Cookie Confirm

Google Analytics și GDPR: ai voie să îl folosești în România?

Ai nevoie de acord pentru Google Analytics 4 în România? Ce spun Legea nr. 506/2004 și ANSPDCP, ce au decis alte autorități europene în 2022 și ce s-a schimbat odată cu Cadrul UE-SUA de confidențialitate a datelor (Data Privacy Framework).

Verificat ultima dată pe 16 octombrie 2026

Pe scurt

  • În România, Google Analytics 4 are nevoie de acordul vizitatorului înainte să plaseze cookie-uri: legea română nu are o excepție pentru cookie-urile de statistică.
  • ANSPDCP a cerut într-o decizie din 2025 ca cookie-urile de marketing și de statistică să fie instalate numai după acord.
  • Deciziile din 2022 ale altor autorități europene priveau transferurile către SUA; din iulie 2023, acestea sunt acoperite de Data Privacy Framework.
  • Folosește Google Consent Mode v2 ca să transmiți alegerea vizitatorilor către Google.

Are nevoie Google Analytics de acord?

În România, da. Google Analytics 4 intră sub incidența a două seturi de reguli și e util să le ții separat:

  1. Regula privind cookie-urile, adică articolul 4 alineatul (5) din Legea nr. 506/2004, legea cookie-urilor din România. GA4 stochează în browserul vizitatorului cookie-uri precum _ga, cu un ID unic pentru fiecare vizitator și o durată implicită de doi ani. Pentru asta ai nevoie de acordul vizitatorului, dat după ce l-ai informat clar și complet.
  2. Regulamentul general privind protecția datelor (GDPR): GA4 prelucrează date cu caracter personal, cum ar fi ID-urile din cookie-uri și informațiile despre dispozitiv. Pentru asta ai nevoie de un temei juridic, de transparență și, atunci când datele părăsesc Europa, de un mecanism de transfer valabil.

Legea română scutește de acord doar stocarea folosită exclusiv pentru transmiterea unei comunicări și pe cea strict necesară pentru un serviciu cerut în mod expres de vizitator. Nu există o excepție pentru statistici. Unele țări din UE, precum Franța și Țările de Jos, permit măsurarea audienței fără consimțământ, în condiții stricte; în România, această posibilitate nu există.

ANSPDCP a spus-o explicit. În iunie 2025 a amendat un magazin online care plasa cookie-uri fără acord și i-a cerut să își reconfigureze site-ul astfel încât cookie-urile care nu sunt necesare din punct de vedere tehnic, cu exemplele „marketing, statistic”, să se instaleze exclusiv după ce vizitatorul își exprimă acordul.

Dacă folosești Google Analytics și pentru publicitate, de exemplu prin conectarea la Google Ads, prin Google signals sau prin remarketing, este vorba despre cookie-uri de urmărire, iar acordul este necesar fără nicio discuție.

Ce au decis autoritățile în 2022

În urma plângerilor depuse de organizația pentru protecția vieții private noyb, mai multe autorități europene au analizat Google Analytics, pe atunci încă vechiul Universal Analytics. Autoritatea austriacă, CNIL, autoritatea franceză (februarie 2022), și Garante, autoritatea italiană (iunie 2022), s-au numărat printre cele care au constatat că anumite site-uri transferau date cu caracter personal către Google în SUA fără o protecție adecvată împotriva accesului serviciilor de informații americane. Ele le-au cerut acelor site-uri să își pună utilizarea în conformitate sau să renunțe la ea.

Problema de fond era transferul către SUA, nu analiza în sine. Curtea de Justiție a Uniunii Europene (CJUE) invalidase anterior Privacy Shield, în 2020 (Schrems II), iar autoritățile au constatat că măsurile suplimentare luate de Google nu erau suficiente.

În lista ei de sancțiuni, ANSPDCP nu a publicat o decizie proprie despre Google Analytics sau despre transferul datelor din Google Analytics către SUA.

Ce s-a schimbat odată cu Data Privacy Framework

La 10 iulie 2023, Comisia Europeană a adoptat o decizie privind caracterul adecvat pentru Cadrul UE-SUA de confidențialitate a datelor (EU-US Data Privacy Framework, DPF). Companiile americane certificate în cadrul lui pot primi date cu caracter personal din UE fără instrumente de transfer suplimentare. Google LLC este certificată, iar Google afirmă că se bazează pe DPF pentru produsele sale de publicitate și analiză. CNIL a remarcat că, datorită deciziei privind caracterul adecvat, aceste încălcări legate de transfer nu mai pot duce la noi somații.

Cadrul a fost contestat. La 3 septembrie 2025, Tribunalul Uniunii Europene a respins acțiunea deputatului francez Philippe Latombe (cauza T-553/23) și a confirmat că SUA ofereau o protecție adecvată la momentul adoptării DPF. Latombe a formulat recurs la Curtea de Justiție (cauza C-703/25 P). În octombrie 2026, recursul este încă pe rol. Dacă DPF cade, problema transferului revine.

DPF rezolvă doar transferul. Pentru cookie-urile GA4 tot ai nevoie de acord.

Ce face GA4 cu datele

Potrivit documentației Google:

  • Adresele IP: GA4 nu înregistrează și nu stochează adrese IP. Pentru utilizatorii din UE, din Regatul Unit și din Elveția, adresa IP este folosită pe servere din UE pentru a determina locația aproximativă, apoi este ștearsă.
  • Termenii de prelucrare a datelor: Google acționează ca persoană împuternicită pentru Google Analytics în temeiul Google Ads Data Processing Terms. Verifică în secțiunea Admin, la setările contului (Account settings), că aceștia au fost acceptați.
  • Funcțiile de publicitate: dacă activezi Google signals sau funcțiile de publicitate ori conectezi Analytics la Google Ads, datele sunt folosite și pentru publicitate. Google precizează că, în acest caz, tu ești singurul operator pentru aceste funcții.
  • Setările regionale: poți dezactiva Google signals și datele granulare despre locație și dispozitiv pentru fiecare regiune.

Sunt măsuri utile, dar nu schimbă punctul de plecare: cu cookie-ul _ga, Google Analytics recunoaște vizitatorii după un ID unic, iar pentru asta ai nevoie în România de acordul lor.

Alternative

Unii proprietari de site-uri trec la instrumente care pot fi configurate să colecteze mai puține date sau la care găzduiesc singuri datele, precum Matomo. Atenție: în România și aceste instrumente au nevoie de acord dacă plasează cookie-uri sau folosesc tehnici similare, pentru că legea nu face excepție pentru statistici. Menționează-le oricum în politica de cookie-uri.

În practică

  1. Cere acordul în bannerul de cookie-uri, cu statisticile ca o categorie separată și „Refuz” lângă „Accept”.
  2. Lasă GA4 să măsoare doar după acord sau folosește Google Consent Mode v2 cu analytics_storage implicit pe „denied”. Vezi Google Consent Mode v2 pe înțelesul tuturor.
  3. Dezactivează funcțiile pe care nu le folosești, precum Google signals și conectarea la produsele de publicitate.
  4. Verifică Data Processing Terms în setările contului Google Analytics.
  5. Menționează Google Analytics în politica de cookie-uri și în politica de confidențialitate, cu cookie-urile, scopul, durata, transferul către SUA și DPF.

Cookie Confirm blochează Google Analytics până la acord, trimite toate cele patru semnale Consent Mode și generează politica de cookie-uri pe baza scanării site-ului, inclusiv cookie-urile Google Analytics. Costă 7,95 € pe site pe lună, cu o perioadă de probă gratuită de 7 zile.

Surse

Întrebări frecvente

Este Google Analytics interzis în România?

Nu. ANSPDCP nu a publicat nicio decizie care să interzică Google Analytics. Trebuie însă să îl folosești conform regulilor, iar asta înseamnă, în primul rând, să ceri acordul vizitatorului înainte ca GA4 să plaseze cookie-uri. Problema transferului de date către SUA, din cauza căreia alte autorități europene au sancționat site-uri în 2022, este acoperită din iulie 2023 de Data Privacy Framework.

Pot folosi Google Analytics 4 fără banner de cookie-uri?

Nu. Legea nr. 506/2004 scutește de acord doar cookie-urile necesare pentru transmiterea unei comunicări și pe cele strict necesare pentru un serviciu cerut de vizitator. Cookie-urile de statistică nu intră aici. Spre deosebire de Franța sau Țările de Jos, România nu are o excepție pentru instrumentele de analiză configurate strict.

Stochează GA4 adresele IP?

Potrivit Google, GA4 nu înregistrează și nu stochează adrese IP. Pentru utilizatorii din UE, din Regatul Unit și din Elveția, Google folosește adresa IP pe servere din UE doar pentru a determina locația aproximativă, apoi o șterge. Asta nu face cookie-ul _ga, cu un ID unic, scutit de acord.

Mai am nevoie de Consent Mode dacă folosesc un banner de cookie-uri?

Consent Mode transmite alegerea vizitatorului către tagurile Google. Dacă îți conectezi Analytics la Google Ads, Google cere semnale de consimțământ pentru utilizatorii din SEE. În plus, îi permite lui GA4 să modeleze datele pentru vizitatorii care refuză.

Ce se întâmplă cu transferul către SUA dacă Data Privacy Framework este anulat?

Atunci transferurile ar avea din nou nevoie de un alt temei, cum ar fi clauzele contractuale standard cu garanții suplimentare, ca înainte de 2023. Recursul împotriva hotărârii Tribunalului (cauza C-703/25 P) era încă pe rol la Curtea de Justiție în octombrie 2026.

Acest ghid oferă informații generale, nu consultanță juridică. Îl verificăm regulat, dar legile și ghidurile se schimbă. Nu ești sigur cum stai? Întreabă un avocat.

Citește mai departe

Mai multe ghiduri

Toate ghidurile →

Primele 7 zile sunt complet gratuite

Creează-ți un cont gratuit și vezi dacă Cookie Confirm ți se potrivește. Activ în 5 minute.

  • Fără card de credit
  • Apoi 7,95 € pe lună
  • Instalare plug & play
Începe perioada mea de probă gratuită

4,9/5 5.000+ de site-uri