Ce este legea cookie-urilor?
Când se vorbește în România despre „legea cookie-urilor”, este vorba despre articolul 4 alineatul (5) din Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice. Forma actuală a fost introdusă prin OUG nr. 13/2012 și transpune în legea română articolul 5 alineatul (3) din Directiva europeană ePrivacy. Mai multe despre regula europeană găsești în Legea cookie-urilor în UE, pe înțelesul tuturor.
Legea nu folosește cuvântul „cookie”. Ea vorbește despre stocarea de informații sau obținerea accesului la informația stocată în echipamentul terminal al unui utilizator, adică pe computerul, telefonul sau tableta lui. Asta înseamnă cookie-uri, dar și tehnici similare precum local storage, pixeli de urmărire sau fingerprinting. Comitetul European pentru Protecția Datelor (CEPD) a explicat acest lucru în Ghidurile 2/2023.
Regula de bază: stocarea sau accesul sunt permise numai dacă sunt îndeplinite cumulativ două condiții:
- vizitatorul și-a exprimat acordul;
- înainte de acord, a primit informații clare și complete, într-un limbaj ușor de înțeles, ușor accesibile, inclusiv despre scopul în care sunt folosite informațiile.
Dacă permiți unor terți, de exemplu Google sau Meta, să plaseze ori să citească cookie-uri prin site-ul tău, informarea trebuie să includă și scopul general al acestor terți și modul în care vizitatorul poate folosi setările browserului pentru a șterge cookie-urile sau pentru a refuza accesul terților.
Ce cookie-uri merg fără acord?
Articolul 4 alineatul (6) din lege prevede doar două excepții. Nu ai nevoie de acord pentru stocarea sau accesul:
- folosite exclusiv pentru transmiterea unei comunicări printr-o rețea de comunicații electronice;
- strict necesare pentru furnizarea unui serviciu cerut în mod expres de vizitator, cum ar fi coșul de cumpărături, sesiunea de autentificare sau reținerea alegerii din bannerul de cookie-uri.
Spre deosebire de Franța sau Țările de Jos, legea română nu are o excepție pentru cookie-urile de statistică. ANSPDCP a cerut într-o decizie din iunie 2025 ca cookie-urile care nu sunt necesare din punct de vedere tehnic, cu exemplele „marketing, statistic”, să fie instalate exclusiv după ce vizitatorul își exprimă acordul.
| Tip de cookie | Ai nevoie de acord? | Exemple |
|---|---|---|
| Strict necesare | Nu, dar trebuie să informezi | Coș de cumpărături, autentificare, securitate, alegerea din bannerul de cookie-uri |
| Preferințe | Nu, dacă doar rețin o alegere făcută de vizitator; altfel da | Limba aleasă de vizitator |
| Statistici | Da | Google Analytics, Hotjar, Microsoft Clarity |
| Marketing și urmărire | Da | Meta Pixel, Google Ads, TikTok Pixel, LinkedIn Insight Tag, retargeting |
| Conținut încorporat | De obicei da | Videoclipuri YouTube, Google Maps, butoane de social media |
Și pentru cookie-urile care nu au nevoie de acord trebuie să le explici vizitatorilor ce folosești, de obicei într-o politică de cookie-uri. Despre tipurile de cookie-uri citești mai mult în Ce sunt cookie-urile?
Ce înseamnă un acord valabil?
Legea română nu definește acordul în detaliu. Se aplică standardul din Regulamentul general privind protecția datelor (GDPR), la care trimite Directiva ePrivacy, iar ANSPDCP raportează în deciziile sale cerințele la articolele 4 punctul 11 și 7 din GDPR. Acordul trebuie să fie:
- liber exprimat: vizitatorul poate refuza fără consecințe; vezi Cookie wall-uri;
- specific: pe scopuri, nu un singur „Accept” pentru tot fără posibilitatea de a alege;
- informat: vizitatorul știe ce cookie-uri sunt plasate, în ce scop și de către cine;
- dat printr-o acțiune clară: o căsuță bifată în prealabil nu este acord. Curtea de Justiție a Uniunii Europene a stabilit acest lucru în cauza Planet49 (2019).
Vizitatorul trebuie să își poată retrage acordul la fel de ușor cum l-a dat.
Și setările browserului?
Articolul 4 alineatul (5^1) din lege spune că acordul poate fi dat și prin setările browserului sau prin alte tehnologii similare. Asta nu înseamnă că setarea implicită a unui browser, care acceptă cookie-uri, ține loc de acord: acordul trebuie să fie o alegere activă și informată a vizitatorului. În toate deciziile de mai jos, ANSPDCP a cerut consimțământul prealabil și expres al utilizatorilor înainte de instalarea cookie-urilor.
Cine verifică și ce urmărește ANSPDCP?
În România există o singură autoritate pentru ambele seturi de reguli: Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP). Potrivit articolului 13 alineatul (5) din Legea nr. 506/2004, ANSPDCP constată încălcările regulii privind cookie-urile și aplică sancțiunile. Tot ea supraveghează aplicarea GDPR.
Majoritatea investigațiilor pornesc de la o sesizare a unui vizitator, dar ANSPDCP verifică site-uri și din oficiu. Din comunicatele publicate, greșelile pentru care s-au dat amenzi sunt mereu aceleași:
- cookie-uri care nu sunt necesare din punct de vedere tehnic sunt instalate imediat ce se deschide site-ul, înainte de orice alegere;
- butonul „Refuz” nu are niciun efect, iar cookie-urile rămân instalate;
- lipsește informarea despre cookie-uri sau despre operatorul site-ului;
- operatorul nu poate dovedi că vizitatorul și-a dat acordul;
- site-ul nu poate fi folosit fără acceptarea cookie-urilor.
Pe lângă amendă, ANSPDCP dispune de obicei măsuri corective. Agenției de turism Coral Travel, de exemplu, i-a cerut în 2025 să introducă un banner de cookie-uri „clar și vizibil”, care să permită o opțiune reală și informată, și să configureze site-ul astfel încât cookie-urile nenecesare să nu fie plasate înainte de un acord valabil. Într-un alt caz, ANSPDCP a cerut ca informarea să fie, în principal, în limba română.
Cât de mari pot fi amenzile și ce firme au fost deja sancționate afli în Amenzi pentru cookie-uri. Pe scurt: pentru regula privind cookie-urile amenda este de la 5.000 la 100.000 de lei, iar pentru firmele cu o cifră de afaceri de peste 5.000.000 de lei poate ajunge la 2% din cifra de afaceri. Dacă cookie-urile prelucrează date cu caracter personal, se pot adăuga amenzi conform GDPR.
Cum îți aduci site-ul în conformitate
- Află ce cookie-uri plasează site-ul tău, inclusiv cele din pluginuri, videoclipuri și hărți încorporate. Un scaner de cookie-uri le găsește.
- Verifică dacă ai nevoie de toate. Fără cookie-uri de statistică și marketing nu ai nevoie de un banner care cere acordul.
- Împarte restul pe scopuri: strict necesare, statistici și marketing.
- Pune un banner de cookie-uri cu „Accept” și „Refuz” la fel de vizibile, pe primul nivel, fără căsuțe bifate în prealabil.
- Blochează tot ce are nevoie de acord până când vizitatorul acceptă și asigură-te că „Refuz” chiar oprește cookie-urile.
- Folosești Google Ads sau Google Analytics? Transmite alegerea prin Google Consent Mode v2.
- Publică o politică de cookie-uri în limba română, cu fiecare cookie, scopul lui, durata și cine îl plasează.
- Păstrează dovada acordului, ca să poți arăta cine, când și pentru ce și-a dat acordul.
Cookie Confirm te ajută la pașii 1 și 3-8: scanerul îți verifică site-ul în fiecare lună (și oricând vrei), bannerul blochează scripturile până la acord și transmite alegerea către Google Consent Mode v2, politica de cookie-uri este generată și actualizată automat, iar fiecare consimțământ este păstrat timp de 12 luni. Nu vrei să instalezi singur? Serviciul gratuit de instalare (Setup Service) se ocupă de tot în 24 de ore după ce ne dai acces.
Surse
- Legea nr. 506/2004, forma consolidată, articolele 4 și 13 (publicată de ANSPDCP)
- Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR (publicată de ANSPDCP)
- EUR-Lex: Regulamentul (UE) 2016/679 (GDPR), articolele 4, 7 și 83
- ANSPDCP: Sancțiuni RGPD (lista comunicatelor)
- ANSPDCP: Sancțiuni cookies, investigații tematice (19 iunie 2015)
- ANSPDCP: O nouă sancțiune pentru încălcarea RGPD, Sweat Concept One (23 noiembrie 2023)
- ANSPDCP: Altă amendă pentru încălcarea RGPD, Urban Home Development (27 mai 2024)
- ANSPDCP: Sancțiune pentru nerespectarea Legii nr. 506/2004 și a GDPR, Synobis Medical (10 decembrie 2024)
- ANSPDCP: Sancțiune, Kashto Concept (16 iunie 2025)
- ANSPDCP: Sancțiune, YDAIL Construct (27 iunie 2025)
- ANSPDCP: Sancțiune pentru încălcarea GDPR, Restart Energy One (26 septembrie 2023)
- ANSPDCP: Sancțiune pentru încălcarea RGPD, Coral Travel & Tourism Services (14 octombrie 2025)
- ANSPDCP: Raportul de activitate pe anul 2025
- CEPD: Ghidurile 2/2023 privind domeniul de aplicare tehnic al art. 5 alin. (3) din Directiva ePrivacy
- CJUE: Cauza C-673/17, Planet49 (1 octombrie 2019)
- Observatorul legislativ al Parlamentului European: procedura Digital Omnibus 2025/0360(COD)