Tracking înainte de consimțământ: ce este și de ce autoritățile îl tratează ca o încălcare

Trackingul înainte de consimțământ este o categorie de constatări din scannerul nostru. Se declanșează atunci când, între începutul unei încărcări proaspete a paginii și momentul în care utilizatorul efectuează vreo acțiune asupra bannerului de consimțământ, browserul trimite una sau mai multe cereri de rețea care transportă identificatori, conțin payload-uri analitice neesențiale sau setează cookie-uri neesențiale.

Acesta este cel mai frecvent defect pe care îl detectăm. În scanarea noastră a 97.000 de site-uri din UE, majoritatea clasificărilor cu risc ridicat au fost determinate de tracking înainte de consimțământ, nu de absența bannerelor sau de butoanele de respingere defecte.

Ce caută scannerul

Detectorul urmărește rețeaua din momentul în care browserul emite cererea de document până când are loc unul dintre cele trei evenimente:

1. Utilizatorul face clic pe un buton al bannerului de consimțământ (acceptă, respinge, setări).
2. Este scris un cookie sau o intrare localStorage măsurabilă privind starea consimțământului.
3. Expiră un timeout (implicit 8 secunde) fără niciun semnal de consimțământ.

Orice cerere care se declanșează în acest interval este examinată pentru trei semnale:

• Amprentă de tracker cunoscut. Domeniul țintă, calea cererii sau modelul payload-ului corespunde unei intrări din baza noastră de date a trackerelor. Aceasta include Google Analytics, Meta Pixel, Hotjar, LinkedIn Insight, TikTok Pixel, pixelii de conversie X și multe altele.
• Payload purtător de identificator. Cererea transportă un identificator stabil al clientului (cookie, hash de amprentare sau parametru de interogare care persistă între pagini).
• Scriere de cookie neesențial. Răspunsul setează un cookie care, după clasificare, nu este strict necesar pentru funcționalitatea site-ului.

Oricare dintre acestea este suficient pentru a declanșa constatarea. Toate trei împreună reprezintă tiparul tipic pentru un container Google Tag Manager care se declanșează înainte de gateul de consimțământ.

Cadrul juridic, pe scurt

Nu suntem avocatul dumneavoastră. Faptele simple:

• GDPR Art. 6(1)(a) impune un temei legal valid pentru prelucrarea datelor cu caracter personal. Pentru trackerele neesențiale, acesta este consimțământul.
• GDPR Art. 7 stabilește standardul pentru ceea ce înseamnă un consimțământ valid: liber acordat, specific, informat, neechivoc și revocabil.
• ePrivacy Directive Art. 5(3) impune în mod expres consimțământul înainte de stocarea sau accesarea informațiilor pe echipamentul terminal al utilizatorului — adică înainte de a citi sau scrie cookie-uri și identificatori similari. Dacă o anumită cerere de rețea anterioară consimțământului ajunge la o încălcare depinde de faptul dacă citește sau scrie informații pe dispozitiv, dacă transportă identificatori și dacă poate fi justificată ca „strict necesară" — acestea sunt întrebările pe care autoritățile le cântăresc.

Implementările naționale diferă în detaliu. TTDSG-ul Germaniei (acum TDDDG) și transpunerea franceză prin Loi Informatique et Libertés, pusă în aplicare de CNIL, au produs cea mai vizibilă activitate de aplicare. DPAs din întreaga UE au avertizat cu privire la tiparele de tracking înainte de consimțământ; pragurile concrete de aplicare variază în funcție de jurisdicție. Principiul de fond este același peste tot: mai întâi consimțământul, apoi trackerul.

Ce au făcut efectiv autoritățile

O cronologie scurtă și parțială a deciziilor în care trackingul înainte de consimțământ a fost constatarea centrală:

• CNIL v. Google (decembrie 2020): 100 milioane EUR pentru plasarea de cookie-uri publicitare pe google.fr fără consimțământ prealabil.
• CNIL v. Amazon Europe Core (decembrie 2020): 35 milioane EUR pentru același tipar pe amazon.fr.

Acestea nu sunt singurele cazuri — sunt cele de referință. Tiparul comun este consecvent: autoritatea a măsurat comportamentul rețelei și a tratat realitatea tehnică drept decisivă, indiferent de textul politicii.

Scripturile care îl provoacă cel mai des

Aproximativ în ordinea frecvenței cu care le întâlnim drept cauză principală a unei scanări cu risc ridicat:

• Containere Google Tag Manager configurate fără gating prin Consent Mode, sau cu Consent Mode configurat greșit, astfel încât starea implicită este „granted".
• Meta Pixel încărcat direct prin <script src>, în loc să fie gestionat prin intermediul unui callback de consimțământ.
• Hotjar session recording pornit înainte ca bannerul să fie închis.
• LinkedIn Insight pentru retargeting B2B, în special pe site-uri de agenții și SaaS.
• TikTok Pixel pe e-commerce de consum.
• Implementări de analytics first-party care citesc proprietăți navigator sau setează cookie-uri de fingerprinting înainte de orice acțiune a utilizatorului.

Factorul comun nu este aproape niciodată scriptul în sine — este implementarea. Fiecare dintre acești furnizori publică o metodă documentată pentru a condiționa declanșarea de un semnal de consimțământ; instrucțiunile de instalare implicite, totuși, frecvent nu o menționează.

Cum arată o scanare curată

Un site care trece verificarea noastră de pre-consent face unul dintre următoarele lucruri:

1. Nu încarcă deloc tracking de la terți până la acordarea consimțământului. Cookie-urile funcționale (sesiune, preferință de limbă, CSRF) sunt în regulă.
2. Încarcă tag managerul în starea „denied", cu toate tagurile neesențiale gestionate prin semnale explicite de consimțământ, și actualizează starea prin Google Consent Mode v2 sau un mecanism echivalent după acțiunea utilizatorului.
3. Încarcă stub-uri de tracker care nu transmit identificatori până când flagul de consimțământ este setat.

În corpusul nostru din T1 2026 cu 97.000 de site-uri din UE, 68% aveau un serviciu de tracking activ înainte de orice decizie de consimțământ. Minoritatea de site-uri care trec verificarea de pre-consent tinde să împărtășească un profil: rețeaua din fereastra de pre-consent este dominată de documentul în sine, fișierele CSS și de fonturi și un favicon — nimic care să transporte un identificator în afara dispozitivului.

Cum se remediază

Versiunea sinceră: nu există scurtătură. Fiecare tag trebuie auditat pentru a stabili dacă se declanșează înainte ca semnalul de consimțământ să fie setat. Pași care funcționează în practică:

1. Deschideți site-ul într-un profil de browser curat, cu dev tools deschise.
2. Filtrați rețeaua pe „third-party" și reîncărcați.
3. Orice se declanșează înainte să faceți clic pe un buton al bannerului este un candidat.
4. Pentru fiecare candidat, identificați loaderul (de obicei un script tag, un trigger de tag manager sau un snippet inline) și condiționați-l de semnalul de consimțământ.
5. Retestați. Repetați până când fereastra de pre-consent este lipsită de trackere.

Dacă utilizați o platformă de gestionare a consimțământului, modul „blochează până la consimțământ" al platformei este necesar, dar nu suficient — multe CMP-uri blochează doar scrierea cookie-ului, nu cererea. Article 5(3) al ePrivacy Directive impune consimțământul înainte de stocarea sau accesarea informațiilor pe dispozitivul utilizatorului (cookie-uri, local storage, identificatori similari). Dacă o anumită cerere de rețea anterioară consimțământului declanșează această obligație depinde de ceea ce cererea citește de pe sau scrie pe dispozitiv — o întrebare care ține de fapte concrete.

Pentru un exemplu practic pe propriul domeniu, rulați o scanare și examinați panoul „pre-consent network" al raportului. Fiecare cerere problematică este listată cu stiva sa de inițiator, astfel încât să o puteți urmări până la fișierul sursă din codebase-ul dumneavoastră.