Consent Mode v2: cum îl implementezi și cum verifici că funcționează

Verifici o implementare de Consent Mode v2 în Google Tag Assistant: deschizi tab-ul „Consent” al etichetei și compari două coloane — „On-page Default”, care trebuie să arate denied pe toate cele patru semnale înainte ca vizitatorul să atingă bannerul, și „On-page Update”, care trebuie să treacă pe granted după ce acceptă. Dacă prima coloană e goală sau arată deja granted, implementarea nu funcționează, indiferent ce scrie în container.

Consent Mode v2 este modul în care Google primește rezultatul unei alegeri. Nu este alegerea, nu este bannerul care o culege și nu este baza legală care o face necesară. Google cere advertiserilor cu trafic din Spațiul Economic European să colecteze consimțământul și să îi transmită semnalele, iar consecința neîndeplinirii este de produs: pierdere de date și funcții de publicitate indisponibile. Obligația legală e alta și vine din altă parte — art. 4 alin. (5) din Legea nr. 506/2004 cere consimțământ prealabil pentru stocarea de informații în echipamentul terminal al utilizatorului, și o cere inclusiv unui site care nu folosește niciun produs Google.

Mai jos: cele patru semnale, diferența dintre modurile Basic și Advanced, procedura de verificare în șase pași, tabelul cu ce trebuie să vezi pe fiecare stare, cele trei trasee de implementare și ce a sancționat efectiv autoritatea română în ultimul an. Nu tratăm alegerea între platformele de consimțământ, implementarea server-side și consimțământul în aplicațiile mobile.

Notă: articolul descrie un mecanism tehnic și o procedură de verificare. Nu stabilește dacă site-ul tău este conform și nu ține loc de analiză juridică. O implementare care trece toate verificările de mai jos poate rămâne neconformă dacă bannerul care o alimentează e prost construit.

Consent Mode transmite semnale. Nu îți dă baza legală.

Cele două straturi se confundă des pentru că ajung pe site în aceeași săptămână, de la același furnizor, prin același proiect. Sunt totuși lucruri diferite, cu proprietari diferiți și cu consecințe diferite la eșec.

Coloana din dreapta e cea care costă bani. Un site poate avea Consent Mode v2 implementat impecabil și, în același timp, un banner care plasează cookie-uri de marketing înainte ca vizitatorul să apese ceva — iar exact asta a fost sancționată în România, repetat, în ultimele douăsprezece luni.

Eșecul stratului tehnic se vede în rapoarte: conversii lipsă, audiențe care nu se populează, discrepanțe între Google Ads și Google Analytics. Eșecul stratului juridic nu se vede nicăieri până când cineva depune o sesizare. Primul se repară într-o după-amiază. Al doilea se repară după ce a produs deja fapta.

Cele patru semnale și ce controlează fiecare

Versiunea a doua a adăugat două semnale peste cele existente. Documentația Google le descrie astfel:

Cele patru sunt independente. Un vizitator poate accepta statistica și refuza publicitatea, iar implementarea trebuie să reflecte exact asta, nu o aproximare comodă în care „acceptă” înseamnă totul și „refuză” înseamnă nimic.

Când consimțământul este acordat, documentația pentru dezvoltatori spune că „pot fi citite și scrise cookie-uri și identificatori de dispozitiv legați de publicitate”. Când este refuzat: „nu pot fi scrise cookie-uri sau identificatori noi legați de publicitate” și „nu pot fi citite cookie-uri sau identificatori de publicitate existenți”. Starea se transmite mai departe prin parametrii gcs și gcd, iar gcd ajunge la Google indiferent dacă ai activat sau nu Consent Mode.

Basic sau Advanced: ce trimiți înainte de acceptare

Alegerea dintre cele două moduri decide un singur lucru: dacă tagurile Google se încarcă înainte ca vizitatorul să interacționeze cu bannerul.

Tabelul se citește ca un compromis, nu ca un clasament: Advanced îți dă date mai bune, Basic îți dă o suprafață mai mică. Alegerea nu se face din preferință tehnică, ci împreună cu cine îți răspunde de partea juridică — pentru că în modul Advanced se trimit date către Google înainte ca vizitatorul să fi ales ceva, iar dacă acest lucru e acceptabil pentru situația ta nu decide nici agenția, nici furnizorul de banner.

Ce pierzi dacă semnalele nu ajung deloc la Google

Pagina Google despre cerința pentru traficul din SEE este directă în privința consecințelor, și toate sunt de produs:

• Google „nu va putea verifica alegerile de consimțământ ale utilizatorilor, iar acest lucru poate duce la pierdere de date”.
• Advertiserii care nu pot implementa consent mode nu au acces la „întreaga gamă de capabilități publicitare Google” — inclusiv remarketing și publicitate personalizată.
• Audiențele construite din date de analiză se limitează la utilizatorii din afara SEE, dacă semnalele nu sosesc.

Miza e cea mai mare la magazinele online, unde remarketingul cântărește cel mai greu: un coș abandonat pe care nu îl mai poți urmări este o pierdere directă, nu o statistică lipsă. Nicio consecință din lista de mai sus nu este însă o amendă. Amenzile vin din altă parte, și sunt tratate mai jos.

Verificarea oficială cu Tag Assistant, pas cu pas

Aici e diferența dintre „am implementat” și „funcționează”. Google recomandă explicit un singur instrument: „poți verifica implementarea consent mode pe site-uri cu Google Tag Assistant (recomandat)”. Este gratuit și nu are nevoie de nimic instalat.

1. Deschizi Google Tag Assistant și introduci adresa site-ului.
2. Pe site, deschizi bannerul de cookie-uri și accepți toți parametrii.
3. În ecranul „Summary”, selectezi cel mai timpuriu eveniment de tip Consent. În secțiunea „API Call” confirmi că au fost setate ad_storage, ad_personalization, ad_user_data și analytics_storage. Alternativ, în „Output”-ul etichetei, deschizi tab-ul „Consent” și citești coloana „On-page Default”.
4. În „Summary”, selectezi cel mai recent eveniment Consent și confirmi în „API Call” că aceleași patru parametri au fost actualizați. Alternativ, citești coloana „On-page Update” din același tab.
5. În „Summary”, deschizi tab-ul „Tags” și dai clic pe taguri individuale, ca să verifici că s-au comportat conform stării de consimțământ.
6. Reiei pașii 2–5 refuzând tot, apoi acceptând selectiv. O implementare care trece doar pe „accept tot” nu este verificată, este verificată pe cazul cel mai convenabil.

Numele coloanelor apar în engleză în interfață, chiar dacă restul contului e în română. Ajutorul pentru Google Ads folosește altă formulare pentru aceleași câmpuri — „In-Page Default” și „In-Page Update” — cu instrucțiunea de a seta prima pe denied și pe a doua pe granted. Sunt aceleași două valori, citite din două documentații diferite.

Dacă folosești implementarea măsurării, procedura e identică. Un mesaj „Could not connect” în Tag Assistant înseamnă, de regulă, că containerul e blocat, nu că lipsește consimțământul.

Cele trei probleme pe care le raportează Tag Assistant

A treia linie are nevoie de un reper, altfel „neobișnuit de mică” nu înseamnă nimic. Didomi, un furnizor de platforme de consimțământ, a publicat în martie 2026 rate medii de acceptare între 75,1% în Europa de Vest și 89,3% în Europa de Est, pe date colectate în 2025 — cu precizarea că este un agregat regional, în care România nu apare menționată separat, iar eșantionul pe regiune nu este publicat, deci se folosește ca ordin de mărime, nu ca țintă.

Declanșatorul din a doua linie merită reținut separat, pentru că e cauza cea mai frecventă: documentația Tag Manager spune că „declanșatorul Consent Initialization se va declanșa întotdeauna înaintea tuturor celorlalte taguri, inclusiv înaintea oricărui declanșator de tip Initialization”. Dacă tagul care scrie consimțământul nu e legat de el, ordinea nu e garantată.

Ce trebuie să vezi, pe fiecare stare de consimțământ

Verificarea din secțiunea anterioară îți spune unde să te uiți. Tabelul de mai jos spune ce trebuie să găsești acolo. Sunt patru stări prin care trece un vizitator și patru semnale de citit în fiecare.

Tabelul se folosește ca listă de test, nu ca dovadă de conformitate: dacă vreo celulă arată altceva decât scrie aici, ai un defect de implementare de căutat, iar dacă toate arată corect, ai o implementare care se comportă cum a fost proiectată — atât.

Trei precizări, fără de care tabelul induce în eroare:

• Rândul patru depinde de configurarea platformei tale de consimțământ. Maparea dintre categoriile afișate în banner și cele patru semnale se stabilește acolo, nu în Google, iar ea este exact lucrul pe care îl verifici. Dacă bifezi „doar statistică” și ad_storage trece pe granted, maparea e greșită.
• În modul Basic, primul rând poate arăta gol, pentru că tagurile Google nu s-au încărcat încă. Absența nu e același lucru cu denied, dar în acest caz nu e nici defect.
• A doua vizită nu resetează nimic. Dacă platforma reține alegerea anterioară, la reîncărcare vei citi direct starea salvată, nu starea implicită. Testul se face în fereastră privată sau după ștergerea stocării locale.

Trei trasee de implementare și ordinea care contează

Google documentează trei rute, iar diferența dintre ele e cine scrie codul.

1. Cu o platformă de consimțământ certificată. Google listează peste 30 de platforme certificate, fiecare cu ghid propriu de configurare. Platforma emite semnalele; tu configurezi maparea categoriilor și verifici rezultatul.
2. Prin Google Tag Manager. Activezi ecranul Consent Overview din setările containerului, care grupează tagurile în „Consent Not Configured” și „Consent Configured”, și legi tagurile care scriu consimțământul de declanșatorul Consent Initialization.
3. Manual, cu gtag.js. Scrii tu comenzile default și update, în ordinea corectă, cât mai sus în pagină.

Pentru ruta a treia, forma este aceasta:

gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied',
  'wait_for_update': 500
});

Parametrul wait_for_update primește o valoare în milisecunde și „controlează cât se așteaptă înainte ca datele să fie trimise” — fereastra în care bannerul are timp să răspundă. La acceptare se emite comanda update, cu aceleași patru chei și valorile alese de vizitator. Se pot seta stări implicite diferite pe regiuni, iar când două comenzi coexistă pe aceeași pagină, „cea cu regiunea mai specifică are efect”.

Indiferent de traseu, o singură regulă nu se negociază: starea implicită se setează înaintea oricărui tag care citește consimțământul. Aici cade majoritatea implementărilor, și tot aici te trimite eroarea din secțiunea anterioară. Dacă rulezi și Google Analytics, ecranul de consimțământ din GA4 îți arată separat starea semnalelor și te avertizează când unul dintre ele lipsește, ceea ce e un al doilea punct de control, nu un înlocuitor pentru primul.

Notă: verificarea din Google Ads e cea mai lentă dintre toate și nu ține loc de Tag Assistant. Statusul apare în contul de Ads, în diagnosticul acțiunii de conversie, dar „poate dura 48 de ore până apare, iar în anumite cazuri până la 2 săptămâni”. Modelarea conversiilor se activează separat, peste un prag de 700 de clicuri pe reclame în 7 zile, pe fiecare grupare domeniu × țară.

Ce cere Legea 506/2004 și ce a sancționat efectiv ANSPDCP

Temeiul operativ în România nu este direct regulamentul european de protecție a datelor, ci legea care transpune directiva privind viața privată în comunicațiile electronice. Autoritatea îl reproduce verbatim în propriile comunicate de sancțiune:

„Stocarea de informaţii sau obţinerea accesului la informaţia stocată în echipamentul terminal al unui abonat ori utilizator este permisă numai cu îndeplinirea în mod cumulativ a următoarelor condiţii: a) abonatul sau utilizatorul în cauză şi-a exprimat acordul; b) abonatului sau utilizatorului în cauză i s-au furnizat, anterior exprimării acordului (…) informaţii clare şi complete.”

Două cuvinte poartă toată greutatea: „cumulativ” și „anterior”. Acordul fără informare prealabilă nu e suficient, iar informarea după plasarea cookie-ului nu repară nimic. Iar cerința nu depinde de vreun produs Google: se aplică oricărei stocări sau accesări de informații în echipamentul vizitatorului.

Sancțiunea e prevăzută separat, tot în aceeași lege: contravențiile de acest tip „se sancţionează cu amendă de la 5.000 lei la 100.000 lei, iar pentru societăţile comerciale cu o cifră de afaceri de peste 5.000.000 lei (…) cu amendă în cuantum de până la 2% din cifra de afaceri”. Cifra de afaceri e pragul care schimbă complet ordinul de mărime.

Următoarele sancțiuni au fost aplicate efectiv, sunt publice și verificabile în comunicatele autorității:

Șase firme, în comunicate publicate pe parcursul a douăsprezece luni, toate pe același articol, pentru aceeași faptă: module cookie care nu erau necesare tehnic, instalate înainte ca vizitatorul să apuce să aleagă. Lista nu se oprește la societăți comerciale — în aceeași perioadă au fost sancționați cu 37.000 lei și cu 20.000 lei și operatori care nu sunt firme, pentru fapte identice.

Trei detalii schimbă felul în care se citește tabelul. Amenda de 40.000 lei aplicată operatorului de energie a fost confirmată prin decizie definitivă de Curtea de Apel Timișoara, deci temeiul a trecut deja proba instanței. În cazul agenției de turism, autoritatea a dispus și o măsură corectivă: implementarea unui banner „clar și vizibil, care să permită utilizatorului exprimarea unei opțiuni reale și informate”. Iar subiectul nu e nou — un studiu european pe 478 de site-uri, realizat la sfârșitul anului 2014, a fost urmat în 2015 de investigații tematice ale autorității române la principalii furnizori de telecomunicații, soldate cu sancțiuni de 68.500 lei.

Ce spune EDPB despre un consimțământ valabil

Ghidul Comitetului European pentru Protecția Datelor privind consimțământul stabilește criteriile pe care le aplică autoritățile naționale. Este publicat în engleză, iar citatele de mai jos sunt traduse. Patru dintre criterii decid direct dacă bannerul tău ține:

• Derularea paginii nu este consimțământ. „Acțiuni precum derularea sau glisarea printr-o pagină web ori activități similare ale utilizatorului nu vor satisface în nicio circumstanță cerința unei acțiuni clare și afirmative.”
• Căsuțele pre-bifate sunt invalide. „Tăcerea sau inactivitatea (…) nu poate fi considerată o indicație activă a alegerii.”
• Zidurile de cookie-uri nu produc consimțământ liber. Accesul la servicii „nu trebuie condiționat de consimțământul utilizatorului pentru stocarea de informații”; când singura ieșire e butonul de acceptare, „persoana vizată nu este pusă în fața unei alegeri reale”.
• Retragerea trebuie să fie la fel de ușoară ca acordarea. Un buton „Accept” vizibil și o retragere ascunsă în subsol sunt un dezechilibru pe care ghidul îl tratează explicit.

Niciunul dintre aceste criterii nu se verifică în Tag Assistant. Toate se verifică citind bannerul, iar dacă răspunsul la vreunul e nefavorabil, o implementare tehnică perfectă transmite fidel un consimțământ care nu era valabil de la bun început.

Întrebări frecvente

Cum verific dacă tagurile pornesc înainte de consimțământ?

În Tag Assistant, selectezi cel mai timpuriu eveniment Consent și citești coloana „On-page Default”. Dacă e goală, sau dacă în tab-ul Tags apar taguri declanșate înaintea acelui eveniment, starea implicită se setează prea târziu. Documentația Google are o eroare dedicată pentru situația asta — „A tag read consent state before a default was set” — iar remediul este mutarea comenzilor de consimțământ mai sus în pagină, respectiv folosirea declanșatorului Consent Initialization în Google Tag Manager.

Am doar Google Analytics, fără Google Ads. Îmi trebuie Consent Mode?

Cerința pe care o formulează Google pentru traficul din SEE se adresează advertiserilor. Obligația legală de a obține consimțământ înainte de a stoca informații în echipamentul vizitatorului nu depinde însă de niciun produs Google și se aplică și unui site care rulează doar analiză — analytics_storage este exact semnalul care controlează acest lucru. În Google Analytics 4, starea semnalelor se verifică din Administrare, la secțiunea de setări de consimțământ.

Pot rula Google Ads dacă utilizatorul refuză cookie-urile?

Da, campaniile rulează. Ce se schimbă este ce poți măsura și cui poți arăta reclame. La refuz, în modul Advanced se trimit starea de consimțământ și măsurători fără cookie-uri, pe baza cărora Google modelează conversiile lipsă; în modul Basic nu se trimite nimic. Remarketingul și publicitatea personalizată nu funcționează pentru utilizatorii care le-au refuzat, iar audiențele construite din date de analiză se limitează la utilizatorii din afara SEE dacă semnalele nu ajung deloc.

Trebuie să plătesc o platformă de consimțământ sau pot construi bannerul singur?

Google documentează ambele variante și nu impune niciuna. Peste 30 de platforme certificate au ghiduri de configurare dedicate, iar pentru bannerele proprii documentația descrie explicit comenzile default și update și cere setarea stării implicite pe denied și a actualizării pe granted. Diferența practică nu e prețul, ci întreținerea: un banner propriu îți cere să urmărești singur schimbările din documentație și să menții politica de cookie-uri la zi.

Consent Mode v2 înseamnă că nu mai am nevoie de banner de cookie-uri?

Nu. Consent Mode transmite către Google o alegere pe care altcineva o culege. Fără banner nu există alegere de transmis, iar starea implicită rămâne denied — adică nu măsori nimic. Toate sancțiunile aplicate în România pe acest subiect au vizat exact absența sau configurarea greșită a mecanismului de consimțământ, nu absența Consent Mode.

Ce se testează și ce se decide

Cele două straturi cer două tipuri diferite de muncă, iar confuzia dintre ele e singura greșeală scumpă din tot subiectul. Stratul tehnic se testează: durează zece minute, se face cu un instrument gratuit, produce un răspuns binar pe fiecare celulă din tabelul de mai sus și poate fi repetat de oricine, oricând. Stratul juridic nu se testează, se decide — de cineva care se uită la ce scrie în banner, ce categorii oferă, ce se întâmplă la refuz și cât de ușor se retrage acordul.

Un site care are doar primul strat are o măsurătoare disciplinată așezată pe o bază pe care nimeni nu a validat-o. Un site care are doar al doilea are acoperire juridică și date rupte. Ordinea corectă este banner întâi, semnale după, verificare la final — iar verificarea se reia după fiecare modificare a bannerului, pentru că maparea categoriilor pe semnale se strică tăcut și nu anunță pe nimeni.

Dacă vrei să vezi în ce stare e implementarea ta înainte să investești în altceva, așa arată măsurarea conformă pentru utilizatorii din SEE și așa arată campaniile care rămân măsurabile la refuzul cookie-urilor. Iar dacă vrei să afli concret ce e rupt în contul tău, începe cu un diagnostic de măsurare.