Bannerul de cookie-uri: când e obligatoriu și cum arată unul corect

Pe 14 octombrie 2025, ANSPDCP a anunțat amendarea unei agenții de turism pentru cookie-uri puse fără acord. Investigația nu pornise de la o plângere, ci din oficiu. În ultimele 12 luni, ANSPDCP a publicat cel puțin șapte comunicate despre amenzi legate de cookie-uri, iar cele mai multe privesc site-uri obișnuite: un cabinet de avocat, un magazin online, un producător de telefoane.

Mai jos afli când îți trebuie un banner de cookie-uri, cum arată unul corect, element cu element, ce înseamnă Google Consent Mode pentru un site mic și ce s-a schimbat în ultimul an.

Important: articolul are caracter informativ și nu constituie consultanță juridică. Legislația se schimbă, iar unele prevederi sunt interpretabile. Pentru situația ta concretă, verifică sursele oficiale sau discută cu un avocat.

Pe scurt

• Bannerul e obligatoriu doar dacă site-ul pune cookie-uri care nu sunt strict necesare: statistici, reclame, pixeli, hărți sau video încorporate. Dacă folosești doar cookie-uri de sesiune, coș sau limbă, nu ai nevoie de acord; e suficient să le explici în politica de cookie-uri.

• Cookie-urile neesențiale nu pornesc până la „Accept”. Regula vine din art. 4 alin. (5) al Legii 506/2004.

• „Refuz” stă lângă „Accept”, la fel de vizibil. Fără bife pre-bifate, fără „continuând navigarea, ești de acord”, fără site blocat până accepți.

• Acordul se retrage la fel de ușor cum s-a dat, de pe orice pagină.

• Amenda: 5.000–100.000 de lei, iar peste 5 milioane de lei cifră de afaceri, până la 2% din ea. Controlează ANSPDCP.

Ce spune legea, exact

Regula: acord, după o informare clară

În România, cookie-urile sunt reglementate de Legea 506/2004 privind protecția vieții private în comunicațiile electronice, nu direct de GDPR. Forma consolidată din Portalul Legislativ, actualizată ultima dată la 8 octombrie 2024, spune la art. 4 alin. (5):

„Stocarea de informații sau obținerea accesului la informația stocată în echipamentul terminal al unui abonat ori utilizator este permisă numai cu îndeplinirea în mod cumulativ a următoarelor condiții: a) abonatul sau utilizatorul în cauză și-a exprimat acordul; b) abonatului sau utilizatorului în cauză i s-au furnizat, anterior exprimării acordului, […] informații clare și complete […]”

Legea nu vorbește doar de cookie-uri, ci de orice informație scrisă sau citită de pe dispozitiv. Și informarea vine înainte de acord, nu într-o politică pe care o găsești doar din footer.

Excepțiile: ce merge fără acord

Alineatul (6) face două excepții: stocarea „exclusiv în scopul efectuării transmisiei unei comunicări” și cea „strict necesară în vederea furnizării unui serviciu al societății informaționale, solicitat în mod expres de către abonat sau utilizator”.

Cuvântul important e „strict”. Un cookie de statistici te ajută pe tine, dar vizitatorul nu l-a cerut și site-ul merge fără el. Grupul de Lucru Articolul 29, predecesorul EDPB (Comitetul European pentru Protecția Datelor), spune explicit în Opinia 04/2012 că nici cookie-urile de analiză ale site-ului tău nu sunt scutite de acord.

Ce înseamnă un acord valabil

Acordul pentru cookie-uri se judecă după condițiile din GDPR. Art. 4 pct. 11 definește consimțământul ca manifestare de voință liberă, specifică, informată și lipsită de ambiguitate, printr-o declarație sau o acțiune clară. Art. 7 alin. (3) cere ca retragerea să fie la fel de simplă ca acordarea.

Ghidul EDPB 05/2020 privind consimțământul traduce asta în exemple concrete:

• Derularea paginii nu e acord (exemplul 16): scroll-ul sau swipe-ul „nu vor satisface în nicio situație” cerința unei acțiuni clare.

• Site-ul blocat până accepți nu obține un acord liber (punctele 39–41). Practica se numește „cookie wall”.

• Retragerea se face din aceeași interfață (punctele 113–114), nu printr-un e-mail sau un telefon.

Ce cookie-uri cer acord și care nu

Opinia 04/2012, la care trimite și raportul EDPB din 2023, rămâne lista de referință pentru cookie-urile scutite. Pe un site de prezentare:

Atenție la eticheta „esențial”: raportul EDPB spune că proprietarul site-ului trebuie să poată demonstra autorității de ce fiecare cookie numit „necesar” chiar este.

Ce poate rula de la prima încărcare a paginii și ce trebuie să aștepte acordul. Surse: Legea 506/2004, art. 4 alin. (5)–(6); Opinia 04/2012 a Grupului de Lucru Articolul 29.

Hărțile și video-urile încorporate

Aici greșesc multe site-uri cu un banner altfel corect. Un iframe YouTube sau Google Maps se încarcă odată cu pagina, împreună cu ce stochează furnizorul în browser. Chiar și modul „privacy-enhanced” de la YouTube e descris de Google doar ca o limitare a personalizării, nu ca o încărcare fără stocare.

Soluția simplă: în locul hărții, o imagine statică cu butonul „Afișează harta” și o propoziție despre ce se încarcă. Harta pornește doar la clic sau după acordul pentru categoria respectivă.

Cum arată un banner corect, element cu element

Pozițiile de mai jos vin din raportul grupului de lucru EDPB pentru bannerele de cookie-uri, adoptat pe 17 ianuarie 2023. Ele sunt pragul minim comun convenit de autoritățile europene de protecția datelor.

1. Refuzul pe primul ecran, la fel de vizibil

„O vastă majoritate” a autorităților consideră o încălcare bannerul care are butonul „Accept” pe un nivel, dar nu are pe același nivel o opțiune de refuz. Butonul „Setări” singur nu ajunge. Nici culorile nu au voie să împingă spre „Accept”: un buton cu textul aproape necitibil e „vădit înșelător”, spune raportul. Cel mai sigur: „Accept toate” și „Refuz toate” alăturate, cu aceeași formă și același contrast.

2. Refuzul e un buton, nu un link ascuns

Raportul dă ca exemplu de acord invalid un „continuă fără să accepți” pus ca link în mijlocul textului sau în afara bannerului, fără un suport vizual care să-l facă observabil.

3. Nicio bifă pusă dinainte

În al doilea nivel, unde vizitatorul alege categoriile, căsuțele pentru statistici și marketing pornesc nebifate. Raportul citează considerentul 32 din GDPR: tăcerea, căsuțele pre-bifate sau lipsa de acțiune nu constituie consimțământ.

4. Fără „interes legitim” pentru cookie-uri

Unele bannere au în setări comutatoare pornite sub titlul „interes legitim”. Raportul e clar: temeiul pentru plasarea cookie-urilor nu poate fi interesul legitim al operatorului.

5. Fără „continuând navigarea, ești de acord”

Fraza încă apare pe multe site-uri și nu obține nimic: derularea sau navigarea nu e acord. Până la un clic pe „Accept”, statisticile și reclamele rămân oprite.

6. Retragerea, de pe orice pagină

Vizitatorul trebuie să-și poată schimba decizia oricând: o iconiță mică, mereu vizibilă, sau un link „Setări cookie-uri” într-un loc standard, cum e footer-ul. Soluția nu e impusă, dar retragerea trebuie să fie la fel de ușoară ca acordul.

Același banner, greșit și corect. Numerele corespund regulilor de mai sus; sursele: raportul EDPB din 17 ianuarie 2023 și Ghidul EDPB 05/2020. Firma este fictivă.

Ce scrii în banner

Primul nivel spune concret ce faci: „Folosim cookie-uri necesare pentru funcționarea site-ului. Cu acordul tău, folosim și Google Analytics pentru statistici și afișăm harta Google. Poți schimba alegerea oricând din «Setări cookie-uri».” Plus linkul spre politica de cookie-uri, cu lista lor: nume, furnizor, scop, durată.

Despre ce mai trebuie să conțină politica de confidențialitate și datele firmei din footer am scris în articolul despre ce este obligatoriu legal pe site-ul unei firme.

Google Analytics și Consent Mode v2, pe înțelesul tuturor

Ce este Consent Mode

Consent Mode nu e un banner. E un mecanism prin care bannerul tău îi transmite Google ce a ales vizitatorul, iar Google Analytics și Google Ads se comportă în funcție de asta. Versiunea 2 adaugă la semnalele pentru statistici și reclame două noi: acordul pentru trimiterea datelor către Google în scop publicitar și cel pentru reclame personalizate.

De ce îl cere Google în Europa

Politica Google privind consimțământul utilizatorilor din UE cere acord pentru vizitatorii din Spațiul Economic European, Marea Britanie și Elveția. Documentația Google Analytics spune că, din martie 2024, fără semnalele noi, în audiențele pentru reclame intră doar vizitatorii din afara SEE. Iar acordul îl obții tu, pe site, nu Google.

Consent Mode e deci o cerință a Google, utilă dacă faci reclame. Obligația de a cere acordul vine din Legea 506/2004, cu sau fără Consent Mode.

Modul de bază și modul avansat

• De bază: etichetele Google nu se încarcă deloc până la alegere. Dacă vizitatorul refuză, nu pleacă nimic spre Google, nici măcar faptul că a refuzat. E varianta cea mai ușor de explicat într-o politică de cookie-uri.

• Avansat: etichetele se încarcă de la început, iar cât timp acordul lipsește trimit „pinguri” fără cookie-uri: ora, browserul, pagina de proveniență, starea acordului. Google le folosește pentru a estima, prin modelare, vizitele și conversiile pierdute.

Pentru un site de prezentare fără reclame, modul de bază e de obicei suficient: pierzi statisticile celor care refuză, dar nu trimiți nimic fără acord. Modul avansat merită discutat dacă plătești campanii Google Ads, iar pingurile trimise fără acord trebuie descrise în politica ta.

Amenzi reale aplicate de ANSPDCP

Art. 13 din Legea 506/2004 sancționează nerespectarea art. 4 alin. (5) cu amendă de la 5.000 la 100.000 de lei, iar pentru firmele cu cifra de afaceri peste 5.000.000 de lei, cu până la 2% din cifra de afaceri. Constatarea și amenzile le aplică ANSPDCP. Câteva cazuri din comunicatele autorității, fiecare cu altă lecție:

Investigațiile pornesc de cele mai multe ori de la sesizarea unui vizitator, dar ANSPDCP verifică și din oficiu. Iar cazul din februarie 2026 arată că cea mai scumpă greșeală nu a fost bannerul, ci lipsa unui răspuns către autoritate.

Ce s-a schimbat în ultimul an

În România, legea nu s-a schimbat. Propunerea legislativă L256/2026, care ar fi scris în lege refuzul la același nivel cu „Accept toate” și interdicția bifelor pre-bifate, a fost respinsă de Senat pe 2 iunie 2026 și trimisă Camerei Deputaților, care decide. Nu e lege, dar cerințele ei sunt deja cele din raportul EDPB.

La nivel european, există o propunere, nu o regulă nouă. Pachetul „Digital Omnibus”, prezentat de Comisia Europeană pe 19 noiembrie 2025, ar muta regulile despre cookie-uri în GDPR, cu refuz dintr-un singur clic, alegerea respectată cel puțin șase luni, preferințe setate din browser și scutire de acord pentru statistici agregate. La 20 septembrie 2026, pagina Parlamentului European arată propunerea neadoptată: votul din Consiliu din 26 iunie 2026 a fost anulat, iar în Parlament s-au depus peste 1.750 de amendamente. Până atunci se aplică regulile de azi.

Checklist pentru bannerul tău

• Deschide site-ul într-o fereastră privată și verifică în instrumentele browserului (F12, „Application” sau „Storage”) ce cookie-uri apar înainte de orice clic. Trebuie să vezi doar cele strict necesare.

• Primul ecran are „Accept toate” și „Refuz toate”, la fel de vizibile, plus „Setări”.

• În „Setări”, categoriile neesențiale sunt nebifate, iar „necesare” e explicat.

• Bannerul nu acoperă site-ul fără ieșire și nu spune „continuând navigarea, ești de acord”.

• Hărțile, video-urile și pixelii pornesc doar după acordul pentru categoria lor.

• În footer, pe fiecare pagină, există „Setări cookie-uri”, care redeschide bannerul.

• Alegerea se salvează, cu data, ca să poți dovedi acordul dacă ești întrebat.

Întrebări frecvente

Cum facem noi bannerul

Pe site-urile pe care le construim, cookie-urile neesențiale, hărțile și video-urile se încarcă doar după acord, bannerul are „Accept” și „Refuz” la fel de vizibile, iar „Setări cookie-uri” stă în footer, pe fiecare pagină. Pentru statistici propunem, unde se poate, o variantă fără cookie-uri, iar politica de cookie-uri o completăm cu furnizorii reali. Vezi pe pagina de prețuri ce include abonamentul sau scrie-ne dacă vrei să ne uităm la bannerul site-ului tău actual.

Articolul se bazează pe forma consolidată a Legii 506/2004 (la 8 octombrie 2024), pe raportul EDPB privind bannerele de cookie-uri (2023), pe Ghidul EDPB 05/2020, pe Opinia 04/2012 a Grupului de Lucru Articolul 29, pe documentația Google și pe comunicatele ANSPDCP, verificate în octombrie 2026.