Legea cookie-urilor în UE, pe înțelesul tuturor: Directiva ePrivacy și GDPR

De unde vine regula europeană privind cookie-urile

Regula pe care majoritatea oamenilor o numesc „legea cookie-urilor din UE” este articolul 5 alineatul (3) din Directiva ePrivacy (Directiva 2002/58/CE privind confidențialitatea și comunicațiile electronice). De la modificarea sa prin Directiva 2009/136/CE, articolul prevede că stocarea de informații pe dispozitivul unui utilizator sau accesarea informațiilor deja stocate acolo este permisă doar dacă utilizatorul și-a dat consimțământul după ce a primit informații clare și complete. Statele membre au trebuit să aplice regula modificată începând cu 25 mai 2011.

Există două excepții. Nu este nevoie de consimțământ pentru stocarea sau accesul care este:

• folosit exclusiv pentru transmiterea unei comunicări printr-o rețea sau
• strict necesar pentru furnizarea unui serviciu solicitat explicit de utilizator, cum ar fi un coș de cumpărături, autentificarea sau salvarea alegerii vizitatorului privind cookie-urile.

Tot restul, cum ar fi analiza, publicitatea, retargetingul și pixelii de social media, necesită în principiu consimțământ. Unele autorități naționale permit excepții restrânse pentru măsurarea audienței care respectă viața privată; consultă ghidurile pe țări de mai jos.

Nu doar cookie-uri

Regula este neutră din punct de vedere tehnologic. În Ghidurile 2/2023 privind domeniul de aplicare tehnic al articolului 5 alineatul (3), adoptate în forma finală în octombrie 2024, Comitetul European pentru Protecția Datelor (CEPD) explică faptul că regula acoperă și pixelii de urmărire, linkurile de urmărire, local storage, anumite forme de fingerprinting și tehnici similare. Mai multe în Ce sunt cookie-urile?

Cum o aplică statele membre

Fiind o directivă, fiecare stat membru a transpus regula în propria legislație și fiecare are propria autoritate. Câteva exemple:

Diferențele țin de detalii: dacă cookie wall-urile sunt permise, cât timp trebuie reținută o alegere, dacă analiza poate fi exceptată și cât de mari sunt amenzile. Legea română, de exemplu, nu are o excepție pentru cookie-urile de statistică, iar amenda pentru cookie-uri fără acord este de la 5.000 la 100.000 de lei sau de până la 2% din cifra de afaceri pentru firmele cu o cifră de afaceri de peste 5 milioane de lei. Ce firme a amendat deja ANSPDCP afli în ghidul nostru despre amenzile pentru cookie-uri.

Ce adaugă GDPR

Directiva ePrivacy nu definește ea însăși consimțământul, ci trimite la definiția din legislația privind protecția datelor, adică acum la Regulamentul general privind protecția datelor (GDPR). Așadar, consimțământul pentru cookie-uri trebuie să fie:

• Liber exprimat: o alegere reală, fără presiuni. Accesul la un site nu ar trebui, în general, să depindă de acceptarea urmăririi; vezi Cookie wall.
• Specific: pentru fiecare scop, deci nu un singur „acceptă” pentru tot, fără posibilitatea de a alege.
• Informat: vizitatorul știe cine plasează ce cookie-uri, în ce scop și pentru cât timp.
• Lipsit de ambiguitate: printr-o acțiune clară, activă. Tăcerea, derularea paginii sau continuarea navigării nu înseamnă consimțământ.

Vizitatorul trebuie, de asemenea, să își poată retrage consimțământul la fel de ușor cum l-a dat.

Când cookie-urile prelucrează date cu caracter personal, așa cum fac aproape întotdeauna cookie-urile de urmărire, GDPR se aplică și acestei prelucrări: ai nevoie de un temei juridic, trebuie să oferi informații și trebuie să respecți drepturile persoanelor vizate.

Planet49: cauza de referință

În cauza Planet49 (C-673/17, 1 octombrie 2019), Curtea de Justiție a Uniunii Europene (CJUE) a hotărât că:

• o căsuță bifată în prealabil nu reprezintă un consimțământ valabil;
• cerința consimțământului se aplică indiferent dacă informațiile sunt sau nu date cu caracter personal;
• informațiile oferite utilizatorilor trebuie să includă durata de viață a cookie-urilor și dacă terții pot avea acces la ele.

Ce se schimbă și ce nu

Regulamentul ePrivacy a fost retras

În 2017, Comisia a propus un Regulament ePrivacy care să înlocuiască directiva. După ani fără acord, a anunțat retragerea în programul său de lucru pentru 2025, iar retragerea a fost publicată în Jurnalul Oficial pe 6 octombrie 2025. Prin urmare, Directiva ePrivacy se aplică în continuare.

Digital Omnibus este o propunere, nu o lege

Pe 19 noiembrie 2025, Comisia a prezentat Digital Omnibus (procedura 2025/0360(COD)). Printre altele, propune mutarea din Directiva ePrivacy în GDPR a regulilor privind accesul la dispozitive care implică date cu caracter personal, obligativitatea unei opțiuni de refuz printr-un singur clic, respectarea de către site-uri a unei alegeri timp de cel puțin șase luni, posibilitatea ca utilizatorii să își stabilească alegerile centralizat (de exemplu, în browser) și exceptarea de la consimțământ a anumitor utilizări cu risc scăzut, cum ar fi numărarea vizitelor.

În octombrie 2026, aceasta este încă o propunere: comisiile Parlamentului European lucrează la raportul lor, iar Consiliul nu a adoptat o poziție. Statele membre și deputații europeni au propus modificări, așa că textul final poate arăta diferit. Până când este adoptată și începe să se aplice, legile naționale privind cookie-urile de mai sus rămân în vigoare.

Regatul Unit este un caz separat

De la Brexit, Regatul Unit are propriile reguli: regulamentul 6 din PECR împreună cu UK GDPR, aplicate de ICO, autoritatea britanică. Data (Use and Access) Act 2025 a adăugat noi excepții, de exemplu pentru unele instrumente de analiză, care nu există în UE. Vezi UK cookie law (în engleză).

Cum să fii conform în toată UE

1. Scanează-ți site-ul pentru fiecare cookie, pixel și script, inclusiv cele din pluginuri și conținut încorporat.
2. Blochează tot ce necesită consimțământ până când vizitatorul este de acord.
3. Oferă o alegere reală: „Acceptă” și „Respinge” la fel de vizibile pe primul nivel, plus setări pentru fiecare scop.
4. Informează clar în banner și într-o politică de cookie-uri.
5. Fă retragerea ușoară, de exemplu printr-un link pe fiecare pagină.
6. Păstrează dovada fiecărui consimțământ.
7. Respectă cele mai stricte reguli din țările în care ai vizitatori sau folosește reguli geografice pe țară.
8. Folosește Google Consent Mode v2 dacă folosești Google Ads sau Analytics; vezi Google Consent Mode v2 pe înțelesul tuturor.

Cookie Confirm acoperă acești pași: o scanare lunară cu rescanări nelimitate, scripturi blocate până la consimțământ, reguli geografice pe țară, un banner în stilul brandului tău, afișat în limba vizitatorului (peste 29 de limbi), o declarație de cookie-uri generată din scanare și un jurnal de consimțământ păstrat timp de 12 luni. Pentru 7,95 € pe site pe lună, cu o perioadă de probă gratuită de 7 zile.

Surse

• EUR-Lex: Directiva 2002/58/CE (Directiva ePrivacy)
• EUR-Lex: Directiva 2009/136/CE
• EUR-Lex: Regulamentul (UE) 2016/679 (GDPR)
• CJUE: Cauza C-673/17, Planet49 (1 octombrie 2019)
• CEPD: Ghidurile 2/2023 privind domeniul de aplicare tehnic al art. 5 alin. (3) din Directiva ePrivacy
• CEPD: Ghidurile 05/2020 privind consimțământul
• Consiliul UE: notă de informare privind propunerile retrase ale Comisiei, JO C/2025/5423 (octombrie 2025)
• EUR-Lex: procedura 2017/0003(COD), Regulamentul ePrivacy
• Comisia Europeană: Întrebări frecvente despre pachetul digital (Digital Omnibus)
• Observatorul legislativ al Parlamentului European: procedura 2025/0360(COD)
• Legea nr. 506/2004, forma consolidată, articolele 4 și 13 (publicată de ANSPDCP)
• Wetten.nl: Telecommunicatiewet, articolul 11.7a
• Gesetze im Internet: § 25 TDDDG
• CNIL: Loi Informatique et Libertés (articolul 82)
• Garante privacy: Codice in materia di protezione dei dati personali
• BOE: Ley 34/2002 (LSSI)