Ce trebuie să aibă legal site-ul unei firme din România, și ce lipsește cel mai des

Ce am verificat, și cum

N-am intrat nicăieri unde nu se poate intra și n-am folosit niciun instrument special. Am deschis fiecare site ca un vizitator obișnuit și am căutat cinci lucruri:

1. Bannerul de cookie-uri, dacă apare înainte să se întâmple ceva pe dispozitiv.
2. Politica de confidențialitate și cea de cookie-uri, dacă există și dacă se potrivesc cu ce face site-ul.
3. Termenii și condițiile, unde se aplică.
4. Acordul la formularul de contact, adică o căsuță bifată de om, nu o propoziție scrisă sub buton.
5. Datele de identificare ale firmei și, la magazine, siglele ANPC.

Cele 25 de firme sunt dintr-o listă la care lucram oricum, nu alese pentru că aveau site-uri proaste. Ca să dau și contextul: 20 dintre cele 25 aveau, în notele mele, un site slab ca execuție, 4 decent și unul singur bun.

Ce am găsit

Șaisprezece din douăzeci și cinci aveau cel puțin una dintre cele cinci lipsuri. Defalcat:

Barele nu se adună la 16, și e normal: un site cu trei lipsuri apare în trei bare. Întrebarea la care răspunde fiecare bară e „câte site-uri n-aveau lucrul ăsta”, nu „câte site-uri sunt în categoria asta”.

Lipsa cea mai frecventă, și de ce e cea mai gravă

Treisprezece site-uri n-aveau banner de cookie-uri. Dintre ele, o parte aveau deja instrumente de măsurare pornite, care scriau pe dispozitivul omului din prima secundă.

Asta e diferența dintre o lipsă formală și una reală. Un site care nu măsoară nimic și n-are banner e în regulă. Un site care măsoară și n-are banner scrie pe telefonul cuiva fără să-l fi întrebat, ceea ce e exact lucrul pe care legea îl condiționează de acord.

Greșeala pe care am făcut-o noi, acum zece zile

Scriu partea asta fiindcă altfel articolul ăsta ar fi un deget arătat către 16 firme.

Pe 7 septembrie 2026 am verificat site-ul nostru și am găsit exact aceeași problemă. Pagina de politică de cookie-uri de pe devicom.ro scria negru pe alb că site-ul nu folosește cookie-uri și că de aceea nu are banner. În același timp, Google Analytics rula de câteva săptămâni și scria pe dispozitivele oamenilor.

Două probleme deodată, iar a doua e mai scumpă: o declarație publică falsă pe site-ul unei firme care face site-uri. Cine verifică, verifică exact acolo.

Am reparat-o construind mecanismul de acord, nu ștergând instrumentul de măsurare. Și am mai găsit ceva în aceeași zi, despre care merită un capitol separat.

Sigla SOL: trimiterea către ceva care nu mai există

Multe site-uri românești au, în subsol sau la termeni, o trimitere către platforma europeană de soluționare online a litigiilor, scurt SOL sau ODR. De obicei cu siglă oficială lângă ea.

Platforma aceea s-a închis definitiv pe 20 iulie 2025. A încetat să primească reclamații noi din 20 martie 2025, iar Regulamentul (UE) 524/2013, care o instituise, a fost abrogat prin Regulamentul (UE) 2024/3228.

Deci un site care încă o afișează trimite consumatorii către o cale de atac care nu mai există, cu siglă oficială lângă ea. Noi o aveam. Am scos-o pe 7 septembrie. Trimiterea către ANPC și către SAL rămâne valabilă și nu se atinge.

E genul de lucru care nu se strică singur și pe care nu-l semnalează nimeni: pagina arată la fel ca acum doi ani, doar că lumea din jurul ei s-a schimbat.

Cine poate sancționa, și cât de teoretic e

Sunt două autorități, cu domenii diferite:

• ANSPDCP, pentru datele personale și cookie-uri.
• ANPC, pentru informarea consumatorului, termeni și căile de reclamație.

Cât de teoretic e, în cifre publicate de autoritate. În comunicatul din 25 mai 2026, ANSPDCP raportează activitatea pe ianuarie–aprilie 2026: 25 de amenzi, în total 1.187.492 lei, adică aproximativ 239.000 de euro, plus 42 de avertismente și 41 de măsuri corective. În aceeași perioadă au fost înregistrate 5.519 plângeri și sesizări, iar 228 de investigații au fost deschise.

Între tipurile de încălcări enumerate în comunicat apare explicit utilizarea modulelor cookie.

Nu scriu aici nicio sumă pe care ai risca-o tu, fiindcă nimeni n-o poate ști: depinde de ce s-a întâmplat, de câți oameni au fost afectați și de ce ai făcut după. Cifrele de mai sus spun doar atât: nu e o discuție teoretică.

Articolul descrie ce se vede pe un site și ce declară public autoritățile. Nu e consultanță juridică, iar pentru un caz anume întreabă un avocat.

Ce înseamnă fiecare dintre cele cinci, pe scurt

1. Datele de identificare ale firmei

Denumirea completă, forma juridică, CUI, numărul de înregistrare la Registrul Comerțului, sediul și un mijloc de contact. Se pun în subsol sau pe o pagină legată din subsol. E lucrul cel mai ușor de rezolvat și, în eșantionul nostru, cel mai rar lipsă: doar 2 din 25.

2. Politica de confidențialitate

Ce date colectezi, de ce, cât le ții, cui ajung și ce drepturi are omul. Partea cea mai des greșită nu e absența ei, ci lista furnizorilor: găzduirea, serviciul care trimite mailurile formularului, instrumentul de statistici. Toți văd datele, deci toți se trec.

3. Politica de cookie-uri

Ce se scrie pe dispozitiv, cu nume, durată și destinatar. Cel mai important lucru despre pagina asta e să fie adevărată. O politică de cookie-uri copiată de pe alt site descrie alt site, iar asta e mai rău decât să n-ai una: e o declarație publică falsă, ușor de verificat de oricine deschide uneltele de dezvoltator.

4. Acordul la formularul de contact

O căsuță pe care o bifează omul, nu o propoziție scrisă sub buton. Diferența contează: acordul se dă printr-o acțiune, iar o căsuță bifată din fabrică nu e acord, e o setare pe care n-a atins-o nimeni.

5. ANPC, și ce s-a schimbat

Pentru magazine online: trimiterea către ANPC și către soluționarea alternativă a litigiilor, SAL. Fără SOL, din motivul de mai sus. Douăsprezece din cele 25 de site-uri verificate n-aveau siglele, iar câteva dintre cele care le aveau trimiteau tot către platforma închisă.

Ce spun măsurătorile mai mari

Cele 25 de site-uri ale mele nu sunt un studiu, și o spun de la început. Am căutat dacă cifra seamănă cu ce găsesc alții.

Cea mai serioasă măsurătoare pe subiect e una academică, publicată la IEEE în 2020 de Célestin Matte, Nataliia Bielova și Cristiana Santos. Au scanat automat 22.949 de site-uri europene și au găsit încălcări la 54% dintre ele: bannere care înregistrau acordul înainte ca omul să apese ceva, opțiuni bifate dinainte, acord stocat chiar și după refuz.

⚠️ Măsoară însă altceva decât mine, și e important: ei au verificat bannere care există, dar se poartă greșit. Eu am găsit site-uri unde bannerul lipsea cu totul, deși instrumentele de măsurare erau pornite. Sunt lucruri vecine, nu identice. Puse cap la cap spun ceva mai apăsat decât fiecare separat: și acolo unde bannerul există, jumătate nu fac ce promit.

Cum îți verifici singur site-ul, în sub un minut

1. Deschide-l pe telefon, în modul incognito, ca să nu te încurce o alegere veche de cookie-uri.
2. Vezi dacă apare bannerul. Dacă nu apare, întreabă-ți dezvoltatorul dacă site-ul are Google Analytics sau alt instrument de măsurare. Dacă are, îți lipsește ceva.
3. Derulează la subsol și caută: politica de confidențialitate, politica de cookie-uri, datele firmei. La magazine, și ANPC.
4. Deschide formularul de contact și verifică dacă există o căsuță de bifat.
5. Citește politica de cookie-uri. Pasul pe care nu-l face nimeni și singurul care prinde o declarație falsă.
6. Caută în pagină cuvântul „SOL” sau „soluționare online”. Dacă apare, trimiterea aia nu mai duce nicăieri.

Întrebări frecvente

Ce trebuie să aibă legal site-ul unei firme din România?

Datele de identificare ale firmei (denumire, CUI, număr de înregistrare, sediu, contact), o politică de confidențialitate care descrie ce date se colectează, o politică de cookie-uri care corespunde cu ce pune site-ul de fapt, un acord bifat de vizitator la formularul de contact, iar dacă vinzi online, termeni și condiții plus trimiterile către ANPC. Toate se verifică din exterior, de pe telefon.

Bannerul de cookie-uri este obligatoriu?

Nu pentru orice site, ci pentru orice site care scrie ceva neesențial pe dispozitivul vizitatorului. Dacă ai Google Analytics, un pixel de reclame sau orice instrument de măsurare, atunci da: acordul trebuie cerut înainte ca acel lucru să scrie, nu după. Un site pur informativ, fără niciun instrument de măsurare, nu are nevoie de banner.

Mai trebuie pusă sigla SOL pe site?

Nu. Platforma europeană de soluționare online a litigiilor s-a închis definitiv pe 20 iulie 2025, iar Regulamentul (UE) 524/2013 care o instituise a fost abrogat prin Regulamentul (UE) 2024/3228. Un site care încă trimite consumatorii acolo îi trimite către ceva care nu mai există. Trimiterea către ANPC și către SAL rămâne.

Cine dă amenzi pentru lipsurile astea?

Sunt două autorități diferite. Partea de date personale și de cookie-uri intră la ANSPDCP. Partea de informare a consumatorului, termeni și căi de reclamație, intră la ANPC. Sesizarea o poate face oricine, inclusiv un client nemulțumit sau un concurent.

Cum verific singur dacă site-ul meu e în regulă?

Deschide-l pe telefon, ca un vizitator obișnuit, și caută cinci lucruri: bannerul de cookie-uri, politica de confidențialitate, politica de cookie-uri, acordul de la formularul de contact și datele de identificare ale firmei din subsol. Durează sub un minut. Apoi citește politica de cookie-uri și verifică dacă ce scrie acolo se potrivește cu ce pune site-ul de fapt.

Dacă vrei să mă uit eu

Îți spun ce lipsește de pe site-ul tău dintre cele cinci, cu ce am găsit exact și unde. Fără listă de amenințări și fără să-ți vând ceva după. Scrie-mi din pagina de contact.

Dacă până la urmă site-ul are nevoie de mai mult decât câteva pagini legale, aici scrie ce intră într-un site de prezentare. Iar dacă te întrebi dacă formularul tău de contact chiar ajunge undeva, am măsurat și asta: 12 cereri trimise, 4 răspunsuri.