Bannerul de cookies și Google Consent Mode v2: ce cere legea în 2026

Un banner de cookies există dintr-un singur motiv: în UE, un site poate stoca ceva pe dispozitivul vizitatorului sau poate citi ceva de pe el doar cu acordul vizitatorului, cu excepția cazului în care e strict necesar pentru ce a cerut vizitatorul. Google Consent Mode v2 e altceva: transmite răspunsul vizitatorului către tagurile Google, iar din martie 2024 Google are nevoie de el pentru publicitate și măsurare pe traficul european. Ghidul explică când ai nevoie de banner și când nu, pentru ce au amendat autoritățile, cum configurezi Consent Mode și de ce propriul nostru site nu are deloc banner. Descrie regulile valabile în octombrie 2026 și nu este consultanță juridică.

Regula din spatele oricărui banner

Regula despre cookies nu este, în esență, GDPR. Este articolul 5 alineatul (3) din Directiva ePrivacy: stocarea de informații pe dispozitivul unui utilizator sau accesul la informații aflate deja acolo cer acordul utilizatorului după o informare clară, cu excepția cazului în care servesc doar la transmiterea unei comunicări sau sunt strict necesare pentru un serviciu cerut explicit de utilizator. Acoperă cookie-uri, stocare locală, identificatori de dispozitiv și tehnici similare, fie că datele sunt personale, fie că nu. Fiecare țară o preia în propria lege: în România este art. 4 alin. (5) din Legea 506/2004, în Germania § 25 din TDDDG. GDPR intervine prin definiția consimțământului: liber exprimat, specific, informat, lipsit de ambiguitate și la fel de ușor de retras ca de dat.

Ai nevoie de unul? Nu neapărat

Dacă nimic de pe site-ul tău nu cere acord, nu ai nevoie de banner, iar a construi site-ul așa e o alegere legitimă, nu o portiță. Propriul nostru site e un exemplu: levelui.com, levelui.de și levelui.ro nu setează niciun cookie pentru vizitatori și nu încarcă niciun script de la terți, deci nu avem ce întreba. Numărăm vizitele cu propria analiză, pe propriul server, care nu stochează niciun cookie și nu păstrează niciun identificator mai mult de o zi. Facem publicitate pe Google, dar raportăm o solicitare către Google Ads de pe serverul nostru, doar după ce ne-a ajuns și doar dacă vizitatorul a bifat în formular o căsuță nebifată implicit, prin care permite asta.

Cele mai multe site-uri au nevoie de banner din cauza unuia sau a două instrumente, nu din cauza site-ului în sine: analiză cu cookies, un pixel de publicitate, un video încorporat. Fiecare dintre ele e o decizie. Analiza fără cookies poate înlocui Google Analytics când nu rulezi reclame, iar opțiunile le comparăm în alternative la Google Analytics. Videourile și hărțile se pot încărca doar când cineva dă click pe ele. Fonturile pot fi servite de pe propriul server, ceea ce e și mai rapid, cum a măsurat ghidul nostru despre fonturi. O notă de informare privind confidențialitatea e necesară oricum; ce dispare e întrebarea.

Cum arată un banner valid

Refuzul trebuie să ceară exact același efort ca acceptul: un click, pe primul ecran. Acesta e punctul pe care autoritățile l-au urmărit cel mai insistent. Un banner cu un „Accept toate” strălucitor și cu refuzul ascuns în „Setări” e dark patternul clasic, iar grupul de lucru al autorităților europene de protecție a datelor pentru bannerele de cookies a convenit în ianuarie 2023 că lipsa opțiunii de refuz de pe primul nivel e o problemă.

Celelalte reguli decurg din ce înseamnă consimțământul. Nimic din ce cere acord nu se poate încărca înainte ca vizitatorul să răspundă, deci așteaptă tagurile, nu doar cookie-urile. Căsuțele nu pot fi bifate dinainte: Curtea de Justiție a UE a decis în cauza Planet49, pe 1 octombrie 2019, că o căsuță prebifată nu înseamnă consimțământ. Nici derularea paginii sau continuarea navigării nu înseamnă consimțământ. Fiecare scop, de exemplu statistică sau marketing, are nevoie de propria alegere. Vizitatorului trebuie să i se spună cine primește ce și de ce, trebuie să se poată răzgândi la fel de ușor cum a acceptat, de obicei printr-un link sau o pictogramă mică ce redeschide bannerul, iar tu trebuie să poți demonstra ulterior că acordul a fost dat.

Pentru ce au fost date amenzile

Cele mai mari amenzi pentru cookies privesc bannere care nu făceau ce spuneau. Pe 1 septembrie 2025, autoritatea franceză CNIL a amendat Shein cu 150 de milioane de euro: cookie-urile de publicitate erau plasate imediat ce sosea vizitatorul, înainte de orice alegere, iar altele erau plasate și citite după ce vizitatorii apăsau pe refuz. În aceeași zi a amendat Google cu 325 de milioane de euro, în parte pentru că, la crearea unui cont Google, refuzul cookie-urilor de publicitate a fost mai greu decât acceptul până în octombrie 2023. În decembrie 2021 amendase deja Google cu 150 de milioane și Facebook cu 60 de milioane de euro, pentru că refuzul cookie-urilor cerea mai multe clickuri, iar acceptul unul singur.

Sunt amendate și site-uri mai mici, la altă scară. În România, ANSPDCP aplică Legea 506/2004 și site-urilor unor firme obișnuite, iar în Germania o încălcare a § 25 TDDDG poate costa până la 300.000 de euro. Un banner cumpărat și instalat nu înseamnă conformitate; un banner care chiar blochează ce spune că blochează, da.

Google Consent Mode v2, pe înțeles

Consent Mode nu e un banner. E felul în care bannerul tău le spune tagurilor Google ce a ales vizitatorul, ca Google Analytics și Google Ads să se poarte în consecință. Funcționează cu patru semnale: ad_storage pentru cookie-urile de publicitate, analytics_storage pentru cele de analiză, ad_user_data pentru trimiterea datelor utilizatorului la Google în scop publicitar și ad_personalization pentru reclame personalizate, cum e remarketingul. Ultimele două au apărut cu versiunea 2, în noiembrie 2023.

De la începutul lui martie 2024, Google cere aceste semnale pentru vizitatorii din Spațiul Economic European. Un advertiser care nu trimite semnale de consimțământ își pierde vizitatorii din SEE din audiențele de remarketing și din funcțiile de măsurare ale Google. Așa că un site care rulează Google Ads în Europa are nevoie de amândouă: un banner care întreabă și Consent Mode, care transmite răspunsul mai departe.

Consent Mode basic sau advanced

În modul basic, tagurile Google nu se încarcă deloc până nu răspunde vizitatorul, iar dacă refuză, nu se trimite nimic la Google, nici măcar refuzul. În modul advanced, tagurile se încarcă imediat, cu acordul setat ca refuzat, și trimit pinguri fără cookies cât timp acordul lipsește; Google le folosește ca să modeleze conversiile pe care nu le mai poate observa direct. Documentația Google spune că modul advanced oferă un model specific advertiserului, în timp ce basic se bazează pe unul general, și că modelarea pornește doar după ce un site trimite suficiente date.

Modul advanced recuperează mai multe date, de aceea îl preferă advertiserii, dar acele pinguri pleacă tot din browserul vizitatorului spre Google înainte ca cineva să fi acceptat ceva. Basic e alegerea prudentă și cea pe care o recomandăm, dacă cel care se ocupă de protecția datelor la tine nu a aprobat advanced. Cât valorează pentru tine datele modelate depinde de bugetul de reclame; partea asta o discutăm în costurile Google Ads vs Meta Ads.

Cum alegi și cum verifici o platformă de consimțământ

Cele mai multe site-uri folosesc o platformă de gestionare a consimțământului, nu un banner făcut în casă, iar dacă faci reclame pe Google, alege una din lista Google de platforme certificate: Cookiebot, Usercentrics, OneTrust, Didomi, iubenda, CookieYes și Complianz, pluginul obișnuit pentru WordPress, sunt toate pe ea. O platformă certificată trimite semnalele Consent Mode în locul tău; ce rămâne de făcut e să treci fiecare instrument de pe site la scopul corect și să te asiguri că fiecare chiar așteaptă acordul.

Apoi testează singur, pentru că o platformă configurată greșit e cel mai des motivul pentru care un banner ajunge decorativ. Deschide site-ul într-o fereastră privată și, înainte să dai click pe ceva, uită-te în instrumentele pentru dezvoltatori ale browserului: lista de cookies trebuie să conțină doar cookie-uri necesare, iar tabul de rețea nu trebuie să arate cereri către Google Analytics, Google Ads, Meta sau alte trackere. Apasă pe refuz, reîncarcă și verifică din nou. La final, dă-i bannerului un loc fix în layout, ca să nu împingă pagina când apare, lucru care contează la Core Web Vitals. E și primul lucru pe care îl văd vizitatorii: în eșantionul nostru de 20 de landing page-uri, 14 își acopereau o parte din primul ecran cu unul.

România, Germania și ce s-ar putea schimba

În România, art. 4 alin. (5) din Legea 506/2004 permite stocarea doar după ce utilizatorul și-a exprimat acordul și a primit dinainte informații clare și complete, inclusiv despre scop. În Germania, regula despre cookies este din 14 mai 2024 § 25 din TDDDG, când TTDSG a fost redenumit fără să i se schimbe conținutul. Din 1 aprilie 2025, o ordonanță permite acolo și servicii recunoscute de gestionare a consimțământului, care păstrează centralizat alegerile vizitatorului, ca site-urile să le poată citi în loc să întrebe din nou. Bannerele n-au dispărut din cauza lor.

La nivelul UE, propunerea Digital Omnibus a Comisiei din noiembrie 2025 ar muta regula despre cookies în GDPR, ar cere ca refuzul să fie posibil dintr-un singur click, ar interzice site-urilor să întrebe din nou timp de șase luni după un refuz și ar permite browserelor să transmită automat semnale de consimțământ. În octombrie 2026 e încă în discuție în comisiile Parlamentului European, deci nimic din ea nu se aplică încă. Presupunerea sigură e că orice schimbare va face refuzul mai ușor, nu mai greu.

Ce recomandăm

Încarcă mai puțin, iar bannerul se micșorează odată cu asta, uneori până dispare. Treci prin fiecare script de pe site și întreabă-te dacă merită o cerere de consimțământ. Găzduiește fonturile tu, încarcă videourile și hărțile la click și folosește analiză fără cookies dacă nu faci reclame. Dacă rulezi reclame în Europa, folosește o platformă de consimțământ certificată, cu Consent Mode v2 în modul basic, testeaz-o în browser cum e descris mai sus și trece instrumentele în nota de informare privind confidențialitatea.

Configurăm asta ca parte din lucrul nostru cu Google Analytics 4, legăm Consent Mode de banner și verificăm că refuzul chiar blochează tagurile. Dacă ai prefera să nu ai nevoie deloc de banner, asta ține de felul în care e construit site-ul, adică de serviciul nostru de dezvoltare web.

Surse

Textele legale și documentația Google au fost verificate pe 10 octombrie 2026. Verificarea propriilor noastre site-uri (niciun cookie setat, niciun script de la terți) a fost făcută în aceeași zi, pe câte patru pagini din fiecare domeniu.

• Directiva 2002/58/CE (Directiva ePrivacy), articolul 5 alineatul (3) ↗

  Stocarea sau accesarea de informații pe dispozitivul utilizatorului cere acord după o informare clară, cu excepția cazului în care e strict necesară.

• EDPB — Ghidurile 05/2020 privind consimțământul în temeiul GDPR ↗

  Ce cere un consimțământ valid; derularea sau continuarea navigării nu sunt o acțiune afirmativă clară.

• EDPB — Raportul grupului de lucru pentru bannerele de cookies ↗

  Ianuarie 2023: poziția comună a autorităților europene de protecție a datelor despre designul bannerelor, inclusiv lipsa butonului de refuz de pe primul nivel.

• Curtea de Justiție a UE — Planet49, cauza C-673/17 ↗

  Hotărârea din 1 octombrie 2019: o căsuță prebifată nu este un consimțământ valid pentru cookies.

• CNIL — Shein amendat cu 150 de milioane de euro ↗

  Decizia din 1 septembrie 2025: cookies plasate înainte de orice alegere și după refuz.

• CNIL — Google amendat cu 325 de milioane de euro ↗

  Decizia din 1 septembrie 2025, inclusiv cookie-urile de publicitate de la crearea contului, mai greu de refuzat decât de acceptat.

• Google for Developers — prezentarea consent mode ↗

  Semnalele de consimțământ și diferența dintre modul basic și cel advanced.

• Google Analytics Help — consent mode și politica Google privind consimțământul utilizatorilor din UE ↗

  Aplicarea pentru utilizatorii din SEE de la începutul lui martie 2024; fără semnale de consimțământ, utilizatorii din SEE sunt excluși din audiențe.

• Google Ad Manager Help — platforme de consimțământ certificate ↗

  Lista Google a platformelor de consimțământ certificate.

• Legea 506/2004 (România) ↗

  Art. 4 alin. (5): stocarea pe echipamentul terminal doar cu acordul utilizatorului și după o informare prealabilă clară.

• TDDDG § 25 (Germania) ↗

  Regula germană despre cookies; amenzi de până la 300.000 de euro conform § 28.

• Einwilligungsverwaltungsverordnung (Germania) ↗

  Servicii recunoscute de gestionare a consimțământului, în vigoare din 1 aprilie 2025.

• Observatorul legislativ al Parlamentului European — Digital Omnibus, 2025/0360(COD) ↗

  Propunerea care ar muta regulile despre cookies în GDPR; în octombrie 2026 așteaptă decizia comisiei.