Ați apăsat „Accept” pe bannerul de cookie-uri al unui site, iar după câteva luni întrebarea a reapărut, ca și cum nu ați fi răspuns niciodată. Nu este o eroare și nici o strategie de a vă sâcâi: consimțământul pentru cookie-uri are, în practică, o dată de expirare. Autoritățile de protecție a datelor din Uniunea Europeană consideră rezonabil ca un site să ceară din nou acordul după un interval de aproximativ 6-12 luni, iar între timp utilizatorul trebuie să poată reveni oricând asupra deciziei. În spate există un mecanism mai puțin vizibil, dar esențial pentru orice site din România la un control: jurnalul de consimțământ.
De ce nu este „Accept”-ul valabil pentru totdeauna
Regulamentul general privind protecția datelor (GDPR) definește consimțământul ca o manifestare de voință liberă, specifică, informată și lipsită de ambiguitate. Un acord dat în 2024 pentru un anumit set de cookie-uri nu mai este neapărat „informat” în 2026, când site-ul a schimbat furnizorii de publicitate, a adăugat instrumente noi de analiză sau a modificat scopurile prelucrării. Tocmai de aceea consimțământul trebuie reconfirmat periodic.
Nu există o cifră fixă în lege. În schimb, autoritățile naționale au convergență de practică: cea franceză (CNIL) a recomandat o perioadă de cel mult 6 luni ca reper de bună practică, iar altele au considerat acceptabile intervale de până la 12 luni. Grupul de lucru pentru bannere de cookie-uri, coordonat de Comitetul European pentru Protecția Datelor (EDPB), a examinat în raportul său practicile din mai multe state membre și a subliniat că utilizatorului trebuie să i se ofere aceeași ușurință atât pentru a accepta, cât și pentru a refuza sau a retrage acordul. Concluziile pot fi consultate în raportul publicat de EDPB.
Pentru un site din România, reperul practic rămâne același: reînnoirea consimțământului la 6-12 luni, plus reafișarea bannerului ori de câte ori se schimbă semnificativ lista de cookie-uri sau scopurile lor. Un site care a păstrat un „Accept” din 2021 fără să-l reconfirme vreodată are, foarte probabil, o problemă.
Durata consimțământului nu este durata cookie-urilor
Două lucruri se confundă des. Primul este cât timp „ține” acordul dat de utilizator. Al doilea este cât timp rămâne fiecare cookie stocat în browser. Sunt noțiuni independente și ambele trebuie gestionate corect.
- Durata consimțământului este intervalul în care site-ul consideră valabilă alegerea utilizatorului și nu mai afișează bannerul. Este stabilită de operatorul site-ului și, cum spuneam, ar trebui să fie de ordinul lunilor.
- Durata cookie-ului este termenul de expirare tehnic, setat de scriptul care îl creează. Un cookie de sesiune dispare la închiderea browserului; unul de publicitate poate fi setat să reziste un an sau chiar mai mult.
Consecința practică: chiar dacă un cookie de marketing are termen de doi ani, site-ul nu se poate baza pe acest lucru ca justificare pentru a nu mai întreba nimic. Invers, dacă un utilizator a refuzat cookie-urile de marketing, faptul că un cookie „vechi” încă există în browser nu înseamnă că mai poate fi citit legal. Un CMP (platformă de gestionare a consimțământului) configurat corect trebuie să blocheze scripturile respective până la un nou „Accept”, indiferent de ce mai există în memoria browserului.
Mai există un detaliu tehnic: cookie-ul în care site-ul memorează chiar alegerea utilizatorului (de exemplu, „a refuzat marketingul”) este considerat strict necesar și nu are nevoie, la rândul lui, de consimțământ. El este cel care expiră după 6-12 luni și declanșează reafișarea bannerului.
Retragerea consimțământului trebuie să fie la fel de simplă ca acordarea lui
GDPR spune explicit că retragerea consimțământului trebuie să fie la fel de ușoară ca darea lui. În practică, asta înseamnă că un utilizator nu trebuie să caute prin politica de confidențialitate, să trimită e-mailuri sau să șteargă manual cookie-urile din browser. Site-ul trebuie să ofere un punct de acces vizibil și permanent, de obicei un buton sau un link de tip „Setări cookie-uri” în subsolul paginii ori o pictogramă plutitoare, din care se poate redeschide panoul de preferințe.
Din momentul retragerii, site-ul trebuie să înceteze să mai plaseze cookie-uri din categoriile refuzate și, ideal, să le șteargă pe cele deja existente. Prelucrările făcute înainte de retragere rămân legale, dar orice colectare ulterioară fără un nou acord nu mai este.
Aici apar cele mai multe probleme la site-urile românești: bannerul există, dar după prima interacțiune dispare fără urmă și nu mai poate fi redeschis. Sau butonul de „Refuz” este ascuns într-un al doilea ecran, în timp ce „Accept tot” este la vedere. Raportul EDPB tratează exact aceste asimetrii ca practici problematice.
Jurnalul de consimțământ, dovada site-ului la un control
GDPR stabilește principiul responsabilității: operatorul trebuie să poată demonstra că a obținut consimțământul, nu doar să afirme că l-a obținut. Pentru cookie-uri, instrumentul care face asta este jurnalul de consimțământ, un registru în care platforma de gestionare a consimțământului înregistrează fiecare alegere a fiecărui vizitator.
Un jurnal util reține, de regulă:
- un identificator anonim al vizitatorului (nu adresa IP completă sau alte date care ar contrazice chiar scopul jurnalului);
- data și ora exactă a deciziei;
- ce a ales: acceptare totală, refuz, sau ce categorii a bifat;
- versiunea bannerului și a textelor afișate în acel moment, ca să se poată dovedi ce informații a văzut utilizatorul;
- eventualele modificări ulterioare, inclusiv retragerea.
La un control al Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), întrebarea nu va fi „aveți banner?”, ci „dovediți-mi că vizitatorul X a acceptat cookie-urile de marketing înainte să îi fie plasate”. Fără jurnal, răspunsul este imposibil. Cu jurnal, discuția devine una despre configurare, nu despre absența probelor. Pentru administratorii care vor să verifice cum stau la aceste capitole, un ghid despre conformitatea GDPR a bannerului poate servi drept listă de verificare pentru durata consimțământului, mecanismul de retragere și păstrarea dovezilor.
Jurnalul are și o limită de păstrare: nu se ține la nesfârșit. O practică rezonabilă este stocarea lui pe o perioadă comparabilă cu cea în care ar putea apărea o plângere sau un control, apoi ștergerea sau anonimizarea suplimentară.
Ce puteți face, ca utilizator sau ca administrator de site
Ca utilizator, tratați reapariția bannerului ca pe o ocazie, nu ca pe o bătaie de cap: este momentul în care puteți alege altfel decât data trecută, iar refuzul trebuie să fie la fel de la îndemână ca acceptul. Dacă un site nu vă permite să reveniți asupra deciziei sau vă ascunde butonul de refuz, aveți dreptul să depuneți o plângere la ANSPDCP. Ca administrator, verificați trei lucruri concrete: după cât timp expiră consimțământul în configurarea platformei dumneavoastră (dacă e mai mult de 12 luni sau „niciodată”, ajustați), dacă există un buton permanent de redeschidere a preferințelor și dacă puteți exporta, pentru orice vizitator, istoricul alegerilor sale cu dată, oră și versiune a bannerului. Dacă la oricare dintre aceste întrebări răspunsul este „nu știu”, este exact punctul de la care merită să începeți.
