Resposta ràpida: La Directiva ePrivacy i el GDPR són dues lleis de la UE diferents però superposades que regulen conjuntament el consentiment de cookies i la privacitat en línia. La Directiva ePrivacy estableix les normes específiques per a la col·locació de cookies als dispositius dels usuaris, mentre que el GDPR defineix els estàndards per a un consentiment vàlid. La majoria de llocs web que operen a la UE han de complir amb ambdues, i a partir de 2026, s'està duent a terme una important revisió legislativa que podria consolidar les normes de cookies directament al GDPR.
Punts clau
- La Directiva ePrivacy (2002, actualitzada el 2009) és la llei principal que requereix consentiment abans d'establir cookies no essencials; el GDPR (2018) defineix què significa realment "consentiment vàlid".
- Ambdues lleis s'apliquen simultàniament a la majoria de llocs web orientats a la UE; una no substitueix l'altra.
- La proposta de Reglament ePrivacy va ser formalment retirada per la Comissió Europea el febrer de 2025.
- El Paquet Òmnibus Digital, presentat el novembre de 2025, proposa integrar les normes de consentiment de cookies al GDPR mitjançant els nous articles 88a i 88b.
- Les cookies essencials (estrictament necessàries) estan exemptes dels requisits de consentiment segons la Directiva ePrivacy.
- La Directiva ePrivacy s'ha transposat de manera diferent als estats membres de la UE, creant variacions en el compliment per país.
- Un estudi de 2026 va trobar que només el 30,66% dels llocs web presentaven un botó de "rebutjar-ho tot", indicant un incompliment generalitzat [7].
- Els bàners de consentiment de cookies poden satisfer ambdues lleis, però només si compleixen les condicions del GDPR per a un consentiment lliure, específic, informat i inequívoc.
- Les plataformes de gestió de consentiment (CMPs) hauran d'adaptar-se als senyals de consentiment a nivell de navegador segons els canvis proposats del GDPR [3].
Quina és la diferència entre la Directiva ePrivacy i el GDPR
La Directiva ePrivacy i el GDPR tenen funcions diferents però complementàries. La Directiva ePrivacy (Directiva 2002/58/CE, modificada per 2009/136/CE) és una llei sectorial que regula la privacitat de les comunicacions electròniques, inclòs l'ús de cookies i tecnologies de seguiment similars. El GDPR és un reglament general de protecció de dades que estableix el marc legal per al tractament de dades personals en tots els sectors, inclosa la definició i els requisits per a un consentiment vàlid.
La distinció clau:
| Característica | Directiva ePrivacy | GDPR |
|---|---|---|
| Forma legal | Directiva de la UE (requereix transposició nacional) | Reglament de la UE (aplicable directament) |
| Enfocament principal | Cookies, seguiment, comunicacions electròniques | Tot el tractament de dades personals |
| Estàndard de consentiment | Requereix consentiment per a cookies no essencials | Defineix què significa un consentiment vàlid |
| Organisme d'aplicació | Reguladors nacionals de telecomunicacions/DPA | Autoritats nacionals de protecció de dades |
| Estat (2026) | Encara en vigor; reforma pendent | En vigor; esmenes proposades en curs |
Com que la Directiva ePrivacy és una Directiva i no un Reglament, cada estat membre de la UE l'ha transposat a la legislació nacional de manera diferent, produint variacions en l'aplicació i els requisits específics entre països [6].
Cal complir amb la Directiva ePrivacy i el GDPR, o només amb un?
Ambdues lleis s'apliquen simultàniament, i el compliment d'una no satisfà l'altra. La Directiva ePrivacy t'indica quan necessites consentiment (abans d'establir cookies no essencials); el GDPR t'indica com ha de ser aquest consentiment (lliure, específic, informat, inequívoc i revocable en qualsevol moment) [5].
Pensa-ho d'aquesta manera: la Directiva ePrivacy és el disparador, i el GDPR és l'estàndard. Un bàner de cookies que tècnicament apareix abans que es carreguin les cookies, però que utilitza caselles premarcades, violaria els requisits de consentiment del GDPR, fins i tot si nominalment compleix amb l'obligació de notificació de la Directiva ePrivacy.
Error comú: Assumir que un avís de cookies (informant els usuaris que existeixen cookies) és suficient. Sota ambdós marcs, la notificació passiva no és consentiment per a cookies no essencials.
Com s'aplica la Directiva ePrivacy a les cookies del teu lloc web
La Directiva ePrivacy exigeix que els operadors de llocs web obtinguin un consentiment previ i informat abans d'emmagatzemar o accedir a informació en el dispositiu d'un usuari; això inclou cookies, píxels, emmagatzematge local i tecnologies similars [6]. Aquesta obligació s'aplica independentment de si les dades recollides es qualifiquen com a dades personals segons el GDPR.
Pràcticament, això significa:
- Cap cookie no essencial es pot activar abans que un usuari realitzi una acció afirmativa per consentir.
- El mecanisme de consentiment ha de ser clar i no s'ha de combinar amb l'acceptació dels termes del servei.
- Els usuaris han de poder retirar el consentiment amb la mateixa facilitat amb què el van donar.
La Directiva s'aplica a qualsevol servei dirigit a usuaris de la UE, independentment d'on estigui ubicat l'operador del lloc web.
Quines cookies requereixen consentiment segons la Directiva ePrivacy vs. GDPR
Segons la Directiva ePrivacy, es requereix consentiment per a totes les cookies excepte aquelles que són "estrictament necessàries" per a un servei sol·licitat explícitament per l'usuari. Segons el GDPR, qualsevol tractament de dades personals requereix una base legal, i per a les cookies de seguiment, aquesta base és gairebé sempre el consentiment.
Categories de cookies i requisits de consentiment:
- Cookies estrictament necessàries (gestió de sessions, estat d'inici de sessió, carret de la compra): No es requereix consentiment segons la Directiva ePrivacy. Pot aplicar-se l'interès legítim o la base d'execució de contracte del GDPR.
- Cookies d'anàlisi (p. ex., seguiment de pàgines vistes que identifiquen usuaris): Es requereix consentiment segons ambdós marcs.
- Cookies de màrqueting i publicitat (segmentació conductual, retargeting): Es requereix consentiment segons ambdós marcs; aquesta és la categoria de major risc per a l'aplicació.
- Cookies funcionals (preferències d'idioma, configuració de la interfície d'usuari): Debatut; si processen dades personals, el consentiment és l'enfocament més segur.
S'està substituint la Directiva ePrivacy, i què és el Reglament ePrivacy?
La Directiva ePrivacy no està sent substituïda pel GDPR. No obstant això, un Reglament ePrivacy proposat tenia la intenció de substituir la Directiva per una llei directament aplicable a tota la UE. Aquesta proposta va ser formalment retirada per la Comissió Europea el febrer de 2025, citant la manca d'un acord previsible entre els estats membres i el caràcter obsolet de la proposta donats els recents canvis tecnològics [2].
La Directiva ePrivacy vs. el Reglament ePrivacy proposat: El Reglament hauria estat directament vinculant a tots els estats membres (eliminant les diferències de transposició nacional), però mai va arribar a l'adopció.
En el seu lloc, la Comissió Europea va introduir el Paquet Òmnibus Digital el 19 de novembre de 2025. Aquest paquet proposa integrar les normes de consentiment de cookies directament al GDPR mitjançant els nous articles 88a i 88b [2][3]. L'article 88a definiria escenaris en què no es requereix consentiment (com ara per a la transmissió de comunicacions electròniques o serveis sol·licitats explícitament per l'usuari). L'article 88b introduiria requisits per a mecanismes de consentiment automatitzats i llegibles per màquina, inclosos els senyals de consentiment a nivell de navegador [3].
A partir de juliol de 2026, el Paquet Òmnibus Digital encara està en procés legislatiu, amb el text final previst per a finals de 2026 o principis de 2027 [4].
Les cookies essencials necessiten consentiment segons la Directiva ePrivacy?
No. Les cookies estrictament necessàries estan explícitament exemptes del requisit de consentiment de la Directiva ePrivacy. Aquestes són cookies sense les quals el servei que l'usuari ha sol·licitat activament no pot funcionar, per exemple, identificadors de sessió, tokens d'autenticació i cookies de carret de la compra [6].
Cas límit: "Necessari" s'interpreta de manera restrictiva. Una cookie que millora el rendiment o permet l'anàlisi no és estrictament necessària, fins i tot si l'operador la considera important operativament. En cas de dubte, és millor requerir consentiment.
Com obtenir un consentiment de cookies vàlid que satisfaci ambdues regulacions
El consentiment vàlid segons el GDPR (i, per tant, segons la Directiva ePrivacy, que es remet als estàndards de consentiment del GDPR) ha de ser:
- Lliure, Sense murs de consentiment ni agrupació forçada amb l'acceptació de termes.
- Específic, Consentiment separat per a cada categoria de cookies (anàlisi, màrqueting, etc.).
- Informat, Els usuaris han de saber què fan les cookies i qui processa les dades.
- Inequívoc, Es requereix una acció afirmativa; les caselles premarcades no són vàlides.
- Revocable, Revocar el consentiment ha de ser tan fàcil com atorgar-lo [5].
Una plataforma de gestió de consentiment (CMP) ben configurada gestiona aquest flux de treball. Biscotti CMP està dissenyada per donar suport a aquests requisits, incloent categories de consentiment granular i registre de consentiment per a fins d'auditoria. Amb el Paquet Òmnibus Digital que proposa senyals de consentiment a nivell de navegador segons l'article 88b, les CMPs també hauran d'ingerir i respectar els senyals de la configuració del navegador, un canvi operatiu significatiu per a la indústria [3].
Els bàners de cookies poden satisfer els requisits d'ePrivacy i GDPR?
Sí, però només si el bàner està dissenyat correctament. Un bàner de cookies que compleix els estàndards de consentiment del GDPR també satisfarà el requisit de consentiment de la Directiva ePrivacy, perquè la Directiva es remet a la definició de consentiment del GDPR per als estats membres de la UE [5][6].
Un bàner conforme ha de:
- Presentar una opció clara "Acceptar" i "Rebutjar" (o equivalent) amb la mateixa prominència visual.
- No utilitzar patrons foscos (p. ex., fer que "Rebutjar" sigui més difícil de trobar que "Acceptar").
- Bloquejar les cookies no essencials fins que es doni el consentiment.
- Registrar i emmagatzemar el consentiment amb una marca de temps i una referència de versió.
- Permetre als usuaris canviar les seves preferències en qualsevol moment.
Un estudi de 2026 va trobar que només el 30,66% dels llocs web presentaven un botó de "rebutjar-ho tot", la qual cosa significa que la majoria dels llocs enquestats probablement no compleixen les expectatives de compliment [7].
Hi ha països on la Directiva ePrivacy no s'aplica?
La Directiva ePrivacy s'aplica a tots els estats membres de la UE. No obstant això, com que és una Directiva (no un Reglament), cada país l'ha transposat a la legislació nacional amb algunes variacions en l'abast, les prioritats d'aplicació i les sancions [6]. Els països fora de la UE, inclòs el Regne Unit després del Brexit, tenen les seves pròpies lleis equivalents (les Regulacions de Privacitat i Comunicacions Electròniques del Regne Unit, o PECR).
Tria la teva base de compliment segons on es trobin els teus usuaris, no només on estigui registrada la teva empresa. Una empresa amb seu als EUA amb un trànsit significatiu de la UE ha de complir tant amb la Directiva ePrivacy (tal com es va transposar als estats membres pertinents) com amb el GDPR.
Què passa si no es compleixen les normes de la Directiva ePrivacy?
L'incompliment de la Directiva ePrivacy (tal com es va transposar a la legislació nacional) pot comportar multes i accions d'aplicació per part dels reguladors nacionals. Les sancions varien segons l'estat membre, però poden ser substancials, i les violacions del GDPR provocades per un consentiment invàlid (per exemple, el tractament de dades personals mitjançant cookies de seguiment sense una base legal vàlida) comporten multes de fins al 4% de la facturació anual global o 20 milions d'euros, la quantitat que sigui superior [5].
Les Autoritats Nacionals de Protecció de Dades (DPAs) continuen investigant i multant activament les organitzacions per fallades en el consentiment de cookies [1]. Les accions d'aplicació s'han dirigit tant a grans plataformes com a petits operadors.
Errors comuns de compliment:
- Activació de cookies d'anàlisi o publicitàries en la càrrega de la pàgina abans que es registri el consentiment.
- Ús de bàners de consentiment que no bloquegen les cookies fins després de la interacció.
- No respectar la retirada del consentiment ràpidament.
- No actualitzar els registres de consentiment quan canvien les polítiques de cookies.
- Tractar els avisos de cookies com a equivalents als mecanismes de consentiment.
Quant de temps es poden emmagatzemar les cookies segons les normes de la Directiva ePrivacy?
La Directiva ePrivacy no especifica directament una durada màxima d'emmagatzematge de cookies. No obstant això, els principis de minimització de dades i limitació d'emmagatzematge del GDPR s'apliquen quan les cookies processen dades personals. El consentiment ha de tenir un límit de temps, i els reguladors generalment esperen que les organitzacions tornin a sol·licitar el consentiment periòdicament; les orientacions comunament citades suggereixen 12 mesos com un interval raonable, tot i que no és un límit legal estricte [6].
Orientació pràctica: Estableix períodes de caducitat de cookies proporcionals al seu propòsit. Una cookie de sessió hauria de caducar quan es tanca el navegador. Una cookie d'anàlisi no necessita una vida útil de dos anys si sis mesos serveixen per al mateix propòsit.
Quins són els errors comuns que cometen les empreses amb el compliment d'ePrivacy?
Més enllà dels problemes esmentats anteriorment, diversos patrons apareixen constantment en els casos d'aplicació i les auditories:
- Consentiment implícit: Assumir que la navegació continuada constitueix consentiment. Això ha estat explícitament rebutjat pels tribunals de la UE i les DPAs.
- Consentiment agrupat: Combinar el consentiment de cookies amb l'acceptació de la política de privacitat en un sol clic.
- Geosegmentació inconsistent: Aplicar normes de consentiment més estrictes només per a usuaris de certs països mentre es serveixen cookies de seguiment a altres, un risc donat que l'aplicació pot seguir la ubicació de l'usuari.
- Ignorar les variacions nacionals: Assumir que una única configuració de bàner satisfà tots els estats membres de la UE, quan de fet alguns països tenen requisits nacionals més estrictes [6].
- Sense registre d'auditoria de consentiment: No registrar a què van consentir els usuaris, quan i sota quina versió de l'avís de privacitat [1].
Conclusió
La relació entre la Directiva ePrivacy i el GDPR: Navegar per les normes de cookies de la UE no és una qüestió de triar un marc sobre l'altre, ambdós s'apliquen i ambdós s'han de satisfer. La Directiva ePrivacy defineix quan es necessita consentiment per a les cookies; el GDPR defineix com és un consentiment vàlid. Junts, formen la base legal per al compliment de les cookies a tota la UE.
El panorama regulador està canviant. La proposta de Reglament ePrivacy es va retirar a principis de 2025, i el Paquet Òmnibus Digital ara proposa integrar les normes de cookies directament al GDPR mitjançant els articles 88a i 88b. El text final s'espera per a finals de 2026 o principis de 2027, però les obligacions actuals romanen plenament en vigor mentrestant.
Pròxims passos accionables per al 2026:
- Audita el comportament de les cookies del teu lloc web per confirmar que no s'activen cookies no essencials abans que es capture el consentiment.
- Revisa el teu bàner de consentiment per detectar patrons foscos i assegura't que les opcions de "rebutjar" siguin tan prominents com les de "acceptar".
- Implementa una CMP com Biscotti CMP que registri els consentiments i doni suport a la gestió granular de categories.
- Monitoritza el progrés del Paquet Òmnibus Digital i avalua si el teu proveïdor de CMP s'està preparant per al suport de senyals de consentiment a nivell de navegador.
- Comprova la transposició nacional de la Directiva ePrivacy a cada estat membre de la UE on tinguis un trànsit d'usuaris significatiu.
Preguntes freqüents
P: El GDPR substitueix la Directiva ePrivacy per a les cookies? No. El GDPR i la Directiva ePrivacy coexisteixen. La Directiva ePrivacy segueix sent la llei principal que requereix consentiment per a les cookies; el GDPR regula què significa un consentiment vàlid i com s'han de tractar les dades personals processades mitjançant cookies.
P: Què és el Reglament ePrivacy, i encara s'està implementant? El Reglament ePrivacy era una proposta de llei de la UE destinada a substituir la Directiva ePrivacy per un reglament directament aplicable. Va ser formalment retirada per la Comissió Europea el febrer de 2025 i no seguirà endavant en la seva forma actual.
P: Què és el Paquet Òmnibus Digital? El Paquet Òmnibus Digital, presentat el novembre de 2025, és una proposta legislativa de la UE que simplificaria la regulació digital integrant les normes de consentiment de cookies al GDPR mitjançant els nous articles 88a i 88b. A partir de juliol de 2026, encara està en revisió legislativa.
P: Les cookies d'anàlisi estan exemptes dels requisits de consentiment? No. Les cookies d'anàlisi que identifiquen usuaris o dispositius individuals no són essencials i requereixen consentiment previ segons la Directiva ePrivacy, independentment de si s'utilitzen amb finalitats comercials.
P: Un mur de cookies (bloquejar l'accés si els usuaris no accepten les cookies) pot constituir un consentiment vàlid? Generalment no. Els reguladors i tribunals de la UE han determinat que el consentiment obtingut mitjançant murs de cookies no és lliure segons el GDPR, perquè els usuaris no tenen una elecció genuïna. Algunes DPAs nacionals permeten murs de cookies en circumstàncies limitades si s'ofereix una alternativa de pagament, però això segueix sent controvertit.
P: Amb quina freqüència s'ha de demanar als usuaris que tornin a consentir les cookies? No hi ha un període legal fix, però els reguladors generalment esperen que el consentiment es renovi quan els propòsits o la llista de cookies canvien materialment, o després d'un període raonable (sovint citat com 12 mesos a la pràctica). El consentiment obtingut sota una versió anterior d'un avís de privacitat pot no cobrir noves activitats de processament.
P: Què és una cookie estrictament necessària? Una cookie estrictament necessària és aquella sense la qual un servei sol·licitat explícitament per l'usuari no pot funcionar, per exemple, un token de sessió d'inici de sessió o un identificador de carret de la compra. Aquestes estan exemptes del requisit de consentiment de la Directiva ePrivacy.
P: La Directiva ePrivacy s'aplica a les empreses no pertanyents a la UE? Sí, si aquestes empreses s'adrecen o serveixen usuaris ubicats a la UE. L'abast territorial segueix la ubicació de l'usuari, no l'adreça registrada de l'operador.
P: Què he de buscar en una plataforma de gestió de consentiment? Una CMP conforme hauria de bloquejar les cookies no essencials abans del consentiment, donar suport a categories de consentiment granular, registrar el consentiment amb marques de temps, permetre una retirada fàcil i estar preparada per donar suport a senyals de consentiment a nivell de navegador segons els requisits de les esmenes proposades del GDPR.
P: Puc utilitzar un únic bàner de cookies per a tota la UE? Un únic bàner pot funcionar com a base, però com que la Directiva ePrivacy s'ha transposat de manera diferent entre els estats membres, alguns països poden tenir requisits més estrictes. Es recomana una revisió legal respecte a la legislació nacional de cada mercat objectiu per a llocs amb molt de trànsit.
Referències
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai