Un site de business din România arată, la prima vedere, destul de simplu: o pagină de servicii, un blog, un formular de contact, poate un chat. Sub capotă, însă, o scanare de cookie-uri scoate rar mai puțin de zece domenii terțe. Google Analytics și Meta Pixel sunt doar vârful listei; în ultimii ani li s-au adăugat TikTok Pixel, LinkedIn Insight Tag, pixelul Microsoft Advertising, instrumente de heatmap sau de marketing automation instalate de agenții diferite, în ani diferiți, de oameni care nu mai lucrează acolo. Problema juridică nu e că aceste tehnologii există, ci că majoritatea lor pornesc odată cu pagina, înainte ca vizitatorul să apese orice buton. Diferența dintre un site conform și unul vulnerabil la o plângere nu stă în designul bannerului, ci în ce se încarcă în primele milisecunde.
Ce colectează, concret, pixelii de social media
Toți funcționează pe același principiu: un fragment de JavaScript încărcat de pe infrastructura platformei, care scrie un identificator în browser și raportează evenimente. Ce diferă sunt numele și domeniile — utile de știut, pentru că pe ele se face verificarea.
- TikTok Pixel încarcă scriptul de pe infrastructura TikTok for Business, scrie un cookie de identificare a vizitatorului (_ttp) și citește parametrul de click ttclid din URL, pentru a lega o reclamă de o conversie.
- LinkedIn Insight Tag aduce codul de pe domeniile LinkedIn și lucrează cu cookie-uri precum li_sugr, bcookie, lidc sau UserMatchHistory, inclusiv pentru funcțiile de audiență și de raportare demografică a traficului.
- Meta Pixel scrie _fbp și folosește fbclid; Microsoft Advertising (UET) scrie _uetsid și _uetvid.
Pe lângă identificator, fiecare apel transmite adresa IP, user-agentul, URL-ul paginii, referrer-ul și evenimentul declanșat — vizualizare, trimitere formular, descărcare de ofertă. Multe implementări B2B activează și potrivirea avansată, adică trimit adresa de e-mail sau numărul de telefon în formă hash-uită. Acolo discuția nu mai e despre „un cookie de analiză”, ci despre transmiterea de date personale către un operator din afara companiei.
În ce categorie intră: marketing, nu „statistică”
Greșeala cea mai frecventă în declarațiile de cookie-uri românești e încadrarea pixelilor publicitari la „statistică”, pe motiv că firma îi folosește doar ca să vadă câte conversii a generat o campanie. Scopul declarat de site nu schimbă natura tehnologiei: identificatorul ajunge la o platformă publicitară, care îl poate folosi pentru audiențe și retargetare. Documentația oficială o spune limpede — centrul de ajutor TikTok for Business descrie pixelul ca instrument de optimizare a reclamelor și de construire a audiențelor, iar ghidurile LinkedIn pentru Campaign Manager prezintă Insight Tag ca bază pentru retargetare și raportare de campanie. Prin urmare: categoria corectă este marketing/publicitate, iar temeiul este consimțământul prealabil, nu interesul legitim.
Tot aici intră și chestiunea transferurilor: pixelii aparțin unor companii din afara UE, iar acest lucru trebuie spus în politica de cookie-uri, nu ascuns într-o notă generală.
Consent Mode rezolvă doar partea Google
Multe site-uri cred că sunt acoperite pentru că au activat Consent Mode. Confuzia e explicabilă, dar costisitoare. Consent Mode este un mecanism Google: transmite semnale precum ad_storage, analytics_storage, ad_user_data și ad_personalization către tag-urile Google — GA4, Google Ads, Floodlight. Tag-urile TikTok, LinkedIn, Meta sau Microsoft nu citesc aceste semnale. Dacă pixelul TikTok e lipit direct în <head> sau rulează dintr-un tag personalizat fără condiții, el pornește indiferent ce a bifat vizitatorul în banner.
Există nuanțe: în Google Tag Manager se pot configura verificări suplimentare de consimțământ pentru tag-uri non-Google, iar fiecare platformă are propriile setări de limitare a utilizării datelor. Dar toate acestea sunt configurări manuale, tag cu tag, pe care cineva trebuie să le facă și să le reverifice după fiecare campanie nouă. Consent Mode nu e un comutator care curăță tot site-ul.
Blocarea până la acord și cum o verifici în cinci minute
Blocarea prealabilă înseamnă că scripturile nemarcate drept necesare nu se execută deloc până la acord. Tehnic, se face fie prin tag manager cu declanșatoare condiționate de consimțământ, fie prin rescrierea tipului scriptului (din text/javascript în text/plain) și interceptarea injectărilor ulterioare cu un MutationObserver. A doua variantă e cea care prinde și pixelii adăugați direct în temă sau prin plugin-uri.
Verificarea e simplă și n-are nevoie de instrumente plătite. Șterge cookie-urile pentru domeniul tău, deschide fila Network din consola browserului, încarcă pagina și — fără să atingi bannerul — caută apeluri către domeniile pixelilor: analytics.tiktok.com, px.ads.linkedin.com, snap.licdn.com, connect.facebook.net, bat.bing.com. Dacă apar, blocarea nu funcționează. Repetă testul după un refuz explicit și, important, pe o pagină de produs sau de ofertă, nu doar pe homepage — acolo stau de obicei tag-urile adăugate ad-hoc.
Ce rezolvă un CMP și ce rămâne în curtea ta
Un Consent Management Platform face patru lucruri pe care echipele interne le ratează constant: scanează periodic site-ul și descoperă trackerele noi apărute între două campanii, le încadrează în categorii, le blochează până la acord fără să fie nevoie de configurare separată pentru fiecare furnizor și păstrează un jurnal al consimțămintelor care poate fi prezentat la o verificare. Soluțiile locale funcționează pe aceeași logică — CookieFix, de exemplu, oferă un banner care blochează automat trackerele terțe și generează declarația de cookie-uri din rezultatele scanării.
Ce nu rezolvă niciun instrument: integrările server-to-server. Dacă trimiți conversii prin Events API sau prin API-ul de conversii al unei platforme, acel flux nu trece prin browser și nu e oprit de banner — trebuie condiționat în propriul cod de starea consimțământului. La fel, formularele care trimit lead-uri direct într-un CRM extern au nevoie de o bază legală proprie.
Dacă administrezi un site de business, ordinea practică e aceasta: fă un inventar real al tag-urilor din tag manager, din temă și din plugin-uri; cere fiecărui departament să justifice ce folosește și scoate ce nu produce rapoarte citite de nimeni; mută restul sub blocare prealabilă; reclasifică pixelii publicitari la marketing în declarație; apoi rulează testul din Network pe trei pagini diferite. Repetă-l la fiecare lansare de campanie — acolo apar, de regulă, trackerele pe care nimeni nu le-a anunțat.
