Este valid bannerul de cookie-uri de pe magazinul tău online? Amenzile ajung la 37.000 de lei

Bannerul tău de cookie-uri trebuie să ofere o opțiune de refuz la fel de accesibilă ca cea de acceptare, nu ascunsă într-un meniu secundar. Cerința decurge din condiția de consimțământ liber exprimat și a fost impusă ca măsură corectivă în deciziile Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP). Un magazin online de mobilă a primit 30.000 de lei amendă pentru cookie-uri plasate fără acord, plus 78.570 de lei pentru securitatea datelor, în aceeași decizie.

Acest articol este dintr-o serie de 18 reguli pe care le-am strâns pornind de la ghidul Autorității Naționale pentru Protecția Consumatorilor (ANPC) din iulie 2026, completat cu legislația în vigoare, ca să știi exact ce ai de verificat la magazinul tău online în 2026. Găsești lista completă în articolul 18 reguli obligatorii pentru magazinele online în 2026.

Ce înseamnă un consimțământ valabil pentru cookie-uri?

Orice cookie care nu este strict necesar din punct de vedere tehnic pentru funcționarea site-ului are nevoie de acordul explicit al vizitatorului înainte de a fi plasat. Legea cere îndeplinirea cumulativă a două condiții: vizitatorul primește mai întâi informații clare și complete, într-un limbaj ușor de înțeles, despre scopul pentru care sunt folosite datele stocate, și abia apoi își exprimă acordul, potrivit art. 4 alin. (5) lit. a) și b) din Legea nr. 506/2004.

Dacă pe site rulează și cookie-uri ale unor terți, cum sunt Google Analytics sau Meta Pixel, informarea trebuie să acopere și scopul general al procesării lor, plus modul în care vizitatorul poate refuza sau șterge datele stocate.

Un cookie neesențial înseamnă și o prelucrare de date cu caracter personal, deci se aplică simultan regulile GDPR pentru consimțământ valabil: liber exprimat, specific, informat și lipsit de ambiguitate, potrivit art. 4 pct. 11 și art. 7 din Regulamentul (UE) 2016/679. Restul obligațiilor GDPR pentru un magazin online le-am detaliat în Respectă magazinul tău GDPR-ul? Amenzile aplicate deja în 2026 au ajuns la 20.700 de euro.

Curtea de Justiție a Uniunii Europene (CJUE) a stabilit că o căsuță pre-bifată nu reprezintă un consimțământ valid, într-un caz din 2019 legat de o loterie online (cauza C-673/17, Planet49). Vizitatorul trebuie să facă un gest activ de acceptare. Nu este suficient să lase nebifată o căsuță de refuz.

Ce trebuie să conțină bannerul?

Bannerul trebuie să îndeplinească cinci cerințe. Ele rezultă din Legea nr. 506/2004 și din standardul de consimțământ valabil din GDPR, aplicat cookie-urilor prin hotărârea CJUE în cauza Planet49. Le poți verifica direct pe site-ul tău:

• Opțiune de refuz la fel de accesibilă ca opțiunea de acceptare, afișată în același loc și cu aceeași greutate vizuală, nu îngropată sub un link mic.
• Alegere separată pe categorii neesențiale, de analiză sau statistici și de marketing, nu un singur buton „Accept tot". Cookie-urile strict necesare rămân în afara acestei alegeri, pentru că pentru ele nu se cere consimțământ.
• Cookie-urile neesențiale blocate tehnic până când vizitatorul își exprimă acordul, nu activate din start și oprite ulterior dacă refuză.
• Informații clare, în limbaj simplu, despre scopul fiecărei categorii de cookie-uri, afișate înainte de exprimarea acordului, potrivit art. 4 alin. (5) lit. b) din Legea nr. 506/2004.
• O variantă la fel de simplă de retragere a consimțământului, oricând, nu doar la prima vizită pe site, potrivit art. 7 alin. (3) din Regulamentul (UE) 2016/679.

ANSPDCP a impus opțiunea reală de refuz și blocarea tehnică a cookie-urilor neesențiale ca măsuri corective unui operator sancționat în 2025. În 2026, autoritatea a obligat un magazin online să îndeplinească cumulativ aceleași condiții pe site-ul său.

Cine verifică bannerul de cookie-uri și ce amenzi riști

Autoritatea care verifică și sancționează bannerele de cookie-uri este ANSPDCP, nu ANPC. Nerespectarea condițiilor de la art. 4 alin. (5) constituie contravenție, potrivit art. 13 alin. (1) lit. i) din Legea nr. 506/2004.

Amenda prevăzută de lege este de la 5.000 la 100.000 de lei, potrivit art. 13 alin. (2). Pentru operatorii cu o cifră de afaceri de peste 5 milioane de lei, amenda poate ajunge la 2% din cifra de afaceri.

În septembrie 2025, ANSPDCP a finalizat o investigație pornită din oficiu la operatorul CORAL TRAVEL & TOURISM SERVICES și a constatat că site-ul stoca module cookie neesențiale fără acordul vizitatorilor. Operatorul a primit o amendă de 5.000 de lei și o măsură corectivă explicită. Autoritatea i-a cerut un banner clar și vizibil, care să permită o opțiune reală și informată, plus configurarea sistemului astfel încât cookie-urile neesențiale să nu fie plasate înainte de obținerea consimțământului, conform comunicatului ANSPDCP din 14 octombrie 2025.

În iunie 2026, ANSPDCP a amendat cu 5.000 de lei operatorul unei platforme software, după sesizarea unei singure persoane. Sancțiunea a vizat module cookie care nu erau necesare din punct de vedere tehnic, plasate fără informare completă și fără consimțământ prealabil, conform comunicatului ANSPDCP din 26 iunie 2026. O sesizare este suficientă ca să pornească o investigație.

Sumele variază cu gravitatea faptei. În octombrie 2025, operatorul unui site românesc de aplicații AI a fost amendat cu 30.000 de lei pentru cookie-uri plasate fără consimțământ, conform comunicatului ANSPDCP din 4 noiembrie 2025. Amenda urcă atunci când la cookie-uri se adaugă alte fapte. Într-un caz din august 2025, amenda a ajuns la 37.000 de lei pentru un operator care folosea și tehnologii de monitorizare a traficului, ca să plaseze reclame malițioase pe echipamentele utilizatorilor, conform comunicatului ANSPDCP din 3 septembrie 2025.

Cazul Homelux arată cum ajunge un magazin online sancționat pentru banner fără ca investigația să fi pornit de acolo. Operatorul a raportat singur o breșă de securitate, după un atac cibernetic asupra platformei, așa cum îl obligă art. 33 din GDPR. Verificând incidentul, autoritatea a constatat și că site-ul stoca module cookie neesențiale fără acordul utilizatorilor. Operatorul a primit 78.570 de lei (15.000 de euro) pentru securitate insuficientă și 30.000 de lei pentru cookie-uri, în total 108.570 de lei, plus obligația de a îndeplini cumulativ condițiile art. 4 alin. (5) din Legea nr. 506/2004 pe site, conform comunicatului ANSPDCP din 31 iulie 2026. Cele două amenzi vin din legi diferite, cu plafoane diferite. Cea pentru securitate se aplică pe art. 83 din GDPR, cea pentru cookie-uri pe art. 13 din Legea nr. 506/2004. Măsurile de securitate pe care le verifică autoritatea într-un astfel de caz sunt în 9 măsuri de securitate pentru magazinul tău online, plus cine e obligat să raporteze incidentele.

Ce ai de verificat acum pe magazinul tău

• Testează bannerul. Apare un buton de refuz la fel de vizibil ca cel de acceptare, sau trebuie căutat printr-un meniu?
• Deschide uneltele de dezvoltare din browser (F12) și verifică dacă Google Analytics, Meta Pixel sau alte scripturi de urmărire pornesc înainte să apeși vreun buton.
• Confirmă că poți alege separat categoriile neesențiale, statistici și marketing, nu doar „acceptă tot" sau „refuză tot".
• Verifică dacă poți retrage consimțământul oricând, inclusiv la o vizită ulterioară.
• Actualizează politica de cookie-uri de pe site cu scopul exact al fiecărei categorii folosite.

Acest articol are caracter informativ și nu constituie consultanță juridică. Pentru situația specifică a magazinului tău, verifică textul Legii nr. 506/2004 și al Regulamentului (UE) 2016/679 sau discută cu un specialist.