Cine te poate amenda pentru cookie-uri?
În România ai de-a face cu două legi, dar cu o singură autoritate:
- Legea nr. 506/2004, articolul 4 alineatul (5), adică legea cookie-urilor. Ea stabilește când ai voie să stochezi sau să citești informații pe dispozitivul unui vizitator: doar cu acordul lui, după ce l-ai informat clar și complet.
- GDPR. De îndată ce prin cookie-uri prelucrezi date cu caracter personal, iar cookie-urile de urmărire fac asta aproape întotdeauna, prelucrarea trebuie să respecte GDPR. Legea nr. 190/2018 stabilește cum se aplică GDPR în România.
Pentru ambele, autoritatea competentă este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP). Articolul 13 alineatul (5) din Legea nr. 506/2004 îi dă dreptul să constate încălcările regulii privind cookie-urile și să aplice sancțiunile.
Regula privind cookie-urile nu face parte din GDPR, așa că mecanismul ghișeului unic (one-stop-shop) din GDPR nu i se aplică. Fiecare autoritate națională poate acționa pentru vizitatorii din țara ei, chiar dacă firma are sediul principal în altă țară din UE.
Cât de mari pot fi amenzile?
| Lege | Pentru ce | Amenda |
|---|---|---|
| Legea nr. 506/2004, art. 13 alin. (1) lit. i) și alin. (2) | Cookie-uri sau tehnici similare fără acord ori fără informare (încălcarea art. 4 alin. (5)) | De la 5.000 la 100.000 de lei; pentru firmele cu o cifră de afaceri de peste 5.000.000 de lei, până la 2% din cifra de afaceri |
| GDPR, art. 83 alin. (5) | Principiile de bază, temeiul juridic, condițiile pentru consimțământ (art. 5, 6, 7 și 9), drepturile persoanelor vizate | Până la 20 de milioane de euro sau, pentru o întreprindere, până la 4% din cifra de afaceri mondială anuală, dacă suma este mai mare |
| GDPR, art. 83 alin. (4) | Alte obligații ale operatorului, cum ar fi securitatea datelor | Până la 10 milioane de euro sau 2% din cifra de afaceri mondială anuală |
Plafoanele spun puțin despre ce riscă un site obișnuit. Pentru amenzile conform Legii nr. 506/2004 se aplică regulile generale privind contravențiile (Ordonanța Guvernului nr. 2/2001), nu criteriile din articolul 83 GDPR: amenda trebuie să fie proporțională cu gravitatea faptei. Pentru amenzile conform GDPR, ANSPDCP ține cont de criteriile din articolul 83 alineatul (2), cum ar fi natura, gravitatea și durata încălcării, numărul persoanelor afectate și caracterul intenționat sau neglijent al încălcării. ANSPDCP aplică amenzile GDPR în lei și indică în comunicate echivalentul în euro.
Pentru autoritățile și instituțiile publice, Legea nr. 190/2018 prevede un regim separat pentru încălcările GDPR: mai întâi un avertisment cu un plan de remediere, iar amendă, de la 10.000 la 200.000 de lei pentru încălcarea condițiilor privind consimțământul, numai dacă planul nu este respectat.
Amenda nu este singura sancțiune. ANSPDCP poate dispune măsuri corective, cum ar fi reconfigurarea bannerului de cookie-uri, și poate aplica un avertisment.
Ce amenzi pentru cookie-uri a aplicat deja ANSPDCP?
ANSPDCP publică sancțiunile pe site-ul său. Tabelul cuprinde toate comunicatele pentru cookie-uri pe care le-am găsit în lista ei de sancțiuni (până în octombrie 2026):
| Comunicat ANSPDCP | Operator | Sancțiune pentru cookie-uri | Ce a constatat ANSPDCP |
|---|---|---|---|
| 22 decembrie 2022 | Sudrezidențial Broker S.R.L. | Avertisment (plus 10.000 de euro pentru o problemă de securitate a datelor) | Cookie-uri care nu erau necesare tehnic, fără acord și fără informații clare |
| 26 septembrie 2023 | Restart Energy One S.A. | 40.000 de lei (plus 25.000 de euro pentru securitatea datelor) | Cookie-uri instalate înainte de apăsarea butonului „Accept”; butonul „Refuz” nu avea niciun efect |
| 23 noiembrie 2023 | Sweat Concept One S.A. | 10.000 de lei | Cookie-uri fără consimțământul prealabil și expres al vizitatorilor |
| 27 mai 2024 | Urban Home Development S.R.L. | 10.000 de lei | Cookie-uri instalate înainte de acord; nicio informare despre cookie-uri pe site |
| 10 decembrie 2024 | Synobis Medical S.R.L. | 10.000 de lei și un avertisment | Site-ul nu putea fi folosit fără acceptarea cookie-urilor; cookie-uri fără acord prealabil și fără informare |
| 16 iunie 2025 | Kashto Concept S.R.L. | 5.000 de lei | Magazin online cu cookie-uri care nu erau necesare tehnic; operatorul nu a putut dovedi acordul |
| 27 iunie 2025 | YDAIL Construct S.R.L. | 20.000 de lei | Magazin online cu cookie-uri fără acord |
| 16 iulie 2025 | O persoană fizică, operatorul unui site | 30.000 de lei (plus 4.000 de euro pentru lipsa informării prin formularul de contact) | Cookie-uri fără acord prealabil și fără informare, timp de patru luni |
| 11 septembrie 2025 | Lenjeria Magică S.R.L. | 15.000 de lei | Cookie-uri fără informare și fără acord |
| 14 octombrie 2025 | Coral Travel & Tourism Services S.R.L. | 5.000 de lei | Investigație din oficiu: cookie-uri care nu erau necesare tehnic, fără acord |
| 4 noiembrie 2025 | There's An AI For That S.R.L. | 30.000 de lei | Cookie-uri fără informare clară și fără consimțământ expres |
| 26 iunie 2026 | Aviziero S.R.L. | 5.000 de lei | Cookie-uri fără informare corectă și fără acord prealabil |
| 31 iulie 2026 | Homelux S.R.L. | 30.000 de lei (plus 15.000 de euro pentru securitatea datelor) | Cookie-uri care nu erau necesare tehnic, fără acord |
Câteva lucruri ies în evidență:
- Nu sunt amendate doar firmele mari. Pe listă sunt magazine online, o agenție de turism, o firmă din domeniul medical și chiar o persoană fizică, iar amenzile sunt de ordinul miilor sau zecilor de mii de lei.
- Cele mai multe cazuri pornesc de la o sesizare. Uneori investigația a pornit de la altceva, de exemplu de la o cerere de ștergere fără răspuns sau de la un incident de securitate, iar ANSPDCP a verificat cu această ocazie și cookie-urile site-ului.
- Amenda vine împreună cu ordine. De obicei, ANSPDCP dispune și reconfigurarea site-ului astfel încât cookie-urile de marketing și de statistică să fie instalate numai după acord.
Cazul Synobis Medical a ajuns în instanță. Tribunalul Cluj a respins plângerea firmei, iar Curtea de Apel Cluj a menținut hotărârea, care a rămas definitivă. Instanța a reținut că site-ul trebuie gândit astfel încât cookie-urile să fie instalate doar după ce utilizatorul și-a dat acordul și că faptul că firma era la prima abatere nu justifica înlocuirea amenzii cu un avertisment.
Nu răspunde nici la întrebările ANSPDCP doar cu tăcere. În februarie 2026, ANSPDCP a amendat cu 101.794 de lei (echivalentul a 20.000 de euro) firma Tensa Art Design S.A. pentru că nu a răspuns solicitărilor sale într-o investigație pornită de la o sesizare despre cookie-uri de urmărire și publicitate pe site-ul ei.
În total, ANSPDCP a aplicat în 2025, potrivit raportului său anual, 9 amenzi în baza Legii nr. 506/2004, în valoare totală de 187.000 de lei. Legea acoperă și mesajele comerciale nesolicitate, așa că nu toate aceste amenzi au fost pentru cookie-uri. ANSPDCP verifică cookie-urile de mult timp: încă din 2015 a făcut investigații tematice asupra site-urilor principalilor furnizori de telecomunicații și a aplicat amenzi de 68.500 de lei în total.
Pentru comparație, în alte țări din UE amenzile pentru cookie-uri pot fi mult mai mari: CNIL, autoritatea franceză, a amendat în septembrie 2025 Google cu 325 de milioane de euro și Shein cu 150 de milioane de euro, în principal pentru cookie-uri plasate fără consimțământ valabil.
Cum se desfășoară o investigație?
- Sesizare sau verificare din oficiu. Un vizitator depune o plângere la ANSPDCP sau autoritatea verifică singură un site.
- Solicitare de informații. ANSPDCP îi cere operatorului explicații și documente. Răspunde complet și la timp.
- Constatare. ANSPDCP verifică site-ul: ce cookie-uri sunt instalate la prima vizită, ce se întâmplă după „Refuz”, ce informații primește vizitatorul.
- Proces-verbal. Dacă găsește o încălcare, ANSPDCP aplică o amendă sau un avertisment și, de obicei, măsuri corective.
- Contestare. Procesul-verbal poate fi contestat în instanță, așa cum a făcut Synobis Medical.
Alte riscuri: despăgubiri
Pe lângă amendă, vizitatorii pot cere despăgubiri. Conform articolului 82 GDPR, oricine suferă un prejudiciu material sau moral din cauza unei încălcări a GDPR are dreptul la despăgubire. Curtea de Justiție a Uniunii Europene a stabilit în mai 2023, în cauza Österreichische Post (C-300/21), că simpla încălcare nu este suficientă: trebuie să existe un prejudiciu real și o legătură cu încălcarea. O instanță națională nu poate însă cere un prag minim de gravitate pentru prejudiciul moral.
Cum eviți problemele
Amenzile de mai sus se reduc la aceleași câteva greșeli:
- Niciun cookie înainte de acord. Blochează orice script de statistică sau marketing până când vizitatorul acceptă.
- „Refuz” trebuie să funcționeze. După un refuz, cookie-urile nu se mai instalează și nu se mai citesc.
- „Accept” și „Refuz” la fel de vizibile pe primul nivel al bannerului, fără căsuțe bifate în prealabil.
- Informații clare, în limba română, în banner și într-o politică de cookie-uri, plus datele de identificare ale firmei tale.
- Site-ul rămâne utilizabil și pentru cei care refuză; vezi Cookie wall-uri.
- Păstrează dovada acordului, ca să poți arăta cine, când și pentru ce a fost de acord.
- Verifică periodic. Pluginurile și tagurile noi adaugă cookie-uri fără ca cineva să observe.
- Răspunde la timp la ANSPDCP. Tăcerea poate costa mai mult decât greșeala de la care a pornit investigația.
Folosești Google Analytics sau Google Ads? Citește și Google Analytics și GDPR și Google Consent Mode v2.
Cookie Confirm se ocupă de majoritatea acestor pași, pentru 7,95 € pe site pe lună: scanerul îți verifică site-ul în fiecare lună (și oricând vrei), scripturile rămân blocate până la acord, „Accept” și „Refuz” stau unul lângă altul în stilul brandului tău, politica de cookie-uri este generată din scanare, iar fiecare consimțământ este păstrat timp de 12 luni și poate fi exportat. Nu vrei să instalezi singur? Serviciul gratuit de instalare (Setup Service) se ocupă de tot în 24 de ore după ce ne dai acces.
Surse
- Legea nr. 506/2004, forma consolidată, articolele 4 și 13 (publicată de ANSPDCP)
- Legea nr. 190/2018, articolele 12-14 (publicată de ANSPDCP)
- EUR-Lex: Regulamentul (UE) 2016/679 (GDPR), articolele 82 și 83
- ANSPDCP: Sancțiuni RGPD (lista comunicatelor)
- ANSPDCP: Sudrezidențial Broker (22 decembrie 2022)
- ANSPDCP: Restart Energy One (26 septembrie 2023)
- ANSPDCP: Sweat Concept One (23 noiembrie 2023)
- ANSPDCP: Urban Home Development (27 mai 2024)
- ANSPDCP: Synobis Medical (10 decembrie 2024)
- ANSPDCP: Kashto Concept (16 iunie 2025)
- ANSPDCP: YDAIL Construct (27 iunie 2025)
- ANSPDCP: Sancțiuni, operator persoană fizică (16 iulie 2025)
- ANSPDCP: Lenjeria Magică (11 septembrie 2025)
- ANSPDCP: Coral Travel & Tourism Services (14 octombrie 2025)
- ANSPDCP: There's An AI For That (4 noiembrie 2025)
- ANSPDCP: Tensa Art Design (5 februarie 2026)
- ANSPDCP: Aviziero (26 iunie 2026)
- ANSPDCP: Homelux (31 iulie 2026)
- ANSPDCP: Sancțiuni cookies, investigații tematice (19 iunie 2015)
- ANSPDCP: Raportul de activitate pe anul 2025 (inclusiv hotărârea definitivă în cazul Synobis Medical)
- CNIL: Amendă de 325 de milioane de euro pentru Google (septembrie 2025)
- CNIL: Amendă de 150 de milioane de euro pentru Shein (septembrie 2025)
- CJUE: Cauza C-300/21, Österreichische Post (4 mai 2023)