Politica cookies și bannerul de acord: ce conțin și cum verifici că funcționează

Politica cookies spune vizitatorului ce informații pune site-ul în browserul lui și de ce, iar bannerul îi cere acordul înainte ca acele informații să fie scrise. Legea română cere ambele lucruri pentru orice cookie care nu e strict necesar: informare clară întâi, acord exprimat apoi. Mai jos găsești ce scrie concret în lege, ce cookie-uri poți folosi fără acord, cum construiești un banner care chiar blochează scripturile și cum verifici singur, în browser, dacă face ce promite.

Când este obligatoriu bannerul de cookie-uri

Bannerul devine obligatoriu din momentul în care site-ul stochează sau citește din dispozitivul vizitatorului informații care nu sunt strict necesare. Regula vine din Legea 506/2004, care transpune în dreptul românesc Directiva 2002/58/CE despre viața privată în comunicațiile electronice. Legea nu vorbește despre „cookie-uri” ca termen. Vorbește despre stocarea de informații în echipamentul terminal, adică telefonul sau calculatorul vizitatorului.

Textul care contează este art. 4 alin. (5). În forma consolidată publicată pe portalul legislativ al Ministerului Justiției, actualizată la 17 octombrie 2015, alineatul pune două condiții cumulative. Vizitatorul trebuie să-și fi exprimat acordul. Înainte de acord, trebuie să fi primit informații clare și complete, pe înțeles și ușor de găsit, inclusiv despre scop.

Atenție la versiunea pe care o citești. Pe același portal circulă și o formă veche a legii, actualizată până la 20 ianuarie 2009. Acolo regula era alta: era suficient să i se ofere vizitatorului posibilitatea de a refuza. Cronologia de mai jos arată când s-a schimbat textul.

Sursa: Legea nr. 506/2004, forma consolidată, Portal Legislativ, Ministerul Justiției

Schimbarea importantă vine din Ordonanța de urgență nr. 13 din 24 aprilie 2012, care a rescris alineatul. De atunci nu mai ajunge un buton de refuz ascuns: e nevoie de acord. Portalul afișează și consolidări ulterioare, pe care nu le-am comparat articol cu articol. Pentru o decizie cu miză, verifici textul la zi direct pe portal sau cu un jurist.

Cine controlează? Legea dă competența ANSPDCP, autoritatea de supraveghere a datelor personale. Nerespectarea condițiilor din art. 4 alin. (5) este contravenție. Pentru firmele cu cifră de afaceri mare, amenda poate ajunge până la 2% din cifra de afaceri.

Ce cookie-uri se pot folosi fără acord

Legea are o excepție precisă, în art. 4 alin. (6). Acordul nu e necesar atunci când stocarea este strict necesară pentru a furniza un serviciu solicitat în mod expres de vizitator. Mai există o excepție pentru transmiterea propriu-zisă a comunicării prin rețea, care privește mai ales partea tehnică a conexiunii.

Cuvintele-cheie sunt „strict necesar” și „solicitat expres”. Coșul de cumpărături îndeplinește ambele condiții: omul a pus un produs în coș și se așteaptă ca site-ul să-l țină minte. Sesiunea de autentificare la fel. Un script de statistică nu le îndeplinește, oricât de util ar fi pentru tine: vizitatorul nu l-a cerut, iar site-ul funcționează și fără el.

Tabelul de mai jos e un punct de plecare pentru sortarea cookie-urilor. Încadrarea finală depinde de ce face fiecare cookie pe site-ul tău, nu de numele categoriei.

Categorie	Exemple tipice	Acord necesar	De ce
Strict necesare	sesiunea de autentificare, coșul, alegerea din banner	Nu	Serviciul cerut nu funcționează fără ele
Preferințe	limba aleasă, moneda afișată	Depinde	Dacă vizitatorul a cerut explicit setarea, pot intra în excepție
Măsurare	statistici de trafic, hărți de clic	Da	Site-ul funcționează și fără ele
Publicitate	remarketing, măsurarea conversiilor din reclame	Da	Servesc firma, nu serviciul cerut
Conținut de la terți	videoclipuri, hărți, butoane de rețele sociale încorporate	De obicei da	Terțul poate pune propriile cookie-uri

Ultimul rând e o sursă frecventă de greșeli. Un videoclip sau o hartă încorporată poate seta cookie-uri ale terțului la simpla încărcare a paginii. Soluția practică e să afișezi o imagine de previzualizare și să încarci conținutul abia după clic sau după acordul pentru categoria respectivă.

Ce trebuie să scrie în politica cookies, cu un exemplu

Politica cookies este pagina în care explici, pe larg, ceea ce bannerul spune pe scurt. Legea cere ca informarea să fie făcută într-un limbaj ușor de înțeles și să fie ușor accesibilă. Trebuie să includă scopul pentru care sunt stocate sau accesate informațiile. Pentru cookie-urile terților, informarea arată scopul general și cum se pot șterge informațiile din setările browserului.

Concret, o politică utilă conține, pentru fiecare cookie sau grup de cookie-uri:

• numele cookie-ului și domeniul care îl pune (site-ul tău sau un terț);
• categoria și scopul, spus pe înțelesul unui om obișnuit;
• durata de viață, adică dacă se șterge la închiderea browserului sau rămâne până la o dată;
• dacă e nevoie de acord și, dacă da, pentru ce categorie;
• cum își schimbă vizitatorul alegerea și cum șterge cookie-urile din browser;
• data ultimei actualizări a listei.

Durata are o explicație tehnică simplă. Un cookie de sesiune nu are atributele Expires sau Max-Age și se șterge când se încheie sesiunea browserului. Unul persistent rămâne până la data sau perioada indicată. În panoul de cookie-uri din Chrome, cele de sesiune apar mereu cu valoarea „Session” în coloana de expirare.

Imaginează-ți o firmă mică de instalații cu un site de prezentare, un formular de contact, statistici de trafic și o hartă încorporată. Politica ei ar avea trei grupuri: cookie-ul care reține alegerea din banner, cookie-urile de statistică și pe cele ale hărții. Fiecare grup primește scopul, durata și mențiunea dacă cere acord. Atât, fără pagini întregi de text juridic generic copiat.

Pentru restul obligațiilor legale ale unui site, de la datele de identificare la informarea despre datele personale, există un ghid separat despre ce trebuie să conțină legal un site de firmă. Articolul de față se ocupă doar de cookie-uri.

Graficul următor rezumă ordinea în care se aplică regula legii pe un site, pentru fiecare cookie.

Sursa: Legea nr. 506/2004, forma consolidată, Portal Legislativ, Ministerul Justiției

Ordinea contează. Mai întâi te întrebi dacă un cookie intră în excepție. Dacă nu intră, informarea vine înainte de acord, iar scriptul pornește abia după acord. O politică bine scrisă nu repară un script care rulează înainte de clic.

Cum arată un banner care chiar blochează scripturile

Un banner corect este, în primul rând, un mecanism tehnic, nu un mesaj. Textul de pe ecran nu contează dacă scripturile de măsurare se încarcă oricum, în fundal, înainte de alegere. Asta se întâmplă des când bannerul e adăugat peste un site deja configurat.

Comisia Europeană explică faptul că acordul trebuie dat printr-un act pozitiv, de pildă bifarea unei casete. Acordul trebuie să fie liber, specific, informat și lipsit de ambiguitate. Din asta rezultă câteva reguli practice de construcție:

1. Scripturile din categoriile care cer acord nu sunt incluse în pagină de la început. Se adaugă doar după alegere, de codul bannerului.
2. Casetele categoriilor opționale pornesc nebifate. O bifă pusă dinainte nu e un act al vizitatorului.
3. Butonul de refuz e la fel de ușor de găsit ca cel de acceptare. Practica obișnuită îl pune pe primul ecran, cu aceeași mărime.
4. Al doilea ecran, cel de setări, arată categoriile, cu o explicație scurtă pentru fiecare.
5. Alegerea se salvează, ca bannerul să nu reapară la fiecare pagină.
6. Un link permanent, de obicei în subsol, redeschide setările oricând.

Dacă alegerea nu se salvează, apare o problemă practică: vizitatorul vede bannerul pe fiecare pagină și apasă orice ca să scape de el. Cookie-ul care reține alegerea face parte, de regulă, din categoria strict necesară, fiindcă bannerul nu poate funcționa fără el.

La un magazin online, miza e mai mare: sunt mai multe scripturi, de la plată la recenzii și reclame. Dacă pregătești un magazin online cu pagini legale complete, merită ca lista scripturilor și categoria fiecăruia să fie stabilite înainte de lansare, nu după.

Cum retrag vizitatorii acordul

Vizitatorul trebuie să-și poată retrage acordul. Comisia Europeană o spune explicit în ghidul pentru firme despre protecția datelor. În practică, retragerea înseamnă trei lucruri care trebuie să se întâmple împreună: setările se pot redeschide ușor, scripturile primesc noua stare și cookie-urile deja puse dispar.

Redeschiderea setărilor se face de obicei printr-un link de tipul „Setări cookie-uri”, vizibil pe fiecare pagină. Un vizitator care a acceptat cu un clic ar trebui să poată refuza tot cu un clic sau două, nu printr-un e-mail trimis firmei.

Partea tehnică e mai puțin vizibilă. Documentația Google pentru modul de consimțământ precizează că aceeași comandă de actualizare se folosește pentru orice schimbare, inclusiv trecerea de la acord la refuz. Tot acolo scrie că modul de consimțământ nu salvează singur alegerile. Codul tău trebuie să le salveze și să le aplice pe paginile următoare.

Ștergerea cookie-urilor deja puse are și ea o regulă clară. Potrivit documentației MDN despre cookie-uri, un cookie se șterge imediat dacă îl setezi din nou cu același nume, cale și domeniu. Îi dai o dată de expirare trecută sau Max-Age egal cu 0 ori negativ. Cookie-urile puse de domeniile terților nu le poți șterge tu din pagină. Pentru ele, scripturile terților trebuie să primească semnalul de refuz.

O greșeală frecventă: linkul de retragere există, dar doar schimbă aspectul bannerului. Cookie-urile de statistică rămân în browser și continuă să fie trimise. Verifici asta cu testul descris mai jos.

Modul de consimțământ pentru măsurare și publicitate

Dacă folosești Google Analytics sau Google Ads, bannerul trebuie să comunice alegerea și etichetelor Google. Pentru asta există modul de consimțământ (consent mode), un set de comenzi prin care pagina spune etichetelor ce a ales vizitatorul. Documentația Google spune că a fost actualizat în noiembrie 2023 și are de atunci doi parametri noi.

Cei patru parametri folosiți de obicei sunt:

• ad_storage, pentru cookie-urile legate de publicitate;
• analytics_storage, pentru cookie-urile de măsurare, de exemplu durata vizitei;
• ad_user_data, pentru trimiterea către Google a datelor despre utilizator în scop publicitar;
• ad_personalization, pentru publicitatea personalizată.

Starea implicită se setează pe fiecare pagină, înainte de orice comandă care trimite date de măsurare. Exemplul din ghidul Google de implementare pornește cu toți parametrii pe refuz. Dacă bannerul se încarcă mai târziu decât etichetele, parametrul wait_for_update le spune etichetelor cât să aștepte. În exemplul oficial, bannerul primește 500 de milisecunde să trimită actualizarea.

Diferența cea mai importantă pentru tine este între varianta de bază și cea avansată. Graficul de mai jos le pune față în față.

Sursa: Consent mode overview, Google for Developers

În varianta de bază, etichetele Google nu se încarcă deloc până la alegerea din banner. Dacă vizitatorul refuză, nu pleacă nicio dată, nici măcar starea acordului. În varianta avansată, etichetele se încarcă de la început cu acordul refuzat. Ele trimit starea acordului și măsurători fără cookie-uri, iar după acceptare trec la datele complete.

Pot lăsa scriptul de măsurare să pornească înainte de acord

Aici sursele citite nu dau un răspuns juridic. Documentația Google descrie ce face fiecare variantă, nu dacă varianta avansată respectă legea în orice situație. Pagina Google amintește că răspunderea pentru obținerea acordului e a celui care deține site-ul. Legea română condiționează de acord orice stocare sau acces la informația din dispozitiv care nu e strict necesară.

Varianta de bază e mai ușor de apărat, fiindcă nimic nu pornește înainte de alegere. Varianta avansată aduce o modelare mai detaliată a conversiilor, dar trimite cereri înainte de acord. Dacă te gândești la ea, discuți cu un jurist specializat în protecția datelor, nu cu cel care configurează reclamele.

Costul alegerii se vede în rapoarte. Cu varianta de bază, o parte din vizite nu mai apar în statistici. Dacă îți construiești o strategie de marketing digital, ține cont de golul acesta când compari lunile. Pentru campanii, ghidul despre Google Ads pentru firme mici explică de ce conversiile măsurate corect contează mai mult decât volumul.

Pașii prin care testezi dacă bannerul blochează cookie-urile

Testul îl poți face singur, din instrumentele pentru dezvoltatori ale browserului. Nu ai nevoie de programe suplimentare. Ai nevoie de o fereastră nouă și de răbdare să verifici fiecare pas, nu doar primul ecran.

Sursa: View, add, edit, and delete cookies, Chrome DevTools, Chrome for Developers

Pașii, în detaliu, pentru Chrome:

1. Deschizi site-ul, pornești instrumentele pentru dezvoltatori și mergi la Application, apoi Storage, apoi Cookies. Alegi adresa site-ului din listă.
2. Apeși „Clear all”, ca să pornești de la zero, apoi reîncarci pagina. Nu apeși nimic în banner.
3. Te uiți la listă. Ar trebui să vezi doar cookie-uri strict necesare. Un nume care începe cu _gcl înseamnă, de regulă, că etichetele de reclame au scris deja cookie-uri.
4. Apeși „Refuz” și navighezi pe două-trei pagini. Lista nu trebuie să se îmbogățească cu cookie-uri de măsurare sau publicitate.
5. Ștergi din nou totul, reîncarci și apeși „Accept”. Abia acum trebuie să apară cookie-urile categoriilor acceptate.
6. Redeschizi setările din linkul din subsol și retragi acordul. Verifici dacă cookie-urile categoriilor retrase au dispărut.
7. Deschizi fila Network, alegi o cerere către un alt domeniu și te uiți la fila ei Cookies. Acolo apar cookie-urile terților.

Cum citești semnalul trimis către Google

Dacă folosești modul de consimțământ, fila Network te ajută și aici. Scrii „gcs” în caseta de filtrare și te uiți la cererile găsite. Documentația Google explică faptul că parametrul gcs transmite starea pentru ad_storage și analytics_storage. Valoarea lui se schimbă când vizitatorul acceptă sau refuză, deci o compari înainte și după clic.

Notezi ce ai văzut, cu data testului. Un test repetat după fiecare modificare a site-ului, mai ales după ce adaugi un script nou, prinde problemele înainte să le prindă altcineva.

Greșeli frecvente la bannere și politici

Cele mai multe probleme nu vin din rea-voință, ci din ordinea în care s-au făcut lucrurile. Mai întâi s-au pus scripturile, apoi s-a adăugat bannerul, iar nimeni n-a verificat dacă al doilea îl controlează pe primul. Iată ce apare des:

• Scriptul de măsurare e inclus direct în codul paginii, iar bannerul doar afișează un mesaj.
• Politica descrie cookie-uri care nu mai există și omite pe cele adăugate ulterior.
• Butonul de refuz lipsește de pe primul ecran sau e un link mic, greu de văzut.
• Casetele categoriilor opționale sunt bifate dinainte.
• Linkul de redeschidere a setărilor lipsește, deci retragerea acordului e practic imposibilă.
• Conținutul încorporat de la terți se încarcă înainte de orice alegere.
• Alegerea nu se salvează, iar bannerul reapare pe fiecare pagină.
• Politica e copiată de pe alt site și descrie alte servicii decât cele folosite.

Mai e o capcană legată de mărimea cookie-urilor. Un cookie are de obicei cel mult 4KB, iar browserele trimit cookie-urile cu fiecare cerere către domeniul lor. Ideea de a salva toate preferințele vizitatorului în cookie-uri mari încarcă inutil fiecare cerere. Alegerea din banner trebuie să fie mică și simplă.

Lista de control înainte să consideri bannerul gata

Folosești lista de mai jos după fiecare modificare importantă a site-ului. Fiecare punct se poate bifa prin verificare directă, nu prin presupunere:

Verificare	Cum o faci	Rezultat așteptat
Nimic opțional înainte de alegere	Ștergi cookie-urile și reîncarci	Doar cookie-uri strict necesare
Refuzul funcționează	Apeși refuz și navighezi	Nicio categorie opțională nouă
Acceptarea e separată pe categorii	Accepți doar o categorie	Apar doar cookie-urile ei
Retragerea șterge	Redeschizi setările și refuzi	Cookie-urile categoriei dispar
Politica e la zi	Compari lista din politică cu panoul browserului	Aceleași nume și aceleași scopuri
Linkul de setări e vizibil	Cauți linkul pe mai multe pagini	Apare pe fiecare pagină
Semnalul ajunge la etichete	Filtrezi cererile după „gcs”	Valoarea se schimbă după alegere

Unde se oprește acest ghid: el explică regula și verificarea tehnică, dar nu poate spune dacă un anumit script al tău intră sau nu în excepție. Pentru situații la limită, cum ar fi cookie-urile de securitate ale unui serviciu de plată sau măsurarea fără cookie-uri, verifici cu un jurist sau consulți direct informațiile publicate de ANSPDCP. Datele tehnice din acest text sunt din documentația oficială citită la 7 noiembrie 2026 și se pot schimba.

Ce faci mai departe

Începi cu un inventar: deschizi panoul de cookie-uri al browserului, notezi tot ce apare și împarți lista pe categoriile din tabelul de mai sus. Apoi rulezi testul în șapte pași și compari rezultatul cu ce scrie în politica cookies. Acolo unde cele două nu se potrivesc, corectezi întâi scriptul, abia apoi textul.

Dacă site-ul e vechi și scripturile au fost adăugate pe rând, de mai multe persoane, refacerea controlului e mai simplă la o revizie completă. Poți face asta odată cu refacerea site-ului de prezentare sau ca parte din mentenanța lunară a site-ului, unde testul se repetă după fiecare actualizare. Pentru partea de reclame, setările de acord se aliniază cu campaniile plătite, ca măsurarea să rămână corectă.