Cookie-uri și GDPR: ce ești obligat să faci pe site

Aproape fiecare site din România are un banner de cookie-uri. Cele mai multe sunt greșite — nu pentru că lipsesc, ci pentru că fac ceva ce arată a conformitate fără să fie. Articolul ăsta separă ce e obligatoriu de ce e mit, cu regulile scrise pe înțeles.

Îl scriem după ce am construit modulul de consimțământ pentru două site-uri, în loc să folosim un plugin. Când implementezi tu mecanismul, afli exact unde trec majoritatea peste reguli.

De unde vine obligația, de fapt

Sunt două seturi de reguli, iar confuzia dintre ele explică majoritatea greșelilor:

• Regula despre cookie-uri vine din directiva ePrivacy, transpusă la noi în Legea 506/2004. Spune: nu ai voie să scrii sau să citești informații de pe dispozitivul cuiva fără acordul lui — cu o singură excepție, cele strict necesare funcționării.
• GDPR se ocupă de datele personale în general: ce colectezi prin formulare, cât păstrezi, cui dai mai departe, ce drepturi are omul.

Un site poate respecta GDPR și totuși să încalce regula cookie-urilor, sau invers. Ai nevoie de amândouă.

Cele șase greșeli pe care le vedem cel mai des

1. Bannerul care are doar „Accept"

Dacă singura opțiune e acceptarea, nu e consimțământ, e o notificare. Refuzul trebuie să fie la fel de simplu ca acceptarea — un buton, în același loc, la fel de vizibil. Nu ascuns sub „Preferințe" la două clicuri distanță.

2. Scripturile care pornesc înainte de răspuns

Cea mai frecventă, și cea mai invizibilă pentru proprietar. Bannerul apare frumos, dar Google Analytics și pixelul de Facebook s-au încărcat deja. Consimțământul cerut după ce ai pus cookie-ul nu valorează nimic.

Verifică simplu: deschide site-ul într-o fereastră privată, apasă F12 → Application → Cookies și uită-te înainte să atingi bannerul. Dacă vezi acolo cookie-uri de analiză sau publicitate, ai o problemă.

3. Căsuțe bifate din start

Consimțământul trebuie să fie o acțiune, nu o absență de acțiune. Bifele prestabilite, scrollul interpretat ca acceptare și „prin continuarea navigării ești de acord" nu sunt valabile.

4. Nu se poate retrage

Retragerea trebuie să fie la fel de ușoară ca acordarea. Practic: un link permanent în subsol — „Setări cookie" — care redeschide fereastra de preferințe. Dacă omul nu poate schimba ce a ales acum o lună, mecanismul e incomplet.

5. Politica generică, luată de pe alt site

Politica de cookie-uri trebuie să enumere cookie-urile pe care le pui tu: numele, la ce folosesc, cât durează, cine le primește. Un text copiat, care menționează servicii pe care nici nu le folosești, arată prost și nu apără pe nimeni.

6. Formularul fără temei și fără termen

La formularul de contact: spune de ce ceri datele, cât le păstrezi și cui ajung. Nu ai nevoie de o bifă de consimțământ ca să răspunzi cuiva care ți-a scris — ai un interes legitim. Ai nevoie de bifă separată dacă vrei să-l bagi și în lista de newsletter.

Ce e „strict necesar" și ce nu

Da, și YouTube. Un videoclip încorporat pune cookie-uri în momentul încărcării paginii, nu la apăsarea butonului de redare. Soluția e o previzualizare statică peste care se încarcă videoclipul abia la clic — sau modul cu confidențialitate sporită.

Există și varianta fără banner

Cea mai puțin cunoscută opțiune: dacă nu pui niciun cookie care cere acord, nu ai nevoie de banner deloc.

Se poate măsura traficul fără cookie-uri — există servicii de analiză care nu urmăresc persoane și nu stochează identificatori. Iar hărțile și videoclipurile pot fi înlocuite cu imagini și linkuri. Rezultatul: un site mai rapid, fără fereastra care enervează pe toată lumea, și fără riscul de conformitate.

Întrebarea corectă nu e „ce banner îmi trebuie", ci „chiar am nevoie de aceste cookie-uri". De multe ori răspunsul e nu, iar atunci problema dispare cu totul.

Lista de verificare

1. Bannerul are Accept și Refuz la fel de vizibile, plus un buton de preferințe.
2. Niciun cookie neesențial nu se pune înainte de răspuns. Verificat în fereastră privată.
3. Nimic nu e bifat din start.
4. Există un link permanent în subsol pentru schimbarea alegerii.
5. Politica de cookie-uri enumeră cookie-urile tale reale, cu durate.
6. Formularele spun de ce ceri datele, cât le ții și unde ajung.
7. Newsletterul are bifă separată, neprebifată.
8. Ai un mod de a dovedi, la nevoie, ce a ales fiecare vizitator și când.

Ce riști, realist

Amenzile mari din presă sunt pentru companii mari și încălcări grave. O firmă mică din România riscă, în practică, o sesizare urmată de un termen de remediere. Nu e motiv de panică, dar nici de ignorat: o sesizare vine de obicei de la un concurent sau de la un client nemulțumit din alt motiv.

Costul real e altul: bannerele făcute prost încetinesc site-ul, sperie vizitatorii și, când sunt implementate greșit, îți strică datele de analiză — măsori greșit și iei decizii pe cifre false.

Pe scurt

• Refuzul trebuie să fie la fel de ușor ca acceptul.
• Nimic neesențial nu pornește înainte de răspuns — verifică în fereastră privată.
• Fără bife prestabilite, fără „prin navigare ești de acord".
• Link permanent pentru retragerea consimțământului.
• Politica trebuie să descrie cookie-urile tale, nu ale altcuiva.
• Cea mai simplă conformitate: să nu pui cookie-uri care cer acord.

Articolul explică reguli generale și practici de implementare, pe baza experienței noastre tehnice. Nu ține loc de consultanță juridică — pentru situații specifice, întreabă un avocat.