Răspuns rapid: Directiva ePrivacy și GDPR sunt două legi distincte, dar suprapuse ale UE care reglementează împreună consimțământul pentru cookie-uri și confidențialitatea online. Directiva ePrivacy stabilește regulile specifice pentru plasarea cookie-urilor pe dispozitivele utilizatorilor, în timp ce GDPR definește standardele pentru consimțământul valid. Cele mai multe site-uri web care operează în UE trebuie să respecte ambele legi, iar începând cu 2026, o reformă legislativă majoră este în curs de desfășurare, care ar putea consolida regulile cookie direct în GDPR.
Puncte cheie
- Directiva ePrivacy (2002, actualizată în 2009) este legea principală care necesită consimțământ înainte de a seta cookie-uri non-esențiale; GDPR (2018) definește ce înseamnă cu adevărat "consimțământ valid".
- Ambele legi se aplică simultan celor mai multe site-uri web orientate către UE, una nu o înlocuiește pe cealaltă.
- Propunerea de Regulament ePrivacy a fost retrasă oficial de Comisia Europeană în februarie 2025.
- Pachetul Digital Omnibus, dezvăluit în noiembrie 2025, propune integrarea regulilor de consimțământ pentru cookie-uri în GDPR prin noi Articole 88a și 88b.
- Cookie-urile esențiale (strict necesare) sunt scutite de cerințele de consimțământ conform Directivei ePrivacy.
- Directiva ePrivacy a fost transpusă diferit în statele membre ale UE, creând variații de conformitate în funcție de țară.
- Un studiu din 2026 a constatat că doar 30,66% dintre site-uri aveau un buton "respingeți tot", indicând o neconformitate răspândită [7].
- Bannerele de consimțământ pentru cookie-uri pot satisface ambele legi, dar doar dacă îndeplinesc condițiile GDPR pentru consimțământ liber dat, specific, informat și neambiguu.
- Platformele de gestionare a consimțământului (CMP-uri) vor trebui să se adapteze la semnalele de consimțământ la nivel de browser conform modificărilor propuse ale GDPR [3].
Care este diferența dintre Directiva ePrivacy și GDPR
Directiva ePrivacy și GDPR îndeplinesc funcții diferite, dar complementare. Directiva ePrivacy (Directiva 2002/58/CE, modificată prin 2009/136/CE) este o lege specifică sectorului care reglementează confidențialitatea comunicațiilor electronice, inclusiv utilizarea cookie-urilor și a tehnologiilor de urmărire similare. GDPR este un regulament general de protecție a datelor care stabilește cadrul legal pentru procesarea datelor personale în toate sectoarele, inclusiv definiția și cerințele pentru consimțământul valid.
Distincția cheie:
| Caracteristică | Directiva ePrivacy | GDPR |
|---|---|---|
| Formă legală | Directivă UE (necesită transpunere națională) | Regulament UE (direct aplicabil) |
| Focalizare principală | Cookie-uri, urmărire, comunicații electronice | Toată procesarea datelor personale |
| Standard de consimțământ | Necesită consimțământ pentru cookie-uri non-esențiale | Definește ce înseamnă consimțământ valid |
| Organism de aplicare | Regulatori naționali telecom/DPA | Autorități Naționale de Protecție a Datelor |
| Statut (2026) | Încă în vigoare; reformă în așteptare | În vigoare; amendamente propuse în curs |
Deoarece Directiva ePrivacy este o Directivă și nu un Regulament, fiecare stat membru al UE a transpus-o în legislația națională diferit, producând variații în aplicare și cerințe specifice în diferite țări [6].
Trebuie să respectați atât Directiva ePrivacy, cât și GDPR, sau doar una dintre ele
Ambele legi se aplică simultan, iar conformitatea cu una nu satisface cealaltă. Directiva ePrivacy vă spune când aveți nevoie de consimțământ (înainte de a seta cookie-uri non-esențiale); GDPR vă spune cum trebuie să arate acel consimțământ (liber dat, specific, informat, neambiguu și retrăgător în orice moment) [5].
Gândiți-vă la asta în felul următor: Directiva ePrivacy este declanșatorul, iar GDPR este standardul. Un banner de cookie-uri care apare tehnic înainte ca cookie-urile să se încarce, dar folosește casete pre-bifate, ar încălca cerințele de consimțământ ale GDPR, chiar dacă nominal respectă obligația de notificare a Directivei ePrivacy.
Greșeală comună: Să presupunem că o notificare de cookie-uri (informând utilizatorii că există cookie-uri) este suficientă. Conform ambelor cadre, notificarea pasivă nu este consimțământ pentru cookie-uri non-esențiale.
Cum se aplică Directiva ePrivacy cookie-urilor de pe site-ul dvs.
Directiva ePrivacy necesită ca operatorii de site-uri web să obțină consimțământul prealabil, informat, înainte de a stoca sau accesa informații pe dispozitivul unui utilizator, aceasta acoperind cookie-uri, pixeli, stocare locală și tehnologii similare [6]. Această obligație se aplică indiferent dacă datele colectate se califică ca date personale conform GDPR.
Practic, acest lucru înseamnă:
- Niciun cookie non-esențial nu poate fi activat înainte ca un utilizator să ia o acțiune afirmativă pentru a consimți.
- Mecanismul de consimțământ trebuie să fie clar și să nu fie combinat cu acceptarea termenilor de serviciu.
- Utilizatorii trebuie să poată retrage consimțământul la fel de ușor cum l-au dat.
Directiva se aplică oricărei servicii care vizează utilizatorii din UE, indiferent de locul în care este bazat operatorul site-ului.
Ce cookie-uri necesită consimțământ conform Directivei ePrivacy vs. GDPR
Conform Directivei ePrivacy, consimțământul este necesar pentru toate cookie-urile, cu excepția celor care sunt "strict necesare" pentru un serviciu solicitat explicit de utilizator. Conform GDPR, orice procesare a datelor personale necesită o bază legală, iar pentru cookie-urile de urmărire, acea bază este aproape întotdeauna consimțământul.
Categorii de cookie-uri și cerințe de consimțământ:
- Cookie-uri strict necesare (gestionarea sesiunii, starea de conectare, coșul de cumpărături): Nu este necesar consimțământ conform Directivei ePrivacy. Baza de interes legitim sau de executare a contractului a GDPR poate fi aplicabilă.
- Cookie-uri de analiză (de exemplu, urmărirea vizualizărilor de pagină care identifică utilizatorii): Consimțământul este necesar conform ambelor cadre.
- Cookie-uri de marketing și publicitate (țintire comportamentală, retargeting): Consimțământul este necesar conform ambelor cadre, aceasta fiind cea mai riscantă categorie pentru aplicare.
- Cookie-uri funcționale (preferințe de limbă, setări UI): Discutabile; dacă procesează date personale, consimțământul este cea mai sigură abordare.
Este Directiva ePrivacy înlocuită, și ce este Regulamentul ePrivacy
Directiva ePrivacy nu este înlocuită de GDPR. Cu toate acestea, un Regulament ePrivacy propus a fost destinat să înlocuiască Directiva cu o lege aplicabilă direct la nivelul UE. Acea propunere a fost retrasă oficial de Comisia Europeană în februarie 2025, invocând lipsa unui acord previzibil între statele membre și caracterul învechit al propunerii având în vedere schimbările tehnologice recente [2].
Directiva ePrivacy vs. propusul Regulament ePrivacy: Regulamentul ar fi fost direct obligatoriu în toate statele membre (eliminând diferențele de transpunere națională), dar nu a ajuns niciodată la adoptare.
În locul său, Comisia Europeană a introdus Pachetul Digital Omnibus pe 19 noiembrie 2025. Acest pachet propune integrarea regulilor de consimțământ pentru cookie-uri direct în GDPR prin noi Articole 88a și 88b [2][3]. Articolul 88a ar defini scenariile în care consimțământul nu este necesar (cum ar fi pentru transmiterea comunicațiilor electronice sau serviciilor solicitate explicit de utilizator). Articolul 88b ar introduce cerințe pentru mecanismele de consimțământ automatizate, citibile de mașină, inclusiv semnalele de consimțământ la nivel de browser [3].
Începând cu iulie 2026, Pachetul Digital Omnibus este încă în curs de desfășurare a proceselor legislative, cu textul final așteptat până la sfârșitul anului 2026 sau începutul anului 2027 [4].
Au cookie-urile esențiale nevoie de consimțământ conform Directivei ePrivacy
Nu. Cookie-urile strict necesare sunt explicit scutite de cerința de consimțământ a Directivei ePrivacy. Acestea sunt cookie-uri fără de care serviciul solicitat activ de utilizator nu poate funcționa, de exemplu, identificatori de sesiune, token-uri de autentificare și cookie-uri pentru coșul de cumpărături [6].
Caz limită: "Necesar" este interpretat îngust. Un cookie care îmbunătățește performanța sau permite analizele nu este strict necesar, chiar dacă operatorul îl consideră important din punct de vedere operațional. Când aveți îndoieli, este mai bine să cereți consimțământul.
Cum să obțineți un consimțământ valid pentru cookie-uri care să satisfacă ambele reglementări
Consimțământul valid conform GDPR (și, prin urmare, conform Directivei ePrivacy, care se referă la standardele de consimțământ GDPR) trebuie să fie:
- Liber dat, fără ziduri de consimțământ sau combinarea forțată cu acceptarea termenilor.
- Specific, consimțământ separat pentru fiecare categorie de cookie-uri (analiză, marketing etc.).
- Informat, utilizatorii trebuie să știe ce fac cookie-urile și cine procesează datele.
- Neambiguu, este necesară o acțiune afirmativă; casetele pre-bifate sunt invalide.
- Retractabil, revocarea consimțământului trebuie să fie la fel de ușoară ca și acordarea acestuia [5].
O Platformă de Gestionare a Consimțământului (CMP) bine configurată gestionează acest flux de lucru. Biscotti CMP este proiectată pentru a susține aceste cerințe, inclusiv categorii de consimțământ detaliate și înregistrarea consimțământului pentru scopuri de audit. Cu Pachetul Digital Omnibus propunând semnale de consimțământ la nivel de browser conform Articolului 88b, CMP-urile vor trebui, de asemenea, să preia și să respecte semnalele din setările browserului, o schimbare operațională semnificativă pentru industrie [3].
Pot bannerele de cookie-uri să satisfacă cerințele atât ale ePrivacy, cât și ale GDPR
Da, dar doar dacă bannerul este proiectat corect. Un banner de cookie-uri care îndeplinește standardele de consimțământ GDPR va satisface, de asemenea, cerința de consimțământ a Directivei ePrivacy, deoarece Directiva se referă la definiția consimțământului GDPR pentru statele membre ale UE [5][6].
Un banner conform trebuie să:
- Prezinte o opțiune clară "Accept" și "Respinge" (sau echivalent) cu o vizibilitate vizuală egală.
- Să nu folosească modele întunecate (de exemplu, să facă "Respinge" mai greu de găsit decât "Accept").
- Să blocheze cookie-urile non-esențiale până când consimțământul este dat.
- Să înregistreze și să stocheze consimțământul cu un marcaj temporal și o referință la versiune.
- Să permită utilizatorilor să își schimbe preferințele în orice moment.
Un studiu din 2026 a constatat că doar 30,66% dintre site-uri aveau un buton "respingeți tot", ceea ce înseamnă că majoritatea site-urilor chestionate probabil nu respectă așteptările de conformitate [7].
Există țări în care Directiva ePrivacy nu se aplică
Directiva ePrivacy se aplică în toate statele membre ale UE. Cu toate acestea, deoarece este o Directivă (nu un Regulament), fiecare țară a transpus-o în legislația națională cu unele variații în ceea ce privește domeniul de aplicare, prioritățile de aplicare și sancțiunile [6]. Țările din afara UE, inclusiv Regatul Unit după Brexit, au propriile legi echivalente (Regulamentele privind Confidențialitatea și Comunicațiile Electronice din Regatul Unit, sau PECR).
Alegeți-vă baza de conformitate în funcție de locul în care se află utilizatorii dvs., nu doar de locul în care este înregistrată afacerea dvs. O companie din SUA cu trafic semnificativ din UE trebuie să respecte atât Directiva ePrivacy (așa cum a fost transpusă în statele membre relevante), cât și GDPR.
Ce se întâmplă dacă nu respectați regulile Directivei ePrivacy
Nerespectarea Directivei ePrivacy (așa cum a fost transpusă în legislația națională) poate duce la amenzi și acțiuni de aplicare din partea regulatorilor naționali. Sancțiunile variază în funcție de statul membru, dar pot fi substanțiale, iar încălcările GDPR declanșate de consimțământ invalid (de exemplu, procesarea datelor personale prin cookie-uri de urmărire fără o bază legală validă) pot atrage amenzi de până la 4% din cifra de afaceri anuală globală sau 20 de milioane de euro, oricare dintre acestea este mai mare [5].
Autoritățile Naționale de Protecție a Datelor (DPA) continuă să investigheze activ și să amendeze organizațiile pentru eșecurile de consimțământ pentru cookie-uri [1]. Acțiunile de aplicare au vizat atât platforme mari, cât și operatori mici.
Greșeli comune de conformitate:
- Activarea cookie-urilor de analiză sau publicitate la încărcarea paginii înainte ca consimțământul să fie înregistrat.
- Utilizarea bannerelor de consimțământ care nu blochează cookie-urile până după interacțiune.
- Nerespectarea promptă a retragerii consimțământului.
- Nefacerea actualizărilor înregistrărilor de consimțământ atunci când politicile cookie se schimbă.
- Tratarea notificărilor de cookie-uri ca echivalente cu mecanismele de consimțământ.
Cât timp pot fi stocate cookie-urile conform regulilor Directivei ePrivacy
Directiva ePrivacy nu specifică o durată maximă de stocare a cookie-urilor direct. Cu toate acestea, principiile de minimizare a datelor și limitare a stocării GDPR se aplică acolo unde cookie-urile procesează date personale. Consimțământul ar trebui să fie limitat în timp, iar regulatorii se așteaptă în general ca organizațiile să re solicite consimțământul periodic, orientările frecvent citate sugerează 12 luni ca interval rezonabil, deși aceasta nu este o limită statutory strictă [6].
Ghid practic: Stabiliți perioadele de expirare a cookie-urilor proporționale cu scopul lor. Un cookie de sesiune ar trebui să expire atunci când browserul se închide. Un cookie de analiză nu are nevoie de o durată de viață de doi ani dacă șase luni îndeplinește același scop.
Care sunt greșelile comune pe care companiile le fac cu conformitatea ePrivacy
Dincolo de problemele menționate mai sus, mai multe modele apar constant în cazurile de aplicare și audituri:
- Consimțământ implicit: Să presupunem că navigarea continuă constituie consimțământ. Acest lucru a fost respins explicit de instanțele și DPA-urile UE.
- Consimțământ combinat: Combinarea consimțământului pentru cookie-uri cu acceptarea politicii de confidențialitate într-un singur clic.
- Targetare geografică inconsistentă: Aplicarea unor reguli de consimțământ mai stricte doar pentru utilizatorii din anumite țări, în timp ce se servesc cookie-uri de urmărire altora, un risc având în vedere că aplicarea poate urma locația utilizatorului.
- Ignorarea variațiilor naționale: Să presupunem că o singură configurație de banner satisface toate statele membre ale UE, când de fapt unele țări au cerințe naționale mai stricte [6].
- Lipsa unei piste de audit a consimțământului: Nefacerea înregistrării a ceea ce utilizatorii au consimțit, când și sub ce versiune a notificării de confidențialitate [1].
Concluzie
Relația dintre Directiva ePrivacy și GDPR: Navigarea Regulilor Cookie din UE nu este o chestiune de a alege un cadru în detrimentul celuilalt, ambele se aplică și ambele trebuie respectate. Directiva ePrivacy definește când este necesar consimțământul pentru cookie-uri; GDPR definește cum arată consimțământul valid. Împreună, ele formează baza legală pentru conformitatea cu cookie-urile în întreaga UE.
Peisajul de reglementare se schimbă. Propunerea de Regulament ePrivacy a fost retrasă la începutul anului 2025, iar Pachetul Digital Omnibus propune acum integrarea regulilor cookie direct în GDPR prin Articolele 88a și 88b. Textul final este așteptat până la sfârșitul anului 2026 sau începutul anului 2027, dar obligațiile actuale rămân complet în vigoare între timp.
Pași acționabili pentru 2026:
- Auditați comportamentul cookie-urilor site-ului dvs. pentru a confirma că nu se activează cookie-uri non-esențiale înainte ca consimțământul să fie captat.
- Revizuiți bannerul de consimțământ pentru modele întunecate și asigurați-vă că opțiunile "respinge" sunt la fel de proeminente ca "accept".
- Implementați o CMP precum Biscotti CMP care înregistrează înregistrările de consimțământ și susține gestionarea categoriilor detaliate.
- Monitorizați progresul Pachetului Digital Omnibus și evaluați dacă furnizorul dvs. de CMP se pregătește pentru suportul semnalelor de consimțământ la nivel de browser.
- Verificați transpunerea națională a Directivei ePrivacy în fiecare stat membru al UE în care aveți trafic semnificativ de utilizatori.
Întrebări frecvente
Î: GDPR înlocuiește Directiva ePrivacy pentru cookie-uri? Nu. GDPR și Directiva ePrivacy coexistă. Directiva ePrivacy rămâne legea principală care necesită consimțământ pentru cookie-uri; GDPR reglementează ce înseamnă consimțământ valid și cum trebuie gestionate datele personale procesate prin cookie-uri.
Î: Ce este Regulamentul ePrivacy și mai vine? Regulamentul ePrivacy a fost o propunere de lege a UE destinată să înlocuiască Directiva ePrivacy cu un regulament direct aplicabil. A fost retras oficial de Comisia Europeană în februarie 2025 și nu va continua în forma sa actuală.
Î: Ce este Pachetul Digital Omnibus? Pachetul Digital Omnibus, dezvăluit în noiembrie 2025, este o propunere legislativă a UE care ar simplifica reglementarea digitală prin integrarea regulilor de consimțământ pentru cookie-uri în GDPR prin noi Articole 88a și 88b. Începând cu iulie 2026, este încă în revizuire legislativă.
Î: Cookie-urile de analiză sunt scutite de cerințele de consimțământ? Nu. Cookie-urile de analiză care identifică utilizatori sau dispozitive individuale sunt non-esențiale și necesită consimțământ prealabil conform Directivei ePrivacy, indiferent dacă sunt utilizate în scopuri comerciale.
Î: Poate un zid de cookie-uri (blocând accesul decât dacă utilizatorii acceptă cookie-urile) să constituie un consimțământ valid? În general, nu. Regulatorii și instanțele din UE au constatat că consimțământul obținut prin ziduri de cookie-uri nu este liber dat conform GDPR, deoarece utilizatorii nu au o alegere reală. Unele DPA naționale permit zidurile de cookie-uri în circumstanțe limitate dacă se oferă o alternativă plătită, dar aceasta rămâne contestată.
Î: Cât de des trebuie să fie întrebați utilizatorii să re-consimtă la cookie-uri? Nu există o perioadă statutory fixă, dar regulatorii se așteaptă în general ca consimțământul să fie reîmprospătat atunci când scopurile sau lista cookie-urilor se schimbă substanțial, sau după o perioadă rezonabilă (adesea citată ca 12 luni în practică). Consimțământul obținut sub o versiune anterioară a unei notificări de confidențialitate poate să nu acopere noi activități de procesare.
Î: Ce este un cookie strict necesar? Un cookie strict necesar este unul fără de care un serviciu solicitat explicit de utilizator nu poate funcționa, de exemplu, un token de sesiune de conectare sau un identificator pentru coșul de cumpărături. Acestea sunt scutite de cerința de consimțământ a Directivei ePrivacy.
Î: Se aplică Directiva ePrivacy companiilor din afara UE? Da, dacă aceste companii vizează sau servesc utilizatori localizați în UE. Domeniul de aplicare teritorial urmează locația utilizatorului, nu adresa înregistrată a operatorului.
Î: Ce ar trebui să caut într-o Platformă de Gestionare a Consimțământului? O CMP conformă ar trebui să blocheze cookie-urile non-esențiale înainte de consimțământ, să susțină categorii de consimțământ detaliate, să înregistreze consimțământul cu marcaje temporale, să permită retragerea ușoară și să fie pregătită să susțină semnalele de consimțământ la nivel de browser așa cum este necesar conform modificărilor propuse ale GDPR.
Î: Pot folosi un singur banner de cookie-uri pentru întreaga UE? Un singur banner poate funcționa ca bază, dar deoarece Directiva ePrivacy a fost transpusă diferit în statele membre, unele țări pot avea cerințe mai stricte. Revizuirea legală în raport cu legislația națională a fiecărei piețe țintă este recomandabilă pentru site-urile cu trafic mare.
Referințe
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai