Butonul „Accept toate” e ușor de găsit pe aproape orice site din România. Butonul prin care îți retragi acordul este, în schimb, de multe ori invizibil după prima vizită. Exact acest dezechilibru a ajuns în centrul modului în care se interpretează astăzi regulile privind cookie-urile: consimțământul nu este valabil dacă retragerea lui e mai complicată decât acordarea. Nu vorbim despre o lege apărută peste noapte, ci despre convergența dintre Legea 506/2004, standardul de consimțământ din GDPR și practica de control a autorității de supraveghere, care a împins tot mai clar în direcția simetriei dintre „da” și „nu”.
De unde vine regula
Cadrul aplicabil cookie-urilor stă pe două picioare. Primul este Legea 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice — actul prin care România a transpus Directiva ePrivacy. Legea cere ca stocarea de informații în echipamentul terminal al utilizatorului sau accesul la informațiile deja stocate acolo — adică inclusiv plasarea și citirea cookie-urilor — să se facă doar după o informare clară și cu acordul persoanei. Excepție fac situațiile strict tehnice: transmiterea comunicării și serviciile solicitate explicit de utilizator, cum ar fi păstrarea coșului de cumpărături sau autentificarea.
Al doilea picior este GDPR, care definește ce înseamnă un consimțământ valabil: liber, specific, informat și exprimat printr-o acțiune neechivocă. Tot de acolo vine și obligația ca retragerea acordului să fie la fel de simplă ca acordarea lui. Pentru că Legea 506/2004 trimite la standardul de consimțământ din legislația privind protecția datelor, cele două se citesc împreună. Modificările succesive ale cadrului național nu au reinventat regula, ci au închis portițele prin care banner-ele „de bifat” mai puteau fi considerate suficiente.
Ce înseamnă „la fel de simplu” în practică
Cerința sună abstract, dar se traduce în câteva elemente foarte concrete, verificabile cu ochiul liber pe orice pagină:
- Simetria primului nivel. Dacă bannerul are „Accept toate”, trebuie să aibă și un „Refuz toate” la fel de vizibil — aceeași poziție, aceeași mărime, contrast comparabil. Un buton colorat lângă un link gri de dimensiunea unei note de subsol nu trece testul.
- Un punct de acces permanent. După ce bannerul dispare, utilizatorul trebuie să poată reveni la setări: o pictogramă discretă, un buton flotant sau un link „Setări cookie-uri” prezent în subsolul fiecărei pagini.
- Fără pași suplimentari. Retragerea nu poate presupune un e-mail către responsabilul cu protecția datelor, crearea unui cont sau navigarea prin cinci ecrane. Doi-trei clicuri este reperul rezonabil.
- Efect real, nu cosmetic. La retragere, scripturile de analiză și de marketing trebuie să se oprească efectiv, iar cookie-urile care nu sunt strict necesare să fie șterse din browser.
- Dovada alegerii. Operatorul trebuie să poată arăta, la cerere, ce a ales utilizatorul și când — inclusiv versiunea politicii afișate la acel moment.
Un detaliu des ratat este chiar mesajul dat utilizatorului: politica de cookie-uri ar trebui să spună explicit cum se retrage acordul, nu doar că „vă puteți retrage consimțământul oricând”. Materialele și ghidurile publicate de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal insistă pe informarea în limbaj simplu, iar pentru contextul european al regulilor un punct de plecare util este ghidul despre Directiva ePrivacy.
Cine este vizat
Practic, orice site accesibil din România care folosește cookie-uri dincolo de cele strict necesare. Nu contează dimensiunea organizației și nici unde se află serverul: magazine online, publicații, cabinete medicale, agenții imobiliare, asociații și instituții publice intră deopotrivă în discuție. Cele mai expuse sunt site-urile care încarcă instrumente de analiză web, pixeli de remarketing, hărți încorporate, chat-uri sau videoclipuri găzduite extern, pentru că fiecare dintre acestea poate scrie identificatori în browser înainte de orice alegere a vizitatorului.
O confuzie frecventă în rândul firmelor mici este că responsabilitatea aparține furnizorului de instrument sau agenției care a construit site-ul. În realitate, cel care răspunde față de utilizator este operatorul site-ului. Contractul cu agenția poate distribui sarcinile, dar nu mută obligația legală.
Ce termene există
Aici e a doua confuzie: mulți administratori de site așteaptă o „dată de intrare în vigoare”. Nu există un astfel de moment în viitor. Obligațiile privind informarea, consimțământul și retragerea lui sunt deja aplicabile, iar termenele care apar în practică sunt cele stabilite punctual de autoritate în cadrul unei investigații — de regulă, un interval scurt pentru remedierea neconformităților constatate.
Nici Regulamentul ePrivacy, despre care s-a vorbit ani la rând ca înlocuitor al directivei, nu mai este o justificare pentru amânare: proiectul a rămas blocat în negocieri și a fost scos din agenda legislativă europeană. Prin urmare, directiva și legea națională de transpunere rămân reperul pe termen mediu.
Ce poți verifica azi pe propriul site
Un audit rapid nu cere expertiză juridică. Deschide site-ul într-o fereastră privată și urmărește, în ordine: apar cookie-uri sau se încarcă scripturi de terți înainte de a apăsa ceva? Bannerul are un „Refuz toate” la fel de vizibil ca „Accept toate”? După ce accepți, mai găsești în mai puțin de zece secunde locul de unde poți schimba decizia? Dacă retragi acordul și reîncarci pagina, dispar efectiv cookie-urile non-esențiale din inspectorul browserului?
Dacă răspunsul la oricare dintre întrebări este „nu”, remedierea ține de configurare, nu de rescrierea site-ului: adăugarea unui buton permanent de setări, blocarea scripturilor până la alegere și actualizarea politicii de cookie-uri cu o listă reală a instrumentelor folosite. Este, de departe, cea mai ieftină formă de conformare — mult mai ieftină decât o discuție purtată după o sesizare.
