De ce cookie policy nu e doar un document de bifat
Am văzut sute de site-uri românești cu o politică de cookies copiată de undeva, pusă în subsol, fără nicio legătură cu ce se întâmplă efectiv pe site. Proprietarii cred că au rezolvat problema. Nu au rezolvat nimic.
ANSPDCP a aplicat deja sancțiuni concrete pentru lipsa consimțământului valid privind cookie-urile. Nu e teorie, nu e paranoia — e o realitate documentată. Autoritățile europene de supraveghere, inclusiv omologii din Franța (CNIL), Germania și Italia, au emis amenzi de sute de milioane de euro tocmai pe această temă. România urmărește aceleași precedente.
Un lucru important pe care mulți îl confundă: politica de cookies și politica de confidențialitate sunt două documente separate, cu scopuri diferite. Politica de confidențialitate acoperă toate prelucrările de date personale ale companiei tale. Politica de cookies se concentrează specific pe modul în care folosești cookie-urile, ce date colectează acestea și ce drepturi are utilizatorul în legătură cu ele. Le poți lega, dar nu le poți înlocui una cu cealaltă.
Ce risc real ai ca proprietar de site mic sau mediu? Orice utilizator nemulțumit poate depune o plângere la ANSPDCP. Procedura durează câteva minute. Investigația care urmează poate dura luni și poate rezulta în avertismente, obligații de remediere sau amenzi. Costul conformității preventive este incomparabil mai mic decât costul unei investigații reactive.
Ce spune legea: baza juridică pentru cookie-uri în România
Cadrul legal se bazează pe două piloni principali. Primul este Regulamentul (UE) 2016/679 (GDPR), care stabilește condițiile pentru prelucrarea datelor personale — inclusiv cele colectate prin cookie-uri. Articolele relevante sunt art. 6 (baze legale de prelucrare), art. 7 (condițiile consimțământului) și art. 13-14 (obligațiile de transparență).
Al doilea pilon este legislația română care transpune Directiva ePrivacy (2002/58/CE), actualizată ulterior, care reglementează specific utilizarea cookie-urilor în comunicațiile electronice. Conform legislației în vigoare, verificată pe lex.justice.ro, plasarea de cookie-uri pe dispozitivul unui utilizator necesită consimțământul prealabil al acestuia, cu excepția cookie-urilor strict necesare funcționării tehnice a serviciului.
ANSPDCP a publicat ghiduri de conformitate, iar la nivel european, Ghidul EDPB 05/2020 privind consimțământul rămâne documentul de referință pentru ce înseamnă un consimțământ valid.
Consimțământ valid înseamnă că este: liber (fără presiune sau constrângere), specific (pentru fiecare scop în parte), informat (utilizatorul știe exact la ce consimte) și neambiguu (printr-o acțiune clară, nu o bifă pre-selectată). Orice consimțământ care nu îndeplinește toate cele patru condiții simultan este invalid din punct de vedere legal.
Bifele pre-selectate sunt ilegale. Navigarea pe site ca formă de consimțământ este ilegală. Bannerul care are doar butonul „Accept" fără opțiunea de refuz este ilegal. Acestea nu sunt interpretări — sunt poziții clare ale EDPB și ale instanțelor europene.
Categoriile de cookie-uri: care necesită consimțământ și care nu
Nu toate cookie-urile sunt egale în fața legii. Clasificarea corectă a cookie-urilor tale este primul pas tehnic obligatoriu înainte de a scrie orice document.
| Categorie | Exemple | Necesită consimțământ? | Notă |
|---|---|---|---|
| Strict necesare (tehnice) | Sesiune, coș de cumpărături, autentificare | NU | Trebuie totuși documentate în policy |
| Preferințe (funcționale) | Limbă, regiune, setări UI | DA | Consimțământ separat pe categorie |
| Analiză și măsurare | Google Analytics, Hotjar, Matomo | DA | Implică și transfer date în afara UE |
| Marketing și remarketing | Meta Pixel, Google Ads, TikTok Pixel | DA — explicit | Cel mai ridicat nivel de risc legal |
Un avertisment important: clasificarea cookie-urilor trebuie să reflecte realitatea site-ului tău, nu un template generic. Am văzut site-uri care clasificau Google Analytics drept „cookie strict necesar" — o eroare gravă care poate fi sancționată. Google Analytics colectează date despre comportamentul utilizatorilor și le transferă în SUA, ceea ce îl plasează ferm în categoria ce necesită consimțământ.
Ce trebuie să conțină o cookie policy validă în 2026
O politică de cookies completă nu se rezumă la o listă de nume tehnice. Iată elementele obligatorii pe care trebuie să le regăsești în documentul tău:
Numele companiei, adresa, datele de contact și, dacă este desemnat, datele de contact ale DPO. Utilizatorul trebuie să știe cu cine vorbește.
Fiecare cookie: nume tehnic, tip, scop, durată de stocare, furnizor. Nu o listă generică — lista reală a cookie-urilor active pe site-ul tău.
Cookie-urile necesare — interes legitim tehnic. Cookie-urile opționale — consimțământul utilizatorului (art. 6 alin. 1 lit. a GDPR).
Dacă folosești Google Analytics, Meta Pixel sau alte servicii cu servere în afara SEE, trebuie să menționezi explicit acest transfer și garanțiile aplicabile.
Inclusiv dreptul de retragere a consimțământului, care trebuie să fie la fel de simplu ca acordarea lui. Link către mecanismul de retragere.
Documentul trebuie datat. La fiecare modificare semnificativă a cookie-urilor folosite, politica se actualizează și data se schimbă.
Bannerul de cookies: cum arată unul conform și cum arată unul care te expune la amenzi
Bannerul este interfața dintre lege și utilizator. Poate fi cel mai vizibil semn al conformității sau al neconformității tale. Există reguli clare despre cum trebuie să arate.
Elementele obligatorii ale unui banner conform: informații clare despre ce cookie-uri se folosesc și de ce, opțiuni granulare pe categorii (nu doar „Accept toate" vs. „Refuz toate"), butonul de refuz la fel de vizibil și accesibil ca butonul de acceptare, și un link către politica completă de cookies.
Formularea „Continuând navigarea ești de acord cu utilizarea cookie-urilor" este invalidă legal. Navigarea nu constituie o acțiune clară și neambiguă de consimțământ, conform Ghidului EDPB 05/2020. Site-urile care folosesc această formulare în 2026 sunt expuse direct la sancțiuni.
Dark patterns interzise: butoane de refuz ascunse sau mult mai mici decât cel de acceptare, culori care direcționează vizual spre acceptare (buton verde mare vs. text gri mic pentru refuz), formulări ambigue precum „Poate mai târziu" în loc de „Refuz". Autoritățile europene sancționează explicit aceste practici.
Soluțiile tehnice recomandate sunt platformele de tip Consent Management Platform (CMP) — Cookiebot, Axeptio, OneTrust, Usercentrics. Acestea gestionează automat blocarea cookie-urilor înainte de consimțământ, stochează dovezile consimțământului și se actualizează la modificările legale. Un CMP bun este o investiție, nu un cost.
„Cel mai frecvent banner neconform pe care îl văd are două probleme simultane: butonul de refuz lipsește sau e ascuns, și cookie-urile de marketing rulează deja înainte ca utilizatorul să apese orice. Asta nu e o greșeală tehnică — e o încălcare deliberată, chiar dacă neintenționată." — Rareș Nicorici, Lead Auditor IRCA
Retragerea consimțământului și dovada consimțământului: ce trebuie să păstrezi
Consimțământul nu este un act unic și irevocabil. Utilizatorul are dreptul să îl retragă oricând, fără penalizare și fără că acest lucru să fie mai dificil decât acordarea lui inițială. Dacă butonul de acceptare este un click, butonul de retragere nu poate fi o procedură de cinci pași.
Practic, site-ul tău trebuie să ofere un mecanism permanent de gestionare a preferințelor — de obicei un buton sau link vizibil în footer, care redeschide panoul CMP. Utilizatorul apasă, modifică preferințele, iar cookie-urile non-acceptate se șterg sau nu mai sunt plasate.
Dovada consimțământului este obligatorie. Trebuie să poți demonstra, la cererea ANSPDCP, că un utilizator specific și-a acordat consimțământul, când, pentru ce categorii și prin ce versiune a bannerului. Platformele CMP stochează automat: timestamp-ul, ID-ul sesiunii, versiunea bannerului afișat și opțiunile selectate.
Dovezile de consimțământ se păstrează atâta timp cât prelucrezi datele respective, plus o perioadă rezonabilă pentru a răspunde eventualelor investigații. Platforma CMP aleasă trebuie să aibă un jurnal de consimțământ exportabil.
Dacă un utilizator își retrage consimțământul, cookie-urile deja plasate din categoriile respective trebuie șterse sau dezactivate. Nu este suficient să nu mai plasezi cookie-uri noi — cele existente trebuie eliminate.
Scenarii practice: tipuri de site-uri și ce le trebuie concret
Minimum necesar: banner cu opțiune de refuz, blocarea GA înainte de consimțământ, cookie policy cu detalii despre transferul datelor în SUA, stocare dovezi consimțământ. Complexitate medie, risc controlabil.
Complexitate ridicată. Consimțământ stratificat pe categorii, blocarea pixelilor înainte de acceptare, documentarea transferurilor Meta (SUA), posibil DPO dacă volumul de date este semnificativ. Risc ridicat fără CMP profesional.
Intersecție între cookie-uri de sesiune (necesare, fără consimțământ) și cookie-uri opționale. Trebuie separate clar în documentație. Se adaugă obligații GDPR pentru datele din cont — registru de evidență, notificare breșe.
Riscul cel mai ridicat: rețelele publicitare programatice plasează zeci de cookie-uri de la terți, uneori necunoscute proprietarului. Auditul tehnic al cookie-urilor este esențial. Fără el, nu știi ce declari în policy.
Amenzi ANSPDCP pentru neconformitate: ce s-a întâmplat deja în România și Europa
ANSPDCP a sancționat operatori pentru lipsa transparenței și absența consimțământului valid. Cazurile publicate vizează inclusiv probleme de tip cookie — informare insuficientă a utilizatorilor, lipsa mecanismelor de retragere a consimțământului și prelucrarea datelor fără bază legală validă.
La nivel european, precedentele sunt clare și masive. CNIL Franța a amendat Google cu 150 de milioane de euro și Meta cu 60 de milioane de euro pentru că bannerele lor de cookies nu permiteau refuzul la fel de simplu ca acceptarea. Aceste sume nu sunt excepții — sunt semnale despre direcția de aplicare a legii.
Cuantumul amenzilor GDPR aplicabile în România: până la 20 de milioane de euro sau 4% din cifra de afaceri globală anuală, oricare este mai mare. Pentru un IMM, chiar și o amendă de câteva mii de euro plus obligațiile de remediere reprezintă un impact real.
Ce declanșează o investigație? Cel mai frecvent: plângerea unui utilizator la ANSPDCP (procedură online, gratuită, câteva minute). Dar și acțiunile din oficiu, campaniile tematice ale autorității sau plângerile coordonate prin EDPB. Nu ai nevoie de un competitor rău intenționat — orice utilizator nemulțumit este suficient.
Pașii concreți pentru a-ți pune site-ul în regulă acum
- Folosești un instrument de scanare (ex: Cookiebot Scanner, Browser DevTools) pentru a vedea ce cookie-uri se plasează efectiv — nu ce crezi că se plasează
- Fiecare cookie identificat are: nume, categorie, durată, furnizor, scop documentat
- Cookie policy conține toate elementele obligatorii enumerate mai sus
- Bannerul are buton de refuz la fel de vizibil ca butonul de acceptare
- Cookie-urile non-necesare NU se plasează înainte de consimțământ — verificat în modul incognito
- Mecanismul de retragere a consimțământului funcționează și este accesibil din orice pagină
- Dovezile de consimțământ sunt stocate și exportabile
- Cookie policy are dată de actualizare vizibilă
- Ai stabilit un calendar de revizuire (recomandat: cel puțin anual sau la orice modificare a cookie-urilor folosite)
Când ai nevoie de un DPO și cum te poate ajuta Golden Audit Consulting®
Desemnarea unui Responsabil cu Protecția Datelor (DPO) este obligatorie în anumite situații, conform art. 37 din GDPR: pentru autorități publice, pentru operatori care efectuează monitorizare sistematică la scară largă a persoanelor fizice, sau pentru operatori care prelucrează la scară largă categorii speciale de date. Dacă nu te încadrezi în aceste criterii, DPO-ul rămâne opțional — dar recomandat.
Pentru IMM-urile din România, DPO extern oferit de un consultant specializat este soluția practică: costuri predictibile, expertiză actualizată permanent, fără overhead-ul unui angajat intern dedicat. Un DPO extern bun cunoaște atât cadrul legal, cât și realitățile tehnice ale implementării.
La Golden Audit Consulting®, oferim servicii complete de conformitate GDPR, inclusiv auditul specific al cookie-urilor: scanăm ce rulează efectiv pe site-ul tău, clasificăm corect fiecare cookie, redactăm documentația necesară și ghidăm implementarea tehnică a soluției de CMP. Nu vindem template-uri generice — lucrăm cu realitatea site-ului tău.
Dacă vrei să înțelegi concret ce trebuie să faci, prima discuție gratuită cu echipa noastră îți oferă o evaluare clară a situației actuale și pașii prioritari de remediere. Într-o oră, știi unde ești și ce urmează.
Conformitatea la cookie-uri nu este un proiect de o zi, dar nici o problemă insolubilă. Cel mai costisitor lucru pe care îl poți face este să amâni. Al doilea cel mai costisitor este să copiezi un template fără să înțelegi ce conține. Drumul corect începe cu un audit real al site-ului tău — și de acolo, fiecare pas urmează logic.
Articolul are caracter informativ și nu constituie consultanță juridică.
Ai nevoie de ajutor concret?
Golden Audit Consulting® te ajută cu implementare, audit și conformare — fără birocrație inutilă.