Ghid: cum trimiți legal notificări SMS și WhatsApp către clienți

Cum pui la punct trimiterea de notificări, pas cu pas

Ordinea de mai jos evită cele mai multe reparații ulterioare: stabilești temeiul și separarea fluxurilor înainte de primul mesaj, nu după prima reclamație.

1. 1
   Împarte mesajele în două categorii: TRANZACȚIONALE (execută contractul — confirmări, coduri, remindere de programare) și COMERCIALE (promovează ceva). Temeiul legal diferă, deci și regulile.
2. 2
   Pentru mesajele comerciale, colectează consimțământ expres, prealabil și specific pe canal. Un acord pentru e-mail nu acoperă SMS-ul.
3. 3
   Înregistrează dovada în momentul acordului: data, ora, sursa, textul exact acceptat. Reconstituirea ulterioară nu e posibilă, iar sarcina probei e a ta.
4. 4
   Separă tehnic cele două fluxuri, ca o dezabonare de la marketing să nu blocheze confirmarea unei comenzi.
5. 5
   Înregistrează sender ID-ul alfanumeric la fiecare operator mobil, dacă vrei ca numele firmei să apară ca expeditor.
6. 6
   Implementează dezabonarea ca stare a destinatarului, nu ca filtru de campanie — altfel următorul import readuce numărul în listă.
7. 7
   Pentru WhatsApp, pregătește și trimite la aprobare șabloanele înainte de a planifica trimiterea; aprobarea nu e instantanee.
8. 8
   Testează livrarea pe fiecare rețea, pe un telefon real: statusul „livrat” nu spune ce expeditor a văzut destinatarul.

Consimțământul: regula și singura excepție

Art. 12 alin. (1) din Legea 506/2004 interzice comunicările comerciale prin sisteme automate de apelare, fax, poștă electronică sau orice alt mijloc care folosește servicii de comunicații electronice destinate publicului, cu excepția cazului în care abonatul și-a exprimat în prealabil consimțământul expres. Formularea e largă: acoperă SMS-ul și mesageria de tip WhatsApp, nu doar e-mailul.

Există o singură excepție, la alin. (2) — și aici greșesc aproape toate ghidurile în limba română. Ea permite folosirea adresei de POȘTĂ ELECTRONICĂ obținute direct de la client la vânzarea unui produs sau serviciu, pentru comunicări despre produse sau servicii similare, cu condiția de a oferi clar posibilitatea de opoziție printr-un mijloc simplu și gratuit. Textul vorbește despre adresa de e-mail, nu despre numărul de telefon: nu există „soft opt-in” pentru SMS către clienți existenți.

Consimțământul trebuie dovedit de expeditor. GDPR art. 7 alin. (1) cere operatorului să poată demonstra că persoana și-a dat acordul, iar în practica autorității absența dovezii produce același rezultat ca absența acordului. Regula se aplică și abonaților persoane juridice, conform alin. (4).

• →Consimțământul e expres: acțiune afirmativă, nu casetă prebifată și nu clauză din termeni și condiții.
• →E prealabil: obținut înainte de primul mesaj comercial.
• →E specific pe canal și pe scop.
• →Se dovedește cu momentul, sursa și textul acceptat — nu cu un câmp „acord: da”.

Tranzacțional sau marketing: cum se încadrează un mesaj

Distincția nu ține de ton, lungime sau destinatar, ci de baza legală. Un mesaj necesar pentru executarea contractului — confirmarea comenzii, statusul livrării, codul de autentificare, reamintirea programării — se sprijină pe GDPR art. 6 alin. (1) lit. b) și nu are nevoie de acord de marketing. Un mesaj care promovează un produs sau o ofertă are nevoie de consimțământ, conform art. 12.

Un mesaj mixt se tratează după regula cea mai strictă: dacă adaugi o promoție într-un SMS de confirmare, întregul mesaj intră sub regula comunicării comerciale. Invers, o dezabonare de la marketing nu trebuie să oprească mesajele tranzacționale — clientul are dreptul să afle că i-a fost livrată comanda chiar dacă a refuzat ofertele.

Testul practic: dacă mesajul ar lipsi, ar fi păgubit clientul în derularea serviciului? Dacă da, e tranzacțional. Dacă doar firma ar pierde o ocazie de vânzare, e marketing.

Sancțiuni: cuantum și autoritate

Încălcarea art. 12 e sancționată de art. 13 alin. (1) lit. l) din Legea 506/2004, cu amendă de la 5.000 lei la 100.000 lei. Pentru societățile cu o cifră de afaceri de peste 5.000.000 lei se poate aplica o amendă de până la 2% din cifra de afaceri, ceea ce depășește maximul intervalului general.

Autoritatea competentă este ANSPDCP. Atenție la o capcană de documentare: textul art. 13 publicat pe agregatoarele de legislație încă numește „Avocatul Poporului” și „ANRC” — denumiri istorice. ANRC a devenit ANCOM, iar competența în materie de date personale a trecut la ANSPDCP, înființată în 2005. Nu cita denumirile vechi ca fiind actuale.

Deciziile publicate arată unde aterizează intervalul în practică: 10.000 lei pentru un caz în care firma nu a putut dovedi consimțământul pentru un număr de telefon, 60.000 lei pentru campanii de e-mail și SMS fără acord — amenzi menținute ulterior de instanță — și 35.000 de euro pentru un operator de jocuri de noroc online, în 2026. Când lipsa consimțământului atrage și o prelucrare nelegală de date, sancțiunile GDPR se pot adăuga.

Sender ID: de ce numele firmei nu apare întotdeauna

Un sender ID alfanumeric — numele firmei afișat ca expeditor — trebuie înregistrat separat la fiecare operator mobil din România: Orange, Vodafone, Digi și Telekom Romania. Înregistrarea cere documente de firmă și un acord de utilizare a denumirii sau a mărcii.

Capcana e că un sender ID neînregistrat NU produce eroare. Mesajul se livrează, dar expeditorul e suprascris cu un short code numeric. În orice raport de livrare situația arată identic cu succesul, iar singurul mod de a afla e să te uiți la un telefon real, pe fiecare rețea. Din 20 noiembrie 2024, Telekom Romania nu mai acceptă sender ID numeric, deci fluxurile care se bazau pe un număr ca expeditor trebuie revizuite.

Pe lângă efectul comercial — un cod de autentificare venit de la un număr necunoscut e adesea ignorat — există și o cerință legală: art. 12 alin. (3) interzice comunicările comerciale în care identitatea reală a expeditorului e ascunsă, sau fără o adresă valabilă la care destinatarul să poată cere încetarea.

WhatsApp Business: șabloane și fereastra de 24 de ore

Notificările prin WhatsApp se trimit prin WhatsApp Business Platform, nu din aplicația de pe telefon. E nevoie de un număr dedicat, care nu e folosit într-un cont personal, iar mesajele iniținate de firmă pleacă doar prin șabloane aprobate în prealabil de Meta, pe trei categorii: Utility (mesaje de serviciu), Authentication (coduri, recuperare de cont) și Marketing (promoții).

Când clientul îți scrie, se deschide o fereastră de 24 de ore în care poți răspunde liber, fără șablon; fiecare mesaj nou primit resetează intervalul. După expirare, reluarea conversației de către firmă se face doar cu un șablon aprobat. Un șablon care amestecă serviciu cu promovare e clasificat — și tarifat — ca Marketing.

Regulile de consimțământ nu se schimbă: art. 12 e formulat pe mijloc de comunicare electronică, nu pe tehnologie, deci un mesaj comercial prin WhatsApp cere același acord ca prin SMS. Iar modelul de tarifare Meta se schimbă periodic — gratuitatea pentru șabloanele Utility trimise în fereastra de 24 de ore a fost anunțată ca încetând la 1 octombrie 2026, deci verifică tarifele curente înainte de a construi un calcul de costuri.

Livrare: ce se întâmplă între trimitere și telefon

„Nu ajunge” acoperă cel puțin cinci cauze diferite, iar fiecare are o semnătură proprie în statusul returnat de operator: format greșit al numărului, număr inexistent sau portat, filtrare de conținut în rețea, sender ID nedeclarat și fragmentare din cauza lungimii.

Diacriticele scot mesajul din alfabetul standard GSM și reduc limita de la 160 la 70 de caractere, deci un text care pare scurt se poate fragmenta și se taxează ca mai multe segmente. O campanie „de 5.000 de mesaje” cu texte de 180 de caractere e, la plată, o campanie de 10.000 de segmente.

Un răspuns de succes la apelul de trimitere confirmă acceptarea mesajului, nu livrarea lui. Livrarea se confirmă separat, asincron, și se corelează pe identificatorul de mesaj returnat la trimitere.

• →Normalizează numerele la formatul internațional (+40…) înainte de trimitere.
• →Separă erorile permanente de cele temporare: un număr invalid se taxează la fiecare reîncercare.
• →Evită linkurile scurtate prin servicii publice — sunt frecvent asociate cu spam de filtrele operatorilor.
• →Verifică statusul brut al operatorului, nu doar indicatorul din propria interfață.

Integrare: ce trebuie tratat într-un flux automat

O integrare care rezistă în producție tratează patru lucruri dincolo de apelul de trimitere: autentificarea cu token reînnoit automat și secretul păstrat pe server, idempotența pe o cheie proprie per mesaj logic, reîncercările limitate la erorile temporare, și corelarea statusului de livrare primit asincron.

Idempotența e cea mai des omisă. Un timeout de rețea urmat de o reîncercare trimite al doilea mesaj către client; la coduri de autentificare, asta invalidează primul cod și blochează utilizatorul în loc să îl ajute.

În 4notify, trimiterea programatică se face prin API: generezi credențiale în panou, le schimbi pe un token de acces cu durată limitată și scopuri pe canale, apoi apelezi endpointul canalului. Fiecare trimitere întoarce un identificator de mesaj, iar consumul e contorizat per mesaj, cu restituirea creditului la eșec.

Întrebări cu răspuns detaliat

Fiecare întrebare are pagina ei, cu articolul de lege din care rezultă răspunsul, exemple concrete și greșelile de evitat.