Ce este un cookie wall?
Un cookie wall (zid de cookie-uri) blochează conținutul unui site până când vizitatorul face clic pe „Accept”. Opțiunea „Refuz” lipsește sau, dacă refuzi, nu poți intra. Scopul este să forțeze acordul pentru cookie-urile de urmărire sau de publicitate.
Problema este că, potrivit articolului 4 alineatul (5) din Legea nr. 506/2004, legea cookie-urilor din România, ai nevoie de acordul vizitatorului pentru cookie-urile care nu sunt strict necesare. Acordul trebuie să respecte standardul din Regulamentul general privind protecția datelor (GDPR) și, prin urmare, să fie liber exprimat: vizitatorul trebuie să poată refuza fără consecințe negative.
Cadrul european
Comitetul European pentru Protecția Datelor (CEPD), în care colaborează toate autoritățile de protecție a datelor din UE, inclusiv ANSPDCP, este clar în Ghidurile 05/2020 privind consimțământul: pentru ca acordul să fie liber exprimat, accesul la servicii și funcționalități nu trebuie condiționat de acordul pentru stocarea sau citirea de informații pe dispozitivul vizitatorului. Exemplul dat este un site care blochează tot conținutul, cu excepția unei solicitări de a accepta cookie-urile. Potrivit CEPD, vizitatorul nu are acolo o alegere reală, așa că acordul nu este valabil.
Nicio lege a UE nu interzice explicit cookie wall-urile, așa că autoritățile naționale aplică acest principiu în moduri diferite. AP, autoritatea olandeză, consideră că un cookie wall nu este permis. CNIL, autoritatea franceză, nu poate impune o interdicție generală după o hotărâre a Consiliului de Stat francez din 2020 și evaluează cookie wall-urile de la caz la caz, așteptând o alternativă „reală și echitabilă”.
Ce a decis ANSPDCP?
ANSPDCP nu a publicat un ghid separat despre cookie wall-uri, dar a avut un caz concret. În 2024 a investigat site-ul Synobis Medical S.R.L., după o sesizare potrivit căreia site-ul nu putea fi accesat fără acceptarea colectării de informații prin cookie-uri și nu îi informa pe vizitatori. ANSPDCP a constatat că site-ul permitea stocarea de cookie-uri fără consimțământul prealabil și expres al utilizatorilor și fără informarea lor și a aplicat o amendă de 10.000 de lei, plus un avertisment pentru lipsa informării conform GDPR. Totodată, i-a cerut firmei să obțină acordul expres și să informeze utilizatorii înainte de instalarea cookie-urilor.
Firma a contestat amenda. Tribunalul Cluj a respins plângerea, iar Curtea de Apel Cluj a menținut hotărârea, care a rămas definitivă. Tribunalul a reținut că site-ul trebuie gândit astfel încât cookie-urile să fie instalate doar după ce utilizatorul și-a dat acordul.
Amenda a vizat cookie-urile plasate fără acord și fără informare; ANSPDCP nu a formulat în acest caz o regulă generală despre cookie wall-uri. Mesajul pentru site-urile din România este totuși clar: un site care îi obligă pe vizitatori să accepte cookie-urile ca să intre atrage atenția autorității.
Regulile se pot schimba. Comisia Europeană a propus modificări ale regulilor privind cookie-urile în pachetul Digital Omnibus din noiembrie 2025, dar în octombrie 2026 propunerea nu fusese adoptată, așa că se aplică regulile actuale.
„Consimțământ sau plată”
Unii editori oferă o alegere: accepți urmărirea pentru reclame personalizate sau plătești pentru acces fără ea. Modelul se numește „consimțământ sau plată” („consent or pay” sau „pay or OK”).
- Curtea de Justiție a Uniunii Europene (CJUE) a statuat în 2023, în cauza Meta Platforms/Bundeskartellamt, că utilizatorilor care refuză ar trebui să li se ofere o alternativă echivalentă fără prelucrarea respectivă, dacă este necesar contra unei remunerații adecvate.
- Avizul 08/2024 al CEPD privește doar marile platforme online. Potrivit acestuia, în majoritatea cazurilor ele nu pot îndeplini cerințele pentru un acord valabil dacă oferă doar o alegere între acordul pentru publicitate comportamentală și plată. CEPD vrea ca ele să ia în considerare și o alternativă gratuită, fără publicitate comportamentală.
- ANSPDCP nu a publicat o poziție proprie despre acest model.
Pentru un site obișnuit de business, acest lucru este rareori relevant: nu câștigi bani din reclame personalizate, deci nu ai pentru ce să ceri „plată”.
Ce poți face în schimb
Pentru aproape orice site, cea mai bună opțiune este simplă:
- Lasă vizitatorii să intre, orice ar alege. Afișează „Accept” și „Refuz” unul lângă altul, la fel de vizibile, și păstrează site-ul utilizabil după un refuz.
- Blochează doar ce are nevoie de acord. Cookie-urile strict necesare se pot încărca; tagurile de marketing și de statistică așteaptă acordul.
- Asigură-te că „Refuz” chiar funcționează. ANSPDCP a amendat în 2023 un site la care cookie-urile rămâneau instalate și după apăsarea butonului „Refuz”.
- Nu insista la fiecare vizită. Respectă un refuz pentru o perioadă rezonabilă.
- Explică clar ce folosești și de ce, în banner și într-o politică de cookie-uri în limba română.
Cookie Confirm funcționează exact așa: bannerul oferă o alegere liberă, blochează scripturile până la acord și poate aplica reguli diferite pentru fiecare țară. Ce cookie-uri au de fapt nevoie de acord? Vezi Ce sunt cookie-urile?
Surse
- Legea nr. 506/2004, forma consolidată, articolul 4 (publicată de ANSPDCP)
- ANSPDCP: Sancțiune pentru nerespectarea Legii nr. 506/2004 și a GDPR, Synobis Medical (10 decembrie 2024)
- ANSPDCP: Raportul de activitate pe anul 2025 (hotărârea definitivă în cazul Synobis Medical)
- ANSPDCP: Sancțiune pentru încălcarea GDPR, Restart Energy One (26 septembrie 2023)
- CEPD: Ghidurile 05/2020 privind consimțământul în temeiul Regulamentului 2016/679
- CEPD: Avizul 08/2024 privind consimțământul valabil în contextul modelelor „consimțământ sau plată” implementate de marile platforme online
- CEPD: Scrisoarea din 19 noiembrie 2020 privind cookie wall-urile
- CJUE: Cauza C-252/21, Meta Platforms/Bundeskartellamt
- Autoriteit Persoonsgegevens: Site-urile trebuie să rămână accesibile atunci când cookie-urile de urmărire sunt refuzate (în neerlandeză)
- CNIL: Cookie wall-uri, primele criterii de evaluare (în franceză)
- Comisia Europeană: Pachetul digital (Digital Omnibus)