Erantzun azkarra: ePrivacy Zuzentaraua eta GDPR bi EBko lege desberdin baina gainjartzen direnak dira, cookie baimena eta lineako pribatutasuna elkarrekin arautzen dituztenak. ePrivacy Zuzentarauak erabiltzaileen gailuetan cookieak jartzeko arau espezifikoak ezartzen ditu, eta GDPRk, berriz, baliozko baimenaren estandarrak definitzen ditu. EBn jarduten duten webgune gehienek biak bete behar dituzte, eta 2026tik aurrera, legegintza-berrikuntza handi bat abian da, cookie arauak zuzenean GDPRn finkatu ditzakeena.
Gako-ideiak
- ePrivacy Zuzentaraua (2002, 2009an eguneratua) da funtsezkoak ez diren cookieak ezarri aurretik baimena eskatzen duen lege nagusia; GDPRk (2018) definitzen du zer esan nahi duen "baliozko baimenak".
- Bi legeak aldi berean aplikatzen zaizkie EBko webgune gehienetan, batek ez du bestea ordezkatzen.
- Proposatutako ePrivacy Erregelamendua formalki erretiratu zuen Europako Batzordeak 2025eko otsailean.
- Digital Omnibus Paketeak, 2025eko azaroan aurkeztua, cookie baimenaren arauak GDPRn integratzea proposatzen du 88a eta 88b artikulu berrien bidez.
- Funtsezko (erabat beharrezkoak) cookieak baimen-eskakizunetatik salbuetsita daude ePrivacy Zuzentarauaren arabera.
- ePrivacy Zuzentaraua EBko estatu kideetan modu desberdinean transposatu da, herrialde bakoitzeko betetze-aldaketak sortuz.
- 2026ko ikerketa batek aurkitu zuen webguneen %30,66k soilik zutela "dena baztertu" botoia, betetze-ezaren zabaltasuna adieraziz [7].
- Cookie baimenaren bannerrek bi legeak bete ditzakete, baina soilik GDPRren baldintzak betetzen badituzte, hau da, borondatezko, espezifiko, informatua eta anbiguotasunik gabeko baimena izateko.
- Baimen Kudeaketa Plataformek (CMP) nabigatzaile-mailako baimen-seinaleetara egokitu beharko dute proposatutako GDPR aldaketen arabera [3].
Zein da ePrivacy Zuzentarauaren eta GDPRren arteko aldea?
ePrivacy Zuzentarauak eta GDPRk funtzio desberdinak baina osagarriak betetzen dituzte. ePrivacy Zuzentaraua (2002/58/EE Zuzentaraua, 2009/136/EE bidez aldatua) sektore espezifikoko lege bat da, komunikazio elektronikoen pribatutasuna arautzen duena, cookieen eta antzeko jarraipen-teknologien erabilera barne. GDPR datuak babesteko erregelamendu orokor bat da, sektore guztietan datu pertsonalen tratamendurako lege-esparrua ezartzen duena, baliozko baimenaren definizioa eta eskakizunak barne.
Gako-bereizketa:
| Ezaugarria | ePrivacy Zuzentaraua | GDPR |
|---|---|---|
| Lege-forma | EBko Zuzentaraua (transposizio nazionala eskatzen du) | EBko Erregelamendua (zuzenean aplikagarria) |
| Ardatz nagusia | Cookieak, jarraipena, komunikazio elektronikoak | Datu pertsonalen tratamendu guztia |
| Baimen-estandarra | Funtsezkoak ez diren cookieetarako baimena eskatzen du | Baliozko baimenak zer esan nahi duen definitzen du |
| Betearazte-organoa | Telekomunikazio/DPA erregulatzaile nazionalak | Datuak Babesteko Agintaritza Nazionalak |
| Egoera (2026) | Indarrean jarraitzen du; erreforma zain | Indarrean; proposatutako zuzenketak abian |
ePrivacy Zuzentaraua Zuzentarau bat denez, eta ez Erregelamendu bat, EBko estatu kide bakoitzak modu desberdinean transposatu du lege nazionalera, betearazpenaren eta eskakizun espezifikoen aldaketak sortuz herrialdeetan [6].
Biak bete behar dituzu, ePrivacy Zuzentaraua eta GDPR, ala bakarra?
Bi legeak aldi berean aplikatzen dira, eta bat betetzeak ez du bestea asetzen. ePrivacy Zuzentarauak esaten dizu noiz behar duzun baimena (funtsezkoak ez diren cookieak ezarri aurretik); GDPRk esaten dizu nolakoa izan behar duen baimen horrek (borondatezkoa, espezifikoa, informatua, anbiguotasunik gabea eta edozein unetan ezeztagarria) [5].
Pentsa ezazu honela: ePrivacy Zuzentaraua da abiarazlea, eta GDPR estandarra. Cookieak kargatu aurretik teknikoki agertzen den cookie banner batek, baina aurrez markatutako laukiak erabiltzen baditu, GDPRren baimen-eskakizunak urratuko lituzke, nahiz eta nominalki ePrivacy Zuzentarauaren jakinarazpen-betebeharra bete.
Akats arrunta: Cookie ohar bat (erabiltzaileei cookieak existitzen direla jakinarazten diena) nahikoa dela suposatzea. Bi esparruen arabera, jakinarazpen pasiboa ez da funtsezkoak ez diren cookieetarako baimena.
Nola aplikatzen da ePrivacy Zuzentaraua zure webguneko cookieei?
ePrivacy Zuzentarauak eskatzen du webguneen operadoreek aldez aurretik, informatuta, baimena lortzea erabiltzaile baten gailuan informazioa gorde edo atzitu aurretik, eta horrek cookieak, pixelak, biltegiratze lokala eta antzeko teknologiak hartzen ditu barne [6]. Betebehar hori aplikatzen da bildutako datuak GDPRren arabera datu pertsonalak diren ala ez kontuan hartu gabe.
Praktikan, horrek esan nahi du:
- Funtsezkoak ez diren cookieak ezin dira aktibatu erabiltzaileak baimena emateko ekintza positibo bat egin aurretik.
- Baimen-mekanismoak argia izan behar du eta ez da zerbitzu-baldintzen onarpenarekin batera bildu behar.
- Erabiltzaileek baimena ezeztatzeko aukera izan behar dute, eman zuten bezain erraz.
Zuzentaraua EBko erabiltzaileei zuzendutako edozein zerbitzuri aplikatzen zaie, webgunearen operadorea non dagoen kontuan hartu gabe.
Zein cookiek behar dute baimena ePrivacy Zuzentarauaren vs. GDPRren arabera?
ePrivacy Zuzentarauaren arabera, baimena behar da cookie guztietarako, erabiltzaileak esplizituki eskatutako zerbitzu baterako "erabat beharrezkoak" direnak izan ezik. GDPRren arabera, datu pertsonalen edozein tratamenduk oinarri legal bat behar du, eta jarraipen-cookieetarako, oinarri hori ia beti baimena da.
Cookie kategoriak eta baimen-eskakizunak:
- Erabat beharrezkoak diren cookieak (saio-kudeaketa, saio-egoera, erosketa-saskia): Ez da baimenik behar ePrivacy Zuzentarauaren arabera. GDPRren interes legitimoa edo kontratuaren betearazpenaren oinarria aplika daiteke.
- Analisi-cookieak (adibidez, erabiltzaileak identifikatzen dituen orrialde-ikuspenen jarraipena): Baimena behar da bi esparruen arabera.
- Marketin- eta publizitate-cookieak (portaera-segmentazioa, birbideratzea): Baimena behar da bi esparruen arabera, hau da betearazpenerako arrisku handieneko kategoria.
- Funtzio-cookieak (hizkuntza-hobespenak, UI ezarpenak): Eztabaidagarria; datu pertsonalak prozesatzen badituzte, baimena da ikuspegi seguruena.
ePrivacy Zuzentaraua ordezkatzen ari da, eta zer da ePrivacy Erregelamendua?
ePrivacy Zuzentaraua ez da GDPRk ordezkatzen ari. Hala ere, proposatutako ePrivacy Erregelamendu batek Zuzentaraua EB mailan zuzenean aplikagarria den lege batekin ordezkatzea zuen helburu. Proposamen hori formalki erretiratu zuen Europako Batzordeak 2025eko otsailean, estatu kideen artean aurreikus daitekeen akordio faltagatik eta proposamenaren izaera zaharkituagatik, azken aldaketa teknologikoak kontuan hartuta [2].
ePrivacy Zuzentaraua vs. proposatutako ePrivacy Erregelamendua: Erregelamendua zuzenean loteslea izango zen estatu kide guztietan (transposizio nazionaleko desberdintasunak ezabatuz), baina ez zen inoiz onartu.
Horren ordez, Europako Batzordeak Digital Omnibus Paketea aurkeztu zuen 2025eko azaroaren 19an. Pakete honek cookie baimenaren arauak zuzenean GDPRn integratzea proposatzen du 88a eta 88b artikulu berrien bidez [2][3]. 88a artikuluak baimena behar ez den egoerak definituko lituzke (hala nola komunikazio elektronikoen transmisiorako edo erabiltzaileak esplizituki eskatutako zerbitzuetarako). 88b artikuluak baimen-mekanismo automatizatu eta makina-irakurgarrietarako eskakizunak sartuko lituzke, nabigatzaile-mailako baimen-seinaleak barne [3].
2026ko uztailean, Digital Omnibus Paketea legegintza-prozesuetan dago oraindik, eta azken testua 2026aren amaieran edo 2027aren hasieran espero da [4].
Funtsezko cookieek baimena behar dute ePrivacy Zuzentarauaren arabera?
Ez. Erabat beharrezkoak diren cookieak esplizituki salbuetsita daude ePrivacy Zuzentarauaren baimen-eskakizunetik. Hauek dira erabiltzaileak aktiboki eskatutako zerbitzua funtzionatu ezin duten cookieak, adibidez, saio-identifikatzaileak, autentifikazio-tokenak eta erosketa-saskiko cookieak [6].
Kasu berezia: "Beharrezkoa" estu interpretatzen da. Errendimendua hobetzen edo analisiak ahalbidetzen dituen cookie bat ez da erabat beharrezkoa, nahiz eta operadoreak operatiboki garrantzitsutzat jo. Zalantzarik izanez gero, baimena eskatzearen alde egin.
Nola lortu bi erregelamenduak betetzen dituen cookie baimen baliozkoa?
GDPRren arabera baliozko baimenak (eta, beraz, ePrivacy Zuzentarauaren arabera, GDPRren baimen-estandarrei erreferentzia egiten diena) honakoa izan behar du:
- Borondatezkoa, Ez baimen-hormarik edo baldintzen onarpenarekin batera behartutako bilketarik.
- Espezifikoa, Cookie kategoria bakoitzerako baimen bereizia (analisiak, marketina, etab.).
- Informatua, Erabiltzaileek jakin behar dute cookieek zer egiten duten eta nork prozesatzen dituen datuak.
- Anbiguotasunik gabea, Ekintza positibo bat behar da; aurrez markatutako laukiak baliogabeak dira.
- Ezeztagarria, Baimena ezeztatzea ematea bezain erraza izan behar da [5].
Ondo konfiguratutako Baimen Kudeaketa Plataforma (CMP) batek kudeatzen du lan-fluxu hau. Biscotti CMP eskakizun hauek betetzeko diseinatuta dago, baimen-kategoria zehatzak eta auditoria-helburuetarako baimen-erregistroa barne. Digital Omnibus Paketeak 88b artikuluaren arabera nabigatzaile-mailako baimen-seinaleak proposatzen dituenez, CMPek nabigatzaile-ezarpenetako seinaleak ere jaso eta errespetatu beharko dituzte, industriarako aldaketa operatibo garrantzitsu bat [3].
Cookie bannerrek ePrivacy eta GDPR eskakizunak bete ditzakete?
Bai, baina soilik bannerra zuzen diseinatuta badago. GDPRren baimen-estandarrak betetzen dituen cookie banner batek ePrivacy Zuzentarauaren baimen-eskakizuna ere beteko du, Zuzentarauak EBko estatu kideetarako GDPRren baimen-definiziora jotzen baitu [5][6].
Banner bateragarri batek honakoa izan behar du:
- "Onartu" eta "Baztertu" (edo baliokidea) aukera argi bat aurkeztu, ikusmen-nabarmentasun berdinarekin.
- Ez erabili eredu ilunik (adibidez, "Baztertu" "Onartu" baino zailagoa eginez).
- Blokeatu funtsezkoak ez diren cookieak baimena eman arte.
- Erregistratu eta gorde baimena denbora-marka eta bertsio-erreferentzia batekin.
- Erabiltzaileei beren hobespenak edozein unetan aldatzeko aukera eman.
2026ko ikerketa batek aurkitu zuen webguneen %30,66k soilik zutela "dena baztertu" botoia, eta horrek esan nahi du inkestatutako gune gehienek ziurrenik ez dituztela betetze-itxaropenak betetzen [7].
Ba al dago herrialderik non ePrivacy Zuzentaraua aplikatzen ez den?
ePrivacy Zuzentaraua EBko estatu kide guztietan aplikatzen da. Hala ere, Zuzentarau bat denez (ez Erregelamendu bat), herrialde bakoitzak lege nazionalera transposatu du, esparruan, betearazpen-lehentasunetan eta zigorretan aldaketa batzuekin [6]. EBtik kanpoko herrialdeek, Erresuma Batua Brexitaren ondoren barne, beren lege baliokideak dituzte (Erresuma Batuko Pribatutasun eta Komunikazio Elektronikoen Erregelamenduak, edo PECR).
Aukeratu zure betetze-oinarria zure erabiltzaileak non dauden kontuan hartuta, ez bakarrik zure negozioa non erregistratuta dagoen. EBko trafiko esanguratsua duen AEBetako enpresa batek ePrivacy Zuzentaraua (estatu kide garrantzitsuetan transposatua) eta GDPR bete behar ditu.
Zer gertatzen da ePrivacy Zuzentarauaren arauak betetzen ez badituzu?
ePrivacy Zuzentaraua ez betetzeak (lege nazionalera transposatua) isunak eta betearazpen-ekintzak ekar ditzake erregulatzaile nazionalen aldetik. Zigorrak estatu kidearen arabera aldatzen dira, baina handiak izan daitezke, eta baliozko baimenik gabeko GDPR urraketek (adibidez, datu pertsonalak jarraipen-cookieen bidez prozesatzea oinarri legal baliozkorik gabe) urteko fakturazio globalaren %4rainoko isunak edo 20 milioi eurokoak ekar ditzakete, handiena dena [5].
Datuak Babesteko Agintaritza Nazionalek (DPA) aktiboki ikertzen eta isunak jartzen jarraitzen dute erakundeei cookie baimenaren hutsegiteengatik [1]. Betearazpen-ekintzek plataforma handiak eta operadore txikiak ere jo dituzte.
Betetze-akats arruntak:
- Analisi- edo publizitate-cookieak orrialdea kargatzean aktibatzea baimena erregistratu aurretik.
- Cookieak blokeatzen ez dituzten baimen-bannerrak erabiltzea interakzioaren ondoren arte.
- Baimena ezeztatzea azkar ez betetzea.
- Cookie-politika aldatzen denean baimen-erregistroak ez eguneratzea.
- Cookie-oharrak baimen-mekanismoen baliokidetzat hartzea.
Zenbat denbora gorde daitezke cookieak ePrivacy Zuzentarauaren arauen arabera?
ePrivacy Zuzentarauak ez du zuzenean cookieak biltegiratzeko gehienezko iraupena zehazten. Hala ere, GDPRren datuen minimizazio eta biltegiratze-mugaren printzipioak aplikatzen dira cookieek datu pertsonalak prozesatzen dituztenean. Baimena denbora-mugatua izan behar da, eta erregulatzaileek, oro har, erakundeei baimena aldian-aldian berriro eskatzea espero diete; ohiko orientazioak 12 hilabete iradokitzen ditu arrazoizko tarte gisa, nahiz eta hori ez den legezko muga zorrotz bat [6].
Orientazio praktikoa: Ezarri cookieen iraungitze-epealdiak beren helburuarekin proportzionalak izan daitezen. Saio-cookie batek nabigatzailea ixten denean iraungi beharko luke. Analisi-cookie batek ez du bi urteko iraupena behar, sei hilabetek helburu bera betetzen badute.
Zein dira enpresek ePrivacy betetzearekin egiten dituzten akats arruntak?
Goian aipatutako arazoez gain, hainbat eredu agertzen dira etengabe betearazpen-kasuetan eta auditorietan:
- Baimen inplizitua: Nabigatzen jarraitzeak baimena dakarrela suposatzea. Hori esplizituki baztertu dute EBko auzitegiek eta DPAek.
- Baimen bateratua: Cookie baimena pribatutasun-politikaren onarpenarekin bateratzea klik bakar batean.
- Geo-segmentazio inkoherentea: Baimen-arau zorrotzagoak herrialde jakin batzuetako erabiltzaileentzat soilik aplikatzea, beste batzuei jarraipen-cookieak eskaintzen zaizkien bitartean, betearazpena erabiltzailearen kokapenaren arabera gerta daitekeelako arriskua.
- Aldaketa nazionalak ez ikusi egitea: Banner konfigurazio bakar batek EBko estatu kide guztiak asetzen dituela suposatzea, egia esan herrialde batzuek eskakizun nazional zorrotzagoak dituztenean [6].
- Baimen-auditoria-arrastorik ez: Erabiltzaileek zer onartu zuten, noiz eta pribatutasun-oharren zein bertsiopean erregistratu ez izatea [1].
Ondorioa
ePrivacy Zuzentarauaren eta GDPRren arteko harremana: EBko Cookie Arauak Nabigatzea ez da esparru bat bestearen gainetik aukeratzea; biak aplikatzen dira, eta biak bete behar dira. ePrivacy Zuzentarauak cookieetarako baimena noiz behar den definitzen du; GDPRk, berriz, baliozko baimenak nolakoa izan behar duen. Elkarrekin, EBko cookieen betetzearen oinarri juridikoa osatzen dute.
Erregulazio-paisaia aldatzen ari da. ePrivacy Erregelamenduaren proposamena 2025aren hasieran erretiratu zen, eta Digital Omnibus Paketeak orain cookie-arauak zuzenean GDPRn sartzea proposatzen du 88a eta 88b artikuluen bidez. Azken testua 2026aren amaieran edo 2027aren hasieran espero da, baina egungo betebeharrak indarrean jarraitzen dute bitartean.
2026rako hurrengo urratsak:
- Auditu zure webgunearen cookie-portaera, funtsezkoak ez diren cookieak baimena lortu aurretik aktibatzen ez direla baieztatzeko.
- Berrikusi zure baimen-bannerra eredu ilunik ez dagoela ziurtatzeko eta "baztertu" aukerak "onartu" bezain nabarmenak direla ziurtatzeko.
- Inplementatu CMP bat, hala nola Biscotti CMP, baimen-erregistroak gordetzen dituena eta kategoria-kudeaketa zehatza onartzen duena.
- Jarraitu Digital Omnibus Paketearen aurrerapena eta ebaluatu zure CMP hornitzailea nabigatzaile-mailako baimen-seinaleen euskarria prestatzen ari den.
- Egiaztatu ePrivacy Zuzentarauaren transposizio nazionala EBko estatu kide bakoitzean, non erabiltzaile-trafiko esanguratsua duzun.
Ohiko galderak
G: GDPRk ePrivacy Zuzentaraua ordezkatzen al du cookieetarako? Ez. GDPR eta ePrivacy Zuzentaraua elkarrekin existitzen dira. ePrivacy Zuzentaraua da cookieetarako baimena eskatzen duen lege nagusia; GDPRk, berriz, baliozko baimenak zer esan nahi duen eta cookieen bidez prozesatutako datu pertsonalak nola kudeatu behar diren arautzen du.
G: Zer da ePrivacy Erregelamendua, eta oraindik ere etorriko al da? ePrivacy Erregelamendua EBko lege-proposamen bat zen, ePrivacy Zuzentaraua zuzenean aplikagarria den erregelamendu batekin ordezkatzeko asmoa zuena. Europako Batzordeak formalki erretiratu zuen 2025eko otsailean eta ez da aurrera egingo bere egungo forman.
G: Zer da Digital Omnibus Paketea? Digital Omnibus Paketea, 2025eko azaroan aurkeztua, EBko legegintza-proposamen bat da, erregulazio digitala sinplifikatuko lukeena, cookie baimenaren arauak GDPRn integratuz 88a eta 88b artikulu berrien bidez. 2026ko uztailean, oraindik legegintza-berrikuspenpean dago.
G: Analisi-cookieak baimen-eskakizunetatik salbuetsita al daude? Ez. Erabiltzaile edo gailu indibidualak identifikatzen dituzten analisi-cookieak ez dira funtsezkoak eta aldez aurretiko baimena behar dute ePrivacy Zuzentarauaren arabera, helburu komertzialetarako erabiltzen diren ala ez kontuan hartu gabe.
G: Cookie-horma batek (sarbidea blokeatzea erabiltzaileek cookieak onartzen ez badituzte) baliozko baimena izan al daiteke? Oro har ez. EBko erregulatzaileek eta auzitegiek aurkitu dute cookie-hormen bidez lortutako baimena ez dela borondatezkoa GDPRren arabera, erabiltzaileek ez dutelako benetako aukerarik. DPA nazional batzuek cookie-hormak onartzen dituzte egoera mugatuetan, ordainpeko alternatiba bat eskaintzen bada, baina hori eztabaidagarria da oraindik.
G: Zenbat aldiz eskatu behar zaie erabiltzaileei cookieak berriro onartzeko? Ez dago epe finkorik, baina erregulatzaileek, oro har, baimena freskatzea espero dute helburuak edo cookie-zerrenda materialki aldatzen direnean, edo arrazoizko epe baten ondoren (praktikan 12 hilabete aipatzen dira askotan). Pribatutasun-oharren aurreko bertsio baten arabera lortutako baimenak ezin ditu estali prozesatze-jarduera berriak.
G: Zer da erabat beharrezkoa den cookie bat? Erabat beharrezkoa den cookie bat da erabiltzaileak esplizituki eskatutako zerbitzu bat funtzionatu ezin duena, adibidez, saio-saio-token bat edo erosketa-saskiaren identifikatzaile bat. Hauek ePrivacy Zuzentarauaren baimen-eskakizunetik salbuetsita daude.
G: ePrivacy Zuzentaraua EBtik kanpoko negozioei aplikatzen al zaie? Bai, negozio horiek EBn kokatutako erabiltzaileei zuzenduta badaude edo zerbitzua ematen badiete. Lurralde-esparruak erabiltzailearen kokapena jarraitzen du, ez operadorearen helbide erregistratua.
G: Zer bilatu behar dut Baimen Kudeaketa Plataforma batean? CMP bateragarri batek funtsezkoak ez diren cookieak blokeatu beharko lituzke baimena eman aurretik, baimen-kategoria zehatzak onartu, baimena denbora-markekin erregistratu, ezeztatzea erraztu eta nabigatzaile-mailako baimen-seinaleak onartzeko prest egon beharko luke, proposatutako GDPR zuzenketen arabera.
G: Cookie banner bakar bat erabil dezaket EB osoan? Banner bakar batek oinarri gisa funtziona dezake, baina ePrivacy Zuzentaraua estatu kideetan modu desberdinean transposatu denez, herrialde batzuek eskakizun zorrotzagoak izan ditzakete. Trafiko handiko guneetarako, helburu-merkatu bakoitzeko lege nazionalaren aurkako berrikuspen juridikoa komenigarria da.
Erreferentziak
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai