We Scanned 97,000 EU Websites for GDPR Compliance. Here's What We Found.

La opt ani de la intrarea in vigoare a GDPR, am decis sa nu mai speculam cu privire la conformitatea consimtamantului si sa o masuram efectiv. Am indreptat scanerul nostru catre 97.304 site-uri web din 25 de state membre UE si am inregistrat exact ce se intampla intr-un browser real inainte, in timpul si dupa consimtamant. Nu ce promite politica de confidentialitate. Nu ce raporteaza panoul de control CMP. Ce se activeaza efectiv in browser cand un vizitator nou acceseaza o pagina.

În setul nostru de date, urmărirea înainte de consimțământ a fost frecventă: două treimi din site-urile web din UE incep sa urmareasca vizitatorii inainte ca vreo interactiune de consimtamant sa aiba loc. Mai mult de jumatate nu afiseaza niciun banner de consimtamant. Si cand site-urile web ofera un buton de respingere, acesta nu reuseste sa opreasca urmarirea in 80% din cazuri. Acestea nu sunt cazuri marginale sau tehnicalitati. Aceasta este starea de baza a conformitatii consimtamantului in Uniunea Europeana in 2026.

Metodologie: Cum am masurat acest lucru

Inainte de a analiza rezultatele, conteaza cum am colectat aceste date, deoarece metodologia determina daca numere ca acestea sunt semnificative sau inselatoare.

Lista de site-uri web

Am extras esantionul nostru din lista Tranco Top 1M, un clasament de domenii de nivel cercetare produs prin combinarea datelor mai multe surse independente de clasificare. Tranco a fost conceput special pentru a rezista manipularii si a furniza clasamente stabile pentru studii de masurare web, ceea ce il face sursa standard pentru cercetarea web la scara larga. Am filtrat dupa domenii asociate cu 25 de state membre UE pe baza domeniilor de cod de tara si a datelor de inregistrare, obtinand 114.748 URL-uri candidate. Dintre acestea, 97.304 au fost finalizate cu succes -- restul au esuat din cauza erorilor DNS, a timeout-urilor de conexiune sau a site-urilor care erau complet inaccesibile.

Ce face scanerul

Fiecare scanare utilizeaza motorul nostru de productie: o aplicatie Go care conduce un browser Chromium complet headless prin Chrome DevTools Protocol. Acesta nu este un scraper HTML static sau o cautare in baza de date de cookie-uri. Pentru fiecare site web, scanerul:

1. Lanseaza o instanta Chromium curata, fara cookie-uri stocate, fara stocare locala si fara istoric de navigare -- simuland un vizitator autentic care vine pentru prima data.

2. Navigheaza la URL-ul tinta si asteapta incarcarea paginii.

3. Face un instantaneu pre-consimtamant: fiecare cookie setat, fiecare cerere de retea efectuata, fiecare domeniu tert contactat -- totul inainte de orice interactiune de consimtamant.

4. Incearca sa detecteze bannerul de consimtamant folosind o biblioteca care acopera 45 de CMP-uri cunoscute plus euristici generice.

5. Interactioneaza cu bannerul (accepta sau respinge) si inregistreaza starea dupa interactiune.

6. Pentru testarea fluxului de respingere: reincarca pagina si verifica daca respingerea a fost respectata sau daca cookie-urile reapar.

Fiecare etapa produce dovezi cu marca temporala: inventare complete de cookie-uri, jurnale de cereri de retea si capturi de ecran. Cand spunem ca un site web "activeaza urmarirea inainte de consimtamant", ne referim la faptul ca am observat cereri HTTP reale catre domenii de urmarire cunoscute si cookie-uri reale setate in browser -- nu ca am dedus acest lucru dintr-un tag de script in HTML.

Ce inseamna "pre-consimtamant" din punct de vedere tehnic

Acesta este conceptul critic. Comportamentul pre-consimtamant este tot ce se intampla intre momentul in care pagina incepe sa se incarce si momentul in care utilizatorul interactioneaza pentru prima data cu un mecanism de consimtamant. In practica, aceasta fereastra este de obicei de 2-5 secunde, dar pe multe site-uri se extinde mai mult pe masura ce pagina incarca resurse suplimentare. In aceasta fereastra, vizitatorul nu a avut nicio oportunitate de a accepta sau refuza ceva. Conform articolului 5 alineatul (3) din Directiva ePrivacy (interpretat de CJUE in Planet49, C-673/17), stocarea informatiilor pe echipamentul terminal al unui utilizator sau accesarea informatiilor deja stocate necesita consimtamant prealabil -- cu exceptia cookie-urilor strict necesare pentru serviciul solicitat de utilizator. Orice element neesential care se activeaza in aceasta fereastra opereaza, prin definitie, fara consimtamant valid.

Constatarea 1: Urmarirea pre-consimtamant este norma, nu exceptia

Cel mai important numar din acest studiu: 68% din site-urile web scanate activeaza urmarirea terta inainte ca utilizatorul sa fi dat consimtamantul. Strans legat: 66,6% seteaza cookie-uri inainte de consimtamant.

Acestea nu sunt aceeasi metrica. Un site web poate contacta un domeniu de urmarire tert (lansand un pixel, incarcand un script) fara ca acel domeniu sa seteze cu succes un cookie -- de exemplu, daca browserul blocheaza cookie-urile terte. Invers, un cookie de analiza de prima parte poate fi setat fara a contacta un domeniu extern. Ambele comportamente sunt problematice, dar reprezinta mecanisme tehnice diferite si expuneri juridice diferite.

Amploarea activitatii pre-consimtamant este substantiala:

Mediana de 6 este probabil mai informativa decat media. Jumatate din toate site-urile scanate contacteaza cel putin sase domenii externe inainte ca utilizatorul sa aiba vreo oportunitate de a consimti. Acestea nu sunt retele de livrare a continutului sau serverele de fonturi (pe care le excludem din clasificarea urmaririi). Acestea sunt platforme de publicitate si servicii de analiza.

Defalcarea activitatii pre-consimtamant pe categorie de cookie revela scopul real al acestei urmariri:

Aproape unul din trei site-uri web din UE seteaza cookie-uri de analiza inainte de consimtamant. Aproape unul din cinci seteaza cookie-uri de marketing. Pozitia juridica este lipsita de ambiguitate: EDPB a confirmat in mod repetat ca cookie-urile de analiza si marketing necesita consimtamant conform articolului 5 alineatul (3) ePrivacy. Hotararea CJUE in Planet49 a clarificat ca consimtamantul trebuie sa fie un act activ, afirmativ -- si nu poate fi afirmativ daca nu a avut loc inca.

Implicatia practica este ca pana cand un vizitator vede un banner de cookie-uri si ia in considerare daca sa accepte sau sa respinga, browserul lor a fost deja supus amprentei digitale, vizita lor a fost deja inregistrata de platformele de analiza si, in multe cazuri, profilul lor de navigare a fost deja actualizat de retelele de publicitate. Alegerea consimtamantului, cand ajunge, este partial retroactiva -- iar consimtamantul retroactiv nu este deloc consimtamant.

Constatarea 2: Lacuna bannerului de consimtamant

Mai mult de jumatate din site-urile web scanate -- 53.508 din 97.304, sau 55% -- nu au afisat niciun banner de consimtamant pe care sistemul nostru de detectie l-ar fi putut identifica.

Acest numar necesita o interpretare atenta. Nu orice site web fara banner incalca neaparat legea. Un site web care nu seteaza cookie-uri neesientiale si nu contacteaza domenii de urmarire terte poate functiona in mod legitim fara un mecanism de consimtamant. Exceptia ePrivacy pentru cookie-urile "strict necesare" inseamna ca un site care utilizeaza doar cookie-uri de sesiune pentru autentificare sau functionalitate de cos de cumparaturi nu are obligatia de consimtamant pentru acele cookie-uri specifice.

Dar nu aceasta observam. Dintre cele 53.508 de site-uri fara banner detectabil, 18.026 seteaza activ cookie-uri neesientiale si contacteaza domenii de urmarire terte. Aceste site-uri nu au niciun mecanism de consimtamant si urmaresc vizitatorii de la prima incarcare a paginii. Nu avem cunoștință de o bază legală validă pentru acest lucru nici în cadrul GDPR, nici al Directivei ePrivacy.

Site-urile ramase fara bannere se incadreaza in mai multe categorii: site-uri care in mod autentic nu seteaza cookie-uri neesientiale (si prin urmare pot sa nu aiba nevoie de un banner), site-uri care utilizeaza solutii de consimtamant pe care sistemul nostru de detectie nu le-a putut identifica si site-uri care sunt pur si simplu nefunctionale sau domenii cu continut minimal. Biblioteca noastra de detectie cu 45 de CMP-uri plus euristici generice acopera marea majoritate a solutiilor de consimtamant cunoscute, dar implementarile personalizate in cadre sau limbi neobisnuite pot fi omise.

Totusi, cifra de 18.026 este pragul de jos, nu plafonul, pentru site-urile fara banner cu urmarire. Acestea sunt site-uri in care avem dovezi pozitive atat ale activitatii de urmarire, cat si ale absentei bannerului.

Constatarea 3: Butoanele de respingere esueaza in 80% din cazuri

Am dedicat un articol separat acestei constatari, dar merita o acoperire substantiala aici deoarece loveste in inima modelului de consimtamant.

Dintre cele 28.891 de site-uri web in care am detectat si am interactionat cu succes cu un buton de respingere, 80,4% au continuat urmarirea dupa ce utilizatorul a facut clic pe respingere. Doar 5.650 de site-uri (19,6%) au trecut testul fluxului de respingere -- insemnand ca urmarirea s-a oprit efectiv si a ramas oprita.

Esuarile se impart in categorii care se suprapun:

Respawn-ul de consimtamant este un tipar pe care l-am identificat in timpul acestei cercetari. Utilizatorul face clic pe respingere, CMP-ul sterge cookie-urile, iar apoi la urmatoarea incarcare a paginii acele cookie-uri reapar. Pe 1.642 de site-uri, am observat 4.932 de cookie-uri individuale cu acest comportament. Mecanismul variaza -- scripturi terte care se reactiveaza indiferent de starea consimtamantului, manageri de taguri care nu propaga respingerea catre toate serviciile integrate, headere Set-Cookie de pe server care ignora deciziile de consimtamant de pe client -- dar efectul este acelasi. Butonul de respingere devine o pauza temporara, nu o alegere permanenta.

Conform articolului 7 alineatul (3) din GDPR, retragerea consimtamantului trebuie sa fie la fel de usoara ca acordarea acestuia, iar operatorul trebuie sa actioneze in baza acelei retrageri. Un buton de respingere care nu opreste efectiv urmarirea nu indeplineste aceasta cerinta, indiferent de cauza tehnica.

Constatarea 4: Comparatie tara cu tara

GDPR este un singur regulament, dar conformitatea nu este uniforma. Procentul de site-uri web cu risc ridicat variaza cu aproape trei la unu intre statele membre UE.

Tiparul este consecvent cu diferențele în activitatea de aplicare. Germania si Austria -- gazda BfDI, a saisprezece autoritati de protectie a datelor la nivel de land si respectiv DSB -- au fost printre cele mai active autoritati europene in vizarea specifica a incalcarilor de consimtamant si cookie-uri. DSB a emis una dintre primele decizii de aplicare post-Schrems II. Autoritatile germane de protectie a datelor la nivel de land au efectuat audituri sectoriale de cookie-uri si au emis orientari prescriptive cu privire la ceea ce constituie consimtamant valid.

La cealalta extrema, Ungaria, Cehia, Romania si Polonia au autoritati de protectie a datelor care sunt in mod tipic subfinantate relativ la dimensiunea economiilor lor digitale si au focalizat istoric aplicarea pe incalcari ale datelor si cereri de acces la date, mai degraba decat pe consimtamantul pentru cookie-uri. Aceasta nu este o critica a acelor autoritati -- ele opereaza cu bugetele pe care le primesc -- dar este o demonstratie clara ca aplicarea determina conformitatea. Acelasi text legal, aplicat cu intensitati diferite de aplicare, produce rezultate marcat diferite.

Franta este instructiva. CNIL a fost unul dintre cele mai vizibile organisme de aplicare din Europa, emitand amenzi record impotriva marilor companii de tehnologie. Totusi, site-urile web franceze se situeaza la 44,1% risc ridicat, aproape de media UE. Explicatia consta probabil in strategia de aplicare a CNIL: actiunile de profil inalt impotriva platformelor mari genereaza titluri, dar nu schimba direct comportamentul miilor de intreprinderi mici si mijlocii care formeaza coada lunga a web-ului. Schimbarea comportamentala ampla necesita fie campanii de aplicare sectoriale (asa cum a urmat Germania), fie o crestere generala a riscului perceput de aplicare.

Acoperim datele pe tari in mai mare detaliu in articolul nostru de comparatie pe tari.

Constatarea 5: Cota de piata CMP si ce ne spune

Dintre cele 43.796 de site-uri web (45%) care au prezentat un banner de consimtamant detectabil, am identificat 45 de platforme distincte de gestionare a consimtamantului. Piata este concentrata in varf, dar fragmentata in coada lunga.

Cea mai mare categorie individuala este "Generic / neidentificat" cu 34,7%. Acestea sunt site-uri care utilizeaza solutii de consimtamant care nu au corespuns niciuneia dintre cele 45 de semnatori CMP din biblioteca noastra de detectie. Acestea includ bare de cookie-uri construite personalizat, pluginuri WordPress nerecunoscute pe scara larga, furnizori CMP regionali si implementari atat de minimale incat constau dintr-un singur div care poate fi inchis cu un buton "Am inteles". Calitatea conformitatii in aceasta categorie este, in medie, semnificativ mai scazuta decat cea a CMP-urilor consacrate, desi nu am publicat inca ratele de conformitate per CMP.

Datele de interactiune cu bannerul revela o alta ingrijorare. Dintre cele 43.796 de bannere detectate:

Aproape unul din cinci bannere de consimtamant nu ofera nicio modalitate vizibila de a respinge cookie-urile neesientiale fara a naviga la un al doilea strat de setari. Orientarile EDPB 05/2020 privind consimtamantul prevad ca refuzul consimtamantului nu ar trebui sa necesite mai mult efort decat acordarea acestuia. Un design care necesita clicuri suplimentare pentru a refuza, dar ofera acceptare cu un singur clic este, conform acestor orientari, un dark pattern care submineaza validitatea consimtamantului.

Am detectat si implementari specifice de dark pattern: 3.454 de site-uri (7,9% dintre cele cu bannere) au plasat optiunea de respingere doar intr-un al doilea strat, 84 de site-uri au utilizat ziduri de cookie-uri (blocand continutul pana la acordarea consimtamantului), iar 137 de site-uri au prezentat evitarea consimtamantului de catre boti -- ascunzand deliberat bannerul de scanerele automate in timp ce il afisau vizitatorilor umani.

Constatarea 6: Abuzul duratei de viata a cookie-urilor

CNIL recomandă o durată maximă de viață a cookie-urilor de 13 luni — un standard adoptat sau referențiat de mai multe alte autorități naționale pentru protecția datelor. Aceasta nu este o limită juridică strictă în textul GDPR, dar reflectă o interpretare a principiului limitării stocării (articolul 5 alineatul (1) litera (e)) aplicată identificatorilor de urmărire.

Scanarea noastra a gasit 26.250 de site-uri web (27%) cu cel putin un cookie care depaseste pragul de 13 luni, cuprinzand 58.127 de cookie-uri individuale in total.

Cel mai frecvent infractor este cookie-ul `_ga` utilizat de Google Analytics, care este setat cu o durata de viata implicita de doi ani. Aceasta inseamna ca si site-urile web cu mecanisme de consimtamant altfel functionale sunt adesea in incalcare pur si simplu pentru ca nu au suprascris expirarea implicita a cookie-ului GA. Este o problema de configurare, nu o limitare tehnica -- Google Analytics permite durate de viata personalizate ale cookie-urilor -- dar valoarea implicita nu este conforma cu orientarile EDPB, iar majoritatea operatorilor de site-uri nu o schimba niciodata.

Cookie-urile cu durata lunga de viata creeaza un risc de confidentialitate care se acumuleaza. Un cookie de doi ani nu este doar "putin mai mult decat 13 luni." Inseamna ca un utilizator care viziteaza un site o data, consimte si nu se mai intoarce poate fi in continuare identificat si urmarit de analiza acelui site timp de doi ani. Daca utilizatorul retrage ulterior consimtamantul sau baza legala se schimba, cookie-ul persista ca un identificator fantoma pana cand expira.

Constatari suplimentare

Cateva alte constatari din studiu merita o mentiune succinta:

Amprenta digitala. Am detectat semnale de amprenta digitala a browserului (amprenta canvas, amprenta WebGL, amprenta audio context) pe 4.114 site-uri web (4,2%). Amprenta digitala este deosebit de ingrijoratoare deoarece nu poate fi eliminata prin stergerea cookie-urilor -- utilizeaza caracteristici inerente ale browserului si dispozitivului ca identificatori. Directiva ePrivacy trateaza amprenta digitala ca echivalenta cu urmarirea bazata pe cookie-uri in scopuri de consimtamant. Nepotriviri Google Consent Mode. Dintre site-urile care implementeaza Google Consent Mode, 28,4% au fost detectate ca utilizandu-l, in timp ce 13,7% dintre site-urile care folosesc servicii Google nu au aratat nicio implementare Consent Mode. Mai ingrijorator, 11,9% au aratat nepotriviri -- starea de consimtamant raportata catre API-ul Google nu corespundea cu comportamentul real de urmarire observat in browser. Aceasta inseamna ca CMP-ul spune Google ca consimtamantul a fost refuzat, dar cererile de urmarire continua sa fie declansate. Accesibilitate. Bannerele de consimtamant sunt elemente UI obligatorii din punct de vedere legal, iar daca sunt inaccesibile, un segment de utilizatori nu isi poate exercita drepturile. Dintre bannerele detectate: 25% aveau tinte de atingere sub dimensiunile minime recomandate, 15,2% aveau text cu contrast scazut, iar 3,4% nu erau accesibile prin tastatura. Un banner care nu poate fi operat prin tastatura refuza efectiv alegerea consimtamantului utilizatorilor care depind de tehnologia asistiva -- o incalcare care intersecteaza atat GDPR, cat si reglementarile de accesibilitate.

Distributia generala a riscului

In ansamblu, clasificarea agregata a riscului celor 97.304 site-uri scanate:

Rata de 14,9% neconcludenta reflecta site-urile in care scanerul nu a putut ajunge la o determinare fiabila -- de obicei din cauza detectarii botilor, a arhitecturilor complexe de aplicatii cu o singura pagina sau a comportamentului dependent de timp. Raportam aceste cazuri in mod onest, in loc sa le fortam intr-o clasificare admis/respins, deoarece increderea falsa in datele de conformitate este mai rea decat incertitudinea recunoscuta.

Ce inseamna acest lucru pentru proprietarii de site-uri web

Daca operati un site web care deserveste vizitatori din UE, patru actiuni abordeaza cele mai frecvente si cele mai riscante constatari:

1. Auditati ce se incarca inainte de consimtamant. Deschideti site-ul intr-o fereastra de browser privata, deschideti instrumentele de dezvoltare si urmariti filele Retea si Aplicatie inainte de a interactiona cu orice banner. Daca vedeti cereri catre domenii de analiza sau publicitate, sau cookie-uri de la aceste servicii aparand, comportamentul vostru pre-consimtamant este neconform. Solutia este de obicei configurarea managerului de taguri: asigurati-va ca scripturile neesientiale sunt blocate pana cand consimtamantul afirmativ este inregistrat. 2. Testati-va fluxul de respingere de la un capat la altul. Faceti clic pe respingere pe propriul banner, apoi verificati daca cookie-urile neesientiale au disparut. Apoi reincarcati pagina si verificati din nou. Daca cookie-urile reapar, aveti o problema de respawn de consimtamant care necesita investigarea scripturilor care va ocolesc mecanismul de consimtamant. Datele noastre arata ca aceasta afecteaza un numar surprinzator de mare de site-uri, chiar si pe cele care utilizeaza CMP-uri reputate. 3. Verificati duratele de viata ale cookie-urilor. Daca utilizati Google Analytics cu setarile implicite, cookie-ul vostru `_ga` are o durata de viata de doi ani. Schimbati-o la 13 luni sau mai putin. Revizuiti toate cookie-urile pe care site-ul vostru le seteaza si asigurati-va ca niciunul nu depaseste maximul recomandat de 13 luni. Aceasta este o corectie rapida de configurare care elimina o constatare de conformitate obisnuita. 4. Asigurati-va ca bannerul este accesibil si ofera respingere in primul strat. Daca optiunea de respingere necesita navigarea la o a doua pagina de setari in timp ce "Accepta tot" este un singur clic, mecanismul de consimtamant poate sa nu indeplineasca orientarile EDPB. Revizuiti bannerul pentru accesibilitate prin tastatura, dimensionarea tintelor de atingere si rapoartele de contrast.

Note metodologice si limitari oneste

Dorim sa fim transparenti cu privire la ce poate si ce nu poate sa va spuna acest studiu.

Ce masoara bine: Comportamentul pre-consimtamant, inventarele de cookie-uri, cererile de retea catre domenii de urmarire cunoscute, prezenta si structura bannerului, rezultatele fluxului de respingere si duratele de viata ale cookie-urilor. Acestea sunt masuratori obiective, bazate pe dovezi, inregistrate din comportamentul real al browserului. Ce masoara imperfect: Detectia CMP nu este 100% cuprinzatoare. Site-urile care utilizeaza solutii de consimtamant care nu se afla in biblioteca noastra de 45 CMP-uri pot fi categorizate gresit ca neavand banner. Bannerele dependente de GeoIP se pot afisa diferit in functie de locatia de retea a scanerului. Aplicatiile cu o singura pagina care gestioneaza consimtamantul in starea de pe client fara modificari DOM sunt mai greu de evaluat. Unele site-uri detecteaza browserele automate si isi modifica comportamentul in consecinta (am gasit 137 care fac acest lucru deliberat). Ce nu masoara: Revendicarile de interes legitim (care necesita o evaluare juridica, nu tehnica), calitatea politicilor de confidentialitate, daca inregistrarile de consimtamant sunt stocate corespunzator sau daca activitatile de prelucrare a datelor sunt proportionale. Acestea sunt dimensiuni importante ale conformitatii care nu sunt observabile doar din comportamentul browserului.

Rata de 14,9% neconcludenta este supapa noastra de siguranta pentru site-urile in care nu am putut ajunge la o determinare tehnica fiabila. Preferem incertitudinea onesta in locul preciziei false.

---

Verificati propriul site web. Rulati o scanare gratuita pe gdprprivacymonitor.eu si vedeti exact ce se intampla inainte, in timpul si dupa consimtamant pe site-ul vostru. Scanerul produce aceleasi dovezi prezentate in acest studiu -- instantanee pre-consimtamant, inventare de cookie-uri, rezultate ale fluxului de respingere si clasificarea riscului -- pentru orice URL pe care il trimiteti.