzare. Omul care ți-a cerut o ofertă și nu a mai revenit nu intră în excepție. Intră abia după ce a cumpărat, dacă i-ai spus atunci că poate refuza ofertele viitoare.

Excepția e îngustă și în practică. În octombrie 2025, ANSPDCP a amendat cu 5.082 de lei (1.000 de euro) o firmă care trimisese repetat SMS-uri comerciale unui client după o achiziție, fără dovada consimțământului, plus încă 5.082 de lei pentru că nu răspunsese în termen la cererea lui de ștergere.

Ce trebuie să aibă fiecare mesaj

Art. 12 alin. (3) interzice „în toate cazurile”, deci și când ai acord, emailurile comerciale în care:

• identitatea reală a firmei care trimite e ascunsă;

• nu există o adresă valabilă la care omul poate cere oprirea mesajelor.

Iar alin. (4) spune că regula acordului se aplică „în mod corespunzător și abonaților persoane juridice”. Un email cu oferte trimis pe adresa office@ a altei firme are nevoie tot de acord.

Cui ai voie să trimiți: situațiile obișnuite

Cum se aplică art. 12 din Legea 506/2004 la situațiile obișnuite ale unei firme mici. Sursa: Legea 506/2004, forma consolidată la 8 octombrie 2024; comunicatele ANSPDCP din 2025–2026.

• Ți-a scris prin formularul de contact. Îi răspunzi la ce a întrebat, dar nu îl treci în lista de oferte. Ce faci mai departe cu datele lui, adică registrul, cât le păstrezi și cererile, am explicat în articolul despre datele primite prin formularul de contact.

• A cumpărat de la tine și ți-a lăsat emailul. Îi poți trimite oferte similare pe email, dacă i-ai oferit refuzul la colectare și îl ai în fiecare mesaj. Pentru SMS, varianta sigură e un acord separat, cum arată cazul din octombrie 2025 de mai sus.

• S-a abonat pe site, cu bifa lui și confirmarea pe email. Da, până se dezabonează.

• Adrese de firmă găsite pe internet. Nu, fără acord. O adresă publică nu e un acord.

• O listă cumpărată sau „închiriată”. Nu. Acordul trebuie dat pentru mesajele tale, iar tu trebuie să-l poți dovedi pentru fiecare adresă.

• S-a dezabonat sau a spus „nu mai vreau”. Nu, din acel moment, pe niciun canal.

Dovada acordului: ce trebuie să poți arăta

GDPR, aplicat în România de ANSPDCP, spune la art. 7 alin. (1) că, atunci când te bazezi pe consimțământ, tu trebuie „să fii în măsură să demonstrezi” că omul și-a dat acordul. În cazurile de mai jos, firmele au fost amendate pentru că nu au avut dovada, nu pentru conținutul mesajelor.

O dovadă bună cuprinde adresa sau numărul, data și ora abonării, formularul de unde a venit, textul exact de lângă bifă la acea dată, momentul confirmării și, dacă e cazul, data dezabonării. Problema apare de obicei la listele importate dintr-un tabel, unde nu mai știe nimeni de unde vine fiecare adresă.

Confirmarea pe email (dublă confirmare)

Dubla confirmare, numită și „double opt-in”, înseamnă că după ce cineva se abonează primește un email cu un link și devine abonat abia după ce dă clic pe el. Legea nu o cere cu numele, dar rezolvă problema din două amenzi recente:

• noiembrie 2025: firma din introducere a primit 5.084 de lei (1.000 de euro) pentru că a trimis oferte pe email fără dovada consimțământului și încă 10.169 de lei (2.000 de euro) pentru că a colectat adrese „fără să se asigure în prealabil că adresele de e-mail provin efectiv de la utilizatorii acestora”;

• aprilie 2026: un operator de jocuri de noroc a trimis un SMS comercial pe un număr trecut la crearea unui cont de altcineva decât titularul. Amenda pentru că nu a verificat exactitatea datelor a fost de 101.904 lei (20.000 de euro), plus 76.428 de lei pentru că, la cererea omului, i-a cerut copia actului de identitate și un selfie, date pe care nu avea nevoie să le strângă.

Cu dubla confirmare, o adresă trecută de altcineva nu ajunge în listă, iar clicul pe link, cu data și ora lui, devine dovada.

Dezabonarea

Art. 7 alin. (3) din GDPR spune că retragerea consimțământului „se face la fel de simplu ca acordarea acestuia”, iar art. 21 alin. (3) că, după opoziția la marketing direct, datele „nu mai sunt prelucrate în acest scop”. În practică: un link de dezabonare în fiecare mesaj, care funcționează dintr-un clic, fără parolă și fără „motivul dezabonării” obligatoriu.

Multe amenzi din ultimul an vin chiar de aici:

• ianuarie 2026: o firmă a continuat să trimită emailuri comerciale unui om care se opusese și ceruse de mai multe ori ștergerea datelor. Amenda: 5.000 de lei după Legea 506/2004 și 10.178 de lei (2.000 de euro) după GDPR, pentru informare incompletă;

• iunie și septembrie 2026: aceeași firmă de produse pentru casă, amendată de două ori, în două plângeri diferite, pentru apeluri și SMS-uri de marketing continuate după ce omul spusese „nu”: 5.236 de lei (1.000 de euro), apoi 10.517 lei (2.000 de euro);

• august 2026: o firmă care suna oamenii cu oferte printr-un sistem automat, fără acord prealabil, a primit 50.000 de lei doar pentru această faptă, pe lângă alte amenzi GDPR.

Cât de des se întâmplă și cât costă

Amenda pentru încălcarea art. 12 e stabilită la art. 13 din Legea 506/2004: de la 5.000 la 100.000 de lei, iar pentru firmele cu o cifră de afaceri de peste 5 milioane de lei, până la 2% din ea. Amenda o dă ANSPDCP, care aplică separat și amenzi după GDPR: pentru firmele mici din cazurile de mai sus, de obicei 1.000–2.000 de euro.

În comunicatul despre raportul de activitate pe 2025, publicat în septembrie 2026, ANSPDCP trece „primirea de mesaje comerciale nesolicitate” printre principalele motive de plângere. În 2025, autoritatea a primit 12.297 de plângeri, sesizări și notificări și a dat 105 amenzi, în total 2.565.020 de lei. Bilanțul din mai 2026 păstrează comunicările comerciale nesolicitate printre temele principale ale celor 5.186 de plângeri din primele patru luni ale anului.

Checklist: formularul de abonare și emailul

Comparație greșit/corect pentru abonarea la oferte. Sursa: Legea 506/2004, art. 12; Regulamentul (UE) 2016/679, art. 7.

Formularul

• Formularul de contact trimite mesajul și atât. Nu abonează pe nimeni automat.

• Dacă vrei abonați din formularul de contact, pune o bifă separată, nebifată, care nu e obligatorie pentru trimiterea mesajului.

• Textul bifei spune concret ce primește omul și pe ce canal: „Vreau să primesc pe email ofertele lunare ale salonului.” Nu „Sunt de acord cu termenii”.

• Pentru SMS sau WhatsApp, bifă separată de cea pentru email.

• Lângă formular, o frază scurtă și linkul spre politica de confidențialitate, unde scrie cum te dezabonezi.

• După abonare, un email de confirmare cu link. Abonatul intră în listă doar după clic.

Fiecare email

• Numele firmei e clar la expeditor și în subsol, cu datele de contact.

• Link de dezabonare vizibil, care funcționează dintr-un clic.

• Un „nu mai vreau” trimis ca răspuns la email contează la fel ca linkul.

• Pentru clienții din excepția de la art. 12 alin. (2), ofertele rămân la produse sau servicii similare celor cumpărate.

• Cine se dezabonează rămâne într-o listă de excluderi, ca să nu fie readăugat la următorul import.

Întrebări frecvente

Formularul îl facem noi, evidența o ții în SmartDPO

Pe site-urile pe care le construim, formularul de contact nu abonează pe nimeni. Dacă vrei newsletter, punem o bifă separată, nebifată, cu text clar și email de confirmare, iar abonarea ajunge direct în platforma de newsletter, cu data ei. Vezi pe pagina de prețuri ce include fiecare pachet sau scrie-ne dacă vrei să verificăm formularul site-ului tău actual.

Pentru partea de GDPR pregătim aplicația noastră, SmartDPO. În ea treci newsletterul în registrul prelucrărilor, ca activitate separată de formularul de contact, iar o cerere de tipul „nu mai vreau oferte” sau „ștergeți-mi datele” primește termenul și modelul de răspuns. SmartDPO se lansează în curând; înscrierea se deschide la lansare.

Articolul se bazează pe forma consolidată a Legii 506/2004 (art. 2, 12 și 13, la 8 octombrie 2024), pe Regulamentul (UE) 2016/679 (art. 7 și 21) și pe comunicatele ANSPDCP din noiembrie 2025 – septembrie 2026, verificate în octombrie 2026.