BlogLegal și conformitate16 minute de citit
Cookie-uri fără acord: o treime dintre site-urile firmelor te urmăresc înainte de „Accept”
Pe 30 septembrie 2026 am luat 2.000 de firme active, alese la întâmplare din Registrul Comerțului, și le-am deschis site-urile ca un vizitator nou, pe telefon, fără să apăsăm nimic. Pe 34,4% dintre cele 1.025 de site-uri verificate complet, ceva pornea urmărirea înainte ca omul să aleagă ceva în banner. Mai jos e tot procesul: cum am ales firmele, ce am numărat exact, cum ne-am prins propriile greșeli de măsurare, și ce spune legea, cu sursa fiecărei afirmații.
Pe scurt
- Ce: am verificat pasiv, pe telefon, site-urile a 2.000 de firme active alese aleator din Registrul Comerțului, pe 30 septembrie 2026. 1.025 au putut fi verificate complet.
- Rezultatul principal: 34,4% dintre site-uri pornesc urmărirea înainte de acord (marja de eroare: ±2,9 puncte). Cel mai des, Google Analytics: 26,6%.
- Bannerul nu rezolvă singur: 56,6% dintre site-urile care urmăresc fără acord au banner, iar 45,6% dintre bannere n-au „Refuz” pe primul ecran.
- Legea: Legea 506/2004 cere acordul înainte, cu doar două excepții. Statistica nu e una dintre ele.
- Ce se repară: scripturile de măsurare și videourile se încarcă abia după „Accept”, iar „Refuz” stă pe primul ecran.
De ce am făcut studiul
Pe blog am mai publicat două verificări mici: 12 formulare de contact și 25 de site-uri verificate pe cinci puncte legale. Le-am spus de fiecare dată ce sunt, adică eșantioane mici, dintr-o listă la care lucram oricum. O cifră dintr-o listă aleasă de noi spune ceva despre lista noastră, nu despre firmele din România.
De data asta am vrut o cifră care să poată fi apărată: firme alese la întâmplare, un număr destul de mare cât un procent să nu se miște cu zece puncte de la o zi la alta, și o metodă scrisă întreagă, ca oricine s-o poată repeta.
Metoda
O scriem întreagă, după elementele pe care standardul de transparență al cercetătorilor în sondaje (AAPOR) le cere oricărui studiu cu cifre publicate: cine l-a făcut, pe cine, cum, când, cât de precis și cu ce limite.
Cine a făcut studiul și cine l-a plătit
Studiul l-a făcut și l-a plătit DEVICOM TECH SRL, firma care publică acest blog. Nu l-a comandat nimeni altcineva. Facem site-uri pentru firme, așa că avem nevoie să știm cum arată piața de fapt: ce se greșește cel mai des, ce lipsește și de unde pornesc firmele cu care lucrăm. Ca oricine să poată verifica cifrele, publicăm metoda întreagă, marja de eroare, limitele și greșelile de măsurare pe care ni le-am prins singuri.
Programul care a deschis site-urile l-am scris cu ajutorul unui asistent AI. Fiecare regulă după care recunoaște un banner sau un instrument de urmărire am verificat-o de mână, pe site-uri reale (mai jos, la controlul calității), iar afirmațiile legale le-am verificat în textele oficiale citate.
Populația și eșantionul
Registrul Comerțului publică lista firmelor ca date deschise, pe data.gov.ro. Lista are o coloană cu site-ul declarat de firmă. Am curățat adresele care nu erau site-uri (adrese de mail, pagini de Facebook, domenii folosite de mai multe firme deodată) și am păstrat doar firmele active, verificate la ANAF. Au rămas 4.478 de firme: asta e populația despre care vorbește studiul. Din ele am tras la sorți 2.000, adică aproape jumătate.
Tragerea la sorți are o sămânță fixă, deci aceeași listă de 2.000 iese identic la fiecare rulare. Nu am ales noi firmele și nu le-am filtrat după domeniu, mărime sau cât de bine arată site-ul.
| Pas | Firme |
|---|---|
| Firme active cu site declarat, alese aleator | 2.000 |
| Adresa declarată răspunde | 1.237 |
| Site-ul pomenește numele sau CUI-ul firmei | 1.130 |
| Pagina s-a încărcat și verificarea s-a încheiat | 1.025 |
Două pierderi merită explicate. Pe 107 site-uri nu apăreau nicăieri nici numele firmei, nici CUI-ul ei, deci nu aveam cum să știm că sunt ale ei: putea fi site-ul unui grup, un domeniu vândut între timp sau altă firmă. Le-am scos. Probabil unele erau chiar ale firmei, dar fără nicio dovadă pe pagină nu i le puteam pune în socoteală. 105 site-uri n-au putut fi verificate până la capăt: nu s-au încărcat în timp, sau au răspuns cu o pagină de protecție împotriva roboților. Nu le-am numărat nici bune, nici rele.
Și o cifră separată, pe care o păstrăm pentru alt articol: o treime dintre firmele active au trecut în acte un site care nu mai răspunde.
Cum am verificat fiecare site
Pentru fiecare site am pornit un browser automat, curat, și am făcut exact ce face un om care intră prima dată:
- Browser fără niciun cookie, cu ecran de telefon (390 pe 844 de pixeli) și identitate de telefon.
- Am deschis prima pagină și am așteptat să se termine încărcarea, plus încă trei secunde, cât ar sta un om să se uite.
- Nu am apăsat nimic. Nici „Accept”, nici „Refuz”, nici altceva.
- Am citit ce cookie-uri se aflau deja pe dispozitiv și ce cereri plecaseră spre servicii de urmărire.
- Am căutat bannerul de cookie-uri: un element vizibil, fixat pe ecran, cu text despre cookie-uri și un buton de acceptare. Dacă exista, am căutat pe același ecran un buton de refuz.
Ce am numărat ca urmărire
Nu am ghicit după numele scripturilor. Am numărat doar ce lasă urme verificabile pe dispozitiv:
| Instrument | Semnul numărat |
|---|---|
| Google Analytics | cookie-urile _ga, _ga_… sau _gid |
| Pixelul Facebook | cookie-ul _fbp sau o cerere spre facebook.com/tr |
| Google Ads | cookie-ul _gcl_au |
| YouTube și Google Maps încorporate | cookie-urile YSC, VISITOR_INFO1_LIVE, VISITOR_PRIVACY_METADATA, NID sau __Secure-YNID |
Cookie-urile strict necesare (coș, sesiune, securitate, alegerea din banner) nu intră în nicio cifră. Nici instrumentele care nu lasă niciunul dintre semnele de mai sus.
Ce nu am făcut
Verificarea a fost pasivă: ce vede orice vizitator. N-am trimis niciun formular, n-am încercat să intrăm undeva, n-am scanat servere. Și nu numim nicio firmă, nici aici, nici altundeva: studiul e despre cât de răspândit e un lucru, nu despre cine îl face.
Controlul calității: cum ne-am verificat verificarea
Un program care citește 1.000 de site-uri greșește undeva. Întrebarea e dacă afli unde. Așa că, înainte de cifrele finale, am luat la întâmplare site-uri din fiecare rezultat și le-am deschis de mână, pe telefon, ca să vedem dacă programul a văzut ce vede un om.
Prima rundă a prins două greșeli ale noastre, și le spunem, fiindcă amândouă ar fi umflat cifrele:
- Unele bannere se ascund de browserele automate. Un modul de cookie-uri răspândit nu se afișează dacă browserul se declară automat. Programul raporta „fără banner” unde un om vedea banner. Am pornit browserul fără acea declarație și am reluat tot.
- Butoanele de refuz în engleză nu erau recunoscute. „Reject”, „Decline” sau „Use only necessary” treceau drept lipsă de refuz. Am corectat recunoașterea și am recalculat cele 6 site-uri afectate.
După corecturi, verificarea de mână a confirmat patru din patru site-uri „fără banner” și trei din patru „fără refuz”; al patrulea a dus chiar la a doua corectură de mai sus. E un control, nu o garanție: spune că metoda vede ce vede un om, nu că n-a scăpat niciun caz.
Cât de precise sunt cifrele
Pentru că firmele au fost alese la întâmplare, putem spune cât de departe ar putea fi cifra noastră de cea adevărată pentru toate cele 4.478 de firme. La un nivel de încredere de 95%:
| Cifra din studiu | Intervalul probabil (95%) |
|---|---|
| Urmărire înainte de acord: 34,4% | 31,5% la 37,3% |
| Fără video și hărți: 31,2% | 28,4% la 34,0% |
| Google Analytics: 26,6% | 23,9% la 29,3% |
| Pixelul Facebook: 9,1% | 7,3% la 10,9% |
| Au banner: 49,5% | 46,4% la 52,6% |
| Bannere fără „Refuz” (din cele 507 cu banner): 45,6% | 41,3% la 49,9% |
Marja e calculată prudent, ca pentru un eșantion aleator obișnuit, fără corecția care se poate face când eșantionul e o parte mare din populație. Cu ea, intervalele ar fi ceva mai înguste. Cifrele nu sunt ponderate: fiecare site verificat contează la fel. Și marja acoperă doar întâmplarea tragerii la sorți, nu și erorile de măsurare, despre care scriem la limite.
Ce am găsit
34,4% dintre cele 1.025 de site-uri puneau ceva de urmărire pe dispozitiv înainte ca vizitatorul să aleagă. Fără videourile și hărțile încorporate, doar Analytics, pixel și Google Ads, cifra e 31,2%. Aproape o treime, oricum ai lua-o.
| Instrument pornit înainte de acord | Din 1.025 de site-uri |
|---|---|
| Google Analytics | 26,6% |
| Pixelul Facebook | 9,1% |
| YouTube și Google Maps încorporate | 6,7% |
| Google Ads | 6,6% |
| Oricare dintre ele | 34,4% |
Google Analytics e, de departe, cel mai des întâlnit. Explicația cea mai probabilă e banală: e instrumentul pe care îl pune aproape oricine face un site, adesea dintr-un cod copiat în capul paginii, care pornește la încărcare, indiferent ce spune bannerul.
Bannerul există, dar nu așteaptă
Ar fi comod să credem că problema sunt site-urile fără banner. Cifrele spun altceva: 56,6% dintre site-urile cu Analytics, pixel Facebook sau Google Ads pornite înainte de acord au banner. Bannerul apare, întreabă, dar urmărirea a pornit deja, înainte de răspuns.
| Banner | Din 1.025 de site-uri |
|---|---|
| Fără banner de cookie-uri | 50,5% |
| Banner fără „Refuz” pe primul ecran | 22,6% |
| Banner cu „Refuz” pe primul ecran | 26,9% |
Luate doar cele 49,5% care au banner:
- 45,6% nu au buton de refuz pe primul ecran. Ca să refuzi, trebuie să cauți într-un al doilea ecran sau într-un link mic.
- 13,0% spun că, dacă navighezi în continuare, ești de acord. Mai jos, la lege, e de ce asta nu e acord.
Și, separat, 13,6% dintre toate site-urile pornesc Analytics, pixelul sau Google Ads fără să aibă deloc banner.
Ce spune legea
Fiecare frază de aici are o sursă numită. Unde legea nu spune ceva, nu spunem nici noi.
Regula: întâi acordul, apoi urmărirea
Legea 506/2004, care transpune directiva europeană ePrivacy, spune așa:
„(5) Stocarea de informații sau obținerea accesului la informația stocată în echipamentul terminal al unui abonat ori utilizator este permisă numai cu îndeplinirea în mod cumulativ a următoarelor condiții: a) abonatul sau utilizatorul în cauză și-a exprimat acordul; [...] b) abonatului sau utilizatorului în cauză i s-au furnizat, anterior exprimării acordului, [...] informații clare și complete [...]”
Regula privește orice informație, nu doar datele personale, iar Curtea de Justiție a UE a confirmat asta în cauza Planet49 (C-673/17).
Excepțiile sunt doar două
„(6) Prevederile alin. (5) nu aduc atingere posibilității de a efectua stocarea sau accesul tehnic la informația stocată în următoarele cazuri: a) atunci când aceste operațiuni sunt realizate exclusiv în scopul efectuării transmisiei unei comunicări printr-o rețea de comunicații electronice; [...] b) atunci când aceste operațiuni sunt strict necesare în vederea furnizării unui serviciu al societății informaționale, solicitat în mod expres de către abonat sau utilizator.”
Statistica nu intră aici: nu e ceva ce vizitatorul a cerut în mod expres. Autoritățile europene de protecție a datelor au spus-o încă din 2012, în Avizul WP29 04/2012.
Videoul încorporat e tot al tău
În cauza Fashion ID (C-40/17), Curtea a stabilit că site-ul care încorporează conținutul unui terț răspunde împreună cu el pentru colectarea care are loc la încărcare. Un video YouTube pus pe prima pagină, care pune cookie-uri înainte de orice clic, e deci o problemă a site-ului, nu doar a YouTube.
„Navigând în continuare” nu e acord
Acordul trebuie să fie liber, informat și exprimat printr-o acțiune activă (GDPR, art. 4 pct. 11 și art. 7). Considerentul 32 din GDPR o spune direct:
„Consimțământul ar trebui acordat printr-o acțiune neechivocă care să constituie o manifestare liber exprimată, specifică, în cunoștință de cauză și clară a acordului persoanei vizate [...]. Prin urmare, absența unui răspuns, căsuțele bifate în prealabil sau absența unei acțiuni nu ar trebui să constituie un consimțământ.”
Refuzul pe primul ecran
Grupul de lucru al autorităților europene pentru bannere (raportul EDPB Cookie Banner Taskforce, ianuarie 2023) a consemnat că majoritatea autorităților naționale consideră o încălcare lipsa unei opțiuni de refuz pe primul nivel al bannerului, acolo unde e și „Accept”.
Cine controlează
În România, ANSPDCP. Legea 506/2004 prevede amenzi între 5.000 și 100.000 de lei, iar pentru firmele cu cifra de afaceri peste 5 milioane de lei, până la 2% din ea. Nu spunem cât ar risca un site anume: depinde de caz, și nu e treaba unui articol s-o ghicească.
Articolul descrie ce se vede pe site-uri și ce spun textele oficiale. Nu e consultanță juridică, iar pentru un caz anume întreabă un avocat.
Cum se compară cu alte măsurători
Cea mai citată măsurătoare europeană pe subiect e una academică, publicată la conferința IEEE Security & Privacy din 2020 de Célestin Matte, Nataliia Bielova și Cristiana Santos. Au scanat 22.949 de site-uri europene, iar dintre cele 560 testate în detaliu, 54% aveau cel puțin o încălcare în felul în care bannerul cerea sau înregistra acordul.
Nu e aceeași măsurătoare ca a noastră, și cifrele nu se pun una lângă alta. Ei au studiat doar site-uri care aveau un anumit tip de banner și au căutat ce face bannerul greșit. Noi am luat firme la întâmplare, cu sau fără banner, și am numărat ce pornește înainte de orice alegere. Ce au în comun: în ambele, bannerul există des și tot nu face ce promite.
Și cifra noastră mai veche, de pe 25 de site-uri alese din lista noastră de prospecți, arăta în aceeași direcție. Diferența e că aceea era o listă aleasă de noi; aceasta e un eșantion aleator, cu marja de eroare de mai sus.
Limitele studiului
- Cifra e un minim. Pixelii care trimit date fără să pună cookie intră și ei sub regulă (EDPB, Ghidul 2/2023), dar nu i-am numărat. Adevărata proporție e cel puțin 34,4%.
- Doar prima pagină. Un site poate porni urmărirea pe alte pagini, pe care nu le-am deschis în măsurătoarea asta.
- Un singur moment. Site-urile se schimbă. E starea din 30 septembrie 2026.
- Nu am testat butonul „Refuz”. Am văzut doar dacă există. Dacă după refuz urmărirea chiar se oprește e o altă verificare, pe care o facem la cerere, site cu site.
- Doar firmele care și-au declarat site-ul. Nu știm dacă firmele care nu l-au trecut în acte stau altfel.
- Site-urile pierdute pe drum. Din cele 1.237 de site-uri care răspundeau, 212 n-au intrat în calcul: 107 fiindcă nu pomeneau firma, 105 fiindcă nu s-au putut verifica. Dacă acestea urmăresc mai des sau mai rar decât celelalte, cifra reală se mută în direcția lor.
Ce recomandăm
Pentru orice site de firmă care măsoară ceva sau încorporează conținut:
- Nimic nenecesar înainte de „Accept”. Google Analytics, pixelii de reclame și orice alt instrument de măsurare se încarcă abia după acord, pe categoria lui.
- Videourile și hărțile, tot după acord. În locul lor, până atunci, o imagine cu un buton „Încarcă videoul” sau „Arată harta”.
- „Refuz” pe primul ecran, lângă „Accept”, la fel de vizibil.
- Fără „navigând în continuare ești de acord”. Acordul se dă printr-un clic.
- Verifică și după „Refuz”: după ce refuzi și reîncarci pagina, nu trebuie să mai apară nimic din ce ai refuzat.
Cum îți verifici singur site-ul
Durează două minute, pe un calculator:
- Deschide o fereastră privată (în Chrome, Ctrl+Shift+N), ca să pornești fără cookie-uri vechi.
- Intră pe site și nu apăsa nimic în banner.
- Apasă F12, mergi la Application (în Firefox, Storage), apoi la Cookies și alege adresa site-ului.
- Caută _ga, _fbp, _gcl_au sau cookie-uri de la YouTube. Dacă sunt deja acolo, site-ul urmărește înainte de acord.
- Uită-te la banner: are „Refuz” lângă „Accept”, la fel de vizibil? Și apasă-l: după refuz, reîncarcă pagina și verifică dacă cookie-urile de mai sus nu mai apar.
Reparația nu e complicată: instrumentele de măsurare și videourile se încarcă abia după „Accept”, iar „Refuz” stă pe primul ecran. Pe site-ul nostru e exact așa, și spunem public ce se pune și când.
Întrebări frecvente
- Are voie un site să pună cookie-uri înainte să apăs „Accept”?
- Doar pe cele strict necesare pentru ce ai cerut tu explicit: coșul de cumpărături, sesiunea de login, securitatea, cookie-ul care ține minte chiar alegerea din banner. Pentru orice altceva, Legea 506/2004 (art. 4 alin. 5) cere întâi informarea și acordul tău. Statistica de tip Google Analytics, pixelii de reclame și videourile încorporate nu sunt strict necesare.
- Google Analytics are nevoie de acord?
- Da. Excepțiile de la acord sunt doar două: transmiterea comunicării și ce e strict necesar pentru un serviciu cerut explicit de utilizator. Grupul autorităților europene de protecție a datelor a arătat încă din 2012 (Avizul WP29 04/2012) că analitica nu intră în ele.
- Un video YouTube pus pe site cere acord?
- Da, dacă pune ceva pe dispozitiv la încărcare, iar playerul obișnuit o face. Curtea de Justiție a UE a stabilit în cauza Fashion ID (C-40/17) că site-ul care încorporează conținutul unui terț răspunde împreună cu acela pentru ce se colectează la încărcare. Soluția e ca videoul să se încarce abia după acord.
- „Navigând în continuare, ești de acord” e acord valid?
- Nu. Acordul trebuie dat printr-o acțiune activă și neechivocă. Considerentul 32 din GDPR spune explicit că tăcerea și inactivitatea nu constituie consimțământ, iar a continua să citești o pagină nu e o acțiune prin care accepți ceva.
- Ce sunt cookie-urile strict necesare?
- Cele fără de care serviciul cerut explicit de vizitator nu poate funcționa: coșul de cumpărături, sesiunea de autentificare, securitatea, echilibrarea încărcării și cookie-ul care ține minte chiar alegerea din banner. Sunt singurele scutite de acord, prin Legea 506/2004, art. 4 alin. (6). Statistica, reclamele, pixelii și videourile încorporate nu intră aici.
- Ce sunt cookie-urile terță parte?
- Cookie-uri puse de alt domeniu decât site-ul pe care ești, de obicei printr-un conținut sau un script încorporat, cum e un video YouTube. Legea nu le tratează diferit: dacă nu sunt strict necesare, cer acord. Iar site-ul care încorporează conținutul răspunde împreună cu furnizorul pentru ce se colectează la încărcare (CJUE, cauza Fashion ID).
- Cum văd singur ce cookie-uri pune un site?
- Deschide site-ul într-o fereastră privată, fără să apeși nimic, apasă F12, mergi la Application (sau Storage), apoi la Cookies. Dacă vezi deja _ga, _fbp, _gcl_au sau cookie-uri de la YouTube, site-ul urmărește înainte de acord.
Dacă vrei să mă uit eu
Îți verific site-ul gratuit, pe aceleași criterii ca în studiu, și îți spun ce pornește înainte de acord, dacă bannerul are refuz și ce se întâmplă după ce apeși pe el. Fără listă de amenințări și fără să-ți vând ceva după. Scrie-mi din pagina de contact, cu adresa site-ului.
Întrebări despre metodă sau despre cifre: mihai@devicom.ro. Nu publicăm rezultatele pe site-uri individuale, ca să nu numim firme.
Dacă vrei și restul listei, am scris separat ce trebuie să aibă legal site-ul unei firme. Iar dacă te întrebi dacă formularul tău chiar ajunge undeva, am măsurat și asta: 12 cereri trimise, 4 răspunsuri.