Resposta ràpida: El TDDDG (Telecommunications Digital Services Data Protection Act) és la llei nacional d'Alemanya que regula com els llocs web i els serveis digitals han de gestionar el consentiment de les galetes i l'accés a l'emmagatzematge del dispositiu. Va més enllà del GDPR en exigir un consentiment previ i explícit abans que s'activi qualsevol galeta no essencial o tecnologia de seguiment, i s'aplica a totes les entitats que operen digitalment a Alemanya, independentment d'on tinguin la seva seu.
Punts clau
- El TDDDG va ser reanomenat de TTDSG el 14 de maig de 2024, per alinear-se amb la Llei de Serveis Digitals de la UE, tot i que les seves disposicions principals van romandre sense canvis [1]
- La Secció 25 del TDDDG requereix el consentiment previ abans d'emmagatzemar o accedir a qualsevol informació en el dispositiu d'un usuari, amb exempcions limitades per a galetes tècnicament necessàries [4]
- El consentiment vàlid ha de ser lliure, específic, informat, inequívoc i revocable; les caselles premarcades i la navegació passiva no qualifiquen [3]
- L'incompliment pot comportar multes del TDDDG de fins a 300.000 € per infracció, a més de sancions del GDPR de fins a 20 milions d'euros o el 4% de la facturació anual global [2]
- La llei s'aplica a empreses, autoritats públiques, institucions educatives, associacions i autònoms amb presència en línia a Alemanya [1]
- Les empreses nord-americanes i les empreses no pertanyents a la UE que s'adrecen a usuaris alemanys han de complir el TDDDG
- L'Ordenança de Gestió del Consentiment (EinwV), efectiva a l'abril de 2025, va introduir serveis centralitzats de gestió del consentiment per reduir la fatiga del consentiment de l'usuari [3]
- Els bàners de galetes han d'oferir una opció genuïna de "rebutjar" que sigui tan prominent com l'opció "acceptar" [5]
Què és el TDDDG? La llei nacional de privadesa digital d'Alemanya explicada
El TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, o Llei de Protecció de Dades de Serveis Digitals de Telecomunicacions) és la llei principal d'Alemanya que regula l'emmagatzematge i l'accés a la informació en els dispositius dels usuaris finals. S'assenta al costat, i complementa, el GDPR, abordant una bretxa específica que el GDPR no cobreix directament: el moment en què una galeta o script de seguiment toca per primera vegada el navegador d'un usuari.
Originalment promulgada com a TTDSG el desembre de 2021, la llei va ser reanomenada TDDDG el 14 de maig de 2024, per reflectir la terminologia introduïda per la Llei de Serveis Digitals de la UE. El canvi de nom va ser en gran part nominal; les normes substantives, particularment les de la Secció 25 que regulen el consentiment de les galetes, van romandre sense canvis [1].
La llei és aplicada per una estructura d'autoritats de múltiples capes: el Comissionat Federal per a la Protecció de Dades (BfDI), l'Agència Federal de Xarxes (BNetzA) i les 16 autoritats de protecció de dades estatals coordinades a través de la Conferència de Protecció de Dades (DSK) [2]. Aquest model d'aplicació distribuïda significa que no hi ha un únic coll d'ampolla, les violacions es poden perseguir des de múltiples direccions simultàniament.
Com es diferencia el TDDDG del GDPR?
El TDDDG i el GDPR són complementaris, no competidors. El GDPR regula què passa amb les dades personals un cop recollides i processades. El TDDDG regula el moment anterior: si un lloc web té permís per emmagatzemar o llegir dades en el dispositiu d'un usuari en primer lloc [6].
Diferències clau:
| Dimensió | GDPR | TDDDG |
|---|---|---|
| Abast | Tractament de dades personals | Emmagatzematge/accés en dispositius d'usuari |
| Opcions de base legal | Sis bases legals (consentiment, interès legítim, etc.) | Només consentiment o necessitat tècnica |
| S'aplica a | Responsables i encarregats del tractament de dades | Qualsevol entitat amb presència digital a Alemanya |
| Aplicació | Autoritats de protecció de dades | BfDI, BNetzA, DPAs estatals |
| Punt de partida | Activitats de tractament de dades | Activació de galetes/rastrejadors |
La diferència pràctica crítica: sota el GDPR, l'"interès legítim" de vegades pot justificar el seguiment sense consentiment. Sota el TDDDG, aquesta opció no existeix per a l'emmagatzematge del dispositiu. El consentiment o la necessitat tècnica estricta són els dos únics motius vàlids [4].
Requisits de galetes del TDDDG explicats
La Secció 25 del TDDDG és el nucli operatiu de la llei. Estableix que l'emmagatzematge d'informació en el dispositiu terminal d'un usuari, o l'accés a informació ja emmagatzemada allà, requereix el consentiment previ de l'usuari, tret que l'acció sigui estrictament necessària per transmetre una comunicació o per proporcionar un servei que l'usuari hagi sol·licitat explícitament [4].
Aquesta disposició cobreix molt més que les galetes HTTP tradicionals. S'aplica a:
- localStorage i sessionStorage del navegador
- Píxels de seguiment i balises web
- Scripts d'empremta digital del dispositiu
- Galetes Flash i identificadors persistents similars
- Qualsevol altre mecanisme que llegeixi o escrigui en el dispositiu d'un usuari
Les exempcions són limitades. Les galetes de sessió del carret de la compra, els tokens d'autenticació d'inici de sessió i les galetes d'equilibri de càrrega es qualifiquen com a tècnicament necessàries. Les galetes d'anàlisi, els rastrejadors de publicitat, els scripts de proves A/B i els connectors de xarxes socials no ho fan, requereixen el consentiment previ independentment de com es presentin [5].
Quins llocs web han de complir el TDDDG?
El TDDDG s'aplica a totes les entitats que operen a Alemanya i emmagatzemen o accedeixen a informació en els dispositius dels usuaris. Això no es limita a les empreses alemanyes. Qualsevol empresa, institució o individu amb un lloc web accessible per als usuaris alemanys, i que utilitzi galetes no essencials o seguiment, entra dins de l'àmbit [1].
Això inclou:
- Botigues de comerç electrònic i plataformes SaaS
- Editors de mitjans i notícies
- Autoritats públiques i portals governamentals
- Institucions educatives amb presència en línia
- Associacions sense ànim de lucre i ONG
- Autònoms i professionals independents que gestionen llocs web de negocis
Les empreses nord-americanes han de seguir el TDDDG? Sí. Si el lloc web d'una empresa amb seu als EUA és accessible a Alemanya i utilitza galetes o tecnologies de seguiment en els dispositius dels visitants alemanys, s'aplica el TDDDG. L'abast de la llei es determina per la ubicació de l'usuari, no per la ubicació de l'operador [2]. Això reflecteix la lògica territorial del GDPR segons l'article 3.
Requisits de consentiment del TDDDG per al seguiment
El consentiment vàlid sota el TDDDG ha de complir cinc criteris acumulatius: ha de ser lliure, específic, informat, inequívoc i revocable [3]. Cada criteri té un pes operatiu real.
- Lliure significa que l'usuari no s'enfronta a cap penalització per negar-se. Bloquejar l'accés al contingut tret que s'acceptin les galetes (un "mur de galetes") és legalment controvertit i generalment es considera no conforme.
- Específic significa que el consentiment s'obté per finalitat, l'anàlisi no es pot agrupar amb la publicitat.
- Informat significa que l'usuari sap exactament a què està consentint abans que es registri el consentiment.
- Inequívoc significa que es requereix una acció afirmativa. Les caselles premarcades, el desplaçament o la navegació continuada no constitueixen consentiment [3].
- Revocable significa que retirar el consentiment ha de ser tan fàcil com donar-lo.
La configuració a nivell de navegador (com ara el senyal "no rastrejar" integrat en un navegador) no s'accepta com a consentiment vàlid sota el TDDDG [2]. Una plataforma de gestió del consentiment configurada correctament és el mecanisme estàndard per capturar i documentar el consentiment conforme.
Multes i sancions del TDDDG per incompliment
Les violacions del TDDDG poden resultar en multes administratives de fins a 300.000 € per infracció individual [2]. Com que cada col·locació de galetes no consentida en cada sessió d'usuari podria constituir tècnicament una infracció separada, l'exposició agregada per a llocs web amb alt trànsit és substancial.
Més enllà de les multes específiques del TDDDG, els reguladors poden perseguir simultàniament sancions del GDPR per al tractament posterior de dades recollides sense consentiment vàlid. Les multes del GDPR poden arribar als 20 milions d'euros o al 4% de la facturació anual global, el que sigui més alt [2].
Què passa si infringeixes el TDDDG? Les accions d'aplicació poden incloure advertències formals, ordres de cessar pràctiques no conformes i multes monetàries. Atès que l'aplicació es distribueix entre 17 autoritats (BfDI més 16 DPAs estatals), la probabilitat d'escrutini és significativament més alta que en jurisdiccions amb un únic regulador.
Qui està exempt de les normes del TDDDG?
Les exempcions sota el TDDDG es limiten a les galetes tècnicament necessàries i les operacions d'emmagatzematge. Una operació es qualifica com a tècnicament necessària només si compleix ambdues condicions: és necessària exclusivament per transmetre una comunicació a través d'una xarxa, o és estrictament necessària per proporcionar un servei que l'usuari ha sol·licitat explícitament [4].
Casos d'ús comuns exempts:
- Galetes de sessió que mantenen un estat d'inici de sessió
- Persistència del carret de la compra durant una única sessió de navegació
- Galetes d'equilibri de càrrega que encaminen el trànsit entre servidors
- Galetes de seguretat que impedeixen la falsificació de sol·licituds entre llocs (CSRF)
Les funcionalitats d'anàlisi, personalització, retargeting i compartició social no estan exemptes, fins i tot si l'operador les considera operativament importants. La prova és si el servei podria funcionar per a l'usuari sol·licitant sense aquesta operació d'emmagatzematge específica, no si l'empresa preferiria tenir les dades.
Com fer que el teu lloc sigui compatible amb el TDDDG
La conformitat amb el TDDDG és assolible amb un enfocament estructurat. Els següents passos reflecteixen l'estàndard regulador actual a partir de 2026:
- Audita totes les galetes i rastrejadors del teu lloc. Classifica cadascun com a estrictament necessari o no essencial.
- Bloqueja tots els scripts no essencials perquè no es carreguin fins que l'usuari hagi donat el seu consentiment explícit.
- Implementa un bàner de consentiment conforme que presenti opcions d'acceptar i rebutjar amb la mateixa prominència visual. L'opció de rebutjar no ha d'estar oculta darrere de menús secundaris [5].
- Configura finalitats de consentiment granulars perquè els usuaris puguin acceptar l'anàlisi per separat de la publicitat, per exemple.
- Registra els registres de consentiment amb marques de temps, identificadors d'usuari (quan sigui aplicable) i la versió específica del consentiment mostrada.
- Permet la retirada fàcil del consentiment, un enllaç persistent a la configuració del consentiment ha de ser accessible des de totes les pàgines.
- Revisa el marc EinwV (efectiu a l'abril de 2025) si vols integrar-te amb serveis centralitzats de gestió del consentiment reconeguts, que permeten als usuaris emmagatzemar preferències en diversos llocs [3].
Una plataforma de gestió del consentiment com Biscotti CMP està dissenyada per gestionar la implementació tècnica d'aquests requisits, incloent el registre del consentiment, la configuració del bàner i el bloqueig de scripts.
Bones pràctiques del bàner de galetes del TDDDG
Un bàner de galetes conforme al TDDDG no és simplement un avís, és un mecanisme de consentiment funcional. Els reguladors han deixat clar que els bàners dissenyats per empènyer els usuaris cap a l'acceptació mitjançant patrons foscos no són conformes.
Les bones pràctiques inclouen:
- Igual prominència dels botons: Els botons "Acceptar tot" i "Rebutjar tot" han de ser visualment equivalents en mida, color i ubicació.
- Sense opcions preseleccionades: Cada commutador de consentiment ha de tenir per defecte l'opció desactivada.
- Sense obstrucció del contingut: El bàner no ha d'impedir que els usuaris llegeixin la pàgina, tot i que pot aparèixer com una superposició.
- Descripcions clares de la finalitat: Cada categoria de galetes s'ha de descriure en llenguatge senzill, no en argot legal.
- Mecanisme de retirada accessible: Un enllaç "Configuració de galetes" al peu de pàgina, accessible en tot moment, satisfà aquest requisit.
- Sense disseny enganyós: L'ús d'efectes d'enfosquiment al botó de rebutjar, o requerir múltiples clics per rebutjar mentre l'acceptació és un sol clic, constitueix un patró fosc i no és conforme.
Errors comuns de conformitat amb el TDDDG a evitar
Fins i tot els operadors ben intencionats sovint cometen errors que els exposen al risc d'aplicació.
Error 1: Considerar que la conformitat amb el GDPR és suficient. El GDPR i el TDDDG aborden qüestions legals diferents. Un lloc pot ser conforme amb el GDPR en les seves pràctiques de processament de dades mentre encara infringeix el TDDDG carregant rastrejadors abans que es registri el consentiment.
Error 2: Confiar en els senyals del navegador com a consentiment. La configuració de privadesa a nivell de navegador no satisfà l'estàndard de consentiment del TDDDG [2].
Error 3: Agrupar les finalitats del consentiment. Demanar als usuaris que acceptin "totes les galetes" com una única opció, sense la possibilitat d'acceptar l'anàlisi però rebutjar la publicitat, infringeix el requisit d'especificitat.
Error 4: No bloquejar scripts de tercers. Moltes eines de tercers (plataformes d'anàlisi, gestors d'etiquetes, píxels de publicitat) es carreguen automàticament en la renderització de la pàgina. Sense bloqueig tècnic, s'activen abans d'obtenir el consentiment, una violació directa del TDDDG.
Error 5: No actualitzar els registres de consentiment. Si les finalitats per a les quals es va obtenir el consentiment canvien, el consentiment recollit prèviament ja no és vàlid per a les noves finalitats. S'ha de tornar a demanar als usuaris.
TDDDG vs. Directiva ePrivacy: Diferències clau
El TDDDG és la implementació nacional d'Alemanya de la Directiva ePrivacy (2002/58/CE, modificada el 2009), però va més enllà en diversos aspectes. La Directiva ePrivacy va establir el marc a nivell de la UE que exigia als estats membres que obliguessin el consentiment de les galetes; el TDDDG d'Alemanya és la llei nacional que compleix, i en algunes àrees excedeix, aquesta obligació [6].
L'esperada Regulació ePrivacy, que substituiria la Directiva a tots els estats membres de la UE amb una regulació directament aplicable, ha estat en un llimbs legislatiu durant anys. Fins que no s'adopti, les lleis nacionals com el TDDDG segueixen sent l'estàndard operatiu a Alemanya. Els operadors no poden assumir que el compliment de la implementació ePrivacy d'un altre estat membre de la UE satisfà els requisits alemanys.
Conclusió: Pròxims passos pràctics per a la conformitat amb el TDDDG el 2026
El TDDDG representa la decisió deliberada d'Alemanya d'aplicar els estàndards de privadesa digital de manera més rigorosa que el mínim de la UE. Per als propietaris de llocs web, desenvolupadors i equips de màrqueting que operen al mercat alemany, els requisits de la llei són específics, aplicables i supervisats activament per 17 autoritats separades.
Pròxims passos accionables:
- Realitza una auditoria completa de galetes utilitzant una eina d'escaneig per identificar cada rastrejador del teu lloc.
- Verifica que tots els scripts no essencials estiguin tècnicament bloquejats abans del consentiment, no només divulgats.
- Revisa el teu bàner de consentiment segons els requisits d'igual prominència i sense preselecció.
- Assegura't que els teus registres de consentiment estiguin registrats amb la granularitat suficient per demostrar la conformitat si s'audita.
- Avalua si el marc de consentiment centralitzat EinwV és rellevant per a la teva base d'usuaris i la teva pila tecnològica.
- Avalua una plataforma de gestió del consentiment creada específicament, com ara Biscotti CMP, per automatitzar els requisits tècnics i de documentació.
El cost de l'incompliment, fins a 300.000 € per infracció sota el TDDDG, amb una exposició addicional al GDPR, supera amb escreix la inversió necessària per implementar un flux de treball de consentiment conforme. Per a qualsevol entitat amb un trànsit web alemany significatiu, la conformitat no és opcional; és un requisit operatiu bàsic.
Preguntes freqüents
Què significa TDDDG? TDDDG significa Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, traduït com a Llei de Protecció de Dades de Serveis Digitals de Telecomunicacions. És la llei nacional d'Alemanya que regula el consentiment de les galetes i l'accés a l'emmagatzematge del dispositiu.
Quan es va reanomenar el TTDSG a TDDDG? El canvi de nom va entrar en vigor el 14 de maig de 2024. El canvi va alinear la terminologia de la llei amb la Llei de Serveis Digitals de la UE. Les normes substantives de consentiment de galetes de la Secció 25 no es van modificar [1].
El TDDDG s'aplica a les petites empreses? Sí. El TDDDG s'aplica a totes les entitats amb presència en línia a Alemanya que emmagatzemen o accedeixen a informació en els dispositius dels usuaris, incloses les petites empreses, els autònoms i les associacions [1].
Es pot utilitzar l'interès legítim en lloc del consentiment sota el TDDDG? No. A diferència del GDPR, el TDDDG no permet l'interès legítim com a base legal per a l'emmagatzematge o l'accés al dispositiu. Només el consentiment o la necessitat tècnica són motius vàlids [4].
Què és l'EinwV i com es relaciona amb el TDDDG? L'Einwilligungsverwaltungsverordnung (EinwV), efectiva a l'abril de 2025, va establir un marc per a serveis centralitzats de gestió del consentiment reconeguts. Permet als usuaris emmagatzemar preferències de galetes en diversos llocs web, reduint les sol·licituds de consentiment repetitives [3].
Les galetes d'anàlisi estan exemptes dels requisits de consentiment del TDDDG? No. Les galetes d'anàlisi no són tècnicament necessàries i requereixen el consentiment previ de l'usuari segons la Secció 25 del TDDDG, independentment de si processen dades personals [5].
Què fa que un bàner de galetes no sigui conforme amb el TDDDG? Els indicadors comuns d'incompliment inclouen: una opció de rebuig més difícil de trobar que l'opció d'acceptar, commutadors de consentiment preseleccionats, bàners que carreguen scripts de seguiment abans que es registri el consentiment i l'absència de controls granulars a nivell de finalitat [2].
El TDDDG és només per a llocs web alemanys? No. El TDDDG s'aplica en funció de la ubicació de l'usuari, no de la ubicació de l'operador del lloc web. Qualsevol lloc web accessible per als usuaris a Alemanya que utilitzi galetes no essencials ha de complir [2].
Quina és la multa màxima per infringir el TDDDG? El TDDDG en si mateix preveu multes de fins a 300.000 € per infracció. Per separat, les violacions del GDPR provocades per la recollida de dades no consentides poden resultar en multes de fins a 20 milions d'euros o el 4% de la facturació anual global [2].
Com es relaciona el TDDDG amb la Directiva ePrivacy? El TDDDG és la implementació nacional d'Alemanya de la Directiva ePrivacy de la UE. Compleix i en alguns aspectes excedeix els requisits de la Directiva, i segueix sent l'estàndard operatiu a Alemanya fins que s'adopti la proposta de Regulació ePrivacy a nivell de la UE [6].
Referències
[1] Tdddg - https://skill-sprinters.de/foerderungen/glossar/tdddg/?utm_source=openai [2] De Tdddg - https://www.consentstack.io/regulations/de-tdddg?utm_source=openai [3] Germany Gdpr Compliance Bdsg Dpo Rules And Penalties - https://legalclarity.org/germany-gdpr-compliance-bdsg-dpo-rules-and-penalties/?utm_source=openai [4] Cookies Einwilligung Tdddg - https://konfora.de/ratgeber/cookies-einwilligung-tdddg?utm_source=openai [5] Cookie Banner Pflicht - https://cookie-consent-tools.com/cookie-banner-pflicht.html?utm_source=openai [6] Ttdsg - https://www.preeco.de/en/glossary/data-protection/ttdsg?utm_source=openai