Ce este un cookie?
Un cookie este un mic fișier text pe care un site îl stochează în browserul vizitatorului. Data viitoare când browserul încarcă o pagină de pe acel site, trimite cookie-ul înapoi. Așa își poate aminti un site anumite lucruri: că ești autentificat, ce ai în coșul de cumpărături, ce limbă ai ales sau că l-ai mai vizitat.
Cookie-urile în sine nu sunt nici bune, nici rele. Contează la ce sunt folosite. Un cookie care îți păstrează coșul este ceva de care ai nevoie; un cookie care te urmărește pe sute de site-uri ca să-ți construiască un profil publicitar este ceva cu care trebuie să fii de acord mai întâi.
Ce spune legea?
În România, regula se află în articolul 4 alineatul (5) din Legea nr. 506/2004, legea cookie-urilor, care transpune articolul 5 alineatul (3) din Directiva europeană ePrivacy (2002/58/CE). Poți stoca informații pe dispozitivul unui vizitator sau le poți citi de acolo doar dacă vizitatorul și-a dat acordul, după ce a primit informații clare și complete, într-un limbaj ușor de înțeles, inclusiv despre scop.
Excepțiile sunt doar două, în articolul 4 alineatul (6): stocarea sau accesul folosite exclusiv pentru transmiterea unei comunicări și cele strict necesare pentru un serviciu cerut în mod expres de vizitator. Acolo unde ai nevoie de acord, acesta trebuie să respecte standardul din Regulamentul general privind protecția datelor (GDPR): liber exprimat, specific, informat și dat printr-o acțiune clară. Curtea de Justiție a Uniunii Europene (CJUE) a hotărât în cauza Planet49 (2019) că o căsuță bifată în prealabil nu reprezintă un acord valabil, indiferent dacă cookie-ul conține sau nu date cu caracter personal.
Cine verifică? ANSPDCP, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, aplică atât Legea nr. 506/2004, cât și GDPR. În comunicatele ei de sancționare, ANSPDCP vorbește despre „module cookie care nu erau necesare din punct de vedere tehnic” și cere ca acestea să fie instalate numai după acord.
Tipuri de cookie-uri
După cine le plasează
- Cookie-urile primare (first-party) sunt plasate de site-ul pe care îl vizitezi, sub propriul domeniu.
- Cookie-urile terțe (third-party) sunt plasate de un alt domeniu, de exemplu o rețea de publicitate, o platformă video sau un widget de social media încorporat în pagină.
După cât timp durează
- Cookie-urile de sesiune dispar când închizi browserul.
- Cookie-urile persistente rămân până la o dată de expirare stabilită, de la câteva minute la câțiva ani. Cookie-ul _ga al Google Analytics, de exemplu, durează implicit doi ani.
După scop
Aceasta este clasificarea care decide dacă ai nevoie de acord.
| Scop | Exemple | Ai nevoie de acord în România? |
|---|---|---|
| Strict necesare | Coș de cumpărături, sesiune de autentificare, echilibrarea încărcării, securitate, alegerea din bannerul de cookie-uri | Nu, dar trebuie să informezi |
| Preferințe | Limbă, regiune, mod întunecat | Nu, dacă doar rețin o alegere făcută de vizitator, cum ar fi schimbarea limbii; altfel da |
| Statistici / analiză | Numărul de vizitatori, afișări de pagină, Google Analytics | Da |
| Marketing / urmărire | Meta Pixel, Google Ads, LinkedIn Insight Tag, retargeting | Da |
| Conținut încorporat | Videoclipuri YouTube, hărți, postări de social media | De obicei da |
Unele țări din UE, precum Franța și Țările de Jos, permit cookie-urile de analiză fără acord, în condiții stricte. Legea română nu are o astfel de excepție. Mai multe în Google Analytics și GDPR.
Nu doar cookie-uri
Regula este neutră din punct de vedere tehnologic. Acoperă orice stochează informații pe un dispozitiv sau le citește de acolo. În Ghidurile 2/2023, Comitetul European pentru Protecția Datelor (CEPD) enumeră, printre altele:
- local storage și session storage din browser;
- pixelii de urmărire și decorarea linkurilor (identificatori adăugați în URL-uri);
- scripturile care colectează informații de pe dispozitiv și le trimit unui server;
- fingerprintingul, care recunoaște un dispozitiv după caracteristicile lui;
- identificatorii din aplicații și din dispozitivele conectate.
Nici legea română nu folosește cuvântul „cookie”: ea vorbește despre stocarea de informații sau accesul la informațiile stocate în echipamentul terminal al utilizatorului. Așadar, „nu folosim cookie-uri, doar un pixel” nu te scoate de sub incidența regulilor.
Ce înseamnă asta pentru site-ul tău
- Află ce plasează de fapt site-ul tău. Pluginurile, videoclipurile încorporate și tagurile de marketing adaugă adesea cookie-uri despre care nu știi. Un scaner de cookie-uri ți le arată.
- Sortează-le după scop: strict necesare, preferințe, statistici și marketing.
- Blochează tot ce are nevoie de acord până când vizitatorul acceptă și fă refuzul la fel de simplu ca acceptarea.
- Explică totul într-o politică de cookie-uri: fiecare cookie, scopul lui, cine îl plasează și cât timp durează. Vezi modelul nostru de politică de cookie-uri.
Cookie Confirm îți scanează site-ul în fiecare lună (plus rescanări nelimitate), sortează cookie-urile găsite, blochează scripturile până la consimțământ și îți ține politica de cookie-uri la zi.
Surse
- Directiva ePrivacy 2002/58/CE (versiune consolidată), articolul 5 alineatul (3)
- CJUE: Cauza C-673/17, Planet49
- CEPD: Ghidurile 2/2023 privind domeniul de aplicare tehnic al art. 5 alin. (3) din Directiva ePrivacy
- Legea nr. 506/2004, forma consolidată, articolul 4 (publicată de ANSPDCP)
- ANSPDCP: Sancțiune, YDAIL Construct (27 iunie 2025)
- ANSPDCP: Altă amendă pentru încălcarea RGPD, Urban Home Development (27 mai 2024)
- ANSPDCP: Sancțiune pentru încălcarea RGPD, Coral Travel & Tourism Services (14 octombrie 2025)
- Grupul de lucru Articolul 29: Avizul 04/2012 privind exceptarea cookie-urilor de la cerința consimțământului
- CNIL: Soluții pentru instrumentele de măsurare a audienței
- Google Analytics Help: Utilizarea cookie-urilor pe site-uri