תשובה מהירה: הוראת ePrivacy וה-GDPR הם שני חוקים נפרדים אך חופפים של האיחוד האירופי, השולטים יחד בהסכמה לעוגיות ובפרטיות מקוונת. הוראת ePrivacy קובעת את הכללים הספציפיים להצבת עוגיות במכשירי משתמשים, בעוד שה-GDPR מגדיר את הסטנדרטים להסכמה תקפה. רוב האתרים הפועלים באיחוד האירופי חייבים לציית לשניהם, ונכון לשנת 2026, מהפך חקיקתי גדול נמצא בעיצומו שעשוי לאחד את כללי העוגיות ישירות לתוך ה-GDPR.
נקודות מפתח
- הוראת ePrivacy (2002, עודכנה 2009) היא החוק העיקרי הדורש הסכמה לפני הגדרת עוגיות שאינן חיוניות; ה-GDPR (2018) מגדיר מהי "הסכמה תקפה" בפועל.
- שני החוקים חלים בו-זמנית על רוב האתרים הפונים לאיחוד האירופי, האחד אינו מחליף את השני.
- תקנת ePrivacy המוצעת נמשכה רשמית על ידי הנציבות האירופית בפברואר 2025.
- חבילת ה-Digital Omnibus, שנחשפה בנובמבר 2025, מציעה לשלב את כללי הסכמת העוגיות לתוך ה-GDPR באמצעות סעיפים 88a ו-88b חדשים.
- עוגיות חיוניות (הכרחיות בהחלט) פטורות מדרישות הסכמה תחת הוראת ePrivacy.
- הוראת ePrivacy יושמה באופן שונה במדינות החברות באיחוד האירופי, מה שיצר שונות בציות לפי מדינה.
- מחקר משנת 2026 מצא שרק 30.66% מהאתרים הציגו כפתור "דחה הכל", מה שמעיד על אי-ציות נרחב [7].
- באנרים של הסכמה לעוגיות יכולים לעמוד בשני החוקים, אך רק אם הם עומדים בתנאי ה-GDPR להסכמה שניתנה בחופשיות, ספציפית, מיודעת וחד-משמעית.
- פלטפורמות לניהול הסכמה (CMPs) יצטרכו להסתגל לאותות הסכמה ברמת הדפדפן תחת השינויים המוצעים ב-GDPR [3].
מה ההבדל בין הוראת ePrivacy ל-GDPR
הוראת ePrivacy וה-GDPR משרתים פונקציות שונות אך משלימות. הוראת ePrivacy (הוראה 2002/58/EC, שתוקנה על ידי 2009/136/EC) היא חוק ספציפי למגזר השולט בפרטיות תקשורת אלקטרונית, כולל שימוש בעוגיות ובטכנולוגיות מעקב דומות. ה-GDPR הוא תקנת הגנת נתונים כללית הקובעת את המסגרת המשפטית לעיבוד נתונים אישיים בכל המגזרים, כולל ההגדרה והדרישות להסכמה תקפה.
ההבחנה העיקרית:
| מאפיין | הוראת ePrivacy | GDPR |
|---|---|---|
| צורה משפטית | הוראת האיחוד האירופי (דורשת יישום לאומי) | תקנת האיחוד האירופי (חלה ישירות) |
| מיקוד עיקרי | עוגיות, מעקב, תקשורת אלקטרונית | כל עיבוד נתונים אישיים |
| תקן הסכמה | דורש הסכמה לעוגיות שאינן חיוניות | מגדיר מהי הסכמה תקפה |
| גוף אכיפה | רגולטורים לאומיים של טלקום/DPA | רשויות לאומיות להגנת נתונים |
| סטטוס (2026) | עדיין בתוקף; רפורמה ממתינה | בתוקף; תיקונים מוצעים בעיצומם |
מכיוון שהוראת ePrivacy היא הוראה ולא תקנה, כל מדינה חברה באיחוד האירופי יישמה אותה בחוק הלאומי שלה באופן שונה, מה שיצר שונות באכיפה ובדרישות הספציפיות בין המדינות [6].
האם עליך לציית גם להוראת ePrivacy וגם ל-GDPR, או רק לאחד מהם
שני החוקים חלים בו-זמנית, וציות לאחד אינו מספק את השני. הוראת ePrivacy אומרת לך מתי אתה צריך הסכמה (לפני הגדרת עוגיות שאינן חיוניות); ה-GDPR אומר לך איך ההסכמה הזו צריכה להיראות (ניתנת בחופשיות, ספציפית, מיודעת, חד-משמעית, וניתנת לביטול בכל עת) [5].
חשוב על זה כך: הוראת ePrivacy היא הטריגר, וה-GDPR הוא הסטנדרט. באנר עוגיות שמופיע טכנית לפני טעינת העוגיות אך משתמש בתיבות מסומנות מראש יפר את דרישות ההסכמה של ה-GDPR, גם אם הוא עומד באופן נומינלי בחובת ההודעה של הוראת ePrivacy.
טעות נפוצה: ההנחה כי הודעת עוגיות (הודעה למשתמשים על קיום עוגיות) מספיקה. תחת שתי המסגרות, הודעה פסיבית אינה הסכמה לעוגיות שאינן חיוניות.
כיצד הוראת ePrivacy חלה על עוגיות באתר שלך
הוראת ePrivacy דורשת ממפעילי אתרים לקבל הסכמה מוקדמת ומיודעת לפני אחסון או גישה למידע במכשיר של משתמש, זה כולל עוגיות, פיקסלים, אחסון מקומי וטכנולוגיות דומות [6]. חובה זו חלה ללא קשר לשאלה אם הנתונים שנאספו נחשבים לנתונים אישיים תחת ה-GDPR.
בפועל, זה אומר:
- אין עוגיות שאינן חיוניות שיכולות לפעול לפני שהמשתמש נוקט בפעולה חיובית כדי להסכים.
- מנגנון ההסכמה חייב להיות ברור ולא מקובץ עם קבלת תנאי השירות.
- משתמשים חייבים להיות מסוגלים לבטל את הסכמתם בקלות כמו שנתנו אותה.
ההוראה חלה על כל שירות המכוון למשתמשי האיחוד האירופי, ללא קשר למקום מושבו של מפעיל האתר.
אילו עוגיות דורשות הסכמה תחת הוראת ePrivacy מול GDPR
תחת הוראת ePrivacy, נדרשת הסכמה לכל העוגיות למעט אלו שהן "הכרחיות בהחלט" לשירות המבוקש במפורש על ידי המשתמש. תחת ה-GDPR, כל עיבוד של נתונים אישיים דורש בסיס חוקי, ועבור עוגיות מעקב, בסיס זה הוא כמעט תמיד הסכמה.
קטגוריות עוגיות ודרישות הסכמה:
- עוגיות הכרחיות בהחלט (ניהול סשן, מצב התחברות, עגלת קניות): אין צורך בהסכמה תחת הוראת ePrivacy. בסיס האינטרס הלגיטימי או ביצוע החוזה של ה-GDPR עשוי לחול.
- עוגיות אנליטיקה (לדוגמה, מעקב אחר צפיות בדפים המזהה משתמשים): נדרשת הסכמה תחת שתי המסגרות.
- עוגיות שיווק ופרסום (טרגוט התנהגותי, ריטרגטינג): נדרשת הסכמה תחת שתי המסגרות, זוהי הקטגוריה בעלת הסיכון הגבוה ביותר לאכיפה.
- עוגיות פונקציונליות (העדפות שפה, הגדרות ממשק משתמש): נתון לוויכוח; אם הן מעבדות נתונים אישיים, הסכמה היא הגישה הבטוחה ביותר.
האם הוראת ePrivacy מוחלפת, ומהי תקנת ePrivacy
הוראת ePrivacy אינה מוחלפת על ידי ה-GDPR. עם זאת, תקנת ePrivacy מוצעת נועדה להחליף את ההוראה בחוק ישים ישירות ברחבי האיחוד האירופי. הצעה זו נמשכה רשמית על ידי הנציבות האירופית בפברואר 2025, תוך ציון חוסר הסכמה צפויה בין המדינות החברות ואופיה המיושן של ההצעה בהתחשב בשינויים טכנולוגיים אחרונים [2].
הוראת ePrivacy מול תקנת ePrivacy המוצעת: התקנה הייתה מחייבת ישירות בכל המדינות החברות (מבטלת הבדלים ביישום לאומי), אך היא מעולם לא הגיעה לאימוץ.
במקומה, הנציבות האירופית הציגה את חבילת ה-Digital Omnibus ב-19 בנובמבר 2025. חבילה זו מציעה לשלב את כללי הסכמת העוגיות ישירות לתוך ה-GDPR באמצעות סעיפים 88a ו-88b חדשים [2][3]. סעיף 88a יגדיר תרחישים שבהם אין צורך בהסכמה (כגון עבור העברת תקשורת אלקטרונית או שירותים המבוקשים במפורש על ידי המשתמש). סעיף 88b יציג דרישות למנגנוני הסכמה אוטומטיים וקריאים למכונה, כולל אותות הסכמה ברמת הדפדפן [3].
נכון ליולי 2026, חבילת ה-Digital Omnibus עדיין עוברת תהליכי חקיקה, כאשר הטקסט הסופי צפוי עד סוף 2026 או תחילת 2027 [4].
האם עוגיות חיוניות זקוקות להסכמה תחת הוראת ePrivacy
לא. עוגיות הכרחיות בהחלט פטורות במפורש מדרישת ההסכמה של הוראת ePrivacy. אלו הן עוגיות שבלעדיהן השירות שהמשתמש ביקש באופן פעיל אינו יכול לתפקד, לדוגמה, מזהי סשן, אסימוני אימות ועוגיות עגלת קניות [6].
מקרה קצה: "הכרחי" מתפרש באופן צר. עוגיה המשפרת ביצועים או מאפשרת אנליטיקה אינה הכרחית בהחלט, גם אם המפעיל רואה בה חשובה מבחינה תפעולית. כאשר יש ספק, עדיף לדרוש הסכמה.
כיצד לקבל הסכמה תקפה לעוגיות העומדת בשתי התקנות
הסכמה תקפה תחת ה-GDPR (ולכן תחת הוראת ePrivacy, המפנה לסטנדרטים של הסכמת GDPR) חייבת להיות:
- ניתנת בחופשיות, ללא קירות הסכמה או קיבוץ כפוי עם קבלת תנאים.
- ספציפית, הסכמה נפרדת לכל קטגוריית עוגיות (אנליטיקה, שיווק וכו').
- מיודעת, משתמשים חייבים לדעת מה העוגיות עושות ומי מעבד את הנתונים.
- חד-משמעית, נדרשת פעולה חיובית; תיבות מסומנות מראש אינן תקפות.
- ניתנת לביטול, ביטול הסכמה חייב להיות קל כמו מתן הסכמה [5].
פלטפורמת ניהול הסכמה (CMP) מוגדרת היטב מטפלת בתהליך עבודה זה. Biscotti CMP מתוכננת לתמוך בדרישות אלו, כולל קטגוריות הסכמה מדויקות ורישום הסכמה למטרות ביקורת. עם חבילת ה-Digital Omnibus המציעה אותות הסכמה ברמת הדפדפן תחת סעיף 88b, CMPs יצטרכו גם לקלוט ולכבד אותות מהגדרות הדפדפן, שינוי תפעולי משמעותי לתעשייה [3].
האם באנרים של עוגיות יכולים לעמוד בדרישות ePrivacy ו-GDPR
כן, אך רק אם הבאנר מעוצב נכון. באנר עוגיות העומד בסטנדרטים של הסכמת GDPR יספק גם את דרישת ההסכמה של הוראת ePrivacy, מכיוון שההוראה מפנה להגדרת ההסכמה של ה-GDPR עבור המדינות החברות באיחוד האירופי [5][6].
באנר תואם חייב:
- להציג אפשרות ברורה של "קבל" ו"דחה" (או מקבילה) עם בולטות ויזואלית שווה.
- לא להשתמש בדפוסים אפלים (לדוגמה, להפוך את "דחה" לקשה יותר למציאה מ"קבל").
- לחסום עוגיות שאינן חיוניות עד לקבלת הסכמה.
- לתעד ולאחסן הסכמה עם חותמת זמן והפניית גרסה.
- לאפשר למשתמשים לשנות את העדפותיהם בכל עת.
מחקר משנת 2026 מצא שרק 30.66% מהאתרים הציגו כפתור "דחה הכל", מה שאומר שרוב האתרים שנסקרו כנראה אינם עומדים בציפיות הציות [7].
האם יש מדינות שבהן הוראת ePrivacy אינה חלה
הוראת ePrivacy חלה בכל המדינות החברות באיחוד האירופי. עם זאת, מכיוון שהיא הוראה (ולא תקנה), כל מדינה יישמה אותה בחוק הלאומי עם שונות מסוימת בהיקף, סדרי עדיפויות אכיפה ועונשים [6]. למדינות מחוץ לאיחוד האירופי, כולל בריטניה לאחר הברקזיט, יש חוקים מקבילים משלהן (תקנות הפרטיות והתקשורת האלקטרונית של בריטניה, או PECR).
בחר את בסיס הציות שלך בהתבסס על מקום הימצאות המשתמשים שלך, לא רק על מקום רישום העסק שלך. חברה שבסיסה בארה"ב עם תעבורה משמעותית מהאיחוד האירופי חייבת לציית גם להוראת ePrivacy (כפי שיושמה במדינות החברות הרלוונטיות) וגם ל-GDPR.
מה קורה אם אינך מציית לכללי הוראת ePrivacy
אי-ציות להוראת ePrivacy (כפי שיושמה בחוק הלאומי) עלול לגרום לקנסות ופעולות אכיפה מצד רגולטורים לאומיים. העונשים משתנים לפי מדינה חברה אך יכולים להיות משמעותיים, והפרות GDPR הנגרמות על ידי הסכמה לא תקפה (לדוגמה, עיבוד נתונים אישיים באמצעות עוגיות מעקב ללא בסיס חוקי תקף) נושאות קנסות של עד 4% מהמחזור השנתי העולמי או 20 מיליון אירו, הגבוה מביניהם [5].
רשויות הגנת הנתונים הלאומיות (DPAs) ממשיכות לחקור באופן פעיל ולקנוס ארגונים על כשלים בהסכמה לעוגיות [1]. פעולות אכיפה כוונו לפלטפורמות גדולות ולמפעילים קטנים כאחד.
טעויות ציות נפוצות:
- הפעלת עוגיות אנליטיקה או פרסום בטעינת הדף לפני רישום הסכמה.
- שימוש בבאנרים של הסכמה שאינם חוסמים עוגיות עד לאחר אינטראקציה.
- אי-כיבוד ביטול הסכמה באופן מיידי.
- אי-עדכון רשומות הסכמה כאשר מדיניות העוגיות משתנה.
- התייחסות להודעות עוגיות כמקבילות למנגנוני הסכמה.
כמה זמן ניתן לאחסן עוגיות תחת כללי הוראת ePrivacy
הוראת ePrivacy אינה מציינת ישירות משך אחסון עוגיות מרבי. עם זאת, עקרונות מזעור הנתונים והגבלת האחסון של ה-GDPR חלים כאשר עוגיות מעבדות נתונים אישיים. הסכמה צריכה להיות מוגבלת בזמן, ורגולטורים מצפים בדרך כלל מארגונים לבקש מחדש הסכמה מעת לעת, הנחיה נפוצה מצביעה על 12 חודשים כמרווח סביר, אם כי זו אינה מגבלה סטטוטורית קשיחה [6].
הנחיה מעשית: קבע תקופות תפוגה לעוגיות פרופורציונליות למטרתן. עוגיית סשן צריכה לפוג כאשר הדפדפן נסגר. עוגיית אנליטיקה אינה זקוקה לתוחלת חיים של שנתיים אם שישה חודשים משרתים את אותה מטרה.
מהן הטעויות הנפוצות שחברות עושות בציות ל-ePrivacy
מעבר לנושאים שהוזכרו לעיל, מספר דפוסים מופיעים באופן עקבי במקרי אכיפה וביקורות:
- הסכמה משתמעת: ההנחה כי גלישה מתמשכת מהווה הסכמה. זה נדחה במפורש על ידי בתי המשפט וה-DPAs של האיחוד האירופי.
- הסכמה מקובצת: שילוב הסכמה לעוגיות עם קבלת מדיניות פרטיות בלחיצה אחת.
- טרגוט גיאוגרפי לא עקבי: יישום כללי הסכמה מחמירים יותר רק עבור משתמשים ממדינות מסוימות תוך הגשת עוגיות מעקב לאחרים, סיכון בהתחשב בכך שהאכיפה יכולה לעקוב אחר מיקום המשתמש.
- התעלמות משונויות לאומיות: ההנחה כי תצורת באנר אחת מספקת את כל המדינות החברות באיחוד האירופי, כאשר למעשה למדינות מסוימות יש דרישות לאומיות מחמירות יותר [6].
- אין תיעוד ביקורת הסכמה: אי-תיעוד למה המשתמשים הסכימו, מתי, ותחת איזו גרסה של הודעת הפרטיות [1].
מסקנה
הקשר בין הוראת ePrivacy ל-GDPR: ניווט בכללי העוגיות של האיחוד האירופי אינו עניין של בחירת מסגרת אחת על פני השנייה, שניהם חלים, ושניהם חייבים להתקיים. הוראת ePrivacy מגדירה מתי נדרשת הסכמה לעוגיות; ה-GDPR מגדיר כיצד נראית הסכמה תקפה. יחד, הם מהווים את הבסיס המשפטי לציות לעוגיות ברחבי האיחוד האירופי.
הנוף הרגולטורי משתנה. הצעת תקנת ePrivacy נמשכה בתחילת 2025, וחבילת ה-Digital Omnibus מציעה כעת לשלב את כללי העוגיות ישירות לתוך ה-GDPR באמצעות סעיפים 88a ו-88b. הטקסט הסופי צפוי עד סוף 2026 או תחילת 2027, אך החובות הנוכחיות נשארות בתוקף מלא בינתיים.
צעדים מעשיים הבאים לשנת 2026:
- בצע ביקורת על התנהגות העוגיות באתר שלך כדי לוודא שאין עוגיות שאינן חיוניות הפועלות לפני קבלת הסכמה.
- סקור את באנר ההסכמה שלך עבור דפוסים אפלים וודא שאפשרויות "דחה" בולטות כמו "קבל".
- הטמע CMP כגון Biscotti CMP המתעד רשומות הסכמה ותומך בניהול קטגוריות מדויק.
- עקוב אחר התקדמות חבילת ה-Digital Omnibus והערך אם ספק ה-CMP שלך מתכונן לתמיכה באותות הסכמה ברמת הדפדפן.
- בדוק את היישום הלאומי של הוראת ePrivacy בכל מדינה חברה באיחוד האירופי שבה יש לך תעבורת משתמשים משמעותית.
שאלות נפוצות
ש: האם ה-GDPR מחליף את הוראת ePrivacy עבור עוגיות? לא. ה-GDPR והוראת ePrivacy מתקיימים במקביל. הוראת ePrivacy נשארת החוק העיקרי הדורש הסכמה לעוגיות; ה-GDPR קובע מהי הסכמה תקפה וכיצד יש לטפל בנתונים אישיים המעובדים באמצעות עוגיות.
ש: מהי תקנת ePrivacy, והאם היא עדיין מגיעה? תקנת ePrivacy הייתה חוק מוצע של האיחוד האירופי שנועד להחליף את הוראת ePrivacy בתקנה ישירה. היא נמשכה רשמית על ידי הנציבות האירופית בפברואר 2025 ולא תתקדם בצורתה הנוכחית.
ש: מהי חבילת ה-Digital Omnibus? חבילת ה-Digital Omnibus, שנחשפה בנובמבר 2025, היא הצעה חקיקתית של האיחוד האירופי שתפשט את הרגולציה הדיגיטלית על ידי שילוב כללי הסכמת העוגיות לתוך ה-GDPR באמצעות סעיפים 88a ו-88b חדשים. נכון ליולי 2026, היא עדיין נמצאת בבדיקה חקיקתית.
ש: האם עוגיות אנליטיקה פטורות מדרישות הסכמה? לא. עוגיות אנליטיקה המזהות משתמשים או מכשירים בודדים אינן חיוניות ודורשות הסכמה מוקדמת תחת הוראת ePrivacy, ללא קשר לשאלה אם הן משמשות למטרות מסחריות.
ש: האם קיר עוגיות (חסימת גישה אלא אם משתמשים מקבלים עוגיות) יכול להוות הסכמה תקפה? בדרך כלל לא. רגולטורים ובתי משפט באיחוד האירופי מצאו כי הסכמה שהושגה באמצעות קירות עוגיות אינה ניתנת בחופשיות תחת ה-GDPR, מכיוון שלמשתמשים אין בחירה אמיתית. חלק מה-DPAs הלאומיים מאפשרים קירות עוגיות בנסיבות מוגבלות אם מוצעת חלופה בתשלום, אך זה נשאר שנוי במחלוקת.
ש: באיזו תדירות יש לבקש ממשתמשים להסכים מחדש לעוגיות? אין תקופה סטטוטורית קבועה, אך רגולטורים מצפים בדרך כלל לרענן את ההסכמה כאשר המטרות או רשימת העוגיות משתנים באופן מהותי, או לאחר תקופה סבירה (לעתים קרובות מצוין 12 חודשים בפועל). הסכמה שהושגה תחת גרסה קודמת של הודעת פרטיות עשויה שלא לכסות פעילויות עיבוד חדשות.
ש: מהי עוגיה הכרחית בהחלט? עוגיה הכרחית בהחלט היא כזו שבלעדיה שירות המבוקש במפורש על ידי המשתמש אינו יכול לתפקד, לדוגמה, אסימון סשן התחברות או מזהה עגלת קניות. אלו פטורות מדרישת ההסכמה של הוראת ePrivacy.
ש: האם הוראת ePrivacy חלה על עסקים שאינם מהאיחוד האירופי? כן, אם עסקים אלו מכוונים או משרתים משתמשים הנמצאים באיחוד האירופי. ההיקף הטריטוריאלי עוקב אחר מיקום המשתמש, לא אחר הכתובת הרשומה של המפעיל.
ש: למה עלי לחפש בפלטפורמת ניהול הסכמה? CMP תואם צריך לחסום עוגיות שאינן חיוניות לפני הסכמה, לתמוך בקטגוריות הסכמה מדויקות, לתעד הסכמה עם חותמות זמן, לאפשר ביטול קל, ולהיות מוכן לתמוך באותות הסכמה ברמת הדפדפן כנדרש תחת התיקונים המוצעים ב-GDPR.
ש: האם אוכל להשתמש בבאנר עוגיות אחד לכל האיחוד האירופי? באנר אחד יכול לשמש כבסיס, אך מכיוון שהוראת ePrivacy יושמה באופן שונה במדינות החברות, ייתכן שלמדינות מסוימות יהיו דרישות מחמירות יותר. מומלץ לבצע בדיקה משפטית מול החוק הלאומי של כל שוק יעד עבור אתרים עם תעבורה גבוהה.
הפניות
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai