Бърз отговор: Директивата за електронна поверителност и GDPR са два различни, но припокриващи се закона на ЕС, които съвместно регулират съгласието за бисквитки и онлайн поверителността. Директивата за електронна поверителност определя специфичните правила за поставяне на бисквитки на устройствата на потребителите, докато GDPR дефинира стандартите за валидно съгласие. Повечето уебсайтове, опериращи в ЕС, трябва да спазват и двата, а от 2026 г. предстои голяма законодателна реформа, която може да консолидира правилата за бисквитките директно в GDPR.
Основни изводи
- Директивата за електронна поверителност (2002 г., актуализирана 2009 г.) е основният закон, изискващ съгласие преди поставяне на несъществени бисквитки; GDPR (2018 г.) дефинира какво всъщност означава „валидно съгласие“.
- И двата закона се прилагат едновременно за повечето уебсайтове, насочени към ЕС, като единият не замества другия.
- Предложената Регламент за електронна поверителност беше официално оттеглен от Европейската комисия през февруари 2025 г.
- Пакетът за цифровата омнибус, представен през ноември 2025 г., предлага интегриране на правилата за съгласие за бисквитки в GDPR чрез нови членове 88а и 88б.
- Съществените (строго необходими) бисквитки са освободени от изискванията за съгласие съгласно Директивата за електронна поверителност.
- Директивата за електронна поверителност е транспонирана по различен начин в държавите членки на ЕС, създавайки вариации в съответствието по държави.
- Проучване от 2026 г. установи, че само 30,66% от уебсайтовете имат бутон „отхвърли всички“, което показва широко разпространено несъответствие [7].
- Банерите за съгласие за бисквитки могат да удовлетворят и двата закона, но само ако отговарят на условията на GDPR за свободно дадено, конкретно, информирано и недвусмислено съгласие.
- Платформите за управление на съгласието (CMPs) ще трябва да се адаптират към сигналите за съгласие на ниво браузър съгласно предложените промени в GDPR [3].
Каква е разликата между Директивата за електронна поверителност и GDPR
Директивата за електронна поверителност и GDPR изпълняват различни, но допълващи се функции. Директивата за електронна поверителност (Директива 2002/58/ЕО, изменена с 2009/136/ЕО) е секторно специфичен закон, регулиращ поверителността на електронните комуникации, включително използването на бисквитки и подобни технологии за проследяване. GDPR е общ регламент за защита на данните, който установява правната рамка за обработка на лични данни във всички сектори, включително дефиницията и изискванията за валидно съгласие.
Ключовото разграничение:
| Характеристика | Директива за електронна поверителност | GDPR |
|---|---|---|
| Правна форма | Директива на ЕС (изисква национално транспониране) | Регламент на ЕС (пряко приложим) |
| Основен фокус | Бисквитки, проследяване, електронни комуникации | Всяка обработка на лични данни |
| Стандарт за съгласие | Изисква съгласие за несъществени бисквитки | Дефинира какво означава валидно съгласие |
| Орган за прилагане | Национални регулатори на телекомуникациите/DPA | Национални органи за защита на данните |
| Статус (2026) | Все още в сила; предстои реформа | В сила; предстоят предложени изменения |
Тъй като Директивата за електронна поверителност е директива, а не регламент, всяка държава членка на ЕС я е транспонирала в националното си законодателство по различен начин, което води до вариации в прилагането и специфичните изисквания в различните страни [6].
Трябва ли да спазвате както Директивата за електронна поверителност, така и GDPR, или само едната
И двата закона се прилагат едновременно и спазването на единия не удовлетворява другия. Директивата за електронна поверителност ви казва кога се нуждаете от съгласие (преди да поставите несъществени бисквитки); GDPR ви казва как трябва да изглежда това съгласие (свободно дадено, конкретно, информирано, недвусмислено и оттегляемо по всяко време) [5].
Мислете за това по следния начин: Директивата за електронна поверителност е спусъкът, а GDPR е стандартът. Банер за бисквитки, който технически се появява преди зареждането на бисквитките, но използва предварително отметнати квадратчета, би нарушил изискванията за съгласие на GDPR, дори ако номинално спазва задължението за уведомяване на Директивата за електронна поверителност.
Често срещана грешка: Предполагането, че известие за бисквитки (информиращо потребителите, че съществуват бисквитки) е достатъчно. Съгласно двете рамки, пасивното уведомяване не е съгласие за несъществени бисквитки.
Как Директивата за електронна поверителност се прилага към бисквитките на вашия уебсайт
Директивата за електронна поверителност изисква операторите на уебсайтове да получат предварително, информирано съгласие, преди да съхраняват или достъпват информация на устройството на потребителя, това обхваща бисквитки, пиксели, локално хранилище и подобни технологии [6]. Това задължение се прилага независимо от това дали събраните данни се квалифицират като лични данни съгласно GDPR.
На практика това означава:
- Не могат да се активират несъществени бисквитки, преди потребителят да предприеме утвърдително действие за даване на съгласие.
- Механизмът за съгласие трябва да е ясен и да не е обвързан с приемането на условията за ползване.
- Потребителите трябва да могат да оттеглят съгласието си толкова лесно, колкото са го дали.
Директивата се прилага за всяка услуга, насочена към потребители от ЕС, независимо от това къде е базиран операторът на уебсайта.
Кои бисквитки изискват съгласие съгласно Директивата за електронна поверителност срещу GDPR
Съгласно Директивата за електронна поверителност се изисква съгласие за всички бисквитки, освен за тези, които са „строго необходими“ за услуга, изрично поискана от потребителя. Съгласно GDPR, всяка обработка на лични данни изисква правно основание, а за проследяващи бисквитки това основание почти винаги е съгласие.
Категории бисквитки и изисквания за съгласие:
- Строго необходими бисквитки (управление на сесии, състояние на вход, пазарска количка): Не се изисква съгласие съгласно Директивата за електронна поверителност. Може да се приложи законният интерес или основанието за изпълнение на договор на GDPR.
- Бисквитки за анализ (напр. проследяване на прегледи на страници, които идентифицират потребители): Изисква се съгласие съгласно двете рамки.
- Маркетингови и рекламни бисквитки (поведенческо таргетиране, ретаргетиране): Изисква се съгласие съгласно двете рамки, това е категорията с най-висок риск за прилагане.
- Функционални бисквитки (езикови предпочитания, настройки на потребителския интерфейс): Обсъжда се; ако обработват лични данни, съгласието е най-безопасният подход.
Замества ли се Директивата за електронна поверителност и какво представлява Регламентът за електронна поверителност
Директивата за електронна поверителност не се замества от GDPR. Въпреки това, предложен Регламент за електронна поверителност имаше за цел да замени Директивата с пряко приложим закон за целия ЕС. Това предложение беше официално оттеглено от Европейската комисия през февруари 2025 г., позовавайки се на липса на предвидимо споразумение между държавите членки и остарелия характер на предложението предвид последните технологични промени [2].
Директивата за електронна поверителност срещу предложения Регламент за електронна поверителност: Регламентът би бил пряко обвързващ за всички държави членки (елиминирайки разликите в националното транспониране), но никога не е бил приет.
На негово място Европейската комисия представи Пакет за цифровата омнибус на 19 ноември 2025 г. Този пакет предлага интегриране на правилата за съгласие за бисквитки директно в GDPR чрез нови членове 88а и 88б [2][3]. Член 88а би дефинирал сценарии, при които не се изисква съгласие (като например за предаване на електронни комуникации или услуги, изрично поискани от потребителя). Член 88б би въвел изисквания за автоматизирани, машинно четими механизми за съгласие, включително сигнали за съгласие на ниво браузър [3].
Към юли 2026 г. Пакетът за цифровата омнибус все още е в процес на законодателна обработка, като окончателният текст се очаква до края на 2026 г. или началото на 2027 г. [4].
Имат ли нужда от съгласие основните бисквитки съгласно Директивата за електронна поверителност
Не. Строго необходимите бисквитки са изрично освободени от изискването за съгласие на Директивата за електронна поверителност. Това са бисквитки, без които услугата, която потребителят е поискал активно, не може да функционира, например идентификатори на сесии, токени за удостоверяване и бисквитки за пазарска количка [6].
Краен случай: „Необходимо“ се тълкува тясно. Бисквитка, която подобрява производителността или позволява анализ, не е строго необходима, дори ако операторът я счита за оперативно важна. Когато се съмнявате, по-добре е да изисквате съгласие.
Как да получите валидно съгласие за бисквитки, което удовлетворява и двата регламента
Валидното съгласие съгласно GDPR (и следователно съгласно Директивата за електронна поверителност, която се позовава на стандартите за съгласие на GDPR) трябва да бъде:
- Свободно дадено, Без стени за съгласие или принудително обвързване с приемане на условия.
- Конкретно, Отделно съгласие за всяка категория бисквитки (анализ, маркетинг и т.н.).
- Информирано, Потребителите трябва да знаят какво правят бисквитките и кой обработва данните.
- Недвусмислено, Изисква се утвърдително действие; предварително отметнатите квадратчета са невалидни.
- Оттегляемо, Оттеглянето на съгласието трябва да е толкова лесно, колкото и даването му [5].
Добре конфигурирана платформа за управление на съгласието (CMP) обработва този работен процес. Biscotti CMP е проектирана да поддържа тези изисквания, включително детайлни категории за съгласие и регистриране на съгласие за целите на одита. С Пакет за цифровата омнибус, който предлага сигнали за съгласие на ниво браузър съгласно член 88б, CMPs също ще трябва да приемат и спазват сигнали от настройките на браузъра, което е значителна оперативна промяна за индустрията [3].
Могат ли банерите за бисквитки да удовлетворят изискванията на ePrivacy и GDPR
Да, но само ако банерът е правилно проектиран. Банер за бисквитки, който отговаря на стандартите за съгласие на GDPR, също ще удовлетвори изискването за съгласие на Директивата за електронна поверителност, тъй като Директивата се позовава на дефиницията за съгласие на GDPR за държавите членки на ЕС [5][6].
Съвместим банер трябва да:
- Предлага ясна опция „Приемам“ и „Отхвърлям“ (или еквивалентна) с еднаква визуална изразителност.
- Да не използва тъмни модели (напр. да прави „Отхвърлям“ по-трудно за намиране от „Приемам“).
- Блокира несъществени бисквитки, докато не бъде дадено съгласие.
- Записва и съхранява съгласието с времеви печат и референция за версия.
- Позволява на потребителите да променят предпочитанията си по всяко време.
Проучване от 2026 г. установи, че само 30,66% от уебсайтовете имат бутон „отхвърли всички“, което означава, че по-голямата част от проучените сайтове вероятно не отговарят на очакванията за съответствие [7].
Има ли държави, в които Директивата за електронна поверителност не се прилага
Директивата за електронна поверителност се прилага във всички държави членки на ЕС. Въпреки това, тъй като тя е директива (а не регламент), всяка страна я е транспонирала в националното си законодателство с някои вариации в обхвата, приоритетите за прилагане и наказанията [6]. Страни извън ЕС, включително Обединеното кралство след Brexit, имат свои собствени еквивалентни закони (Правилата за поверителност и електронни комуникации на Обединеното кралство, или PECR).
Изберете вашата база за съответствие въз основа на местоположението на вашите потребители, а не само къде е регистриран вашият бизнес. Американска компания със значителен трафик от ЕС трябва да спазва както Директивата за електронна поверителност (както е транспонирана в съответните държави членки), така и GDPR.
Какво се случва, ако не спазвате правилата на Директивата за електронна поверителност
Неспазването на Директивата за електронна поверителност (както е транспонирана в националното законодателство) може да доведе до глоби и действия за прилагане от националните регулатори. Наказанията варират в зависимост от държавата членка, но могат да бъдат значителни, а нарушенията на GDPR, предизвикани от невалидно съгласие (например обработка на лични данни чрез проследяващи бисквитки без валидно правно основание), носят глоби до 4% от глобалния годишен оборот или 20 милиона евро, което от двете е по-високо [5].
Националните органи за защита на данните (DPAs) продължават активно да разследват и налагат глоби на организации за пропуски в съгласието за бисквитки [1]. Действията за прилагане са насочени както към големи платформи, така и към малки оператори.
Често срещани грешки в съответствието:
- Активиране на бисквитки за анализ или реклама при зареждане на страницата, преди да е регистрирано съгласие.
- Използване на банери за съгласие, които не блокират бисквитките до след взаимодействие.
- Неспазване на своевременното оттегляне на съгласие.
- Неактуализиране на записите за съгласие при промяна на политиките за бисквитки.
- Третиране на известията за бисквитки като еквивалентни на механизмите за съгласие.
Колко дълго могат да се съхраняват бисквитките съгласно правилата на Директивата за електронна поверителност
Директивата за електронна поверителност не определя пряко максимален срок за съхранение на бисквитки. Въпреки това, принципите на GDPR за минимизиране на данните и ограничаване на съхранението се прилагат, когато бисквитките обработват лични данни. Съгласието трябва да е ограничено във времето и регулаторите обикновено очакват организациите периодично да изискват повторно съгласие, като често цитираното ръководство предполага 12 месеца като разумен интервал, въпреки че това не е твърд законов лимит [6].
Практически насоки: Задайте срокове за изтичане на бисквитките, пропорционални на тяхната цел. Бисквитката за сесия трябва да изтече при затваряне на браузъра. Бисквитката за анализ не се нуждае от двугодишен живот, ако шест месеца служат на същата цел.
Кои са често срещаните грешки, които компаниите правят при спазването на ePrivacy
Освен горепосочените проблеми, няколко модела постоянно се появяват в случаите на прилагане и одити:
- Подразумявано съгласие: Предполагане, че продължаването на сърфирането представлява съгласие. Това е изрично отхвърлено от съдилищата на ЕС и DPAs.
- Обвързано съгласие: Комбиниране на съгласието за бисквитки с приемането на политиката за поверителност с едно кликване.
- Непоследователно гео-таргетиране: Прилагане на по-строги правила за съгласие само за потребители от определени държави, докато се сервират проследяващи бисквитки на други, риск, като се има предвид, че прилагането може да следва местоположението на потребителя.
- Игнориране на националните вариации: Предполагане, че една конфигурация на банер удовлетворява всички държави членки на ЕС, когато всъщност някои държави имат по-строги национални изисквания [6].
- Липса на одитна следа за съгласие: Неуспех да се регистрира какво са дали съгласие потребителите, кога и под коя версия на известието за поверителност [1].
Заключение
Връзката между Директивата за електронна поверителност и GDPR: Навигиране в правилата на ЕС за бисквитките не е въпрос на избор на една рамка пред друга, и двете се прилагат и и двете трябва да бъдат удовлетворени. Директивата за електронна поверителност определя кога е необходимо съгласие за бисквитки; GDPR определя как изглежда валидното съгласие. Заедно те формират правната основа за спазване на правилата за бисквитките в целия ЕС.
Регулаторният пейзаж се променя. Предложението за Регламент за електронна поверителност беше оттеглено в началото на 2025 г., а Пакетът за цифровата омнибус сега предлага включване на правилата за бисквитките директно в GDPR чрез членове 88а и 88б. Окончателният текст се очаква до края на 2026 г. или началото на 2027 г., но настоящите задължения остават изцяло в сила междувременно.
Действия за 2026 г.:
- Одитирайте поведението на бисквитките на вашия уебсайт, за да потвърдите, че не се активират несъществени бисквитки, преди да бъде получено съгласие.
- Прегледайте банера си за съгласие за тъмни модели и се уверете, че опциите „отхвърляне“ са толкова видими, колкото и „приемане“.
- Внедрете CMP като Biscotti CMP, който регистрира записи за съгласие и поддържа детайлно управление на категориите.
- Следете напредъка на Пакет за цифровата омнибус и преценете дали вашият доставчик на CMP се подготвя за поддръжка на сигнали за съгласие на ниво браузър.
- Проверете националното транспониране на Директивата за електронна поверителност във всяка държава членка на ЕС, където имате значителен потребителски трафик.
ЧЗВ
В: Замества ли GDPR Директивата за електронна поверителност за бисквитките? Не. GDPR и Директивата за електронна поверителност съществуват съвместно. Директивата за електронна поверителност остава основният закон, изискващ съгласие за бисквитките; GDPR регулира какво означава валидно съгласие и как трябва да се обработват личните данни, обработвани чрез бисквитки.
В: Какво представлява Регламентът за електронна поверителност и предстои ли все още? Регламентът за електронна поверителност беше предложен закон на ЕС, предназначен да замени Директивата за електронна поверителност с пряко приложим регламент. Той беше официално оттеглен от Европейската комисия през февруари 2025 г. и няма да продължи в настоящата си форма.
В: Какво представлява Пакетът за цифровата омнибус? Пакетът за цифровата омнибус, представен през ноември 2025 г., е законодателно предложение на ЕС, което би опростило цифровото регулиране чрез интегриране на правилата за съгласие за бисквитки в GDPR чрез нови членове 88а и 88б. Към юли 2026 г. той все още е в процес на законодателен преглед.
В: Освободени ли са бисквитките за анализ от изискванията за съгласие? Не. Бисквитките за анализ, които идентифицират отделни потребители или устройства, са несъществени и изискват предварително съгласие съгласно Директивата за електронна поверителност, независимо дали се използват за търговски цели.
В: Може ли стена за бисквитки (блокираща достъпа, освен ако потребителите не приемат бисквитки) да представлява валидно съгласие? Като цяло не. Регулаторите и съдилищата на ЕС са установили, че съгласието, получено чрез стени за бисквитки, не е свободно дадено съгласно GDPR, тъй като потребителите нямат истински избор. Някои национални DPAs позволяват стени за бисквитки при ограничени обстоятелства, ако се предлага платена алтернатива, но това остава оспорвано.
В: Колко често трябва да се иска от потребителите да дават повторно съгласие за бисквитки? Няма фиксиран законов период, но регулаторите обикновено очакват съгласието да бъде подновявано, когато целите или списъкът с бисквитки се променят съществено, или след разумен период (често цитиран като 12 месеца на практика). Съгласието, получено съгласно предишна версия на известието за поверителност, може да не покрива нови дейности по обработка.
В: Какво е строго необходима бисквитка? Строго необходима бисквитка е такава, без която услуга, изрично поискана от потребителя, не може да функционира, например токен за вход в сесия или идентификатор на пазарска количка. Те са освободени от изискването за съгласие на Директивата за електронна поверителност.
В: Прилага ли се Директивата за електронна поверителност за фирми извън ЕС? Да, ако тези фирми таргетират или обслужват потребители, намиращи се в ЕС. Териториалният обхват следва местоположението на потребителя, а не регистрирания адрес на оператора.
В: Какво трябва да търся в платформа за управление на съгласието? Съвместима CMP трябва да блокира несъществени бисквитки преди съгласие, да поддържа детайлни категории за съгласие, да регистрира съгласие с времеви печати, да позволява лесно оттегляне и да бъде подготвена да поддържа сигнали за съгласие на ниво браузър, както се изисква съгласно предложените изменения на GDPR.
В: Мога ли да използвам един банер за бисквитки за целия ЕС? Един банер може да работи като базова линия, но тъй като Директивата за електронна поверителност е транспонирана по различен начин в държавите членки, някои страни може да имат по-строги изисквания. Препоръчително е правен преглед спрямо националното законодателство на всеки целеви пазар за сайтове с висок трафик.
Източници
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai