Marketing direct și GDPR (email, SMS, cookies)

Marketingul direct prin email, SMS și apeluri automate este permis, ca regulă, doar cu opt-in: consimțământ prealabil, expres și demonstrabil. Se aplică simultan două cadre — GDPR (ce date, pe ce temei) și Legea nr. 506/2004 (cum trimiți mesajul și cum pui cookie-uri). Singura excepție este „soft opt-in-ul” pentru clienți existenți și produse similare. Destinatarul se poate opune oricând, gratuit și fără justificare.

Pe scurt

Marketingul direct electronic (email, SMS, apeluri automate) și cookie-urile de urmărire sunt guvernate simultan de două seturi de reguli: GDPR (cine, ce date, pe ce temei) și regulile ePrivacy transpuse prin Legea nr. 506/2004 (cum trimiți efectiv mesajul, cum pui cookie-uri). Regula de bază este opt-in — consimțământ prealabil, expres și demonstrabil — cu o singură excepție îngustă („soft opt-in") pentru clienți existenți și produse similare. Interesul legitim din GDPR nu înlocuiește consimțământul cerut de ePrivacy pentru trimiterea mesajului, iar destinatarul are oricând dreptul de a se opune, gratuit și fără justificare.

Cadrul legal

Marketingul direct se află la intersecția a două regimuri care se aplică cumulativ, nu alternativ:

• GDPR — Regulamentul (UE) 2016/679 — reglementează prelucrarea datelor personale (adrese de email, numere de telefon, identificatori online): pe ce temei legal prelucrezi, cum obții un consimțământ valabil și ce drepturi are persoana.
• ePrivacy — Directiva 2002/58/CE, transpusă în România prin Legea nr. 506/2004 — reglementează canalul de comunicare: trimiterea efectivă de mesaje comerciale și instalarea de cookie-uri. Este lex specialis față de GDPR: pentru comunicații electronice, regulile sale au prioritate, iar validitatea consimțământului cerut se apreciază după standardul GDPR.

Email, SMS și apeluri automate — regula opt-in

Art. 12 alin. (1) din Legea nr. 506/2004 — Este interzisă efectuarea de comunicări comerciale prin utilizarea unor sisteme automate de apelare care nu necesită intervenția unui operator uman, prin fax ori prin poștă electronică sau prin orice altă metodă care folosește serviciile de comunicații electronice destinate publicului, cu excepția cazului în care abonatul vizat și-a exprimat în prealabil consimțământul expres pentru a primi asemenea comunicări. Sursa: Legea 506/2004 (accesat 2026-09-07)

Aceeași regulă apare și în legea comerțului electronic:

Art. 6 alin. (1) din Legea nr. 365/2002 — Efectuarea de comunicări comerciale prin poșta electronică este interzisă, cu excepția cazului în care destinatarul și-a exprimat în prealabil consimțământul expres pentru a primi asemenea comunicări. Sursa: Legea 365/2002, republicată (accesat 2026-09-07)

„Poșta electronică" acoperă e-mailul, SMS/MMS și mesageria (WhatsApp, Messenger etc.) — orice metodă care păstrează mesajul până când destinatarul îl poate citi.

Excepția „soft opt-in" pentru clienți existenți

Art. 12 alin. (2) din Legea nr. 506/2004 — Persoana care obține în mod direct adresa de poștă electronică a unui client, cu ocazia vânzării către acesta a unui produs sau serviciu, poate utiliza adresa respectivă pentru comunicări comerciale referitoare la produse sau servicii similare, cu condiția de a oferi clar și expres posibilitatea de a se opune, printr-un mijloc simplu și gratuit, atât la obținerea adresei, cât și cu ocazia fiecărui mesaj. Sursa: Legea 506/2004 (accesat 2026-09-07)

Interdicția mesajelor „mascate"

Art. 12 alin. (3) din Legea nr. 506/2004 — Este interzisă transmiterea prin poștă electronică de comunicări comerciale în care identitatea reală a expeditorului este ascunsă sau în care nu se specifică o adresă valabilă la care destinatarul să poată cere încetarea comunicărilor.

Cookies și tehnologii de urmărire

Art. 4 alin. (5) din Legea nr. 506/2004 — Stocarea de informații sau obținerea accesului la informația stocată în echipamentul terminal al unui abonat ori utilizator este permisă numai cu îndeplinirea cumulativă a condițiilor: a) abonatul/utilizatorul și-a exprimat acordul; b) i s-au furnizat, anterior, informații clare și complete despre scopul prelucrării. Sursa: Legea 506/2004 (accesat 2026-09-07)

Temeiul și drepturile din GDPR

• Art. 6 alin. (1) lit. a) — consimțământul ca temei; lit. f) — interesul legitim (posibil, în limite).
• Art. 4 pct. 11 și Art. 7 — consimțământul trebuie să fie liber, specific, informat, neechivoc, demonstrabil, iar retragerea lui la fel de ușoară ca acordarea.
• Art. 21 alin. (2)–(4) — dreptul de opoziție la marketing direct este absolut: la opoziție, prelucrarea în acest scop încetează; dreptul include profilarea și trebuie adus în atenția persoanei încă de la prima comunicare.
• Considerentul (47) — marketingul direct poate fi un interes legitim; Considerentul (70) — opoziția este gratuită și poate fi exercitată oricând.

Sursa: GDPR (accesat 2026-09-07)

Explicație detaliată

Cele două „straturi" de reguli — și de ce contează ordinea

Cea mai frecventă greșeală în marketingul direct este să tratezi GDPR și ePrivacy ca pe același lucru. Ele răspund la întrebări diferite:

• GDPR întreabă: am voie să prelucrez aceste date personale și pe ce temei?
• ePrivacy / Legea 506/2004 întreabă: am voie să trimit efectiv acest mesaj pe acest canal (sau să pun acest cookie)?

Trebuie să treci ambele teste. De aceea, chiar dacă ai construi o evaluare de interes legitim (LIA) impecabilă sub GDPR pentru a trimite un email de marketing unui prospect nou, tot ai încălca legea: Art. 12 din Legea 506/2004 cere opt-in prealabil pentru trimiterea mesajului. Interesul legitim din GDPR nu „ocolește" cerința de consimțământ din regulile de canal. Poziția Comitetului European pentru Protecția Datelor (EDPB) este clară: ePrivacy este lex specialis și are prioritate pentru comunicațiile electronice.

Când e opt-in și când e „soft opt-in"

Regula generală (opt-in): înainte de a trimite email/SMS de marketing, ai nevoie de un consimțământ prealabil, expres și separat. „Prealabil" = obținut înainte de primul mesaj. „Expres" = printr-o acțiune afirmativă clară (o bifă neprebifată dedicată marketingului). „Separat" = nu îngropat în acceptarea termenilor și condițiilor sau a unui regulament de concurs.

Excepția „soft opt-in" se aplică numai dacă sunt îndeplinite cumulativ toate condițiile:

1. adresa de email a fost obținută direct de la client, cu ocazia unei vânzări (nu de la un terț, nu de la un simplu formular de newsletter);
2. comunicarea privește produse sau servicii similare cu cele cumpărate;
3. clientului i s-a oferit posibilitatea de a se opune simplu și gratuit atât la momentul colectării, cât și în fiecare mesaj ulterior.

Excepția este de strictă interpretare. Un client care a cumpărat un abonament de software nu poate primi, pe acest temei, oferte pentru un produs complet diferit; iar excepția, formulată pentru adresa de email, nu se extinde din oficiu la apeluri telefonice de marketing.

Marketingul B2B nu este „liber"

O confuzie răspândită este că regulile nu s-ar aplica adreselor „de firmă". În realitate:

• Adresele nominale de tip [email protected] sunt date personale și intră sub GDPR.
• Art. 12 din Legea 506/2004 folosește termenul „abonat". Spre deosebire de „utilizator" (definit la Art. 2 ca orice persoană fizică), „abonatul" se definește prin legea-cadru a comunicațiilor electronice (OUG nr. 111/2011) ca persoană fizică sau juridică care a încheiat un contract cu un furnizor. De aceea opt-in-ul din Art. 12 se aplică și în B2B pentru poșta electronică — România a exercitat astfel opțiunea din Art. 13 alin. (5) al Directivei 2002/58/CE, care lasă la latitudinea statului membru protecția abonaților persoane juridice.
• Nuanță practică: o adresă generică fără date personale (office@, contact@) iese din sfera GDPR, dar rămâne sub regula de canal ePrivacy; în schimb ANSPDCP — autoritate de protecția datelor — intervine mai ales acolo unde sunt prelucrate date personale. Doctrina română nu este pe deplin unanimă asupra întinderii practice a opt-in-ului B2B, dar temeiul din definiția „abonatului" există. Marja B2B vine din interesul legitim (Considerentul 47) pentru prelucrări conexe și dintr-o așteptare rezonabilă mai mare a destinatarului profesionist — dar canalul rămâne guvernat de opt-in / soft opt-in, iar dreptul de opoziție se aplică oricum.

Telemarketing prin operator uman — un regim diferit

Art. 12 din Legea 506/2004 vizează expres „sisteme automate de apelare care nu necesită intervenția unui operator uman", fax și poștă electronică. Apelul de telemarketing efectuat de un om, în direct, nu intră sub regula opt-in prealabil din Art. 12 — regimul lui de canal este, practic, opt-out. Asta nu înseamnă că este liber:

• prelucrarea numărului de telefon are nevoie de un temei GDPR (de regulă interesul legitim, cu LIA documentat) și de informarea persoanei;
• Art. 21 alin. (2)–(3) GDPR dă un drept de opoziție absolut: la prima cerere, apelurile de marketing trebuie să înceteze, iar persoana trebuie ținută pe o listă de suprimare.

Atenție: în România nu există (la data redactării) un registru oficial „Nu sunați" / listă națională de opoziție ex-ante (de tip TPS din Marea Britanie). Fiecare operator își gestionează propria listă de opoziții. Apelurile automate (robocall) și mesajele preînregistrate rămân, în schimb, sub opt-in-ul strict din Art. 12.

Ce temei GDPR pui în spatele soft opt-in-ului

Regulile de canal (ePrivacy) și temeiul de prelucrare (GDPR) sunt straturi diferite și trebuie mapate explicit:

La soft opt-in nu ai consimțământ (deci nu lit. a) și, de regulă, nici executarea contractului (lit. b) — marketingul nu este necesar pentru a livra produsul cumpărat. În registrul prelucrărilor (Art. 30 GDPR) treci: scopul „marketing direct pentru produse/servicii similare", temeiul „interes legitim (f)", trimiterea la LIA și mențiunea dreptului de opoziție oferit la fiecare mesaj.

Cookies și trackere: consimțământ, nu „notificare"

Bannerul de cookies nu este o formalitate. Conform Art. 4 alin. (5) din Legea 506/2004:

• pentru cookie-urile și tehnologiile neesențiale (analytics, remarketing, publicitate, audiențe personalizate) ai nevoie de consimțământ prealabil valabil, obținut înainte de a le activa;
• consimțământul trebuie să fie la fel de ușor de refuzat ca de acceptat (buton „Resping" la același nivel cu „Accept"), fără casete prebifate și fără „cookie walls" abuzive;
• excepție: cookie-urile strict necesare (de ex. menținerea sesiunii, coșul de cumpărături, securitate) nu cer consimțământ.

Standardul de validitate al acestui consimțământ este cel din GDPR (Art. 4 pct. 11 și Art. 7): liber, specific, informat, neechivoc.

„Consimțământ sau plată" (cookie-walls / pay-or-okay). Modelul devenit standard pe site-urile media — accepți trackerele publicitare sau plătești un abonament pentru a le evita — pune sub semnul întrebării caracterul liber al consimțământului (Art. 4 pct. 11 și Art. 7 alin. (4) GDPR). Prin Opinia 08/2024, EDPB a stabilit că, în cazul marilor platforme online, o alegere binară (accept tracking / plătesc) nu produce, în majoritatea cazurilor, un consimțământ valabil: operatorii ar trebui să ofere și o alternativă echivalentă gratuită fără publicitate comportamentală (de exemplu reclame ne-bazate pe urmărire). Plata nu poate fi singurul mijloc de a refuza trackerele.

Sursa: EDPB, Opinia 08/2024 (accesat 2026-09-07)

Dreptul de opoziție — „butonul roșu" al persoanei vizate

Indiferent de temei sau canal, Art. 21 alin. (2) GDPR dă persoanei vizate un drept de opoziție absolut la marketingul direct: la prima cerere, prelucrarea în acest scop trebuie să înceteze, fără ca operatorul să poată invoca vreun interes contrar. Dreptul include profilarea în scop de marketing și trebuie prezentat explicit, separat, cel târziu la prima comunicare. În practică, dezabonarea (unsubscribe) trebuie să fie funcțională, gratuită și rapidă.

Aspecte practice

Checklist înainte de o campanie de email/SMS

• Temei clar pentru fiecare contact: consimțământ opt-in sau soft opt-in (client existent + produs similar). Marchează în CRM sursa și data fiecărui consimțământ.
• Dovada consimțământului: păstrează cine, când, cum, la ce text a consimțit (screenshot al formularului, timestamp, versiunea textului). Recomandat double opt-in (email de confirmare) — reduce adresele invalide și oferă probă solidă.
• Bifă dedicată marketingului, neprebifată, distinctă de acceptarea T&C sau a regulamentului unui concurs.
• Dezabonare în fiecare mesaj: link/mecanism simplu, gratuit, funcțional; procesează cererile prompt.
• Identificare corectă a expeditorului și o adresă validă de contact (Art. 12 alin. 3).
• Informare (nota de confidențialitate) accesibilă la momentul colectării: cine ești, scopul, temeiul, durata, drepturile, inclusiv dreptul de opoziție.

Liste cumpărate și „list brokers"

Achiziția de baze de date de contacte pentru marketing este, în practică, aproape imposibil de folosit legal: consimțământul opt-in trebuie să fie specific pentru operatorul care trimite mesajul, iar un consimțământ „general", dat altcuiva, nu se transferă valabil. Dacă totuși primești o listă, cere și verifică dovada consimțământului pentru fiecare persoană și pentru comunicările tale; în lipsa ei, nu o folosi.

Cookies — configurare corectă

• Instalează un Consent Management Platform (CMP) care blochează trackerele până la accept.
• Oferă butoane echivalente „Accept" / „Resping" / „Setări" în primul strat al bannerului.
• Fără casete prebifate, fără scroll = consimțământ, fără trackere activate la încărcarea paginii.
• Documentează consimțământul (log-uri CMP) și permite retragerea la fel de ușor.

Greșeli frecvente (care atrag sancțiuni)

• „Avem interes legitim, deci putem trimite email la prospecți noi." → Fals: ePrivacy cere opt-in pentru canal.
• „Adresa e de firmă, deci nu e GDPR." → Fals pentru adrese nominale; opt-in-ul se aplică și în B2B.
• „Bifa era în T&C." → Consimțământul nu e liber/specific dacă e condiționat sau îngropat.
• „Punem cookie-uri și afișăm doar un banner informativ." → Fără consimțământ prealabil pentru trackere neesențiale = încălcare a Art. 4 alin. (5).
• „Am cumpărat baza de date." → Consimțământul nu se transferă; risc ridicat.

Risc de sancțiune (context practic)

ANSPDCP aplică activ amenzi pentru marketing și cookies neconforme. Din relatări publice: o amendă de 10.000 EUR pentru cookie-uri fără consimțământ (caz mediatizat 2025) și o amendă de 30.000 lei (oct. 2025) pentru încălcarea Art. 4 alin. (5) lit. a) și b) din Legea 506/2004. Plafoanele GDPR (Art. 83) ajung până la 20 mil. EUR sau 4% din cifra de afaceri globală.

Surse: relatări StartupCafe / aadatabox.ro; GDPR, Art. 83 (accesat 2026-09-07).

Împuterniciți și transferuri internaționale

Aproape nicio campanie de marketing direct nu se trimite „cu mâna": folosești o platformă de email/SMS sau un Consent Management Platform (Mailchimp, Brevo, Klaviyo, Meta, Google Ads etc.). Aceste instrumente prelucrează datele tale de contact în numele tău — sunt împuterniciți (procesatori) în sensul GDPR, iar multe dintre ele transferă datele în SUA sau alte țări terțe. Apar astfel două obligații pe care articolul le tratează separat de regulile de canal.

Contractul de prelucrare (Art. 28 GDPR)

Relația cu împuternicitul trebuie guvernată de un contract de prelucrare a datelor (DPA), în scris, cu clauzele obligatorii din Art. 28 alin. (3):

• obiectul, durata, natura și scopul prelucrării; tipul datelor și categoriile de persoane vizate;
• prelucrarea numai pe baza instrucțiunilor documentate ale operatorului;
• confidențialitatea persoanelor autorizate și măsuri de securitate (Art. 32);
• recurgerea la sub-împuterniciți doar cu autorizarea ta (alin. (2) și (4));
• asistență la exercitarea drepturilor persoanelor vizate și la notificarea breșelor;
• ștergerea sau returnarea datelor la finalul prelucrării și punerea la dispoziție a informațiilor necesare pentru audit.

Practic: nu folosi un instrument de marketing fără un DPA semnat — majoritatea furnizorilor îl oferă standard, dar tu ești cel răspunzător că el există și acoperă clauzele de mai sus.

Sursa: Regulamentul (UE) 2016/679, Art. 28 (CELEX 32016R0679, accesat 2026-09-07)

Transferul în SUA / țări terțe (Capitolul V GDPR)

Când platforma stochează sau prelucrează datele în afara SEE, transferul e permis doar cu un mecanism din Art. 44–49:

• Decizie de adecvare (Art. 45). Pentru SUA funcționează EU-US Data Privacy Framework, aprobat prin Decizia de punere în aplicare (UE) 2023/1795 din 10 iulie 2023. Acoperă însă numai organizațiile din SUA auto-certificate și înscrise pe lista DPF — verifică individual dacă furnizorul tău figurează pe listă.
• Clauze contractuale standard (SCC, Art. 46). Dacă furnizorul nu e pe lista DPF, transferul se bazează pe SCC (Decizia 2021/914). După hotărârea CJUE Schrems II (C-311/18, 16 iulie 2020), care a invalidat vechiul Privacy Shield, SCC-urile rămân valabile doar însoțite de o evaluare a impactului transferului (Transfer Impact Assessment) caz-cu-caz și, când legea țării terțe nu asigură protecție echivalentă, de măsuri suplimentare (criptare, pseudonimizare).

Checklist de conformitate a instrumentului: (1) verifică țara de prelucrare și lista de sub-împuterniciți; (2) verifică statutul DPF al furnizorului din SUA; (3) dacă nu e pe listă → SCC + TIA + măsuri suplimentare; (4) semnează DPA cu clauzele Art. 28 alin. (3); (5) documentează transferul în evidența prelucrărilor (Art. 30).

Surse: CJUE, C-311/18 (Schrems II) (CELEX 62018CJ0311); Decizia (UE) 2023/1795 — Data Privacy Framework (CELEX 32023D1795); Decizia 2021/914 — SCC (CELEX 32021D0914). Accesat 2026-09-07.

Situații speciale și remedii

Ce poate face destinatarul mesajelor nesolicitate

Persoana care primește spam sau marketing neconform nu e lipsită de mijloace. GDPR îi dă trei căi, care pot fi folosite și cumulativ:

• Plângere la ANSPDCP (Art. 77 GDPR). Autoritatea poate investiga operatorul și aplica sancțiuni. Este calea cea mai simplă și gratuită.
• Acțiune în instanță (Art. 79 GDPR). Persoana poate cere direct instanței încetarea prelucrării și constatarea încălcării.
• Despăgubiri (Art. 82 GDPR). Persoana are dreptul la despăgubiri pentru prejudiciul material și moral; operatorul răspunde dacă nu dovedește că nu îi este imputabil evenimentul.

Poate obține cineva despăgubiri pentru simplul disconfort al mesajelor nesolicitate? Răspunsul dat de CJUE în Cauza C-300/21, Österreichische Post (4 mai 2023) este nuanțat: (i) simpla încălcare a GDPR nu dă, prin ea însăși, drept la despăgubire; dar (ii) nu există un prag minim de gravitate — și un prejudiciu moral minor trebuie despăgubit, cu condiția să fie real și legat cauzal de încălcare. Hotărârile ulterioare (C-340/21, C-456/22, C-687/21) au confirmat că pierderea controlului asupra datelor sau teama de utilizare abuzivă pot constitui prejudiciu moral, dar reclamantul trebuie să dovedească un prejudiciu efectiv, nu o simplă supărare ipotetică.

Sursa: CJUE, C-300/21 (Österreichische Post) (CELEX 62021CJ0300, accesat 2026-09-07)

Dubla competență: ANSPDCP și ANPC

Aceeași campanie de marketing poate încălca simultan două regimuri, cu două autorități și sancțiuni cumulate:

• ANSPDCP — pentru prelucrarea datelor și regulile ePrivacy (GDPR + Legea 506/2004), cu amenzi până la 20 mil. EUR sau 4% din cifra de afaceri (Art. 83 GDPR).
• ANPC — când marketingul nesolicitat/agresiv este o practică comercială incorectă în sensul Legii nr. 363/2007 (transpunând Directiva 2005/29/CE); comunicările către consumatori ating și OUG nr. 34/2014 privind contractele la distanță.

Cele două temeiuri protejează interese diferite (protecția datelor vs. protecția consumatorului), astfel încât o singură campanie poate atrage sancțiuni de la ambele autorități. La proiectarea unei campanii, verifică deci ambele dimensiuni, nu doar cea GDPR.

Marketing direct către minori

Marketingul către copii are reguli suplimentare:

• Consimțământul (Art. 8 GDPR). Pentru servicii ale societății informaționale oferite direct copilului (newsletter, cont online), consimțământul e valabil dacă minorul are cel puțin 16 ani; sub 16 ani este nevoie de consimțământul sau autorizarea titularului răspunderii părintești. România a păstrat pragul de 16 ani (Legea nr. 190/2018 nu l-a coborât). Operatorul trebuie să depună eforturi rezonabile de verificare a vârstei / autorizării părintești, ținând cont de tehnologia disponibilă (Art. 8 alin. (2)).
• Interdicția din DSA. Art. 28 din Regulamentul (UE) 2022/2065 (DSA) interzice platformelor online să prezinte publicitate bazată pe profilare folosind datele personale ale minorilor — indiferent de consimțământ.

În practică: pentru un newsletter adresat unui public care poate include minori, prevezi verificarea vârstei și un flux de consimțământ parental sub 16 ani, și excluzi profilarea publicitară a minorilor.

Surse: Regulamentul (UE) 2016/679, Art. 8 (CELEX 32016R0679); Regulamentul (UE) 2022/2065 (DSA), Art. 28 (CELEX 32022R2065); Legea nr. 190/2018. Accesat 2026-09-07.

„Îmbătrânirea" consimțământului și transferul bazei de date

Un opt-in nu este veșnic. Legea nu fixează o durată, dar principiul răspunderii (accountability) din Art. 7 alin. (1) cere ca operatorul să poată demonstra oricând un consimțământ valabil. Orientarea EDPB (Guidelines 05/2020) recomandă reînnoirea la intervale adecvate: pentru contactele inactive de mult timp, o campanie de re-permission (reconfirmare) este cea mai sigură soluție înainte de a relua marketingul.

La transferul afacerii — vânzare de active, fuziune — sau în insolvență, baza de date de marketing este un activ, dar consimțământul a fost dat unui operator anume și nu se transferă automat către noul operator. De regulă, noul titular trebuie să reobțină consimțământul înainte de a trimite mesaje, exact ca la listele cumpărate. Lichidatorul sau administratorul judiciar rămâne, la rândul lui, ținut de GDPR: nu poate folosi baza pentru marketing fără un temei valabil.

Sursa: EDPB, Guidelines 05/2020 privind consimțământul (accesat 2026-09-07)

Legislație europeană

Regulile de marketing direct din România sunt, în esență, transpunerea și aplicarea a două acte europene deja explicate mai sus. Această secțiune le fixează prin identificatorii oficiali UE, apoi adaugă ceea ce lipsea din analiză: jurisprudența Curții de Justiție a Uniunii Europene (CJUE) care a definit ce înseamnă un consimțământ valabil pentru mesaje și cookie-uri, plus perspectiva transfrontalieră.

Directive și regulamente aplicabile

Regulamentul (UE) 2016/679 (GDPR) — direct aplicabil în România; guvernează temeiul prelucrării datelor de contact și standardul de consimțământ (Art. 4 pct. 11, Art. 6, Art. 7), dreptul absolut de opoziție la marketing direct (Art. 21) și Considerentele (47) și (70). Sursa: Regulamentul (UE) 2016/679 (CELEX 32016R0679, accesat 2026-09-07)

Directiva 2002/58/CE (ePrivacy) — Art. 13 (comunicări nesolicitate: opt-in și soft opt-in) și Art. 5 alin. (3) (cookies). Lex specialis pentru canalul de comunicare, transpusă în România prin Legea nr. 506/2004 (Art. 12, respectiv Art. 4 alin. (5)). Sursa: Directiva 2002/58/CE (CELEX 32002L0058, accesat 2026-09-07)

Detalierea articolelor și a transpunerii se află în secțiunile „Cadrul legal" și „Explicație detaliată" de mai sus. Pentru comunicarea comercială electronică se adaugă și Directiva 2000/31/CE privind comerțul electronic (transpusă prin Legea nr. 365/2002).

Transpunerea în dreptul român — fără gold-plating

România a transpus fidel standardul european, fără a impune cerințe suplimentare semnificative față de directivă (fără gold-plating): opt-in-ul din Art. 12 din Legea 506/2004 reflectă Art. 13 din Directiva 2002/58, iar excepția „soft opt-in" pentru clienți existenți este preluată identic. Un aspect istoric relevant: regimul cookie-urilor din Art. 4 alin. (5) a trecut de la opt-out (forma inițială din 2004) la opt-in prin OUG nr. 111/2011, tocmai pentru a alinia legea la modificarea adusă directivei prin Directiva 2009/136/CE. Autoritatea de supraveghere este ANSPDCP, iar validitatea consimțământului se apreciază după standardul GDPR — exact abordarea confirmată de CJUE mai jos.

Jurisprudență CJUE

Cauza C-673/17, Planet49 (1 octombrie 2019) — O casetă prebifată, pe care utilizatorul ar trebui să o debifeze, nu reprezintă consimțământ valabil pentru stocarea de cookie-uri. Este nevoie de un comportament activ; standardul aplicabil este cel din GDPR, iar cerința se aplică indiferent dacă informația stocată constituie sau nu dată cu caracter personal. Utilizatorul trebuie informat despre durata cookie-urilor și accesul terților. Sursa: CJUE, C-673/17 (CELEX 62017CJ0673, accesat 2026-09-07)

Cauza C-61/19, Orange România v ANSPDCP (11 noiembrie 2020) — Cauză românească: o clauză contractuală cu casetă prebifată de operator nu constituie consimțământ valabil, iar sarcina probei consimțământului revine operatorului (Art. 7 alin. (1) GDPR). Simpla semnătură a contractului nu dovedește, prin ea însăși, consimțământul dacă nu există indicii că respectiva clauză a fost citită și înțeleasă. Sursa: CJUE, C-61/19 (CELEX 62019CJ0061, accesat 2026-09-07)

Cauza C-102/20, StWL / eprimo (25 noiembrie 2021) — Afișarea de mesaje publicitare direct în inbox-ul unui serviciu de email, în formă asemănătoare emailurilor reale, este „utilizarea poștei electronice în scopul marketingului direct" (Art. 13 din Directiva 2002/58) și este permisă numai cu consimțământ prealabil, specific și informat — indiferent că destinatarii sunt aleși aleatoriu. Directiva se interpretează larg, neutru tehnologic. Sursa: CJUE, C-102/20 (CELEX 62020CJ0102, accesat 2026-09-07)

Cauza C-604/22, IAB Europe (7 martie 2024) — Codul de consimțământ „TC String" din Transparency & Consent Framework (folosit de bannerele de cookies și în publicitatea de tip real-time bidding) este el însuși dată cu caracter personal, iar organizația care stabilește regulile cadrului este operator asociat pentru colectarea preferințelor — deși nu răspunde automat pentru prelucrările ulterioare ale terților. Sursa: CJUE, C-604/22 (CELEX 62022CJ0604, accesat 2026-09-07)

Linia comună a acestor hotărâri: consimțământul cerut pentru mesaje și cookie-uri trebuie să fie o acțiune afirmativă reală, demonstrabilă de operator — nu o casetă prebifată, o clauză ascunsă sau o simplă semnătură.

Aspecte practice din perspectivă europeană

• Valabilitate transfrontalieră. GDPR fiind regulament, standardul de consimțământ este identic în toate statele membre; o companie română care trimite mesaje către destinatari din alte state UE aplică aceleași principii. Regulile de canal (opt-in / cookies) provin însă dintr-o directivă, deci detaliile de implementare pot varia ușor de la un stat la altul — de regulă se ține cont de legea statului destinatarului. Pentru prelucrări transfrontaliere se aplică și mecanismul ghișeului unic (one-stop-shop) al GDPR.
• Fără o reformă iminentă. Propunerea de Regulament ePrivacy (2017), care ar fi înlocuit directiva, a fost retrasă de Comisia Europeană (publicat în Jurnalul Oficial la 6 octombrie 2025), din lipsă de acord între co-legiuitori. Practic, cadrul actual rămâne neschimbat: Directiva 2002/58/CE și Legea nr. 506/2004 continuă să guverneze cookie-urile și marketingul direct.

  Sursa: retragere propunere ePrivacy — Legislative Train, Parlamentul European (accesat 2026-09-07)

• Interacțiunea cu DSA. Pentru publicitatea online se adaugă Regulamentul (UE) 2022/2065 (DSA), care interzice, între altele, publicitatea bazată pe profilare cu date sensibile și profilarea în scop publicitar a minorilor — un strat suplimentar față de regulile de consimțământ de mai sus.

  Sursa: Regulamentul (UE) 2022/2065 (DSA) (CELEX 32022R2065, accesat 2026-09-07)

Întrebări frecvente

1. Pot trimite un email de marketing bazându-mă doar pe „interesul legitim" din GDPR? Nu, dacă destinatarul este un prospect nou. Interesul legitim poate acoperi anumite prelucrări de date, dar trimiterea efectivă a mesajului comercial pe email/SMS este guvernată de Art. 12 din Legea 506/2004, care cere opt-in prealabil. Cele două cadre se aplică simultan.

2. Ce este mai exact „soft opt-in-ul" și când îl pot folosi? Poți trimite oferte fără consimțământ prealabil expres numai dacă: (1) ai obținut emailul direct de la client la o vânzare, (2) promovezi produse/servicii similare și (3) oferi opoziție simplă și gratuită la colectare și în fiecare mesaj. Toate trei condițiile trebuie îndeplinite cumulativ.

3. Marketingul către adrese de firmă (B2B) este scutit de reguli? Nu. Adresele nominale ([email protected]) sunt date personale, iar opt-in-ul din Legea 506/2004 se aplică și persoanelor juridice pentru poșta electronică. B2B nu înseamnă „liber".

4. Ce trebuie să conțină un banner de cookies corect? Informare prealabilă clară, blocarea trackerelor neesențiale până la accept, butoane echivalente Accept/Resping, fără casete prebifate și cu posibilitatea retragerii consimțământului la fel de ușor. Cookie-urile strict necesare nu cer consimțământ.

5. Ce fac dacă cineva se dezabonează sau se opune? Oprești imediat marketingul direct către acea persoană. Dreptul de opoziție la marketing (Art. 21 alin. 2 GDPR) este absolut — nu îl poți refuza și nu poți cere justificări. Poți păstra persoana pe o „listă de suprimare" (doar pentru a nu o mai contacta).

6. Cât timp trebuie să păstrez dovada consimțământului? Cel puțin cât folosești datele pentru marketing plus o perioadă rezonabilă pentru a demonstra conformitatea (principiul accountability, Art. 7 alin. 1 GDPR). Când consimțământul e retras sau devine irelevant, șterge datele folosite în acest scop.

7. Pot cumpăra o bază de date de contacte pentru campanii? Practic, nu în siguranță: consimțământul dat altui operator nu se transferă valabil către tine. Fără dovada unui consimțământ specific pentru comunicările tale, folosirea listei este neconformă.

8. Pot suna clienții la telefon (voce în direct) pentru oferte? Apelul de telemarketing făcut de un operator uman nu intră sub opt-in-ul strict din Art. 12 din Legea 506/2004 (care vizează apelurile automate) — regimul este practic opt-out. Ai însă nevoie de un temei GDPR (de regulă interes legitim) și trebuie să respecți dreptul de opoziție (Art. 21 GDPR): la prima cerere, oprești apelurile. În România nu există un registru național „Nu sunați", așa că îți ții propria listă de opoziții.

9. Pot fi obligat la despăgubiri dacă trimit mesaje nesolicitate? Da, este posibil. Pe lângă amenda ANSPDCP, persoana vizată poate cere despăgubiri pentru prejudiciu material și moral (Art. 82 GDPR). CJUE (C-300/21) a stabilit că nu există un prag minim de gravitate — și un disconfort real, dovedit, poate fi despăgubit — deși simpla încălcare, fără prejudiciu efectiv, nu dă automat dreptul la bani.

10. Pot trimite newsletter unui minor? Doar cu grijă. Sub 16 ani (pragul păstrat de România) ai nevoie de consimțământul părintelui/tutorelui (Art. 8 GDPR), cu eforturi rezonabile de verificare a vârstei. În plus, publicitatea bazată pe profilare adresată minorilor este interzisă de Art. 28 din DSA (Regulamentul 2022/2065).

11. Folosesc Mailchimp/Brevo/Meta — mai am obligații? Da. Aceste platforme sunt împuterniciți (Art. 28 GDPR): îți trebuie un contract de prelucrare (DPA) semnat. Dacă furnizorul prelucrează datele în SUA/țări terțe, verifică un mecanism de transfer valabil (EU-US Data Privacy Framework sau clauze contractuale standard + evaluare de impact), conform Capitolului V GDPR.

Practică și opinii

⚠️ Opinie specialistă — analiză de doctrină (JURIDICE.ro) Excepția „soft opt-in" pentru produse și servicii similare este de strictă interpretare: legea o formulează pentru adresa de poștă electronică obținută cu ocazia unei vânzări și pentru produse similare, cu drept de opoziție la fiecare mesaj. Ea nu se extinde din oficiu la numărul de telefon sau la alte canale, iar „similaritatea" produselor trebuie apreciată din perspectiva așteptării rezonabile a clientului.

⚠️ Orientare EDPB — Guidelines 1/2024 privind interesul legitim Când se invocă interesul legitim (Art. 6 alin. 1 lit. f GDPR), operatorul trebuie să documenteze un test în trei pași: (i) există un interes legitim real; (ii) prelucrarea este necesară pentru acel interes; (iii) interesul nu este depășit de drepturile și interesele persoanei vizate. Pentru marketingul direct electronic, acest test nu înlocuiește cerința de opt-in din ePrivacy — o completează doar pentru prelucrările conexe.

Tendință de aplicare (ANSPDCP). Practica recentă a autorității arată o atenție sporită față de: consimțământul neconform pentru marketing, bannere de cookies care activează trackere înainte de accept și lipsa unui mecanism real de opoziție/dezabonare. Sancțiunile relatate public în 2024–2025 confirmă că zona marketing + cookies este una cu risc ridicat, inclusiv pentru firme mici.

Referințe

1. Regulamentul (UE) 2016/679 (GDPR) — în special Art. 4 pct. 11, Art. 6 alin. (1) lit. a) și f), Art. 7, Art. 21 alin. (2)–(4), Art. 83, Considerentele (47) și (70). eur-lex.europa.eu (accesat 2026-09-07).
2. Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice — Art. 4 alin. (5) (cookies) și Art. 12 (comunicări nesolicitate); formă consolidată la 08.10.2024 (Art. 12 modificat prin Legea 214/2024, completat prin Legea 198/2022). legislatie.just.ro (accesat 2026-09-07).
3. Legea nr. 365/2002 privind comerțul electronic (republicată) — Art. 6 (comunicările comerciale). legislatie.just.ro (accesat 2026-09-07).
4. Directiva 2002/58/CE (ePrivacy) — Art. 5 alin. (3) (cookies) și Art. 13 (comunicări nesolicitate). eur-lex.europa.eu (accesat 2026-09-07).
5. EDPB — Guidelines 1/2024 privind prelucrarea bazată pe interesul legitim (Art. 6 alin. 1 lit. f GDPR). edpb.europa.eu (accesat 2026-09-07).
6. ⚠️ JURIDICE.ro — „Comunicările comerciale pentru produse și servicii similare. Sau despre GDPR și ePrivacy…" (analiză de doctrină). juridice.ro (accesat 2026-09-07).
7. ANSPDCP — autoritatea de supraveghere; lista sancțiunilor aplicate (marketing/cookies). dataprotection.ro (accesat 2026-09-07).
8. Regulamentul (UE) 2016/679 (GDPR) — Art. 8 (consimțământul copilului), Art. 28 (împuternicit), Art. 30 (evidența prelucrărilor), Art. 44–49 (transferuri), Art. 77, 79, 82 (remedii și despăgubiri). eur-lex.europa.eu (accesat 2026-09-07).
9. CJUE, C-311/18, Schrems II (16 iulie 2020) — invalidarea Privacy Shield; SCC valabile cu evaluare caz-cu-caz și măsuri suplimentare — CELEX 62018CJ0311. eur-lex.europa.eu (accesat 2026-09-07).
10. Decizia de punere în aplicare (UE) 2023/1795 (10 iulie 2023) — EU-US Data Privacy Framework — CELEX 32023D1795. eur-lex.europa.eu (accesat 2026-09-07).
11. Decizia 2021/914 — clauze contractuale standard (SCC) — CELEX 32021D0914. eur-lex.europa.eu (accesat 2026-09-07).
12. CJUE, C-300/21, Österreichische Post (4 mai 2023) — despăgubiri pentru prejudiciu moral (Art. 82 GDPR); fără prag de gravitate, dar cu prejudiciu real — CELEX 62021CJ0300. eur-lex.europa.eu (accesat 2026-09-07).
13. EDPB — Opinia 08/2024 privind consimțământul valabil în contextul modelelor „consimțământ sau plată" ale marilor platforme. edpb.europa.eu (accesat 2026-09-07).
14. EDPB — Guidelines 05/2020 privind consimțământul (inclusiv reînnoirea). edpb.europa.eu (accesat 2026-09-07).
15. Legea nr. 190/2018 privind măsuri de aplicare a GDPR — vârsta consimțământului copilului (16 ani). legislatie.just.ro (accesat 2026-09-07).
16. Legea nr. 363/2007 privind combaterea practicilor incorecte ale comercianților (transpune Directiva 2005/29/CE) — competența ANPC. legislatie.just.ro (accesat 2026-09-07).
17. OUG nr. 34/2014 privind drepturile consumatorilor în cadrul contractelor la distanță. legislatie.just.ro (accesat 2026-09-07).
18. Regulamentul (UE) 2022/2065 (DSA) — Art. 28 (interzicerea publicității prin profilare adresate minorilor) — CELEX 32022R2065. eur-lex.europa.eu (accesat 2026-09-07).