O amendă de 5.000 de lei dată unui dezvoltator de software pentru propriul site de prezentare spune mai mult despre felul în care Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) tratează cookie-urile decât o sancțiune de zeci de mii de euro. Nu era o platformă cu milioane de utilizatori și nici o scurgere de date. Era un site obișnuit, cu câteva pagini, pe care instrumentele de analiză și marketing porneau înainte ca vizitatorul să apuce să spună ceva. Exact acesta este tiparul care se repetă în majoritatea cazurilor de acest tip: nu neglijență spectaculoasă, ci un banner instalat și uitat.

Ce înseamnă, de fapt, „cookie fără consimțământ”

Nu toate cookie-urile au nevoie de acord. Cele strict necesare — cele care țin sesiunea de autentificare, coșul de cumpărături sau echilibrarea traficului — pot fi plasate fără să întrebi pe nimeni. Problema apare la restul: statistici, remarketing, pixeli de rețele sociale, hărți de comportament, teste A/B. Pentru acestea, regula este simplă și veche de un deceniu: întâi acordul, apoi scriptul.

„Consimțământ” are o definiție tehnică, nu una intuitivă. Regulamentul general privind protecția datelor îl descrie ca o manifestare de voință liberă, specifică, informată și lipsită de ambiguitate — condiții detaliate în textul integral al GDPR. Din asta decurg câteva consecințe pe care mulți antreprenori le ratează: tăcerea nu e acord, o casetă bifată din oficiu nu e acord, iar continuarea navigării nu e acord. Un banner care oferă doar butonul „Accept” și un X discret în colț nu îndeplinește condiția de alegere liberă. Iar acordul trebuie să poată fi retras la fel de ușor cum a fost dat, ceea ce înseamnă că undeva pe site trebuie să existe o cale de a-ți schimba opțiunea.

În România, partea strict tehnică — plasarea de informații în terminalul utilizatorului — este reglementată de legislația care transpune directiva ePrivacy, iar aplicarea îi revine tot ANSPDCP. Deciziile și comunicatele autorității sunt publicate pe site-ul instituției, împreună cu ghidurile de aplicare.

De ce a fost amendat un dezvoltator de software

Cazul are o ironie evidentă: o firmă care construiește software pentru alții a fost sancționată pentru propriul site. Explicația e banală și tocmai de aceea utilă. Site-ul de prezentare al unei firme de IT e, de regulă, ultimul pe lista de priorități. Se face repede, se instalează un plugin de cookie-uri pentru că „așa trebuie”, se adaugă un cod de analiză ca să vezi câți vizitatori vin și apoi nimeni nu se mai uită la el ani de zile.

Rezultatul tipic: bannerul apare, dar scripturile de urmărire rulează deja în fundal din prima secundă. Practic, utilizatorul e întrebat după ce decizia a fost luată în locul lui. O sesizare din partea unui vizitator atent este suficientă pentru a declanșa o investigație, iar verificarea e ușor de făcut de la distanță — se deschide site-ul și se citește ce se încarcă.

Cuantumul de 5.000 de lei nu e o pedeapsă disproporționată. Este limita de jos a intervalului, aplicată unei fapte constatate la un operator mic, fără prejudiciu masiv. Semnalul, însă, e clar: dimensiunea afacerii nu te scoate din zona de risc.

Cât pot ajunge amenzile

Pentru încălcările legate de plasarea de cookie-uri fără acord, plaja sancțiunilor pornește de la 5.000 de lei și urcă până la 100.000 de lei. Pentru operatorii cu cifră de afaceri semnificativă, legea prevede posibilitatea unei amenzi calculate ca procent — până la 2% din cifra de afaceri — ceea ce schimbă complet ordinul de mărime pentru un retailer online mare sau un grup de presă.

Merită reținut că acesta este un regim distinct de amenzile GDPR propriu-zise, care pot ajunge, pentru încălcări grave ale principiilor de prelucrare, la praguri mult mai mari. În practică, o singură investigație poate atinge ambele planuri: cookie-urile plasate ilegal și, separat, prelucrarea datelor colectate prin ele fără temei legal.

Ce au în comun site-urile sancționate

Din cazurile făcute publice se conturează un set de probleme recurente:

  • Scripturi care pornesc înaintea acordului. Cea mai frecventă situație. Bannerul e decorativ, blocarea reală lipsește.
  • Lipsa unei opțiuni echivalente de refuz. „Accept tot” pe fundal colorat, „Setări” scris mic și gri, niciun buton de respingere la același nivel.
  • Imposibilitatea de a demonstra consimțământul. Operatorul trebuie să poată arăta cine a consimțit, la ce și când. Fără un registru al consimțămintelor, apărarea e imposibilă.
  • Politici de cookie-uri copiate. Documente preluate de pe alte site-uri, care descriu cookie-uri inexistente și le omit pe cele reale.
  • Instrumente instalate, dar neconfigurate. Modulul e prezent, categoriile nu sunt legate de scripturile efective.

Pentru cine vrea o listă de verificare structurată pe aceste puncte, există materiale dedicate, precum acest ghid de conformitate GDPR pentru cookie-uri, util mai ales dacă administrezi singur site-ul și nu ai un consultant la îndemână.

Verificările pe care le poți face singur

Nu ai nevoie de un audit plătit ca să afli dacă ai o problemă evidentă. Deschide site-ul într-o fereastră privată, apasă F12 și mergi în secțiunea Application (sau Storage), la Cookies. Dacă lista se populează înainte să atingi bannerul, ai deja un răspuns. Apoi treci în fila Network și urmărește dacă pleacă cereri către domenii de analiză sau publicitate în primele secunde.

Testează și butonul de refuz: apasă-l, reîncarcă pagina și verifică din nou lista de cookie-uri. Dacă rămâne neschimbată, blocarea e doar cosmetică. La final, citește propria politică de cookie-uri și compar-o cu ce ai văzut în browser — dacă documentul menționează servicii pe care nu le folosești, e semn că a fost copiat.

Dacă găsești nereguli, ordinea practică e aceasta: oprește întâi scripturile de marketing și analiză până când blocarea funcționează corect, adaugă apoi un buton de respingere vizibil la același nivel cu cel de acceptare, asigură-te că sistemul păstrează o dovadă a fiecărei alegeri și abia la sfârșit rescrie politica pe baza a ceea ce rulează efectiv pe site. Sunt câteva ore de lucru pentru un site mic — considerabil mai puțin decât timpul consumat de un răspuns la o solicitare de informații din partea autorității.