Datele minorilor în serviciile online

În România, un serviciu online poate prelucra datele unui minor pe baza consimțământului acestuia doar dacă minorul are cel puțin 16 ani. Sub 16 ani, prelucrarea este legală numai cu acordul acordat sau autorizat de părinte, iar operatorul trebuie să depună eforturi rezonabile pentru a-l verifica. România nu a coborât pragul stabilit de art. 8 din GDPR, spre deosebire de statele care îl fixează la 13 ani.

Pe scurt

În România, un serviciu online (rețea socială, joc, aplicație, magazin online) poate prelucra datele unui minor pe baza consimțământului acestuia doar dacă minorul are cel puțin 16 ani. Sub 16 ani, prelucrarea este legală numai cu acordul acordat sau autorizat de părinte/tutore, iar operatorul trebuie să depună „eforturi rezonabile” pentru a verifica acest acord. România nu a coborât pragul (unele state UE îl fixează la 13 ani), astfel că se aplică vârsta implicită de 16 ani din GDPR.

Cadrul legal

Regula de bază se află în art. 8 din Regulamentul (UE) 2016/679 (GDPR), care condiționează consimțământul digital al minorului de o vârstă minimă:

Art. 8 alin. (1) GDPR — „În cazul în care se aplică articolul 6 alineatul (1) litera (a), în ceea ce privește oferirea de servicii ale societății informaționale în mod direct unui copil, prelucrarea datelor cu caracter personal ale unui copil este legală dacă copilul are cel puțin vârsta de 16 ani. Dacă copilul are sub vârsta de 16 ani, respectiva prelucrare este legală numai dacă și în măsura în care consimțământul respectiv este acordat sau autorizat de titularul răspunderii părintești asupra copilului. Statele membre pot prevedea prin lege o vârstă inferioară în aceste scopuri, cu condiția ca acea vârstă inferioară să nu fie mai mică de 13 ani.”

Art. 8 alin. (2) GDPR — „Operatorul depune toate eforturile rezonabile pentru a verifica în astfel de cazuri că titularul răspunderii părintești a acordat sau a autorizat consimțământul, ținând seama de tehnologiile disponibile.”

Art. 8 alin. (3) GDPR — „Alineatul (1) nu afectează dreptul general al contractelor aplicabil în statele membre, cum ar fi normele privind valabilitatea, încheierea sau efectele unui contract în legătură cu un copil.”

Sursa: Regulamentul (UE) 2016/679, art. 8 – EUR-Lex (accesat 2026-09-07)

Poziția României — pragul rămâne 16 ani. GDPR permite statelor membre să coboare vârsta până la minimum 13 ani. Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR nu conține nicio prevedere privind prelucrarea datelor minorilor și nu enumeră art. 8 GDPR printre articolele pentru care adoptă măsuri naționale (art. 1 al legii). În lipsa unei derogări, se aplică vârsta implicită de 16 ani.

Sursa: Legea nr. 190/2018 (M. Of. nr. 651 din 26 iulie 2018) – Portal Legislativ (accesat 2026-09-07)

De ce contează protecția specifică a copiilor este explicat în Considerentul (38) GDPR: „Copiii au nevoie de o protecție specifică a datelor lor cu caracter personal”, în special în privința marketingului și a creării de profiluri; totuși, consimțământul parental „nu ar trebui să fie necesar în contextul serviciilor de prevenire sau consiliere oferite direct copiilor” (de exemplu, o linie de consiliere).

Autoritatea competentă în România este ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal), care primește plângeri, investighează și aplică sancțiunile prevăzute de art. 58 și 83 GDPR.

Explicație detaliată

Când se aplică regula de la art. 8 GDPR

Pragul de vârstă se aplică cumulativ, doar când sunt îndeplinite trei condiții:

1. Temeiul prelucrării este consimțământul (art. 6 alin. (1) lit. (a) GDPR). Dacă operatorul se bazează pe alt temei — de exemplu executarea unui contract, o obligație legală sau interesul legitim — art. 8 nu se aplică. Atenție însă: pentru copii, interesul legitim trebuie ponderat mai strict, iar marketingul direct și profilarea copiilor pe bază de interes legitim sunt greu de justificat.
2. Este vorba de un „serviciu al societății informaționale” — un serviciu prestat de regulă contra cost, la distanță, prin mijloace electronice și la cererea individuală a utilizatorului: rețele sociale, jocuri online, aplicații mobile, platforme de streaming, magazine online. „Contra cost” include și serviciile aparent gratuite finanțate prin publicitate/date.
3. Serviciul este oferit direct copilului. Dacă serviciul se adresează exclusiv adulților și nu este destinat copiilor, analiza este diferită.

Ce înseamnă „16 ani” în practică

• Un minor de 16 ani împliniți își poate da singur consimțământul valabil pentru prelucrarea datelor în cadrul serviciului online.
• Pentru un minor sub 16 ani, consimțământul trebuie acordat sau autorizat de titularul răspunderii părintești (părinte sau tutore). „Acordat sau autorizat” acoperă două situații: fie părintele consimte în locul copilului, fie confirmă/aprobă consimțământul dat de copil.
• Consimțământul rămâne supus tuturor condițiilor generale de la art. 4 pct. 11 și art. 7 GDPR: trebuie să fie liber, specific, informat și lipsit de ambiguitate, printr-o acțiune afirmativă clară, și trebuie să poată fi retras oricât de ușor a fost dat.

Obligația de verificare a vârstei și a acordului parental

Art. 8 alin. (2) cere operatorului eforturi rezonabile de verificare, „ținând seama de tehnologiile disponibile”. Legea nu impune o metodă unică; standardul este proporțional cu riscul prelucrării:

• Pentru prelucrări cu risc redus, o confirmare simplă a vârstei poate fi suficientă.
• Pentru prelucrări cu risc ridicat (profilare, publicitate comportamentală, partajare de conținut public), sunt așteptate măsuri de verificare mai solide.
• Verificarea nu trebuie să conducă la colectarea excesivă de date despre copil sau părinte — ar contraveni principiului minimizării (art. 5 alin. (1) lit. (c)). Un simulacru de tip „bifează că ai peste 16 ani”, fără niciun mecanism, riscă să nu fie considerat „efort rezonabil”.

⚠️ Orientare interpretativă — Comitetul European pentru Protecția Datelor (EDPB), Guidelines 05/2020 privind consimțământul: eforturile de verificare trebuie să fie proporționale cu natura și riscurile prelucrării și să nu genereze o prelucrare de date suplimentară disproporționată. Sursa: EDPB, Guidelines 05/2020 on consent (accesat 2026-09-07)

Paradoxul verificării: verificarea nu poate încălca ea însăși protecția datelor

Există o tensiune reală: o verificare „robustă” (cerere de act de identitate, estimare biometrică a vârstei prin recunoaștere facială) prelucrează adesea date suplimentare și poate intra sub incidența art. 9 GDPR (categorii speciale) — datele biometrice folosite pentru identificare unică sunt date sensibile. Astfel, o metodă de verificare prea intruzivă poate încălca chiar principiul minimizării pe care ar trebui să îl servească. Limitele concrete:

• Metodele preferate sunt cele cu dezvăluire minimă: declararea vârstei coroborată cu semnale deja disponibile, verificarea acordului parental prin canale existente, iar biometria numai când există un temei separat din art. 9 alin. (2) și trece testul de necesitate și proporționalitate.
• La nivelul UE, în cadrul DSA (art. 28), Comisia Europeană a publicat în 2025 un „blueprint” de verificare a vârstei și o mini-aplicație bazate pe portofelul de identitate digitală (eID/EUDI), care permit dovedirea criptografică a pragului („peste 16”/ „peste 18”) fără a dezvălui identitatea operatorului — o abordare privacy-by-design (art. 25) care evită paradoxul.

Sursa: Comisia Europeană — orientări privind protecția minorilor online (DSA), 2025 (accesat 2026-09-07)

Categorii speciale de date ale minorilor (art. 9 GDPR)

Când serviciul prelucrează date sensibile ale copilului — sănătate și sănătate mintală, viață/orientare sexuală (aplicații de dating), convingeri religioase sau filozofice — pragul de la art. 8 nu este suficient singur. Trebuie ridicate cumulativ două interdicții:

1. interdicția prelucrării fără temei de la art. 6 (aici, consimțământul supus regulii art. 8);
2. interdicția prelucrării categoriilor speciale (art. 9 alin. (1)), care cere un temei suplimentar din art. 9 alin. (2).

Temeiul uzual este art. 9 alin. (2) lit. (a) — consimțământul explicit, care pentru un minor sub 16 ani trebuie acordat sau autorizat de titularul răspunderii părintești (coroborare art. 8 alin. (1) + art. 9 alin. (2) lit. (a)). În scenarii de sănătate pot interveni și lit. (c) (interes vital) ori lit. (h) (scopuri medicale, cu garanții). Excepție (Considerentul 38): pentru serviciile de prevenire sau consiliere oferite direct copilului (linie de sprijin în sănătate mintală, prevenirea abuzului), consimțământul parental nu este necesar — copilul poate consimți singur, chiar sub 16 ani.

„Ocolirea” pragului prin alegerea altui temei

Un operator ar putea fi tentat să evite pragul de 16 ani invocând „executarea contractului” (art. 6 alin. (1) lit. (b)) sau „interesul legitim” (lit. (f)) în locul consimțământului. O astfel de structurare este nelegală atunci când temeiul ales nu este real:

• Art. 6 alin. (1) lit. (b) cere ca prelucrarea să fie obiectiv necesară executării contractului. Publicitatea comportamentală și profilarea nu sunt indispensabile prestării serviciului, deci nu pot fi „ascunse” sub acest temei (CJUE, Meta, C-252/21; Planet49, C-673/17 — interpretare restrictivă).
• Art. 6 alin. (1) lit. (f) impune un test de ponderare adaptat copilului: copiii sunt persoane vulnerabile (Considerentele 38 și 75), iar interesul comercial cedează mai ușor în fața drepturilor lor. Marketingul direct și profilarea copiilor sunt greu de justificat.

⚠️ Alegerea deliberată a unui temei „mai comod” doar pentru a nu declanșa obligațiile art. 8 (verificarea vârstei, acordul parental) constituie o fraudă la lege: temeiul este nevalid, iar prelucrarea rămâne nelegală și sancționabilă (art. 58, 83 GDPR).

Relația cu dreptul contractelor

Art. 8 alin. (3) precizează că regula privind consimțământul nu afectează dreptul general al contractelor. Cu alte cuvinte, faptul că un minor de 16 ani poate consimți la prelucrarea datelor nu înseamnă că poate încheia valabil orice contract online — capacitatea de a contracta rămâne guvernată de Codul civil (regula generală: capacitate de exercițiu deplină de la 18 ani, cu excepțiile privind minorul de 14–18 ani). Sunt două planuri juridice distincte: consimțământul pentru date ≠ valabilitatea contractului.

Ce se întâmplă cu datele când contractul „plătit cu date” este anulat. Multe servicii digitale sunt oferite în schimbul furnizării de date (situație vizată de Directiva (UE) 2019/770, transpusă prin OUG nr. 141/2021). Dacă un minor cu capacitate de exercițiu restrânsă (14–18 ani) încheie un asemenea contract fără încuviințarea ocrotitorului legal, actul este lovit de nulitate relativă (art. 41 și 44 Cod civil), iar minorul sub 14 ani nu îl poate încheia valabil deloc. La desființarea contractului operează restitutio in integrum. Pe planul datelor, distinct de cel contractual (art. 8 alin. (3)):

• dacă temeiul prelucrării a fost consimțământul care a căzut odată cu contractul, dispare temeiul, iar datele trebuie șterse la cerere (art. 17 alin. (1) lit. (b) și (d) GDPR);
• ștergerea nu este automată doar dacă subzistă un temei rezidual independent (o obligație legală de păstrare, constatarea/exercitarea unui drept în justiție);
• operatorul nu poate „recicla” datele colectate în baza contractului anulat pentru scopuri noi.

Transparența adaptată copiilor

Când serviciul se adresează copiilor, informarea impusă de art. 12–13 GDPR trebuie făcută într-un limbaj clar, simplu și adaptat vârstei, astfel încât un copil să poată înțelege ce date se colectează și de ce (Considerentul (58) GDPR).

Aspecte practice

Pentru un operator care oferă servicii online ce pot ajunge la minori, pașii practici sunt:

• Stabilește dacă serviciul se adresează (și) copiilor. Analizează publicul-țintă real, nu doar cel declarat în termeni și condiții. Dacă serviciul atrage minori, aplică regimul art. 8.
• Verifică temeiul legal. Dacă te bazezi pe consimțământ, ești sub incidența pragului de 16 ani. Reevaluează dacă un alt temei (executarea contractului) este mai potrivit și mai onest.
• Implementează un mecanism de verificare a vârstei proporțional cu riscul: de la declararea vârstei (age-gate) la soluții de estimare/verificare pentru prelucrări cu risc ridicat. Documentează de ce metoda aleasă este „efort rezonabil”.
• Pentru utilizatorii sub 16 ani, obține și verifică acordul parental. Metode uzuale: e-mail de confirmare către părinte, verificare printr-o plată simbolică rambursabilă, semnătură/consimțământ prin cont parental. Alege metoda proporțională cu riscul.
• Respectă minimizarea datelor. Nu transforma verificarea vârstei într-o colectare masivă de acte de identitate; păstrează doar ce e strict necesar și pe durata necesară.
• Interzice/limitează publicitatea comportamentală și profilarea copiilor. Marketingul direct și crearea de profiluri către minori sunt zone cu risc ridicat (Considerentul (38)); pe platformele foarte mari, publicitatea bazată pe profilarea minorilor este interzisă prin Regulamentul (UE) 2022/2065 (DSA), art. 28.
• Adaptează informările la vârstă. Politica de confidențialitate „pentru copii”, în limbaj simplu, cu pictograme și exemple.
• Facilitează retragerea consimțământului și ștergerea. Copiii beneficiază de un „drept de a fi uitat” consolidat (art. 17 alin. (1) lit. (f) GDPR): date colectate în copilărie trebuie să poată fi șterse ușor la cerere.

Caz special: platformele școlare și edtech

Un scenariu foarte frecvent pentru minori sunt platformele impuse de școală (catalog electronic, clase virtuale, aplicații de învățare). Aici temeiul de prelucrare nu este, de regulă, consimțământul:

• Când școala sau autoritatea impune platforma, temeiul este obligația legală (art. 6 alin. (1) lit. (c) GDPR) sau îndeplinirea unei sarcini de interes public (art. 6 alin. (1) lit. (e)); școala/unitatea de învățământ (sau ministerul) este operatorul.
• Fiindcă temeiul nu este consimțământul, pragul de la art. 8 (16 ani) nu se aplică — art. 8 reglementează exclusiv consimțământul copilului la serviciile societății informaționale.
• Consimțământul nici nu ar fi un temei valabil aici: între elev/părinte și școală există un dezechilibru de putere (Considerentul 43 GDPR), care viciază caracterul „liber” al consimțământului.
• Rămân însă pe deplin aplicabile: minimizarea (art. 5 alin. (1) lit. (c)), transparența adaptată copiilor (art. 12–13), evaluarea impactului (DPIA) pentru prelucrări de risc ridicat (art. 35) și interdicția reutilizării comerciale a datelor elevilor.

Greșeli frecvente

• Un simplu „Am peste 16 ani – bifează” fără niciun mecanism de verificare — insuficient pentru „eforturi rezonabile” la prelucrări cu risc.
• Aplicarea pragului de 13 ani (folosit în alte state / de platforme globale) — în România pragul este 16 ani.
• Confundarea consimțământului pentru date cu capacitatea de a contracta — sunt reguli separate (art. 8 alin. (3) GDPR + Codul civil).
• Colectarea excesivă de acte pentru verificarea vârstei — încalcă minimizarea.
• Marketing/profilare implicită a minorilor prin setări prestabilite — evită „opt-out” ascuns; pentru copii, abordarea trebuie să fie protectivă implicit (privacy by default, art. 25 GDPR).

Legislație europeană

Regimul datelor minorilor în serviciile online este, în esență, un regim european: GDPR stabilește regula de bază (art. 8, tratat în Cadrul legal), iar peste el se suprapun instrumente sectoriale ale UE care întăresc protecția copiilor. Această secțiune adună dimensiunea europeană — actele aplicabile dincolo de GDPR, transpunerea lor în dreptul român și jurisprudența Curții de Justiție a UE (CJUE).

Directive și regulamente aplicabile

Pe lângă GDPR și Regulamentul (UE) 2022/2065 (DSA), art. 28 — care interzice publicitatea bazată pe profilarea minorilor pe platformele online (v. Aspecte practice) — sunt relevante:

Directiva 2010/13/UE (Directiva serviciilor mass-media audiovizuale — AVMSD), art. 6a alin. (2) și art. 28b alin. (3) (astfel cum a fost modificată prin Directiva (UE) 2018/1808) — datele cu caracter personal ale minorilor, colectate sau generate de furnizorii de servicii mass-media și de platformele de partajare a materialelor video în aplicarea măsurilor de protecție a minorilor, nu se prelucrează în scopuri comerciale, precum marketingul direct, crearea de profiluri și publicitatea comportamentală țintită. Sursa: Directiva 2010/13/UE, versiune consolidată – EUR-Lex (accesat 2026-09-07)

Practic, AVMSD introduce o interdicție paralelă și complementară celei din DSA art. 28: chiar și atunci când un furnizor prelucrează date pentru a proteja minorii (de exemplu, prin instrumente de verificare a vârstei — art. 28b alin. (3) lit. (f)), acele date nu pot fi reutilizate comercial.

Directiva (UE) 2019/770 privind contractele de furnizare de conținut digital și de servicii digitale — reglementează contractele prin care consumatorul (inclusiv un minor) primește conținut/servicii digitale, inclusiv atunci când „plătește” prin furnizarea de date cu caracter personal. Ea nu modifică pragul de consimțământ din GDPR, dar confirmă planul contractual rezervat de art. 8 alin. (3) GDPR: validitatea contractului rămâne guvernată de dreptul național. Sursa: Directiva (UE) 2019/770 – EUR-Lex (accesat 2026-09-07)

Transpunerea în dreptul român

• GDPR și DSA sunt regulamente — se aplică direct, fără transpunere. România a adoptat doar măsuri de punere în aplicare a GDPR prin Legea nr. 190/2018, care însă nu conține derogări privind vârsta minorilor (de aceea rămâne pragul de 16 ani — v. Cadrul legal).
• AVMSD este directivă și a fost transpusă prin modificarea Legii audiovizualului nr. 504/2002, în principal prin Legea nr. 190/2022 (în vigoare de la 3 iulie 2022), care preia cerințele Directivei (UE) 2018/1808, inclusiv interdicția prelucrării comerciale a datelor minorilor. Detalierea la nivel de conținut a fost realizată prin Codul de reglementare a conținutului audiovizual (Decizia CNA nr. 573/2025, M. Of. nr. 641 din 8 iulie 2025, în vigoare de la 7 august 2025), care extinde competențele CNA la serviciile la cerere (VOD) și la platformele de partajare video.

  Sursa: Decizia CNA nr. 573/2025 – Portal Legislativ (accesat 2026-09-07)

• Directiva (UE) 2019/770 a fost transpusă în RO prin OUG nr. 141/2021 privind contractele de furnizare de conținut digital și servicii digitale.

⚠️ Aspect de aplicare (gold-plating / suprapunere de competențe). Interdicția prelucrării comerciale a datelor minorilor apare simultan în GDPR (cons. 38), DSA (art. 28) și AVMSD (art. 6a/28b), ceea ce implică competențe partajate: în România, ANSPDCP (protecția datelor) și CNA (audiovizual) pot interveni pe același comportament. România a transpus AVMSD cu întârziere, ceea ce a atras o procedură de constatare a neîndeplinirii obligațiilor (art. 260 alin. (3) TFUE).

Jurisprudență CJUE

Nu există (încă) o hotărâre CJUE dedicată exclusiv art. 8 GDPR privind consimțământul minorilor, însă două hotărâri majore privind consimțământul și publicitatea personalizată sunt direct relevante:

Cauza C-673/17, Planet49 (Hotărârea din 1 octombrie 2019, ECLI:EU:C:2019:801) — consimțământul valabil presupune o acțiune afirmativă clară; o căsuță prebifată pe care utilizatorul ar trebui să o debifeze nu constituie consimțământ valabil, iar consimțământul trebuie să fie specific scopului. Cu atât mai mult, un simplu „age-gate” pasiv („bifează că ai peste 16 ani”) nu poate satisface, la prelucrări cu risc, standardul de consimțământ, respectiv „eforturile rezonabile” de verificare cerute de art. 8 alin. (2) GDPR. Sursa: CJUE, C-673/17 Planet49 – EUR-Lex (accesat 2026-09-07)

Cauza C-252/21, Meta Platforms și alții / Bundeskartellamt (Hotărârea Marii Camere din 4 iulie 2023, ECLI:EU:C:2023:537) — Curtea a reținut că un utilizator nu se poate aștepta rezonabil ca datele sale să fie prelucrate pentru publicitate personalizată fără consimțământ, iar necesitatea „pentru executarea unui contract” (art. 6 alin. (1) lit. (b)) trebuie interpretată restrictiv (prelucrare obiectiv indispensabilă). Hotărârea invocă expres Considerentul (38) GDPR privind protecția specială a copiilor la marketing și profilare. Sursa: CJUE, C-252/21 Meta Platforms – EUR-Lex (accesat 2026-09-07)

Concluzia practică din jurisprudență: pentru minori, temeiurile „contract” sau „interes legitim” în publicitatea comportamentală sunt fragile, iar consimțământul trebuie să fie unul real, activ și verificabil.

Aspecte practice din perspectivă europeană

• Validitate la nivelul UE, prag variabil. GDPR se aplică uniform, dar pragul de vârstă diferă între state (13–16 ani). Un serviciu transfrontalier care se adresează copiilor din mai multe state trebuie să aplice, pentru fiecare utilizator, pragul statului de reședință al copilului — pentru utilizatorii din România, 16 ani.
  • Cum se determină reședința fără a încălca minimizarea? Operatorul nu trebuie să colecteze acte pentru a afla țara de reședință (ar contraveni art. 5 alin. (1) lit. (c)); se bazează pe semnale deja disponibile și minim invazive (țara magazinului de aplicații, limba, setările regionale) coroborate cu declarația utilizatorului.
  • Când reședința nu poate fi stabilită cu certitudine sau se schimbă, ⚠️ abordarea prudentă recomandată este aplicarea pragului celui mai ridicat aplicabil (16 ani), pentru a nu risca o prelucrare nelegală într-un stat care menține pragul superior. Când reședința devine cunoscută ori se schimbă, regimul se ajustează la pragul acelui stat.
• Cumul de regimuri. Un furnizor mare poate fi supus simultan GDPR (consimțământ/minimizare), DSA art. 28 (interdicția publicității pe profilarea minorilor) și AVMSD (dacă distribuie conținut audiovizual / e platformă de partajare video). Măsurile de conformare trebuie proiectate pentru a satisface toate cele trei regimuri.
• Verificarea vârstei — dosar european deschis. Comisia Europeană dezvoltă orientări și un prototip de aplicație de verificare a vârstei în cadrul DSA; abordarea trebuie să respecte minimizarea (art. 5 alin. (1) lit. (c) GDPR) — verificarea nu poate deveni o colectare excesivă de date despre copil sau părinte.
• Direcție legislativă. Regulamentul (UE) 2026/1881 (derogare temporară de la Directiva 2002/58/CE pentru detectarea abuzului sexual online asupra copiilor) confirmă tendința UE de a consolida protecția online a minorilor. La nivel național, aceeași direcție se regăsește în inițiativa „majoratul digital” (v. Practică și opinii), ⚠️ neintrată în vigoare.

Întrebări frecvente

De la ce vârstă poate un minor să-și dea singur consimțământul pentru un serviciu online în România? De la 16 ani împliniți. Sub 16 ani este necesar acordul acordat sau autorizat de părinte/tutore (art. 8 alin. (1) GDPR).

România a coborât pragul la 13 ani, ca alte state? Nu. Legea nr. 190/2018 nu conține o derogare privind minorii, deci se aplică vârsta implicită de 16 ani din GDPR. Pragul de 13 ani este folosit de alte state membre și de unele platforme globale, dar nu în România.

Ce înseamnă „eforturi rezonabile” pentru verificarea acordului parental? Măsuri proporționale cu riscul prelucrării și cu tehnologia disponibilă (art. 8 alin. (2) GDPR): de la confirmarea prin e-mail a părintelui până la mecanisme mai solide pentru prelucrări cu risc ridicat — fără a colecta date excesive.

Un minor de 16 ani poate încheia orice contract online pentru că poate consimți la prelucrarea datelor? Nu. Consimțământul pentru date și capacitatea de a încheia contracte sunt lucruri diferite. Valabilitatea contractului rămâne guvernată de Codul civil (art. 8 alin. (3) GDPR).

Se poate face publicitate personalizată către minori? Este o zonă cu risc ridicat, descurajată de Considerentul (38) GDPR. Pe platformele online foarte mari, publicitatea bazată pe profilarea minorilor este interzisă (art. 28 din Regulamentul (UE) 2022/2065 – DSA).

Ce se întâmplă dacă serviciul a colectat date de la un copil fără acord parental valabil? Prelucrarea este ilegală (lipsă de temei). Persoana vizată poate cere ștergerea, iar ANSPDCP poate dispune măsuri și aplica sancțiuni conform art. 58 și 83 GDPR.

Ce se întâmplă cu consimțământul parental când copilul împlinește 16 ani? La 16 ani minorul devine apt să-și dea singur consimțământul. ⚠️ În practică se recomandă ca operatorul să obțină consimțământul propriu al minorului la atingerea pragului, întrucât acordul parental de dinainte nu exprimă voința autonomă a acestuia. Pentru serviciile de prevenire sau consiliere oferite direct copilului, părintele nu poate impune retragerea consimțământului (Considerentul 38 GDPR).

Un serviciu prelucrează date sensibile ale copilului (sănătate, orientare sexuală, dating). E suficient consimțământul? Nu. Pe lângă regula art. 8, datele din categoriile speciale (art. 9 GDPR) cer un temei suplimentar din art. 9 alin. (2) — de regulă consimțământul explicit (lit. (a)), acordat/autorizat de părinte pentru minorul sub 16 ani. Excepție: serviciile de consiliere directă (Considerentul 38).

Cum stabilesc pragul de vârstă pentru un serviciu din mai multe țări? Se aplică pragul statului de reședință al copilului (16 ani pentru România). Când reședința nu poate fi stabilită fără colectare excesivă de date, ⚠️ abordarea prudentă este aplicarea celui mai ridicat prag aplicabil (16 ani).

Există amenzi pentru prelucrarea nelegală a datelor minorilor? În România nu există (încă) o decizie ANSPDCP emblematică pe acest subiect, dar sancțiunile pot ajunge la 20 mil. EUR / 4% din cifra de afaceri (art. 83 GDPR). În UE, autoritatea irlandeză a amendat TikTok cu 345 mil. EUR (2023) și Meta/Instagram cu 405 mil. EUR (2022) pe datele copiilor.

Poate un operator evita pragul de 16 ani alegând alt temei (contract, interes legitim)? Nu, dacă temeiul este ales artificial. Art. 6 alin. (1) lit. (b) cere necesitate obiectivă, iar interesul legitim (lit. (f)) trece printr-un test de ponderare adaptat copilului. Alegerea unui temei doar pentru a evita art. 8 este fraudă la lege, iar prelucrarea rămâne nelegală.

Practică și opinii

Direcție legislativă: „Legea majoratului digital” (în curs)

⚠️ Inițiativă legislativă — NU este în vigoare (stadiu la 7 septembrie 2026). „Legea majoratului digital” a fost adoptată de Senat (prima cameră sesizată) în octombrie 2025, cu 123 de voturi „pentru” și 6 abțineri (inițiator: sen. Nicoleta Pauliuc). Proiectul urmează votul Camerei Deputaților (for decizional) și, ulterior, promulgarea. Până atunci, cadrul obligatoriu rămâne GDPR art. 8 + Legea nr. 190/2018.

Sursa: Dosar legislativ Senat – 25L190FG · Digi24, oct. 2025 (accesat 2026-09-07)

Proiectul consacră „maturitatea digitală” la 16 ani și, dacă va fi adoptat definitiv, ar aduce:

• acces/creare de conturi sub 16 ani doar cu acordul expres al părinților;
• drept parental de a suspenda, restricționa sau cere ștergerea contului și eliminarea conținutului dăunător;
• obligații pentru furnizori: filtre de vârstă, etichetarea conținutului pe categorii de vârstă, interzicerea publicității personalizate către copii;
• excepție pentru platformele educaționale aprobate;
• norme de aplicare emise de ANCOM în termen de ~180 de zile.

⚠️ Articularea cu GDPR și riscul de preempțiune. GDPR este un regulament de aplicare directă; o lege națională nu poate adăuga condiții peste el decât în marja de manevră permisă expres. Pentru datele minorilor, art. 8 alin. (1) teza finală lasă statelor o singură pârghie — coborârea pragului (până la minimum 13 ani), nu instituirea de condiții tehnice suplimentare de consimțământ. În măsura în care „Legea majoratului digital” impune obligații ce dublează sau contrazic regimul consimțământului din art. 8 GDPR, ele riscă să fie incompatibile cu dreptul UE; obligațiile de verificare/etichetare pot fi însă compatibile dacă se întemeiază pe alte competențe (DSA, protecția consumatorului, audiovizual), nu pe „rescrierea” GDPR. Apare și o suprapunere de competențe: ANCOM (măsuri tehnice) vs. ANSPDCP (protecția datelor, singura autoritate de supraveghere GDPR — art. 51 și urm.), ceea ce impune coordonare pentru a evita sancțiuni paralele pentru aceeași faptă.

Aplicare (enforcement)

La data redactării (7 septembrie 2026), ANSPDCP nu a publicat o decizie emblematică specifică prelucrării nelegale a datelor minorilor în servicii online; riscul practic pentru operatori rezultă din cadrul general sancționator — art. 58 GDPR (măsuri corective, inclusiv interdicția prelucrării) și art. 83 GDPR (amenzi de până la 20 milioane EUR sau 4% din cifra de afaceri mondială). Ca reper al practicii europene, autoritatea irlandeză (DPC), în calitate de autoritate principală pentru marile platforme, a aplicat sancțiuni majore chiar pe datele copiilor:

• TikTok — amendă de 345 milioane EUR (DPC, 15 septembrie 2023): setări implicite publice pentru conturile minorilor și transparență insuficientă adaptată copiilor;
• Meta/Instagram — amendă de 405 milioane EUR (DPC, septembrie 2022): expunerea datelor de contact ale minorilor și conturi „business” publice implicite.

Surse: DPC Irlanda — comunicate · ANSPDCP (accesat 2026-09-07)

Context european

Regimul se citește împreună cu Regulamentul (UE) 2022/2065 (DSA), care impune platformelor online măsuri pentru protecția minorilor și interzice, la art. 28, publicitatea bazată pe profilarea minorilor. Această direcție confirmă tendința de a trata datele copiilor drept categorie ce merită protecție reforțată, în linie cu Considerentul (38) GDPR.

⚠️ Observație de practică — comentatori din presa de specialitate au semnalat că un prag strict de verificare a vârstei poate crește sarcina administrativă a furnizorilor și ridică întrebări privind modul concret de verificare fără a colecta date suplimentare despre minori și părinți. Dezbaterea rămâne deschisă până la forma finală a legii.

Referințe

1. Regulamentul (UE) 2016/679 (GDPR), art. 8 (consimțământul copiilor în legătură cu serviciile societății informaționale), Considerentele (38) și (58) — EUR-Lex, CELEX 32016R0679.
2. Regulamentul (UE) 2016/679 (GDPR), art. 4 pct. 11, art. 5, art. 6, art. 7, art. 12–13, art. 17, art. 25 — condițiile generale ale consimțământului, minimizarea, transparența, dreptul la ștergere, privacy by default — EUR-Lex.
3. Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 (M. Of. nr. 651 din 26 iulie 2018) — fără derogare privind vârsta consimțământului minorilor — Portal Legislativ, doc. 203151.
4. Regulamentul (UE) 2022/2065 (DSA), art. 28 — protecția minorilor, interzicerea publicității bazate pe profilarea minorilor — EUR-Lex, CELEX 32022R2065.
5. EDPB, Guidelines 05/2020 on consent under Regulation 2016/679 — secțiunea privind consimțământul copiilor și verificarea proporțională — edpb.europa.eu.
6. ⚠️ „Legea majoratului digital” (inițiativă legislativă adoptată de Senat, oct. 2025; neintrată în vigoare) — Dosar Senat 25L190FG; relatare de presă: Digi24, G4Media.
7. Directiva 2010/13/UE (AVMSD), art. 6a alin. (2) și art. 28b alin. (3) (modificată prin Directiva (UE) 2018/1808) — interdicția prelucrării comerciale a datelor minorilor — EUR-Lex, versiune consolidată.
8. Directiva (UE) 2019/770 privind contractele de furnizare de conținut digital și servicii digitale — EUR-Lex, CELEX 32019L0770; transpusă în RO prin OUG nr. 141/2021.
9. Legea audiovizualului nr. 504/2002 (modificată prin Legea nr. 190/2022 — transpune Directiva (UE) 2018/1808) și Codul de reglementare a conținutului audiovizual — Decizia CNA nr. 573/2025 (M. Of. nr. 641 din 8 iulie 2025) — Portal Legislativ, doc. 299703.
10. CJUE, Cauza C-673/17, Planet49 (Hot. 1 oct. 2019, ECLI:EU:C:2019:801) — EUR-Lex, CELEX 62017CJ0673.
11. CJUE, Cauza C-252/21, Meta Platforms și alții / Bundeskartellamt (Hot. Marea Cameră, 4 iul. 2023, ECLI:EU:C:2023:537) — EUR-Lex, CELEX 62021CJ0252.
12. Regulamentul (UE) 2026/1881 — derogare temporară de la Directiva 2002/58/CE pentru combaterea abuzului sexual online asupra copiilor — EUR-Lex, CELEX 32026R1881.
13. Codul civil (Legea nr. 287/2009), art. 37–48 — capacitatea de exercițiu a minorului (deplină la 18 ani; restrânsă la 14–18 ani; nulitate relativă pentru actele încheiate cu încălcarea regulilor de capacitate) — Portal Legislativ, doc. 175630; relevant pentru soarta contractelor „plătite cu date” (art. 8 alin. (3) GDPR).
14. Comisia Europeană — Guidelines on the protection of minors online și „blueprint”/mini-aplicația de verificare a vârstei în cadrul DSA (2025), bazate pe portofelul de identitate digitală (eID/EUDI) — digital-strategy.ec.europa.eu.
15. DPC Irlanda (autoritate de supraveghere) — sancțiuni de referință pe datele minorilor: TikTok (345 mil. EUR, 15 sept. 2023) și Meta/Instagram (405 mil. EUR, sept. 2022) — dataprotection.ie; autoritatea competentă în România: ANSPDCP — dataprotection.ro.