Lühike vastus: ePrivacy direktiiv ja GDPR on kaks eraldiseisvat, kuid kattuvat EL-i seadust, mis reguleerivad ühiselt küpsiste nõusolekut ja veebipõhist privaatsust. ePrivacy direktiiv kehtestab konkreetsed reeglid küpsiste paigutamiseks kasutajate seadmetesse, samas kui GDPR määratleb kehtiva nõusoleku standardid. Enamik EL-is tegutsevaid veebisaite peab järgima mõlemat ning alates 2026. aastast on käimas suur seadusandlik reform, mis võiks küpsiste reeglid otse GDPR-i konsolideerida.
Peamised järeldused
- ePrivacy direktiiv (2002, uuendatud 2009) on peamine seadus, mis nõuab nõusolekut enne mitteoluliste küpsiste paigaldamist; GDPR (2018) määratleb, mida "kehtiv nõusolek" tegelikult tähendab.
- Mõlemad seadused kehtivad enamiku EL-i suunatud veebisaitide puhul samaaegselt, üks ei asenda teist.
- Kavandatava ePrivacy määruse võttis Euroopa Komisjon ametlikult tagasi 2025. aasta veebruaris.
- aasta novembris avalikustatud digitaalne omnibuspakett teeb ettepaneku integreerida küpsiste nõusoleku reeglid GDPR-i uute artiklite 88a ja 88b kaudu.
- Olulised (rangelt vajalikud) küpsised on ePrivacy direktiivi kohaselt nõusolekunõuetest vabastatud.
- ePrivacy direktiiv on EL-i liikmesriikides erinevalt üle võetud, luues riigiti erinevusi vastavuses.
- aasta uuring näitas, et ainult 30,66% veebisaitidest sisaldas nuppu "keeldu kõigist", mis viitab laialdasele mittevastavusele [7].
- Küpsiste nõusoleku ribareklaamid võivad rahuldada mõlemat seadust, kuid ainult siis, kui need vastavad GDPR-i tingimustele vabalt antud, spetsiifilise, informeeritud ja ühemõttelise nõusoleku kohta.
- Nõusolekuhaldusplatvormid (CMP) peavad kohanduma brauseritaseme nõusolekusignaalidega vastavalt kavandatavatele GDPR-i muudatustele [3].
Mis on ePrivacy direktiivi ja GDPR-i erinevus
ePrivacy direktiiv ja GDPR täidavad erinevaid, kuid üksteist täiendavaid funktsioone. ePrivacy direktiiv (direktiiv 2002/58/EÜ, muudetud direktiiviga 2009/136/EÜ) on sektoripõhine seadus, mis reguleerib elektroonilise side privaatsust, sealhulgas küpsiste ja sarnaste jälgimistehnoloogiate kasutamist. GDPR on üldine andmekaitsemäärus, mis kehtestab õigusraamistiku isikuandmete töötlemiseks kõigis sektorites, sealhulgas kehtiva nõusoleku määratluse ja nõuded.
Peamine erinevus:
| Funktsioon | ePrivacy direktiiv | GDPR |
|---|---|---|
| Õiguslik vorm | EL-i direktiiv (nõuab riiklikku ülevõtmist) | EL-i määrus (otsekohaldatav) |
| Peamine fookus | Küpsised, jälgimine, elektrooniline side | Kõik isikuandmete töötlemine |
| Nõusoleku standard | Nõuab nõusolekut mitteoluliste küpsiste jaoks | Määratleb, mida kehtiv nõusolek tähendab |
| Jõustamisasutus | Riiklikud telekommunikatsiooni-/DPA regulaatorid | Riiklikud andmekaitseametid |
| Staatus (2026) | Endiselt kehtiv; reform ootel | Kehtiv; kavandatavad muudatused käimas |
Kuna ePrivacy direktiiv on direktiiv, mitte määrus, on iga EL-i liikmesriik selle oma siseriiklikku õigusesse erinevalt üle võtnud, tekitades riigiti erinevusi jõustamises ja spetsiifilistes nõuetes [6].
Kas peate järgima nii ePrivacy direktiivi kui ka GDPR-i või ainult ühte
Mõlemad seadused kehtivad samaaegselt ja ühe järgimine ei rahulda teist. ePrivacy direktiiv ütleb teile, millal vajate nõusolekut (enne mitteoluliste küpsiste paigaldamist); GDPR ütleb teile, milline see nõusolek peab olema (vabalt antud, spetsiifiline, informeeritud, ühemõtteline ja igal ajal tagasivõetav) [5].
Mõelge sellele nii: ePrivacy direktiiv on päästik ja GDPR on standard. Küpsiste ribareklaam, mis tehniliselt ilmub enne küpsiste laadimist, kuid kasutab eelnevalt märgitud kaste, rikuks GDPR-i nõusolekunõudeid, isegi kui see nominaalselt vastab ePrivacy direktiivi teavitamiskohustusele.
Levinud viga: Eeldamine, et küpsiste teatis (kasutajate teavitamine küpsiste olemasolust) on piisav. Mõlema raamistiku kohaselt ei ole passiivne teavitamine mitteoluliste küpsiste puhul nõusolek.
Kuidas ePrivacy direktiiv kehtib teie veebisaidi küpsiste kohta
ePrivacy direktiiv nõuab, et veebisaidi operaatorid saaksid eelneva, informeeritud nõusoleku enne teabe salvestamist või sellele juurdepääsu kasutaja seadmes, see hõlmab küpsiseid, piksleid, kohalikku salvestusruumi ja sarnaseid tehnoloogiaid [6]. See kohustus kehtib olenemata sellest, kas kogutud andmed kvalifitseeruvad GDPR-i kohaselt isikuandmeteks.
Praktikas tähendab see:
- Ühtegi mitteolulist küpsist ei tohi käivitada enne, kui kasutaja on andnud nõusoleku positiivse tegevusega.
- Nõusolekumehhanism peab olema selge ja seda ei tohi siduda teenusetingimuste aktsepteerimisega.
- Kasutajad peavad saama nõusoleku tagasi võtta sama lihtsalt, kui nad selle andsid.
Direktiiv kehtib kõigile EL-i kasutajatele suunatud teenustele, olenemata veebisaidi operaatori asukohast.
Millised küpsised nõuavad nõusolekut ePrivacy direktiivi vs. GDPR-i alusel
ePrivacy direktiivi kohaselt on nõusolek vajalik kõigi küpsiste puhul, välja arvatud need, mis on "rangelt vajalikud" kasutaja selgesõnaliselt taotletud teenuse jaoks. GDPR-i kohaselt nõuab isikuandmete töötlemine seaduslikku alust ja jälgimisküpsiste puhul on see alus peaaegu alati nõusolek.
Küpsiste kategooriad ja nõusolekunõuded:
- Rangelt vajalikud küpsised (sessioonihaldus, sisselogimisolek, ostukorv): ePrivacy direktiivi kohaselt nõusolekut ei nõuta. Kohalduda võivad GDPR-i õigustatud huvi või lepingu täitmise alus.
- Analüütilised küpsised (nt lehevaatamiste jälgimine, mis tuvastab kasutajad): Nõusolek on vajalik mõlema raamistiku kohaselt.
- Turundus- ja reklaamiküpsised (käitumuslik sihtimine, uuesti sihtimine): Nõusolek on vajalik mõlema raamistiku kohaselt, see on jõustamise seisukohalt kõige riskantsem kategooria.
- Funktsionaalsed küpsised (keele-eelistused, kasutajaliidese seaded): Vaieldav; kui need töötlevad isikuandmeid, on nõusolek kõige ohutum lähenemine.
Kas ePrivacy direktiiv asendatakse ja mis on ePrivacy määrus
ePrivacy direktiivi ei asenda GDPR. Kuid kavandatava ePrivacy määruse eesmärk oli asendada direktiiv otsekohaldatava EL-iülese seadusega. Euroopa Komisjon võttis selle ettepaneku ametlikult tagasi 2025. aasta veebruaris, viidates liikmesriikide vahelise kokkuleppe puudumisele ja ettepaneku aegunud iseloomule, arvestades hiljutisi tehnoloogilisi muutusi [2].
ePrivacy direktiiv vs. kavandatav ePrivacy määrus: Määrus oleks olnud kõigis liikmesriikides otsekohaldatav (kaotades riiklikud ülevõtmise erinevused), kuid seda ei võetud kunagi vastu.
Selle asemel tutvustas Euroopa Komisjon digitaalset omnibuspaketti 19. novembril 2025. See pakett teeb ettepaneku integreerida küpsiste nõusoleku reeglid otse GDPR-i uute artiklite 88a ja 88b kaudu [2][3]. Artikkel 88a määratleks stsenaariumid, kus nõusolekut ei nõuta (näiteks elektroonilise side edastamiseks või kasutaja selgesõnaliselt taotletud teenuste jaoks). Artikkel 88b kehtestaks nõuded automatiseeritud, masinloetavatele nõusolekumehhanismidele, sealhulgas brauseritaseme nõusolekusignaalidele [3].
Alates 2026. aasta juulist on digitaalne omnibuspakett endiselt seadusandlikus protsessis, lõplik tekst on oodata 2026. aasta lõpuks või 2027. aasta alguseks [4].
Kas olulised küpsised vajavad ePrivacy direktiivi kohaselt nõusolekut
Ei. Rangelt vajalikud küpsised on ePrivacy direktiivi nõusolekunõudest selgesõnaliselt vabastatud. Need on küpsised, ilma milleta ei saa kasutaja aktiivselt taotletud teenus toimida, näiteks sessiooni identifikaatorid, autentimismärgid ja ostukorvi küpsised [6].
Eriolukord: "Vajalik" tõlgendatakse kitsalt. Küpsis, mis parandab jõudlust või võimaldab analüüsi, ei ole rangelt vajalik, isegi kui operaator peab seda operatiivselt oluliseks. Kahtluse korral eksige pigem nõusoleku nõudmise poole.
Kuidas saada kehtiv küpsiste nõusolek, mis rahuldab mõlemat määrust
Kehtiv nõusolek GDPR-i kohaselt (ja seega ka ePrivacy direktiivi kohaselt, mis viitab GDPR-i nõusolekustandarditele) peab olema:
- Vabalt antud, ilma nõusolekumüüride või sunnitud sidumiseta tingimuste aktsepteerimisega.
- Spetsiifiline, eraldi nõusolek iga küpsiste kategooria jaoks (analüütika, turundus jne).
- Informeeritud, kasutajad peavad teadma, mida küpsised teevad ja kes andmeid töötleb.
- Ühemõtteline, nõutav on positiivne tegevus; eelnevalt märgitud kastid on kehtetud.
- Tagasivõetav, nõusoleku tagasivõtmine peab olema sama lihtne kui selle andmine [5].
Hästi konfigureeritud nõusolekuhaldusplatvorm (CMP) haldab seda töövoogu. Biscotti CMP on loodud toetama neid nõudeid, sealhulgas granulaarseid nõusolekukategooriaid ja nõusoleku logimist auditeerimise eesmärgil. Kuna digitaalne omnibuspakett teeb ettepaneku brauseritaseme nõusolekusignaalide kohta artikli 88b alusel, peavad CMP-d ka brauseri seadetest signaale vastu võtma ja austama, mis on tööstuse jaoks oluline operatiivne muutus [3].
Kas küpsiste ribareklaamid võivad rahuldada nii ePrivacy kui ka GDPR-i nõudeid
Jah, kuid ainult siis, kui ribareklaam on õigesti kujundatud. Küpsiste ribareklaam, mis vastab GDPR-i nõusolekustandarditele, rahuldab ka ePrivacy direktiivi nõusolekunõuet, sest direktiiv viitab EL-i liikmesriikide puhul GDPR-i nõusoleku määratlusele [5][6].
Nõuetele vastav ribareklaam peab:
- Esitama selge "Nõustu" ja "Keeldu" (või samaväärse) valiku võrdse visuaalse esiletõstmisega.
- Mitte kasutama tumedaid mustreid (nt "Keeldu" raskemini leitavaks tegemine kui "Nõustu").
- Blokeerima mitteolulised küpsised, kuni nõusolek on antud.
- Salvestama ja säilitama nõusoleku ajatempli ja versiooniviitega.
- Võimaldama kasutajatel oma eelistusi igal ajal muuta.
- aasta uuring näitas, et ainult 30,66% veebisaitidest sisaldas nuppu "keeldu kõigist", mis tähendab, et enamik küsitletud saitidest ei vasta tõenäoliselt vastavuse ootustele [7].
Kas on riike, kus ePrivacy direktiiv ei kehti
ePrivacy direktiiv kehtib kõigis EL-i liikmesriikides. Kuid kuna see on direktiiv (mitte määrus), on iga riik selle oma siseriiklikku õigusesse üle võtnud, varieerudes ulatuse, jõustamise prioriteetide ja karistuste osas [6]. Väljaspool EL-i asuvatel riikidel, sealhulgas Ühendkuningriigil pärast Brexitit, on oma samaväärsed seadused (Ühendkuningriigi privaatsus- ja elektroonilise side määrused ehk PECR).
Valige oma vastavuse alus selle järgi, kus teie kasutajad asuvad, mitte ainult selle järgi, kus teie ettevõte on registreeritud. USA-s asuv ettevõte, millel on märkimisväärne EL-i liiklus, peab järgima nii ePrivacy direktiivi (nagu see on asjakohastes liikmesriikides üle võetud) kui ka GDPR-i.
Mis juhtub, kui te ei järgi ePrivacy direktiivi reegleid
ePrivacy direktiivi (nagu see on siseriiklikku õigusesse üle võetud) mittejärgimine võib kaasa tuua trahve ja jõustamismeetmeid riiklikelt regulaatoritelt. Karistused varieeruvad liikmesriigiti, kuid võivad olla märkimisväärsed, ja GDPR-i rikkumised, mis on tingitud kehtetust nõusolekust (näiteks isikuandmete töötlemine jälgimisküpsiste kaudu ilma kehtiva õigusliku aluseta), toovad kaasa trahve kuni 4% ülemaailmsest aastakäibest või 20 miljonit eurot, olenevalt sellest, kumb on suurem [5].
Riiklikud andmekaitseametid (DPA) jätkavad aktiivselt organisatsioonide uurimist ja trahvimist küpsiste nõusoleku rikkumiste eest [1]. Jõustamismeetmed on suunatud nii suurtele platvormidele kui ka väikestele operaatoritele.
Levinud vastavuse vead:
- Analüütika- või reklaamiküpsiste käivitamine lehe laadimisel enne nõusoleku registreerimist.
- Nõusoleku ribareklaamide kasutamine, mis ei blokeeri küpsiseid enne interaktsiooni.
- Nõusoleku tagasivõtmise viivitamatu austamata jätmine.
- Nõusolekuandmete mitteuuendamine küpsiste poliitika muutumisel.
- Küpsiste teatiste käsitlemine samaväärsena nõusolekumehhanismidega.
Kui kaua saab küpsiseid ePrivacy direktiivi reeglite kohaselt säilitada
ePrivacy direktiiv ei täpsusta otseselt küpsiste maksimaalset säilitusaega. Kuid GDPR-i andmete minimeerimise ja säilitamise piiramise põhimõtted kehtivad juhul, kui küpsised töötlevad isikuandmeid. Nõusolek peaks olema ajaliselt piiratud ja regulaatorid eeldavad üldiselt, et organisatsioonid taotlevad nõusolekut perioodiliselt uuesti, tavaliselt viidatakse 12 kuule kui mõistlikule intervallile, kuigi see ei ole range seadusjärgne piirang [6].
Praktiline juhend: Määrake küpsiste aegumistähtajad proportsionaalselt nende eesmärgiga. Sessiooniküpsis peaks aeguma brauseri sulgemisel. Analüütikaküpsis ei vaja kaheaastast eluiga, kui kuus kuud täidab sama eesmärki.
Milliseid levinud vigu ettevõtted ePrivacy vastavusega teevad
Lisaks ülaltoodud probleemidele ilmnevad jõustamisjuhtumites ja auditites järjepidevalt mitmed mustrid:
- Kaudne nõusolek: Eeldamine, et jätkuv sirvimine tähendab nõusolekut. EL-i kohtud ja DPA-d on selle selgesõnaliselt tagasi lükanud.
- Komplekteeritud nõusolek: Küpsiste nõusoleku ja privaatsuspoliitika aktsepteerimise ühendamine ühe klõpsuga.
- Ebajärjekindel geosihtimine: Rangemate nõusolekureeglite kohaldamine ainult teatud riikide kasutajatele, samal ajal kui teistele serveeritakse jälgimisküpsiseid, mis on risk, arvestades, et jõustamine võib järgida kasutaja asukohta.
- Riiklike erinevuste ignoreerimine: Eeldamine, et üks ribareklaami konfiguratsioon rahuldab kõiki EL-i liikmesriike, kui tegelikult on mõnel riigil rangemad riiklikud nõuded [6].
- Nõusoleku auditi puudumine: Kasutajate nõusoleku, aja ja privaatsusteatise versiooni logimata jätmine [1].
Kokkuvõte
ePrivacy direktiivi ja GDPR-i suhe: EL-i küpsiste reeglites navigeerimine ei ole ühe raamistiku valimine teise asemel, mõlemad kehtivad ja mõlemad peavad olema täidetud. ePrivacy direktiiv määratleb, millal on küpsiste jaoks nõusolekut vaja; GDPR määratleb, milline kehtiv nõusolek välja näeb. Koos moodustavad nad EL-i küpsiste vastavuse õigusliku aluse.
Regulatiivne maastik muutub. ePrivacy määruse ettepanek võeti tagasi 2025. aasta alguses ja digitaalne omnibuspakett teeb nüüd ettepaneku lisada küpsiste reeglid otse GDPR-i artiklite 88a ja 88b kaudu. Lõplik tekst on oodata 2026. aasta lõpuks või 2027. aasta alguseks, kuid praegused kohustused jäävad vahepeal täielikult kehtima.
Teostatavad järgmised sammud 2026. aastaks:
- Auditeerige oma veebisaidi küpsiste käitumist, et veenduda, et enne nõusoleku saamist ei käivitu ühtegi mitteolulist küpsist.
- Vaadake üle oma nõusoleku ribareklaam tumedate mustrite osas ja veenduge, et "keeldu" valikud on sama silmapaistvad kui "nõustu".
- Rakendage CMP, näiteks Biscotti CMP, mis logib nõusolekuandmeid ja toetab granulaarset kategooriahaldust.
- Jälgige digitaalse omnibuspaketi edenemist ja hinnake, kas teie CMP tarnija valmistub brauseritaseme nõusolekusignaalide toetamiseks.
- Kontrollige ePrivacy direktiivi riiklikku ülevõtmist igas EL-i liikmesriigis, kus teil on märkimisväärne kasutajaliiklus.
KKK
K: Kas GDPR asendab ePrivacy direktiivi küpsiste puhul? Ei. GDPR ja ePrivacy direktiiv eksisteerivad koos. ePrivacy direktiiv jääb peamiseks seaduseks, mis nõuab küpsiste jaoks nõusolekut; GDPR reguleerib, mida kehtiv nõusolek tähendab ja kuidas küpsiste kaudu töödeldud isikuandmeid tuleb käsitleda.
K: Mis on ePrivacy määrus ja kas see on veel tulemas? ePrivacy määrus oli kavandatav EL-i seadus, mille eesmärk oli asendada ePrivacy direktiiv otsekohaldatava määrusega. Euroopa Komisjon võttis selle ametlikult tagasi 2025. aasta veebruaris ja see ei jätku oma praegusel kujul.
K: Mis on digitaalne omnibuspakett? Digitaalne omnibuspakett, mis avalikustati 2025. aasta novembris, on EL-i seadusandlik ettepanek, mis lihtsustaks digitaalset regulatsiooni, integreerides küpsiste nõusoleku reeglid GDPR-i uute artiklite 88a ja 88b kaudu. Alates 2026. aasta juulist on see endiselt seadusandlikus läbivaatamises.
K: Kas analüütilised küpsised on nõusolekunõuetest vabastatud? Ei. Analüütilised küpsised, mis tuvastavad üksikuid kasutajaid või seadmeid, on mitteolulised ja nõuavad ePrivacy direktiivi kohaselt eelnevat nõusolekut, olenemata sellest, kas neid kasutatakse ärilistel eesmärkidel.
K: Kas küpsiste müür (juurdepääsu blokeerimine, kui kasutajad küpsiseid ei aktsepteeri) võib moodustada kehtiva nõusoleku? Üldiselt mitte. EL-i regulaatorid ja kohtud on leidnud, et küpsiste müüride kaudu saadud nõusolek ei ole GDPR-i kohaselt vabalt antud, sest kasutajatel puudub tõeline valik. Mõned riiklikud DPA-d lubavad küpsiste müüre piiratud asjaoludel, kui pakutakse tasulist alternatiivi, kuid see jääb vaidlustatuks.
K: Kui tihti tuleb kasutajatelt küsida küpsiste kohta uuesti nõusolekut? Fikseeritud seadusjärgset perioodi ei ole, kuid regulaatorid eeldavad üldiselt, et nõusolekut uuendatakse, kui eesmärgid või küpsiste loend oluliselt muutuvad või pärast mõistlikku perioodi (praktikas sageli viidatakse 12 kuule). Eelneva privaatsusteatise versiooni alusel saadud nõusolek ei pruugi katta uusi töötlemistegevusi.
K: Mis on rangelt vajalik küpsis? Rangelt vajalik küpsis on selline, ilma milleta ei saa kasutaja selgesõnaliselt taotletud teenus toimida, näiteks sisselogimissessiooni token või ostukorvi identifikaator. Need on ePrivacy direktiivi nõusolekunõudest vabastatud.
K: Kas ePrivacy direktiiv kehtib mitte-EL-i ettevõtetele? Jah, kui need ettevõtted sihivad või teenindavad EL-is asuvaid kasutajaid. Territoriaalne ulatus järgib kasutaja asukohta, mitte operaatori registreeritud aadressi.
K: Mida peaksin nõusolekuhaldusplatvormi valimisel silmas pidama? Nõuetele vastav CMP peaks blokeerima mitteolulised küpsised enne nõusolekut, toetama granulaarseid nõusolekukategooriaid, logima nõusoleku ajatemplitega, võimaldama lihtsat tagasivõtmist ja olema valmis toetama brauseritaseme nõusolekusignaale vastavalt kavandatavatele GDPR-i muudatustele.
K: Kas ma saan kasutada ühte küpsiste ribareklaami kogu EL-i jaoks? Üks ribareklaam võib toimida baasjoonena, kuid kuna ePrivacy direktiiv on liikmesriikides erinevalt üle võetud, võivad mõnel riigil olla rangemad nõuded. Suure liiklusega saitide puhul on soovitatav õiguslik läbivaatamine iga sihtturu siseriikliku õiguse alusel.
Viited
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai