Amenzi pentru cookie-uri în România: Legea 506/2004

Ce prevede legea

Legea nr. 506/2004 transpune în dreptul român Directiva 2002/58/CE (ePrivacy). Potrivit articolului 4 alineatul (5), stocarea de informații pe echipamentul unui utilizator și accesul la informațiile deja stocate acolo sunt permise numai dacă sunt îndeplinite cumulativ două condiții:

utilizatorul și-a exprimat acordul;
înainte de a-și exprima acordul, utilizatorul a primit informații clare și complete, expuse într-un limbaj ușor de înțeles, ușor accesibile și care menționează scopul prelucrării.

Când furnizorul permite unor terți stocarea sau accesul, informarea trebuie să includă și scopul general al prelucrării de către aceștia, precum și modul în care utilizatorul poate folosi setările browserului sau alte tehnologii similare pentru a șterge informațiile ori pentru a refuza accesul terților.

Alineatul (5¹) adaugă că acordul poate fi dat și prin setările browserului sau prin alte tehnologii similare, prin care se poate considera că utilizatorul și l-a exprimat. Comunicatele prezentate mai jos nu se referă la această prevedere. Condițiile unui consimțământ valid, așa cum le descriu autoritățile europene, sunt prezentate în articolul despre bannerul de cookie-uri.

Alineatul (6) prevede două excepții: operațiunile realizate exclusiv pentru transmiterea unei comunicări printr-o rețea de comunicații electronice și cele strict necesare pentru furnizarea unui serviciu al societății informaționale, solicitat în mod expres de utilizator.

Limitele amenzilor

Nerespectarea condițiilor de la articolul 4 alineatul (5) constituie contravenție, potrivit articolului 13 alineatul (1) litera i). Alineatul (2) al aceluiași articol stabilește sancțiunea:

Regula generală: amendă de la 5.000 la 100.000 de lei.
Societățile comerciale cu o cifră de afaceri de peste 5.000.000 de lei: amendă de până la 2% din cifra de afaceri.

Contravențiile sunt constatate și sancționate de personalul împuternicit al ANSPDCP, potrivit alineatului (5). Sancțiunile aplicate în temeiul Legii nr. 506/2004 se pot adăuga celor din GDPR: în două dintre cazurile de mai jos, Autoritatea a reținut în aceeași investigație și încălcarea articolelor 12–14 din GDPR, privind informarea persoanelor vizate.

Situațiile descrise de ANSPDCP

Cazurile de mai jos provin din comunicatele publicate pe site-ul Autorității între 2022 și 2026. Selecția nu este o listă completă a sancțiunilor aplicate, iar comunicatele nu precizează dacă sancțiunile au fost contestate. Am omis numele operatorilor; acolo unde sunt publicate, acestea apar în comunicatele indicate.

5 februarie 2026Societate comercială

Amendă de 101.794 lei (20.000 de euro)

Un utilizator a reclamat prezența pe site a unor cookie-uri de urmărire și publicitate comportamentală. Amenda nu privește însă cookie-urile: operatorul a fost sancționat în temeiul articolului 83 alineatul (5) litera e) din GDPR, pentru că nu a răspuns solicitării Autorității.
18 noiembrie 2025Cabinet de avocat

Amendă de 20.000 de lei

Între mai și octombrie 2025, la accesarea site-urilor operatorului s-a permis instalarea unor cookie-uri care nu erau necesare din punct de vedere tehnic, fără consimțământ prealabil și fără o informare completă și corectă.
11 septembrie 2025Societate comercială

Amendă de 15.000 de lei

Începând cu 15 aprilie 2025, pe site au fost stocate cookie-uri care nu erau necesare din punct de vedere tehnic, fără o informare clară și fără consimțământul explicit al persoanelor vizate.
3 septembrie 2025Persoană fizică

Amendă de 37.000 de lei

Pe site-urile operatorului s-a permis instalarea unor cookie-uri care nu erau necesare din punct de vedere tehnic înainte ca utilizatorii să își exprime consimțământul. Comunicatul menționează și folosirea unor tehnologii de monitorizare a traficului pentru generarea și plasarea de „reclame malițioase” pe echipamentele utilizatorilor.
16 iulie 2025Persoană fizică

Amenzi de 30.000 de lei și 20.286,80 lei (4.000 de euro)

Între 6 decembrie 2024 și 3 aprilie 2025, la accesarea site-ului s-au putut stoca și accesa informații prin cookie-uri, fără consimțământul expres prealabil și fără informarea utilizatorilor. A doua amendă, întemeiată pe articolele 12–14 din GDPR, privește lipsa informării persoanelor ale căror date erau colectate prin formularul de contact.
10 decembrie 2024Societate comercială

Amendă de 10.000 de lei și avertisment

Sesizarea reclama, între altele, că site-ul nu putea fi accesat fără acceptarea cookie-urilor. ANSPDCP a constatat stocarea și accesarea informațiilor prin cookie-uri fără consimțământul expres prealabil și fără informarea utilizatorilor, precum și o informare incompletă potrivit articolelor 12–14 din GDPR. Autoritatea a dispus obținerea consimțământului și informarea utilizatorilor înainte de instalarea cookie-urilor, precum și o informare concisă și transparentă, în principal în limba română.
22 decembrie 2022Societate comercială

Avertisment pentru cookie-uri

Societatea a stocat cookie-uri care nu erau necesare din punct de vedere tehnic, fără acordul utilizatorilor și fără informații clare și complete. În aceeași investigație, a primit o amendă de 49.418 lei (10.000 de euro) pentru o altă faptă, încălcarea articolului 32 alineatul (4) din GDPR.

Autoritatea verifică acest subiect de mai mulți ani. În 2015, a efectuat investigații tematice privind cookie-urile la operatori din sectorul public și din cel privat. La principalii furnizori de telecomunicații, sancțiunile au însumat 68.500 de lei.

Ce au în comun cazurile

Sesizările: în toate cele șase comunicate din 2024–2026, investigația a pornit de la una sau mai multe sesizări.
Operatorii: sancțiunile nu au vizat doar societăți comerciale. Două comunicate privesc persoane fizice, iar unul, un cabinet de avocat.
Faptele: în cazurile sancționate pentru cookie-uri revin aceleași două situații: cookie-uri care nu sunt necesare din punct de vedere tehnic, plasate fără consimțământ prealabil, și informarea lipsă sau incompletă.
Sumele: în cele patru comunicate care leagă amenda exclusiv de Legea nr. 506/2004, sumele au fost între 15.000 și 37.000 de lei.
Relația cu Autoritatea: cea mai mare amendă din această selecție a fost aplicată pentru lipsa unui răspuns, nu pentru cookie-uri.

Întrebări de control pentru site-ul magazinului

Pe baza textului legii și a comunicatelor de mai sus, un site poate fi verificat cu următoarele întrebări. Lista este un instrument de lucru, nu o garanție de conformitate, și nu înlocuiește consultanța juridică.

Prima încărcare: într-o fereastră privată a browserului, la prima deschidere a site-ului și înainte de orice alegere, lipsesc cookie-urile care nu intră sub excepțiile de la alineatul (6)?
Informarea: vizitatorul primește, înainte de alegere, informații clare despre scopul cookie-urilor, într-un limbaj ușor de înțeles?
Terții: informarea menționează scopul general al prelucrării de către terți și modul în care vizitatorul poate șterge informațiile sau poate refuza accesul acestora?
Formularele: persoanele care completează formularul de contact sunt informate despre prelucrarea datelor lor?
Solicitările: cererile primite de la ANSPDCP sunt urmărite și primesc răspuns?

Pe Shopify

Consentia este o aplicație de consimțământ pentru cookie-uri destinată magazinelor Shopify. Informații suplimentare găsiți pe pagina Funcții. Un site poate fi verificat și cu scanerul gratuit de cookie-uri.

Articole conexe

Surse: ANSPDCP, Legea nr. 506/2004 · comunicatele ANSPDCP indicate la fiecare caz · ANSPDCP, comunicatul privind investigațiile tematice din 2015. Fotografie: Unsplash.

Amenzi pentru cookie-uri în România: ce cere Legea nr. 506/2004 și ce a sancționat ANSPDCP