Cookie-uri și GDPR pe site-ul unei firme mici: ce e obligatoriu și ce nu

Pe un site de firmă mică, bannerul de cookie-uri este obligatoriu doar dacă site-ul pune pe dispozitivul vizitatorului ceva care nu e strict necesar funcționării lui. Obligația vine din Legea 506/2004, care transpune directiva europeană ePrivacy, nu doar din GDPR. Dacă ai Google Analytics, un pixel Facebook sau un widget care setează cookie-uri de marketing, ai nevoie de acordul vizitatorului înainte ca ele să se încarce.

Ce spune legea, pe scurt

Articolul 4 alin. (5) din Legea 506/2004 permite stocarea de informații pe dispozitivul unui utilizator, sau accesul la ele, doar dacă sunt îndeplinite cumulativ două condiții: utilizatorul își dă acordul și a fost informat corespunzător înainte de acord. Autoritatea de protecție a datelor (ANSPDCP) a cerut în deciziile recente un banner clar și vizibil, prin care vizitatorul poate alege real să accepte sau să refuze.

Directiva europeană din spatele legii (art. 5 alin. 3 din directiva 2002/58/CE) are o excepție. Nu e nevoie de consimțământ pentru stocarea sau accesul tehnic făcut doar pentru transmiterea unei comunicări, sau cel strict necesar ca furnizorul unui serviciu cerut explicit de utilizator să poată presta serviciul.

Contează și ce intră sub această regulă. Ghidul 2/2023 al Comitetului European pentru Protecția Datelor (EDPB), în versiunea adoptată în octombrie 2024, arată că regula nu se aplică doar cookie-urilor. Intră în discuție și pixelii de urmărire, parametrii de urmărire din adrese (URL) și identificatorii unici. Dacă ai scos cookie-urile dar ai lăsat un pixel de urmărire, problema rămâne.

Ce cookie-uri nu cer acord

Excepția se citește îngust. Ea acoperă lucrurile fără de care serviciul cerut de vizitator nu funcționează. Exemple obișnuite, pe care le-aș trata ca exceptate:

• cookie-ul de sesiune care ține minte ce ai pus în coș la un magazin online;
• cookie-ul de autentificare, dacă vizitatorul se conectează într-un cont;
• cookie-ul care reține chiar alegerea făcută în bannerul de consimțământ.

ANSPDCP însuși folosește pe site-ul lui un cookie de sesiune (JSESSIONID) care se șterge la închiderea browserului, și anunță că videoclipul YouTube încorporat setează cookie-uri doar când apeși Play. Este exact logica excepției.

Două lucruri nu sunt acoperite de excepție, iar sursele pe care le-am citit nu spun altceva: statisticile și marketingul nu sunt, în sine, necesare ca vizitatorul să primească pagina cerută. Dacă o unealtă de analiză se poate configura fără cookie-uri și fără identificatori, situația se schimbă, dar asta trebuie verificată pe configurația ta concretă, nu presupusă.

Ce cookie-uri cer acord

În practică, aproape tot ce ține de măsurare și reclamă:

• Google Analytics sau alt instrument de statistici, în configurația standard;
• pixelul Meta (Facebook), TikTok sau Google Ads pentru remarketing;
• hărți, videoclipuri și fonturi încărcate de la terți, când setează cookie-uri;
• chaturi și widgeturi de rezervare care urmăresc vizitatorul.

Regula practică pentru bannerul tău: nimic din lista de mai sus nu se încarcă până nu apasă vizitatorul pe Accept. Un banner care doar afișează un mesaj, în timp ce scripturile pornesc deja în fundal, nu rezolvă nimic. ANSPDCP a spus explicit că un banner general sau formulările vagi nu sunt suficiente.

Amenzi reale din România

Autoritatea a început verificări din oficiu, nu doar la plângeri. Două cazuri publicate recent de presa de business:

• Coral Travel & Tourism Services SRL, o agenție de turism online, a primit 5.000 lei amendă pentru cookie-uri care nu erau necesare tehnic, plasate fără acord. Cazul a fost relatat pe startupcafe.ro la 14 octombrie 2025. Firma a primit și obligația de a pune un banner clar și de a configura site-ul să nu plaseze cookie-uri nenecesare înainte de consimțământ.
• iHUNT Technology Import-Export SA a primit 20.000 lei (circa 4.000 EUR) după o plângere a unei persoane. Cookie-urile nenecesare erau instalate înainte ca vizitatorul să poată alege, fără informare corectă. Cazul a fost relatat pe 22 decembrie 2025.

Sumele nu sunt uriașe pentru o firmă mare, dar pentru o firmă mică 5.000 sau 20.000 lei înseamnă o problemă reală, plus munca de remediere făcută în grabă.

Ce ai de făcut pe site-ul tău

Faci mai întâi un inventar. Deschide site-ul într-o fereastră privată, fără să accepți nimic, și vezi în instrumentele browserului (tab-ul Application, secțiunea Cookies) ce se setează deja la prima încărcare. Tot ce nu e strict necesar și apare acolo înainte de acord este problema.

Apoi:

1. Scoate ce nu folosești. Pixelii și scripturile uitate de la campanii vechi sunt cele mai frecvente surprize.
2. Pune un mecanism de consimțământ care blochează efectiv scripturile până la acord, cu butoane de Accept și Refuz de aceeași vizibilitate.
3. Scrie o pagină de politică de cookie-uri care listează fiecare cookie, scopul lui și durata.
4. Păstrează dovada alegerii, pentru că operatorul trebuie să poată demonstra consimțământul.

Un avertisment despre soluțiile gata făcute: ANSPDCP a precizat că o mențiune de înregistrare sau un certificat al unei platforme de consimțământ nu înseamnă validare sau certificare a conformității din partea autorității. Răspunderea rămâne la firma care deține site-ul.

Mai e un detaliu de urmărit. Un proiect de modificare a Legii 506/2004 se afla în Parlament în aprilie 2026, așa că textul poate evolua. Înainte de o decizie de fond, verifică varianta în vigoare la zi, sau cere părerea unui jurist.

Pe scurt

Dacă site-ul tău folosește doar cookie-uri tehnice, nu ai nevoie de banner de acord, dar ai nevoie de informare. Dacă folosește statistici sau reclame, ai nevoie de acord înainte de încărcare. Treci prin pașii de mai sus și rulează testul în fereastra privată. Dacă vrei ca cineva să verifice site-ul și să configureze consimțământul corect, ClickNest face asta la site-urile pe care le administrează.

Surse:

• Startupcafe: agenție de turism amendată pentru cookie-urile de pe site
• Startupcafe: iHunt, amendă pentru cookie-uri
• EDPB: Guidelines 2/2023 on Technical Scope of Art. 5(3) of the ePrivacy Directive
• ANSPDCP: pagina despre cookie-uri