Cookie banner conform GDPR: Ghid practic de implementare pe WordPress

Un cookie banner corect face două lucruri: întreabă vizitatorul înainte să încarce orice cookie de marketing sau de statistică și îi oferă refuzul la fel de ușor ca acceptarea. Restul (designul, pluginul, Consent Mode) ține de implementare, iar mai jos îl luăm pas cu pas, pentru un site WordPress.

Știm cum arată situația obișnuită: ai pus un banner când ai lansat site-ul, el „merge”, iar între timp pe site au apărut un pixel de Facebook, un video de YouTube și o hartă Google. Bannerul a rămas neschimbat. Ghidul acesta e pentru momentul în care vrei să afli dacă mai face ce trebuie.

Pe scurt

Cinci idei pe care le poți verifica pe site-ul tău chiar azi:

• Fără o acțiune pozitivă a vizitatorului nu se încarcă niciun cookie neesențial. Dacă vizitatorul continuă să navigheze, asta nu înseamnă că a acceptat.
• Butonul de refuz trebuie să fie la fel de vizibil ca acceptarea, pe același ecran al bannerului.
• Pe WordPress, bannerul se face cu un plugin de consimțământ. Contează configurarea, nu marca pluginului.
• Consent Mode controlează doar tag-urile Google. Videoclipurile și hărțile încorporate în pagină trebuie blocate separat.
• Bannerul se verifică periodic, nu doar la lansare. Orice plugin sau script nou poate pune cookie-uri noi.

Importanța cookie banner-ului

Cookie banner-ul este mecanismul prin care site-ul tău cere și înregistrează acordul vizitatorului înainte să plaseze cookie-uri care nu sunt strict necesare funcționării. Fără el, instrumentele de statistică și de publicitate lucrează cu date pentru care nu ai acord.

Ce este un cookie banner?

Bannerul e fereastra care apare la prima vizită. Ea îi spune vizitatorului ce cookie-uri folosește site-ul, în ce scop și ce poate alege. În spate lucrează o platformă de gestionare a consimțământului. Programul acesta ține minte alegerea, blochează scripturile până la acord și păstrează dovada.

Un banner decorativ doar afișează un mesaj. Un banner funcțional chiar oprește încărcarea cookie-urilor. Când verificăm un site, prima întrebare pe care ne-o punem e aceasta: pornește ceva înainte ca vizitatorul să dea clic?

De ce este necesar conform GDPR?

Regula pentru plasarea cookie-urilor nu vine direct din GDPR. Ea vine din legea națională care transpune Directiva ePrivacy, adică Legea 506/2004 în România. GDPR intervine imediat după. Raportul grupului de lucru EDPB (Comitetul European pentru Protecția Datelor) despre bannerele de cookie, din 2023, face distincția clar: plasarea cookie-ului se judecă după legea ePrivacy, iar folosirea ulterioară a datelor colectate se judecă după GDPR.

Verificarea are două trepte (par. 23 din raport). Întâi se verifică dacă plasarea cookie-ului a respectat regulile ePrivacy. Apoi se verifică dacă folosirea datelor respectă GDPR. Paragraful 24 trage concluzia practică: dacă lipsește un consimțământ valid acolo unde e cerut, nici folosirea ulterioară a datelor nu mai poate fi conformă GDPR. Pe limba afacerii: un banner greșit pune sub semnul întrebării toate datele de marketing strânse prin el.

Condițiile unui consimțământ valid vin tot din GDPR (par. 3 din raport). De aici și expresia folosită de toată lumea, „cookie banner GDPR”.

Tipuri de consimțământ

Pentru cookie-urile de marketing și de statistică contează doar consimțământul activ, adică vizitatorul apasă un buton sau bifează o opțiune. Tăcerea, derularea paginii sau continuarea navigării nu valorează ca acord.

Consimțământ activ vs. pasiv

Consimțământul pasiv e orice formulă de tipul „Continuând navigarea, accepți cookie-urile”. Autoritatea franceză de protecție a datelor (CNIL) a fost întrebată dacă navigarea în continuare poate valora acceptare. Răspunsul a fost un singur cuvânt: „Nu”. Raportul EDPB merge pe aceeași linie (par. 7). Implicit nu se plasează niciun cookie neesențial fără consimțământ, iar consimțământul cere o acțiune pozitivă.

Fii atent și la categoria „esențiale”. Raportul EDPB (par. 26–30) descrie practica de a trece abuziv cookie-uri la „esențiale”, ca să nu mai fie nevoie de acord. Tot raportul spune că operatorul are obligația să țină lista și să dovedească de ce un cookie e necesar. Un cookie de statistică nu devine esențial doar pentru că l-ai bifat așa în plugin.

Cum se poate refuza consimțământul?

Refuzul trebuie să fie la fel de ușor ca acceptarea. Raportul EDPB consemnează că e o încălcare dacă un ecran al bannerului are buton de acceptare, dar nu oferă și refuzul (par. 8). E o poziție a majorității membrilor, nu una unanimă, dar după ea lucrăm noi. Concret:

• Butonul de refuz stă pe primul ecran, lângă „Accept”. Nu îl ascunzi într-un link din text sau undeva în afara bannerului (par. 12–14).
• Nu alegi culori care îl fac practic invizibil. EDPB nu impune culori anume, dar dă un exemplu vădit înșelător: un buton de refuz cu contrast atât de slab încât textul nu se poate citi (par. 17–18).
• Nu ascunzi „interesul legitim” în setările avansate, fiindcă vizitatorul ar crede că trebuie să refuze de două ori (par. 22). Interesul legitim nu poate fi temei pentru plasarea cookie-urilor.
• Acordul se poate retrage oricând, ușor. EDPB cere o soluție ușor de găsit, fără să impună o iconiță plutitoare (par. 31–35). Noi preferăm un link „Setări cookie” în subsolul fiecărei pagini.

Opinia noastră: un banner cu „Accept” mare și colorat și „Refuz” mic și gri e o scurtătură care se întoarce împotriva ta. Datele strânse așa sunt exact cele pe care nu te poți baza.

Vrei bannerul configurat corect de la început? Vezi ce include pachetul nostru de implementare tehnică GDPR și descoperă cum lucrăm pe site-ul tău →

Implementarea tehnică a cookie banner-ului

Pe WordPress, un cookie banner conform se face cu un plugin de gestionare a consimțământului, setat să blocheze scripturile până la acord. Setările contează mai mult decât pluginul ales: aceeași unealtă poate fi conformă sau nu, în funcție de configurare.

Soluții disponibile pentru WordPress

Câteva pluginuri de consimțământ larg folosite sunt Complianz, CookieYes, Cookiebot, Borlabs Cookie și Real Cookie Banner. Unele rulează integral pe site-ul tău. Altele trimit scanarea și registrul de consimțăminte pe serverele furnizorului. Când alegem un plugin, ne uităm la patru lucruri:

• blochează singur scripturile cunoscute sau trebuie să le marchezi tu manual;
• poate înlocui videoclipurile și hărțile încorporate cu o imagine până la acord;
• păstrează un registru cu dovada consimțământului;
• se conectează la Consent Mode de la Google, dacă folosești Google Ads sau Analytics.

Dovada contează. CNIL a publicat pe 16 ianuarie 2026 forma consolidată a recomandării sale despre cookie-uri. Aceasta spune că responsabilul trebuie să poată demonstra oricând că utilizatorii și-au dat acordul. Ai nevoie, așadar, de un mecanism care înregistrează alegerea, nu doar de o fereastră pe ecran.

Ghid pas cu pas pentru integrare

Așa arată fluxul nostru de lucru când configurăm un banner pe un site WordPress:

1. Inventarul. Înainte de plugin, facem lista cu tot ce pune cookie-uri: statistici, pixeli de reclame, chat, video, hărți, formulare externe de rezervare. Lista e baza bannerului și a politicii de cookie-uri.
2. Copia de test. Instalăm pluginul întâi pe o copie a site-ului, nu direct pe site-ul live. Un blocaj greșit poate opri coșul de cumpărături sau formularul de comandă.
3. Categoriile. Împărțim cookie-urile în necesare, preferințe, statistici și marketing. CNIL recomandă cookie-uri separate pentru fiecare scop, pentru ca refuzul să nu afecteze funcționarea site-ului.
4. Blocarea. Trecem scripturile de măsurare sub controlul pluginului, direct sau prin Google Tag Manager, ca să pornească doar după acord.
5. Textul de pe primul ecran. Trecem scopurile, cine primește datele (cu link spre listă), faptul că acordul se poate retrage oricând și, unde e cazul, ce se întâmplă dacă vizitatorul refuză. Sunt elementele pe care CNIL le recomandă pe primul ecran.
6. Testul final. Deschidem site-ul într-o fereastră privată, refuzăm tot și verificăm că nu apare niciun cookie de marketing. Apoi acceptăm și verificăm că acestea apar.

La un magazin WooCommerce, copia de test e obligatorie. Cu bannerul refuzat, testăm separat coșul, checkout-ul și plata.

Consent Mode și impactul asupra tracking-ului

Consent Mode este mecanismul prin care Google Analytics și Google Ads își adaptează comportamentul la alegerea făcută în bannerul tău. Consent Mode nu înlocuiește bannerul și nu blochează nimic de unul singur. El doar preia decizia din banner.

Ce este Consent Mode?

Bannerul trimite către Google patru semnale: ad_storage, analytics_storage, ad_user_data și ad_personalization. Pe scurt, ele răspund la patru întrebări: are voie site-ul să pună cookie-uri de reclame, are voie să pună cookie-uri de statistică, poate trimite date pentru reclame și poate personaliza reclamele? De aici încolo contează doar efectul, adică ce vede Google și ce se blochează.

Configurarea detaliată (Google Tag Manager, varianta de bază și cea avansată, verificarea semnalelor) am tratat-o separat în checklistul de implementare Consent Mode v2 pentru IMM-uri. Aici ne ocupăm doar de legătura cu bannerul.

Cum afectează tracking-ul utilizatorilor?

Când vizitatorul refuză, tag-urile Google nu mai pun cookie-uri de statistică sau de reclame. Rapoartele tale vor arăta mai puțini vizitatori și mai puține conversii decât înainte. Asta nu înseamnă că ai pierdut clienți. Pur și simplu nu mai măsori oamenii care n-au fost de acord să fie măsurați. Merită să știi asta dinainte, ca să nu tragi concluzii greșite din prima lună după schimbare.

Multe implementări scapă din vedere un lucru: Consent Mode acoperă doar tag-urile Google. Un video YouTube sau o hartă Google Maps puse în pagină printr-un iframe pun cookie-uri independent de Consent Mode. Un iframe e o „fereastră” care încarcă conținut direct de pe serverul altei firme. La fel se întâmplă cu pixelul Meta, cu un widget de chat sau cu un formular extern de rezervare.

Soluția practică e o imagine pusă în locul conținutului extern. În locul videoclipului sau al hărții apare un mesaj de tipul „Acest conținut e furnizat de YouTube. Îl încarci?”. Conținutul se încarcă abia după clic. CNIL recomandă ca vizitatorul să fie informat despre consecințele refuzului, inclusiv faptul că nu va putea vedea conținutul extern. Tot CNIL le cere operatorilor să se asigure că și cookie-urile puse la încărcarea conținutului extern respectă regulile. La un restaurant, asta e de obicei harta de pe pagina de contact. La o pensiune, poate fi turul video sau widgetul de rezervări.

Verificări și audituri periodice

Un cookie banner trebuie verificat periodic, pentru că site-ul se schimbă. Fiecare plugin, temă sau script nou poate pune cookie-uri pe care bannerul nu le cunoaște și, prin urmare, nu le blochează.

Importanța auditării cookie banner-ului

Bannerul e configurat pentru site-ul așa cum arăta în ziua instalării. Câteva luni mai târziu, cineva adaugă un pixel pentru o campanie, un plugin de recenzii sau un video nou pe prima pagină. Bannerul nu află singur de ele.

Responsabilitatea rămâne la tine. EDPB îi cere operatorului să țină lista cookie-urilor și să dovedească de ce cele marcate „esențiale” chiar sunt necesare (par. 26–30). Recomandarea CNIL cere să poți demonstra consimțământul oricând. Autoritățile chiar verifică: CNIL a anunțat controale pe întregul cadru al cookie-urilor începând din aprilie 2021.

Mai trebuie spus un lucru, onest. Raportul EDPB își prezintă pozițiile ca un prag minim, nu ca o „undă verde” din partea unei autorități. Un banner care trece verificările din acest ghid e un punct de plecare solid, nu o garanție.

Ce trebuie să verifici periodic?

Aceasta e lista pe care o parcurgem la fiecare schimbare importantă pe site:

• refuzi tot într-o fereastră privată și nu apare niciun cookie de marketing sau de statistică;
• accepți și pornesc tag-urile, iar Google primește acordul;
• pluginurile noi au fost scanate și trecute la categoria corectă;
• videoclipurile, hărțile și widgeturile noi au imagine de înlocuire până la acord;
• butonul de refuz e tot pe primul ecran și se citește bine, pe mobil și pe desktop;
• linkul „Setări cookie” funcționează și permite retragerea acordului;
• registrul de consimțăminte înregistrează alegerile;
• politica de cookie-uri corespunde listei actuale.

Nu e o muncă grea, dar e una care se amână ușor. De aceea o facem ca parte din rutina de mentenanță, înaintea și după actualizări.

De unde începi cu bannerul tău

Cel mai rapid punct de plecare este testul de refuz. Deschide site-ul într-o fereastră privată, apasă „Refuz” și verifică dacă mai pornește ceva. Dacă nu știi cum să citești rezultatul, de acolo putem prelua noi.

La restaurante, pensiuni și magazine online, bannerul atinge aproape tot: site-ul, hostingul, măsurarea și reclamele. De aceea preferăm să-l tratăm ca parte dintr-un întreg, cu un singur partener. Tu te ocupi de afacere, noi de tehnologie.

Solicită o evaluare a conformității GDPR. Prin auditul GDPR tehnic verificăm bannerul, măsurarea, formularele și tot ce se încarcă înainte de consimțământ. Apoi îți spunem concret ce e de reparat.

Intrebari frecvente