GDPR pe Magento Open Source: ce lipsește din fabrică

Un client îți scrie: „Trimite-mi tot ce aveți despre mine” sau „Ștergeți-mi contul”. GDPR îți dă o lună să răspunzi, cu încă două luni doar dacă e nevoie, potrivit articolului 12(3). Magento Open Source nu are niciun buton pentru niciuna dintre cereri. Chiar ghidul GDPR al Adobe le sugerează dezvoltatorilor să scrie scripturi pentru cazul în care un client cere ștergerea datelor.

ANSPDCP amendează pentru asta. În septembrie 2025, o companie a primit 5.057,8 lei, adică 1.000 de euro, pentru că a refuzat o cerere de ștergere. În ianuarie 2026, alta a primit 10.178 lei, adică 2.000 de euro, după ce un client a cerut de mai multe ori ștergerea datelor și nu a primit răspuns. După GPSR și Omnibus, e a treia regulă europeană pe care Magento nu o acoperă din fabrică.

5 cereri și ce face Magento cu fiecare

• Articolul 15, o copie a datelor: Magento nu are nicio descărcare. Cineva adună de mână contul, adresele, comenzile și abonarea la newsletter.
• Articolul 17, ștergerea: clientul nu își poate șterge singur contul din contul lui. Doar adminul poate, iar comenzile păstrează adresa.
• Articolul 18, oprirea prelucrării: nu există o stare care să pună pe pauză un singur cont.
• Articolul 20, datele într-un fișier: nu există un export pentru client.
• Articolul 21, fără marketing: dezabonarea de la newsletter există. Pentru SMS sau alte canale pe care le folosești, nu există nimic.

Ștergi clientul, comenzile rămân

Când adminul șterge un client, documentația Adobe spune că informațiile despre activitatea și tranzacțiile lui rămân în sistem. În baza de date, comanda pierde doar legătura cu clientul. Adresa de pe comandă, cu numele, telefonul, e-mailul și strada, rămâne. Lista Adobe cu datele personale le arată, printre altele, în tabelele comenzilor, ale adreselor de pe comenzi, în grila de comenzi și în coșuri.

O parte trebuie să rămână: datele de pe factură. Restul trebuie să plece, iar Magento nu le desparte.

Ce păstrezi: factura, 5 ani

De la 15 ianuarie 2023, prin Legea 36/2023, articolul 25 din Legea contabilității 82/1991 cere 5 ani de arhivă pentru registrele contabile și documentele justificative. Cei 5 ani se numără de la 1 iulie a anului de după încheierea exercițiului financiar. Statele de salarii intră în aceeași regulă, iar vechii 50 de ani pentru ele nu mai există. Multe liste de verificare încă spun 10 ani.

GDPR permite asta: articolul 17(3)(b) lasă deoparte datele pe care legea te obligă să le păstrezi. Ștergerea înseamnă deci două termene. Contul, adresele salvate și datele de marketing pleacă în cel mult o lună. Factura și datele de pe ea rămân până la capătul celor 5 ani.

În exemplu, comanda e din 15 martie 2026. Anul fiscal se încheie pe 31 decembrie 2026, cei 5 ani pornesc pe 1 iulie 2027 și se termină pe 30 iunie 2032. Clientul cere ștergerea pe 10 mai 2027, deci contul trebuie să plece până pe 10 iunie 2027. Factura mai stă 5 ani.

Un acord pe care îl poți dovedi

Articolul 7(1) spune că, atunci când prelucrezi date pe baza acordului, trebuie să poți dovedi că omul și l-a dat. Formularul de înregistrare din Magento nu cere acordul pentru termenii tăi, deci nu ai nicio dovadă. Articolul 7(3) cere ca retragerea acordului să fie la fel de ușoară ca acordarea lui.

Ce verifici săptămâna aceasta

1. Trimite la adresa de contact a magazinului o cerere de test: „Vreau o copie a datelor mele.” Notează în câte zile vine răspunsul și cine se ocupă de el.
2. Șterge din admin un client de test, apoi caută-i e-mailul în grila de comenzi. Dacă apare, adresa de pe comandă e tot acolo.
3. Întreabă contabilul ce documente păstrezi și de la ce dată: 5 ani, de la 1 iulie a anului de după închiderea exercițiului.
4. Deschide formularul de înregistrare. Poți arăta la ce a fost de acord un client și când?
5. Numără canalele de marketing: newsletter, SMS, notificări. Fiecare are nevoie de o cale de ieșire.

Cum le rezolvăm pe Magento și Hyvä

Am construit module GDPR proprii pentru Magento Open Source și Hyvä: descărcarea datelor de către client, ștergerea care păstrează ce cere legea contabilității, ștergerea contului din contul de client, preferințele de marketing pe fiecare canal și dovada acordului la înregistrare. Dovada acordului e deja în Liquid Framework, iar celelalte intră în Framework, fără cost separat.

Articolul acesta nu e consultanță juridică. Textele oficiale sunt cele legate mai sus: GDPR, Legea 82/1991 în forma consolidată și Legea 36/2023.

Vrei să știi cât ar dura pe magazinul tău o cerere de date? Programează un apel de strategie gratuit. Trecem împreună prin o cerere de la un capăt la altul.