Consimțământ cookie GDPR pentru magazin online și Consent Mode v2

Consimțământ cookie GDPR pentru magazin online: răspunsul scurt

Un magazin online care vinde în România are nevoie de două lucruri. Primul: un banner de consimțământ cookie GDPR valid, cu „Accept toate” și „Refuz toate” la fel de vizibile, fără căsuțe bifate implicit și fără tracking înainte de alegere. Al doilea: Google Consent Mode v2, care transmite alegerea către tag-urile Google prin patru semnale: ad_storage, analytics_storage, ad_user_data și ad_personalization. Fără banner valid riști o sancțiune de la ANSPDCP. Fără semnalele de consimțământ, Google limitează remarketingul, personalizarea și o parte din măsurarea conversiilor pentru vizitatorii din SEE.

Am verificat ghidurile și documentația de mai jos pe 24 octombrie 2026. Articolul e un ghid practic, nu consultanță juridică: textul bannerului, modul ales și politica de cookie-uri trebuie confirmate cu consultantul tău GDPR sau cu DPO-ul.

De ce contează: legea și cerința Google

Sunt două niveluri diferite și multe magazine le confundă.

Nivelul legal. În România, regula cookie-urilor vine din Legea 506/2004 (art. 4 alin. 5), care transpune Directiva ePrivacy: stocarea sau accesarea informațiilor pe dispozitivul utilizatorului e permisă doar cu consimțământul lui, cu excepția celor strict necesare serviciului cerut. Consimțământul trebuie să respecte standardul GDPR: liber exprimat, specific, informat și lipsit de ambiguitate, iar retragerea lui trebuie să fie la fel de simplă ca acordarea. Autoritatea competentă este ANSPDCP. Ghidurile EDPB 2/2023 privind domeniul tehnic al art. 5 alin. (3) din ePrivacy clarifică faptul că regula acoperă și pixelii de tracking și tehnici similare, nu doar cookie-urile clasice.

Nivelul Google. Politica Google privind consimțământul utilizatorilor din UE îi obligă pe advertiseri să obțină consimțământ. Conform anunțului Google despre traficul din SEE, ca să folosești în continuare tag-urile Google pentru măsurare, personalizarea reclamelor și remarketing, trebuie să colectezi consimțământul utilizatorilor din SEE și să transmiți semnalele către Google. Pe lângă semnalele vechi, Consent Mode v2 a adăugat ad_user_data și ad_personalization.

Ce verifică autoritățile la un banner

Raportul grupului de lucru EDPB pentru bannere de cookie din ianuarie 2023 rezumă pozițiile comune ale autorităților europene de protecție a datelor:

Practică în banner	Poziția grupului de lucru
Fără opțiune de refuz pe nivelul cu butonul de accept	Marea majoritate a autorităților: încălcare
Căsuțe bifate implicit pe al doilea nivel	Consimțământ invalid
Refuzul doar ca link în text sau în afara bannerului	Consimțământ invalid
Culori sau contrast care împing spre „Accept”	Analizat de la caz la caz; poate invalida consimțământul
Interes legitim invocat pentru cookie-uri neesențiale	Nu e temei valid pentru plasarea cookie-urilor
Cookie-uri strict necesare (coș, sesiune, securitate)	Nu au nevoie de consimțământ

Ce nu mai merge fără Consent Mode v2

Funcție	Fără semnalele v2 pentru vizitatorii din SEE
Audiențe de remarketing în Google Ads	Vizitatorii din SEE nu mai pot fi folosiți pentru remarketing
Personalizarea reclamelor	Limitată pentru vizitatorii din SEE
Măsurarea conversiilor prin tag	Pierzi date pentru vizitatorii fără semnale
Modelarea conversiilor	Fără semnale de consimțământ, Google nu are ce modela

Pentru un magazin care rulează campanii Performance Max sau Shopping, asta înseamnă direct mai puține conversii raportate și un algoritm de licitare care învață mai prost.

Variante: Consent Mode basic sau advanced

Documentația Google despre Consent Mode descrie două implementări:

	Basic	Advanced
Când se încarcă tag-urile Google	Doar după ce vizitatorul interacționează cu bannerul	Imediat, cu consimțământ refuzat implicit
Dacă vizitatorul refuză	Nu se trimite nimic către Google	Se trimit ping-uri fără cookie-uri și fără identificatori
Modelarea conversiilor	Model general	Model specific advertiserului, mai precis
Risc de conformitate	Cel mai mic	Mai mare: unele date pleacă fără consimțământ
Date recuperate	Cele mai puține	Cele mai multe
Potrivit pentru	Magazine care vor interpretarea prudentă	Magazine cu trafic mare și aviz juridic

Recomandarea noastră implicită pentru magazinele mici și medii din România este modul basic. Modelarea Google funcționează doar peste un anumit prag de date, deci un magazin cu câteva sute de vizite pe zi câștigă puțin din modul advanced, dar își asumă riscul suplimentar. Dacă ai trafic mare și consultantul tău GDPR aprobă, advanced poate merita.

Ce platformă de consimțământ alegi în WooCommerce

• Un plugin CMP certificat de Google (de exemplu Complianz, CookieYes, Cookiebot sau Usercentrics; verifică lista actuală a partenerilor Google). Acestea trimit automat comenzile de default și update și se integrează cu Google Tag Manager.
• Google Tag Manager cu un șablon CMP, ca să controlezi din același loc toate tag-urile, inclusiv Meta și TikTok.
• Un banner propriu într-un magazin dezvoltat la comandă. Așa lucrăm în proiectele personalizate; atunci logica de consimțământ, jurnalizarea și testarea țin de echipa care dezvoltă magazinul.

Plugin-ul WP Consent API permite altor plugin-uri WordPress (inclusiv Site Kit de la Google) să citească alegerea făcută în banner. Verifică dacă CMP-ul tău și celelalte plugin-uri îl suportă; altfel vei avea scripturi care ignoră bannerul.

Ce trebuie să scrie în banner și în politica de cookie-uri

Consimțământul trebuie să fie informat. Un banner cu „Folosim cookie-uri pentru o experiență mai bună” nu e suficient. Primul nivel spune pe scurt ce vrei să faci și cu cine, iar detaliile stau în al doilea nivel și în politica de cookie-uri.

• Scopurile, pe înțelesul oricui: măsurarea vizitelor, reclame pe Google și Meta, păstrarea preferințelor.
• Categoriile de parteneri sau furnizorii numiți care primesc date (Google, Meta, TikTok, instrumentul de analiză).
• „Accept toate” și „Refuz toate” la fel de mari, la fel de vizibile, plus un link către setări detaliate.
• Link către politica de cookie-uri, cu fiecare cookie, furnizorul, scopul și durata.
• O cale permanentă de a schimba alegerea, de obicei un link „Setări cookie” în footer.
• Același banner și aceleași opțiuni în fiecare limbă în care vinde magazinul.

Evită „cookie wall”-urile, care blochează magazinul până la acceptare. Mai multe autorități europene au considerat că, dacă refuzul te lasă fără acces, consimțământul nu mai e liber exprimat.

Bannerul și viteza magazinului

Un banner prost construit e și o problemă de performanță. Pe mobil e adesea cel mai mare element de pe ecran, deci poate deveni elementul LCP, iar un banner care împinge conținutul în jos la apariție produce deplasări de layout (CLS).

• Încarcă scriptul CMP devreme, dar alege unul ușor; evită soluțiile care descarcă sute de kilobytes înainte de prima afișare.
• Afișează bannerul ca suprapunere fixată în partea de jos a ecranului, ca să nu împingă conținutul paginii.
• Nu ascunde magazinul sub un overlay pe tot ecranul; strică și conversia, și testul de consimțământ liber exprimat.
• Testează pagina de produs și checkout-ul pe un telefon mediu cu bannerul vizibil, nu doar după ce l-ai acceptat.

Ce înseamnă asta pentru magazinele din România

Multe magazine românești rulează, pe lângă Google Ads și Meta, rețele de afiliere precum 2Performant sau Profitshare și scripturi de e-mail marketing (NewsMAN, Mailchimp) pe site. Codurile de tracking ale afiliaților și pixelii de deschidere sau de vizitare nu sunt acoperiți de Consent Mode și au nevoie de consimțământ la fel ca Meta Pixel. La inventar, verifică separat scripturile afiliaților, widget-ul de chat și orice cod lipit de agenții în header.

Pas cu pas: Consent Mode v2 în WooCommerce

1. Fă inventarul scripturilor

• Listează tot ce încarcă magazinul: GA4, Google Ads, Merchant Center, Meta Pixel, TikTok, Pinterest, Hotjar sau Clarity, chat, YouTube încorporat, widget-uri de recenzii.
• Separă ce e strict necesar (coș, checkout, plată Netopia sau Stripe, antifraudă, autentificare) de ce are nevoie de consimțământ.
• Caută plugin-urile care își injectează singure tracking-ul, cum sunt cele de marketing sau de recenzii.

2. Setează starea implicită înainte de orice tag

Comanda de default trebuie să ruleze înaintea tag-urilor Google. Pentru vizitatorii din România și SEE, o configurație tipică arată așa:

gtag('consent', 'default', {
  ad_storage: 'denied',
  analytics_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  wait_for_update: 500
});

Când vizitatorul alege, CMP-ul trimite un update cu semnalele acordate, de exemplu gtag('consent', 'update', { analytics_storage: 'granted' }).

3. Leagă categoriile din banner de semnale

Categorie în banner	Semnale Consent Mode	Instrumente tipice
Necesare	Niciunul (mereu active)	Coș, sesiune, plată, securitate
Statistici / Analiză	analytics_storage	GA4, Microsoft Clarity
Marketing / Publicitate	ad_storage, ad_user_data, ad_personalization	Google Ads, Merchant Center, Meta, TikTok
Preferințe	De obicei niciunul pentru Google	Limba, moneda

4. Blochează corect scripturile care nu sunt Google

Consent Mode nu face nimic pentru Meta, TikTok sau Pinterest. Pornește-le din Tag Manager doar pe un trigger de consimțământ, lasă CMP-ul să le blocheze sau folosește funcțiile lor proprii (pentru Meta Pixel, fbq('consent', 'revoke') înainte de inițializare și fbq('consent', 'grant') după acord). Și integrarea server-side cu Meta Conversions API trebuie să verifice consimțământul înainte să trimită evenimente.

5. Testează

• Deschide magazinul într-o fereastră privată cu Google Tag Assistant: starea consimțământului trebuie să fie „denied” la încărcare, înainte să atingi bannerul.
• Refuză: nu trebuie să apară cookie-uri _ga sau _gcl și nici cereri către Meta Pixel.
• Acceptă: comanda de update pleacă, apar cookie-urile, tag-urile trimit evenimente.
• Schimbă alegerea din linkul din footer: retragerea trebuie să fie la fel de simplă ca acordul.
• Verifică în diagnosticul de consimțământ din Google Ads (în engleză: Diagnostics) și în setările de consimțământ din Google Analytics că primești semnale din SEE.
• Plasează o comandă de test: conversia de achiziție trebuie să se înregistreze când consimțământul e acordat.

6. Păstrează dovezi și actualizează

• Jurnalizează alegerile cu dată, oră și versiunea bannerului, ca să poți dovedi consimțământul.
• Rescanează magazinul după fiecare plugin nou.
• Actualizează politica de cookie-uri când adaugi instrumente.
• Urmărește ghidurile noi publicate de ANSPDCP și EDPB.

Greșeli frecvente

• GA4 pus direct în temă și încă o dată în Tag Manager; una dintre copii ignoră bannerul.
• Comanda de default plasată după tag-ul GA4, așa că primul hit pleacă fără consimțământ.
• Banner doar cu „Accept” și „Setări”.
• Doar semnalele din v1 (ad_storage, analytics_storage), fără ad_user_data și ad_personalization.
• Plugin-uri de cache care servesc pagina cu starea bannerului altui vizitator.

Cât costă consimțământul cookie și Consent Mode v2

Element	Cost orientativ
Abonament CMP	Există planuri gratuite; cele plătite costă de obicei de la câțiva la câteva zeci de euro pe lună, după trafic și numărul de domenii
Configurare într-un magazin WooCommerce existent (inventar, CMP, GTM, Consent Mode v2, teste)	De obicei 1–3 zile de lucru, ofertă fixă
Mod advanced cu analiză juridică și tracking server-side	Proiect mai mare, estimat după un apel
Magazin nou Raao	Consimțământul cookie GDPR este inclus în fiecare proiect

Toate prețurile Raao sunt în EUR fără TVA, cu ofertă fixă. Orice magazin pe care îl construim, de la pachetul Starter (de la €1.900) în sus, include pagini legale și consimțământ cookie GDPR. Vezi magazine online și prețuri. Iar dacă te interesează și partea fiscală a magazinului, citește ghidul despre e-Factura pentru magazin online. Pentru o verificare a bannerului și a tag-urilor tale, programează un apel gratuit de 30 de minute.

Ce verificăm la un audit de consimțământ

Nu avem un studiu de caz public dedicat consimțământului, așa că îți spunem exact ce verificăm când preluăm un magazin:

• Ce cookie-uri și cereri pleacă înainte de orice interacțiune cu bannerul.
• Dacă „Accept toate” și „Refuz toate” sunt la fel de vizibile pe primul nivel.
• Dacă Consent Mode v2 trimite toate cele patru semnale, în ordinea corectă.
• Dacă Meta, TikTok și alți pixeli respectă refuzul.
• Dacă GA4 și Google Ads primesc semnale de consimțământ din SEE.

Contează cu atât mai mult în magazinele cu tracking server-side și multe feed-uri de marketing, cum e Kuiba, unde fiecare canal nou e încă un tag care trebuie să respecte alegerea vizitatorului.