Server-side tracking și consimțământul

Ce este server-side tracking?

La măsurarea obișnuită, browserul face toată munca. Pagina ta încarcă scripturi de la Google, Meta și alți furnizori, iar fiecare script trimite date direct din browserul vizitatorului către serverele furnizorului respectiv.

La server-side tracking, browserul trimite mai întâi datele într-un singur loc: un server pe care îl controlezi tu, de obicei pe un subdomeniu al site-ului tău, de exemplu metrics.exemplu.ro. Serverul primește cererea, o transformă în evenimente și decide ce trimite mai departe și către cine. Cel mai cunoscut exemplu este Google Tag Manager server-side: un „container de server” care rulează în Google Cloud sau la un furnizor specializat de găzduire, alături de containerul web obișnuit din browser. Utilizări frecvente sunt GA4 printr-un container de server și Meta Conversions API, prin care serverul tău trimite conversiile direct către Meta.

Important: în majoritatea configurațiilor, browserul vizitatorului rulează în continuare un script și trimite în continuare datele. Diferența este unde ajung ele mai întâi.

Are nevoie server-side tracking de acord?

Se aplică două seturi de reguli, ca la orice altă formă de măsurare (vezi Legea cookie-urilor în UE, pe înțelesul tuturor):

1. Regula privind cookie-urile, în România articolul 4 alineatul (5) din Legea nr. 506/2004, care transpune articolul 5 alineatul (3) din Directiva ePrivacy: stocarea de informații pe dispozitivul vizitatorului sau accesul la informațiile stocate acolo au nevoie de acord, cu excepția celor strict necesare pentru un serviciu cerut de vizitator. Mai multe în Legea cookie-urilor în România.
2. GDPR: prelucrarea datelor cu caracter personal are nevoie de un temei juridic, de transparență și de garanții.

Server-side tracking nu te scoate de sub regula privind cookie-urile. Regula privește ce se întâmplă pe dispozitiv, nu unde ajung datele. Ea se aplică oricărei informații, fie că este sau nu dată cu caracter personal, așa cum a confirmat Curtea de Justiție în cauza Planet49 (2019). În Ghidurile 2/2023 privind domeniul de aplicare tehnic al articolului 5 alineatul (3), Comitetul European pentru Protecția Datelor (CEPD) explică faptul că:

• un site care folosește JavaScript ca să facă browserul să trimită informații obține acces la acele informații, iar asta intră sub incidența regulii;
• adăugarea de identificatori în URL-uri sau în pixeli de urmărire este o instrucțiune dată dispozitivului să trimită înapoi acel identificator și se consideră tot acces;
• colectarea unui identificator unic, de exemplu o adresă de e-mail hash-uită, prin cod rulat în browser intră și ea sub incidența regulii;
• chiar și urmărirea bazată doar pe adresa IP poate intra sub incidența ei, cu excepția cazului în care te poți asigura că adresa nu provine de pe dispozitivul vizitatorului.

O configurație server-side face exact aceste lucruri: tagul Google din browser trimite evenimente către serverul tău, iar containerul de server poate plasa un cookie pe domeniul tău ca să recunoască vizitatorul. Prin urmare, un cookie first-party plasat printr-un container de server are nevoie de acord pentru statistici sau marketing, la fel ca unul plasat de un script. CEPD adaugă că aplicarea regulii nu înseamnă întotdeauna că ai nevoie de acord: stocarea strict necesară este scutită, iar unele țări permit măsurarea limitată a audienței fără consimțământ. România nu este una dintre ele: Legea nr. 506/2004 nu are o excepție pentru statistici.

Pe server se aplică în continuare GDPR

Odată ce datele ajung pe serverul tău, GDPR se aplică tuturor operațiunilor pe care le faci cu ele: trimiterea către Google sau Meta, îmbogățirea cu date despre comenzi sau din CRM, construirea de audiențe. Ai nevoie de un temei juridic pentru fiecare scop, iar ghidurile CEPD privind consimțământul spun că, acolo unde temeiul este consimțământul, acesta trebuie obținut înainte de începerea prelucrării.

Pentru publicitate și profilare, temeiul este în practică consimțământul. În cauza Meta Platforms/Bundeskartellamt (C-252/21, 4 iulie 2023), Curtea de Justiție a hotărât că publicitatea personalizată nu poate justifica, ca interes legitim, prelucrarea datelor utilizatorilor de către Meta fără consimțământul acestora. Un site care trimite datele vizitatorilor către o platformă de publicitate pentru targetare sau măsurarea conversiilor greu va putea invoca interesul legitim acolo unde nici platforma însăși nu poate.

Ce schimbă server-side tracking

Server-side tracking nu este o cale de a ocoli consimțământul, dar îți poate face măsurarea mai prietenoasă cu viața privată și mai ușor de controlat:

• Control asupra datelor primite de furnizori. Google spune că doar tu ai acces la datele din containerul de server până când alegi să le trimiți mai departe. Poți elimina câmpuri, scurta URL-uri sau renunța la evenimente înainte ca ele să plece de pe serverul tău.
• Adrese IP și identificatori. Poți alege să nu trimiți adresa IP completă sau să înlocuiești identificatorii înainte de trimitere. Asta susține principiul reducerii la minimum a datelor (articolul 5 alineatul (1) litera (c) din GDPR).
• Mai puține cereri către terți în browser. Mai puține scripturi ale furnizorilor pe pagină înseamnă mai puține părți care pot citi date direct de pe dispozitivul vizitatorului.
• Transferuri în afara Europei. Dacă serverul tău rulează în UE și elimină date înainte să le trimită mai departe, mai puține date cu caracter personal ajung la furnizori din afara Europei. Autoritatea franceză CNIL descrie un astfel de „proxy” pentru măsurarea audienței, în condiții stricte: adresa IP nu este transmisă, identificatorul este înlocuit, referrerul și parametrii din URL sunt eliminați, nu există identificatori între site-uri, iar găzduirea împiedică transferurile în afara UE. CNIL îl prezintă ca soluție pentru transferuri, nu ca motiv de a renunța la consimțământ.

Server-side tracking cu un banner de cookie-uri și Consent Mode

Configurația care funcționează este aceeași ca fără container de server, cu un pas în plus:

1. Bannerul de cookie-uri colectează alegerea și blochează tagurile de statistici și de marketing până când vizitatorul își dă acordul.
2. Google Consent Mode v2 transmite alegerea mai departe (vezi Google Consent Mode v2 pe înțelesul tuturor). Documentația Google spune că trebuie să configurezi Consent Mode doar în containerul web: tagul Google adaugă starea consimțământului la fiecare cerere pe care o trimite containerului de server.
3. Tagurile Google din containerul de server respectă această stare. În modul de bază, tagurile Analytics sunt blocate complet și nu se plasează și nu se citesc cookie-uri Analytics, nici în browser, nici pe server. În modul avansat, tagurile Analytics trimit în schimb măsurători anonime. Fără consimțământ, tagurile de conversie Google Ads nu citesc și nu scriu cookie-uri, iar cererile de remarketing Google Ads și Floodlight sunt blocate.
4. Tagurile altor furnizori au nevoie de atenția ta. Google promite asta doar pentru propriile taguri. Un tag Meta Conversions API sau orice alt tag din containerul de server ar trebui să se declanșeze doar dacă starea consimțământului o permite; configurează asta tu, cu declanșatoare sau condiții.

Pentru GA4 în România, ține cont și de ce scrie în Google Analytics și GDPR: fără excepție pentru statistici, ai nevoie de acord și pentru măsurarea prin containerul de server.

Un banner precum Cookie Confirm setează valorile implicite Consent Mode înainte să se încarce orice tag Google și le actualizează după alegerea vizitatorului, astfel încât starea consimțământului ajunge la containerul de server cu fiecare cerere.

Meta Conversions API și consimțământul

Meta Conversions API îți conectează serverul la Meta, ca să poți trimite evenimente de pe site, precum achiziții și lead-uri, fără să te bazezi doar pe Meta Pixel din browser. Meta folosește aceste evenimente pentru măsurarea și optimizarea reclamelor.

Asta înseamnă prelucrare în scop de publicitate. Business Tools Terms ale Meta îți cer să ai toate drepturile necesare și un temei legal pentru datele pe care le partajezi și, în țările care cer consimțământ pentru stocarea sau accesarea informațiilor de pe dispozitive (termenii numesc UE), să obții un consimțământ verificabil de la vizitatori. Conform acestor termeni, tu ești operatorul acestor date în UE. În practică:

• trimite evenimente prin Conversions API doar pentru vizitatorii care au acceptat marketingul în banner;
• nu folosi Conversions API ca să „recuperezi” conversiile vizitatorilor care au refuzat;
• menționează Meta și Conversions API în politica de cookie-uri și în politica de confidențialitate.

Opțiunea „Limited Data Use” a Meta este gândită pentru anumite legi privind viața privată din unele state americane. Nu este un mecanism de consimțământ pentru UE.

Ce înseamnă asta în România

• Aceeași regulă ca pentru orice cookie. Articolul 4 alineatul (5) din Legea nr. 506/2004 cere acord și informare clară și completă înainte de stocarea sau accesarea informațiilor pe dispozitiv. Nu contează dacă cookie-ul este plasat de un script sau de serverul tău.
• Fără excepție pentru statistici. Spre deosebire de Franța sau Țările de Jos, în România nici măsurarea audienței configurată strict nu este scutită de acord. Într-o decizie din iunie 2025, ANSPDCP i-a cerut unui magazin online să își configureze site-ul astfel încât cookie-urile care nu sunt necesare din punct de vedere tehnic, cu exemplele „marketing, statistic”, să se instaleze exclusiv după acordul vizitatorului.
• ANSPDCP verifică și amendează. Amenda pentru încălcarea regulii privind cookie-urile este de la 5.000 la 100.000 de lei, iar pentru firmele cu o cifră de afaceri de peste 5.000.000 de lei poate ajunge la 2% din cifra de afaceri. Detalii în Amenzi pentru cookie-uri.

Greșeli frecvente

• „Este cookieless, deci nu am nevoie de acord.” Regula privește mai mult decât cookie-urile: scripturile care fac browserul să trimită date, pixelii de urmărire, identificatorii din URL-uri și identificatorii unici intră toate sub incidența ei, potrivit CEPD.
• „Acum este first-party.” Regula nu face diferența între first-party și third-party sau între cookie-urile plasate de un script și cele plasate de un server. Scopul decide.
• Trimiterea datelor înainte de alegere. Dacă containerul de server trimite vizualizări de pagină sau conversii către furnizori înainte ca vizitatorul să aleagă în banner, prelucrezi date fără temei juridic.
• „E-mailul hash-uit este anonim.” O adresă de e-mail hash-uită este o dată pseudonimizată, pe care GDPR o tratează în continuare ca dată cu caracter personal (considerentul 26). Este hash-uită tocmai ca o platformă precum Meta să o poată potrivi cu o persoană.
• Tagurile care nu sunt de la Google sunt uitate. Consent Mode controlează doar tagurile Google. Orice alt tag din containerul de server are nevoie de propria verificare a consimțământului.
• Politica de cookie-uri nu este actualizată. Vizitatorii trebuie să afle ce furnizori le primesc datele, și atunci când datele trec mai întâi prin serverul tău.

Surse

• Legea nr. 506/2004, forma consolidată, articolele 4 și 13 (publicată de ANSPDCP)
• ANSPDCP: Sancțiune, YDAIL Construct (27 iunie 2025)
• Directiva ePrivacy 2002/58/CE (versiune consolidată), articolul 5 alineatul (3)
• Regulamentul general privind protecția datelor (UE) 2016/679
• CEPD: Ghidurile 2/2023 privind domeniul de aplicare tehnic al art. 5 alin. (3) din Directiva ePrivacy
• CEPD: Ghidurile 05/2020 privind consimțământul în temeiul Regulamentului 2016/679
• CJUE: Cauza C-673/17, Planet49 (1 octombrie 2019)
• CJUE: Comunicatul de presă 113/23 privind cauza C-252/21, Meta Platforms/Bundeskartellamt (4 iulie 2023)
• Google: Introducere în server-side tagging
• Google: Implementarea Consent Mode cu Tag Manager server-side
• Google: Domeniu personalizat pentru server-side tagging
• Meta for Developers: Conversions API
• Meta for Developers: Data Processing Options pentru utilizatorii din SUA
• Meta: Business Tools Terms
• CNIL: Măsurarea audienței și transferurile de date (în franceză)