Checklist GDPR pentru magazinele online înainte de reduceri

Ce cookie-uri pune, de fapt, un magazin online

Diferența dintre un site de prezentare și un magazin este numărul de terți implicați. Un e-shop mediu din România ajunge ușor la câteva zeci de cookie-uri și identificatori, majoritatea instalați de servicii externe:

• Pixeli publicitari — Meta, TikTok, Google Ads, uneori și rețele de afiliere sau comparatoare de prețuri. Sunt cele mai vizibile în orice scanare și aproape întotdeauna intră la categoria „marketing”.
• Remarketing și audiențe — liste de vizitatori care au văzut un produs sau au abandonat coșul. Se bazează pe identificatori persistenți și nu pot fi tratate ca „strict necesare”.
• Analytics — Google Analytics 4, hărți de căldură, înregistrări de sesiune. Înregistrarea sesiunii poate capta și date din formulare, deci merită o atenție separată.
• Widgeturi de recenzii — platformele de recenzii verificate încarcă scripturi proprii și, uneori, iframe-uri cu propriile cookie-uri.
• Chat live și notificări push — instalate de obicei de echipa de vânzări, nu de cea tehnică, și uitate în procesul de audit.
• Servicii de plată și antifraudă — o parte sunt necesare pentru finalizarea comenzii, dar nu toate componentele lor se încadrează automat la excepția tehnică.

Bannerul: ce înseamnă „conform” în practică

Un banner care afișează doar butonul „Accept” și un link mic către politică nu rezolvă nimic. Cerințele de bază, repetate constant în deciziile autorităților europene de protecția datelor, sunt:

• refuzul trebuie să fie la fel de ușor ca acceptul — buton „Respinge tot” vizibil în primul strat, cu același stil grafic;
• categoriile opționale (marketing, analiză, preferințe) trebuie să fie debifate implicit;
• scripturile terțe nu se încarcă până la un clic — un banner „cosmetic”, care doar informează, e cea mai frecventă neconformitate;
• vizitatorul trebuie să își poată schimba ulterior opțiunea, printr-un buton permanent, discret, în colțul paginii;
• continuarea navigării sau scrollul nu constituie consimțământ.

Platformele de e-commerce au particularități tehnice care contează: pe Shopify, de exemplu, aplicațiile instalate din magazinul de aplicații injectează scripturi proprii, iar blocarea lor necesită integrare cu API-ul de consimțământ al platformei — există deja instrumente de tip CMP care oferă o soluție pentru magazine Shopify, iar pe WooCommerce problema tipică sunt pluginurile de tracking adăugate în timp.

Politica de cookie-uri și jurnalul de consimțământ

Politica de cookie-uri nu este un text copiat de pe alt site. Trebuie să conțină lista reală a cookie-urilor folosite, scopul fiecărei categorii, durata de stocare și cine este terțul care le plasează. Pentru că lista se schimbă la fiecare aplicație nouă instalată, o scanare automată periodică e mai realistă decât un document editat manual o dată pe an.

Al doilea element, adesea ignorat, este jurnalul de consimțământ. Dacă un vizitator reclamă că a primit reclame personalizate fără acord, comerciantul trebuie să poată demonstra contrariul: ce versiune a bannerului era activă, ce categorii au fost bifate, la ce dată și cu ce identificator anonim. Fără o astfel de evidență, apărarea se reduce la „așa credem că era configurat”. Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal publică pe site-ul propriu atât materiale de îndrumare, cât și formularul prin care orice persoană poate depune o plângere — iar plângerile venite de la utilizatori sunt, în practică, principala sursă a investigațiilor.

Consent Mode, ca să nu pierzi datele de campanie

Teama comercianților este că un banner corect taie din conversiile măsurate. De aici vine interesul pentru modul de consimțământ (Consent Mode), mecanismul prin care etichetele Google primesc semnale despre alegerea utilizatorului și își adaptează comportamentul: fără acord nu se scriu cookie-uri, dar se trimit semnale agregate, fără identificatori. Detaliile de implementare și parametrii folosiți sunt descriși în documentația Google Ads.

Important de reținut: Consent Mode nu înlocuiește bannerul și nu legalizează nimic de la sine. Este doar modul în care alegerea utilizatorului ajunge la platforma publicitară. Dacă banner-ul nu blochează efectiv scripturile, configurarea Consent Mode rămâne o formalitate. Iar implementarea trebuie testată înainte de campanie, nu în ziua în care bugetul zilnic crește de zece ori.

Lista de verificare înainte de campanie

1. Scanează site-ul și compară lista reală de cookie-uri cu ce scrie în politică.
2. Verifică, în consola browserului, ce se încarcă înainte de orice clic pe banner.
3. Testează butonul „Respinge tot”: după refuz, pixelii nu trebuie să mai apară în trafic.
4. Confirmă că preferințele se păstrează la reîncărcare și că pot fi modificate ulterior.
5. Verifică dacă jurnalul de consimțământ se salvează și poate fi exportat.
6. Testează Consent Mode în modul de previzualizare al Tag Manager, pe ambele scenarii — acceptat și refuzat.
7. Repetă testul pe mobil, unde bannerul acoperă frecvent butonul de adăugare în coș.
8. Blochează instalarea de aplicații noi cu o săptămână înainte de campanie și refă scanarea.

Ordinea practică pentru un magazin mic: rezervă o zi pentru scanare și inventarul scripturilor, o zi pentru configurarea blocării și a bannerului, apoi o sesiune scurtă de testare cu cineva din afara echipei tehnice, care nu știe unde trebuie să apese. Dacă rămâne o singură verificare de făcut, aceea este testul refuzului — deschide site-ul în modul incognito, apasă „Respinge tot” și urmărește dacă pixelii încă se declanșează. Este exact lucrul pe care îl poate verifica, în trei minute, oricine primește o sesizare.