Jawaban Singkat: Direktif ePrivacy dan GDPR adalah dua undang-undang UE yang berbeda namun saling tumpang tindih yang secara bersama-sama mengatur persetujuan cookie dan privasi online. Direktif ePrivacy menetapkan aturan spesifik untuk penempatan cookie di perangkat pengguna, sementara GDPR mendefinisikan standar untuk persetujuan yang sah. Sebagian besar situs web yang beroperasi di UE harus mematuhi keduanya, dan mulai tahun 2026, perubahan legislatif besar sedang berlangsung yang dapat mengonsolidasikan aturan cookie langsung ke dalam GDPR.
Poin Penting
- Direktif ePrivacy (2002, diperbarui 2009) adalah undang-undang utama yang mengharuskan persetujuan sebelum menetapkan cookie yang tidak penting; GDPR (2018) mendefinisikan apa yang dimaksud dengan "persetujuan yang sah".
- Kedua undang-undang berlaku secara bersamaan untuk sebagian besar situs web yang menghadap UE, satu tidak menggantikan yang lain.
- Regulasi ePrivacy yang diusulkan secara resmi ditarik oleh Komisi Eropa pada Februari 2025.
- Paket Digital Omnibus, yang diluncurkan pada November 2025, mengusulkan integrasi aturan persetujuan cookie ke dalam GDPR melalui Pasal 88a dan 88b yang baru.
- Cookie yang penting (sangat diperlukan) dikecualikan dari persyaratan persetujuan berdasarkan Direktif ePrivacy.
- Direktif ePrivacy telah ditransposisikan secara berbeda di berbagai negara anggota UE, menciptakan variasi kepatuhan berdasarkan negara.
- Sebuah studi tahun 2026 menemukan hanya 30,66% situs web yang menampilkan tombol "tolak semua", menunjukkan ketidakpatuhan yang luas [7].
- Spanduk persetujuan cookie dapat memenuhi kedua undang-undang, tetapi hanya jika memenuhi syarat GDPR untuk persetujuan yang diberikan secara bebas, spesifik, terinformasi, dan tidak ambigu.
- Platform Manajemen Persetujuan (CMP) perlu beradaptasi dengan sinyal persetujuan tingkat browser berdasarkan perubahan yang diusulkan dalam GDPR [3].
Apa Perbedaan Antara Direktif ePrivacy dan GDPR
Direktif ePrivacy dan GDPR memiliki fungsi yang berbeda namun saling melengkapi. Direktif ePrivacy (Direktif 2002/58/EC, diubah oleh 2009/136/EC) adalah undang-undang sektor tertentu yang mengatur privasi komunikasi elektronik, termasuk penggunaan cookie dan teknologi pelacakan serupa. GDPR adalah regulasi perlindungan data umum yang menetapkan kerangka hukum untuk pemrosesan data pribadi di semua sektor, termasuk definisi dan persyaratan untuk persetujuan yang sah.
Perbedaan kunci:
| Fitur | Direktif ePrivacy | GDPR |
|---|---|---|
| Bentuk hukum | Direktif UE (memerlukan transposisi nasional) | Regulasi UE (langsung berlaku) |
| Fokus utama | Cookie, pelacakan, komunikasi elektronik | Semua pemrosesan data pribadi |
| Standar persetujuan | Memerlukan persetujuan untuk cookie yang tidak penting | Mendefinisikan apa yang dimaksud dengan persetujuan yang sah |
| Badan penegak | Regulator telekomunikasi/DPA nasional | Otoritas Perlindungan Data Nasional |
| Status (2026) | Masih berlaku; reformasi tertunda | Berlaku; amandemen yang diusulkan sedang berlangsung |
Karena Direktif ePrivacy adalah sebuah Direktif dan bukan Regulasi, setiap negara anggota UE telah mentransposisikannya ke dalam hukum nasional dengan cara yang berbeda, menghasilkan variasi dalam penegakan dan persyaratan spesifik di berbagai negara [6].
Apakah Anda Perlu Mematuhi Baik Direktif ePrivacy dan GDPR, atau Hanya Salah Satunya
Kedua undang-undang berlaku secara bersamaan, dan kepatuhan terhadap salah satu tidak memenuhi yang lain. Direktif ePrivacy memberi tahu Anda kapan Anda memerlukan persetujuan (sebelum menetapkan cookie yang tidak penting); GDPR memberi tahu Anda apa yang harus terlihat seperti persetujuan itu (diberikan secara bebas, spesifik, terinformasi, tidak ambigu, dan dapat dicabut kapan saja) [5].
Pikirkan seperti ini: Direktif ePrivacy adalah pemicu, dan GDPR adalah standar. Spanduk cookie yang secara teknis muncul sebelum cookie dimuat tetapi menggunakan kotak yang sudah dicentang sebelumnya akan melanggar persyaratan persetujuan GDPR, bahkan jika secara nominal mematuhi kewajiban pemberitahuan Direktif ePrivacy.
Kesalahan umum: Menganggap bahwa pemberitahuan cookie (memberitahu pengguna bahwa cookie ada) sudah cukup. Di bawah kedua kerangka kerja, pemberitahuan pasif bukanlah persetujuan untuk cookie yang tidak penting.
Bagaimana Direktif ePrivacy Berlaku untuk Cookie di Situs Web Anda
Direktif ePrivacy mengharuskan operator situs web untuk mendapatkan persetujuan yang diinformasikan sebelumnya sebelum menyimpan atau mengakses informasi di perangkat pengguna, ini mencakup cookie, piksel, penyimpanan lokal, dan teknologi serupa [6]. Kewajiban ini berlaku terlepas dari apakah data yang dikumpulkan memenuhi syarat sebagai data pribadi di bawah GDPR.
Secara praktis, ini berarti:
- Tidak ada cookie yang tidak penting yang boleh aktif sebelum pengguna mengambil tindakan afirmatif untuk memberikan persetujuan.
- Mekanisme persetujuan harus jelas dan tidak digabungkan dengan penerimaan syarat layanan.
- Pengguna harus dapat mencabut persetujuan dengan mudah seperti saat mereka memberikannya.
Direktif ini berlaku untuk setiap layanan yang menargetkan pengguna UE, terlepas dari di mana operator situs web berada.
Cookie Apa yang Memerlukan Persetujuan Berdasarkan Direktif ePrivacy vs. GDPR
Berdasarkan Direktif ePrivacy, persetujuan diperlukan untuk semua cookie kecuali yang "sangat diperlukan" untuk layanan yang secara eksplisit diminta oleh pengguna. Berdasarkan GDPR, setiap pemrosesan data pribadi memerlukan dasar hukum, dan untuk cookie pelacakan, dasar tersebut hampir selalu adalah persetujuan.
Kategori cookie dan persyaratan persetujuan:
- Cookie yang sangat diperlukan (manajemen sesi, status login, keranjang belanja): Tidak memerlukan persetujuan berdasarkan Direktif ePrivacy. Dasar kepentingan sah atau pelaksanaan kontrak GDPR mungkin berlaku.
- Cookie analitik (misalnya, pelacakan tampilan halaman yang mengidentifikasi pengguna): Persetujuan diperlukan berdasarkan kedua kerangka kerja.
- Cookie pemasaran dan iklan (penargetan perilaku, retargeting): Persetujuan diperlukan berdasarkan kedua kerangka kerja, ini adalah kategori risiko tertinggi untuk penegakan.
- Cookie fungsional (preferensi bahasa, pengaturan UI): Diperdebatkan; jika mereka memproses data pribadi, persetujuan adalah pendekatan yang paling aman.
Apakah Direktif ePrivacy Digantikan, dan Apa Itu Regulasi ePrivacy
Direktif ePrivacy tidak digantikan oleh GDPR. Namun, regulasi ePrivacy yang diusulkan dimaksudkan untuk menggantikan Direktif dengan undang-undang yang berlaku langsung di seluruh UE. Proposal itu secara resmi ditarik oleh Komisi Eropa pada Februari 2025, mengutip kurangnya kesepakatan yang dapat diperkirakan di antara negara anggota dan karakter proposal yang sudah usang mengingat perubahan teknologi terbaru [2].
Direktif ePrivacy vs. regulasi ePrivacy yang diusulkan: Regulasi tersebut akan mengikat secara langsung di semua negara anggota (menghilangkan perbedaan transposisi nasional), tetapi tidak pernah mencapai adopsi.
Sebagai gantinya, Komisi Eropa memperkenalkan Paket Digital Omnibus pada 19 November 2025. Paket ini mengusulkan integrasi aturan persetujuan cookie langsung ke dalam GDPR melalui Pasal 88a dan 88b yang baru [2][3]. Pasal 88a akan mendefinisikan skenario di mana persetujuan tidak diperlukan (seperti untuk transmisi komunikasi elektronik atau layanan yang secara eksplisit diminta oleh pengguna). Pasal 88b akan memperkenalkan persyaratan untuk mekanisme persetujuan otomatis yang dapat dibaca mesin, termasuk sinyal persetujuan tingkat browser [3].
Hingga Juli 2026, Paket Digital Omnibus masih menjalani proses legislatif, dengan teks akhir diharapkan pada akhir 2026 atau awal 2027 [4].
Apakah Cookie Penting Memerlukan Persetujuan Berdasarkan Direktif ePrivacy
Tidak. Cookie yang sangat diperlukan secara eksplisit dikecualikan dari persyaratan persetujuan Direktif ePrivacy. Ini adalah cookie tanpa mana layanan yang secara aktif diminta oleh pengguna tidak dapat berfungsi, misalnya, pengidentifikasi sesi, token otentikasi, dan cookie keranjang belanja [6].
Kasus tepi: "Diperlukan" diartikan secara sempit. Cookie yang meningkatkan kinerja atau memungkinkan analitik tidak dianggap sangat diperlukan, bahkan jika operator menganggapnya penting secara operasional. Ketika ragu, lebih baik meminta persetujuan.
Bagaimana Mendapatkan Persetujuan Cookie yang Sah yang Memenuhi Kedua Regulasi
Persetujuan yang sah berdasarkan GDPR (dan oleh karena itu berdasarkan Direktif ePrivacy, yang merujuk pada standar persetujuan GDPR) harus:
- Diberikan secara bebas, Tidak ada dinding persetujuan atau penggabungan paksa dengan penerimaan syarat.
- Spesifik, Persetujuan terpisah untuk setiap kategori cookie (analitik, pemasaran, dll.).
- Terinformasi, Pengguna harus tahu apa yang dilakukan cookie dan siapa yang memproses data.
- Tidak ambigu, Tindakan afirmatif diperlukan; kotak yang sudah dicentang sebelumnya tidak sah.
- Dapat dicabut, Mencabut persetujuan harus semudah memberikannya [5].
Platform Manajemen Persetujuan (CMP) yang dikonfigurasi dengan baik menangani alur kerja ini. Biscotti CMP dirancang untuk mendukung persyaratan ini, termasuk kategori persetujuan yang terperinci dan pencatatan persetujuan untuk tujuan audit. Dengan Paket Digital Omnibus yang mengusulkan sinyal persetujuan tingkat browser berdasarkan Pasal 88b, CMP juga perlu menerima dan menghormati sinyal dari pengaturan browser, sebuah perubahan operasional yang signifikan bagi industri [3].
Dapatkah Spanduk Cookie Memenuhi Persyaratan ePrivacy dan GDPR
Ya, tetapi hanya jika spanduk dirancang dengan benar. Spanduk cookie yang memenuhi standar persetujuan GDPR juga akan memenuhi persyaratan persetujuan Direktif ePrivacy, karena Direktif tersebut merujuk pada definisi persetujuan GDPR untuk negara anggota UE [5][6].
Spanduk yang patuh harus:
- Menyajikan opsi "Terima" dan "Tolak" (atau yang setara) yang jelas dengan penonjolan visual yang setara.
- Tidak menggunakan pola gelap (misalnya, membuat "Tolak" lebih sulit ditemukan daripada "Terima").
- Memblokir cookie yang tidak penting hingga persetujuan diberikan.
- Mencatat dan menyimpan persetujuan dengan cap waktu dan referensi versi.
- Memungkinkan pengguna untuk mengubah preferensi mereka kapan saja.
Sebuah studi tahun 2026 menemukan bahwa hanya 30,66% situs web yang menampilkan tombol "tolak semua", yang berarti sebagian besar situs yang disurvei kemungkinan tidak memenuhi harapan kepatuhan [7].
Apakah Ada Negara di Mana Direktif ePrivacy Tidak Berlaku
Direktif ePrivacy berlaku di semua negara anggota UE. Namun, karena ini adalah sebuah Direktif (bukan Regulasi), setiap negara telah mentransposisikannya ke dalam hukum nasional dengan beberapa variasi dalam ruang lingkup, prioritas penegakan, dan sanksi [6]. Negara-negara di luar UE, termasuk Inggris pasca-Brexit, memiliki undang-undang setara mereka sendiri (Peraturan Privasi dan Komunikasi Elektronik Inggris, atau PECR).
Pilih dasar kepatuhan Anda berdasarkan di mana pengguna Anda berada, bukan hanya di mana bisnis Anda terdaftar. Perusahaan yang berbasis di AS dengan lalu lintas UE yang signifikan harus mematuhi baik Direktif ePrivacy (sebagaimana ditransposisikan di negara anggota yang relevan) dan GDPR.
Apa yang Terjadi Jika Anda Tidak Mematuhi Aturan Direktif ePrivacy
Ketidakpatuhan terhadap Direktif ePrivacy (sebagaimana ditransposisikan ke dalam hukum nasional) dapat mengakibatkan denda dan tindakan penegakan dari regulator nasional. Sanksi bervariasi menurut negara anggota tetapi dapat cukup besar, dan pelanggaran GDPR yang dipicu oleh persetujuan yang tidak sah (misalnya, pemrosesan data pribadi melalui cookie pelacakan tanpa dasar hukum yang sah) dapat dikenakan denda hingga 4% dari omset tahunan global atau 20 juta euro, mana yang lebih tinggi [5].
Otoritas Perlindungan Data Nasional (DPA) terus aktif menyelidiki dan mendenda organisasi karena kegagalan persetujuan cookie [1]. Tindakan penegakan telah menargetkan platform besar dan operator kecil.
Kesalahan umum dalam kepatuhan:
- Mengaktifkan cookie analitik atau iklan saat halaman dimuat sebelum persetujuan terdaftar.
- Menggunakan spanduk persetujuan yang tidak memblokir cookie hingga setelah interaksi.
- Gagal menghormati pencabutan persetujuan dengan cepat.
- Tidak memperbarui catatan persetujuan ketika kebijakan cookie berubah.
- Menganggap pemberitahuan cookie setara dengan mekanisme persetujuan.
Berapa Lama Cookie Dapat Disimpan Berdasarkan Aturan Direktif ePrivacy
Direktif ePrivacy tidak secara langsung menetapkan durasi penyimpanan cookie maksimum. Namun, prinsip minimisasi data dan pembatasan penyimpanan GDPR berlaku di mana cookie memproses data pribadi. Persetujuan harus dibatasi waktu, dan regulator umumnya mengharapkan organisasi untuk meminta kembali persetujuan secara berkala, panduan yang sering dikutip menyarankan 12 bulan sebagai interval yang wajar, meskipun ini bukan batasan hukum yang ketat [6].
Panduan praktis: Tetapkan periode kedaluwarsa cookie yang proporsional dengan tujuannya. Cookie sesi harus kedaluwarsa saat browser ditutup. Cookie analitik tidak perlu memiliki masa hidup dua tahun jika enam bulan memenuhi tujuan yang sama.
Apa Kesalahan Umum yang Dilakukan Perusahaan Dalam Kepatuhan ePrivacy
Selain masalah yang disebutkan di atas, beberapa pola secara konsisten muncul dalam kasus penegakan dan audit:
- Persetujuan implisit: Menganggap bahwa penelusuran yang berkelanjutan merupakan persetujuan. Ini telah secara eksplisit ditolak oleh pengadilan dan DPA UE.
- Persetujuan terbundel: Menggabungkan persetujuan cookie dengan penerimaan kebijakan privasi dalam satu klik.
- Penargetan geo yang tidak konsisten: Menerapkan aturan persetujuan yang lebih ketat hanya untuk pengguna dari negara tertentu sambil menyajikan cookie pelacakan kepada yang lain, sebuah risiko mengingat bahwa penegakan dapat mengikuti lokasi pengguna.
- Mengabaikan variasi nasional: Menganggap bahwa satu konfigurasi spanduk memenuhi syarat semua negara anggota UE, padahal sebenarnya beberapa negara memiliki persyaratan nasional yang lebih ketat [6].
- Tidak ada jejak audit persetujuan: Gagal mencatat apa yang disetujui pengguna, kapan, dan di bawah versi pemberitahuan privasi mana [1].
Kesimpulan
Hubungan antara Direktif ePrivacy dan GDPR: Menavigasi Aturan Cookie UE bukanlah masalah memilih satu kerangka kerja di atas yang lain, keduanya berlaku, dan keduanya harus dipenuhi. Direktif ePrivacy mendefinisikan kapan persetujuan diperlukan untuk cookie; GDPR mendefinisikan seperti apa persetujuan yang sah. Bersama-sama, mereka membentuk dasar hukum untuk kepatuhan cookie di seluruh UE.
Lanskap regulasi sedang berubah. Proposal Regulasi ePrivacy ditarik pada awal 2025, dan Paket Digital Omnibus sekarang mengusulkan untuk memasukkan aturan cookie langsung ke dalam GDPR melalui Pasal 88a dan 88b. Teks akhir diharapkan pada akhir 2026 atau awal 2027, tetapi kewajiban saat ini tetap sepenuhnya berlaku sementara itu.
Langkah-langkah yang dapat diambil untuk 2026:
- Audit perilaku cookie situs web Anda untuk memastikan tidak ada cookie yang tidak penting yang aktif sebelum persetujuan ditangkap.
- Tinjau spanduk persetujuan Anda untuk pola gelap dan pastikan opsi "tolak" sama menonjolnya dengan "terima."
- Terapkan CMP seperti Biscotti CMP yang mencatat catatan persetujuan dan mendukung manajemen kategori yang terperinci.
- Pantau kemajuan Paket Digital Omnibus dan evaluasi apakah vendor CMP Anda sedang mempersiapkan dukungan sinyal persetujuan tingkat browser.
- Periksa transposisi nasional dari Direktif ePrivacy di setiap negara anggota UE di mana Anda memiliki lalu lintas pengguna yang signifikan.
FAQ
Q: Apakah GDPR menggantikan Direktif ePrivacy untuk cookie? Tidak. GDPR dan Direktif ePrivacy coexist. Direktif ePrivacy tetap menjadi undang-undang utama yang mengharuskan persetujuan untuk cookie; GDPR mengatur apa yang dimaksud dengan persetujuan yang sah dan bagaimana data pribadi yang diproses melalui cookie harus ditangani.
Q: Apa itu Regulasi ePrivacy, dan apakah masih akan datang? Regulasi ePrivacy adalah undang-undang UE yang diusulkan yang dimaksudkan untuk menggantikan Direktif ePrivacy dengan regulasi yang berlaku langsung. Itu secara resmi ditarik oleh Komisi Eropa pada Februari 2025 dan tidak akan dilanjutkan dalam bentuk saat ini.
Q: Apa itu Paket Digital Omnibus? Paket Digital Omnibus, yang diluncurkan pada November 2025, adalah proposal legislatif UE yang akan menyederhanakan regulasi digital dengan mengintegrasikan aturan persetujuan cookie ke dalam GDPR melalui Pasal 88a dan 88b yang baru. Hingga Juli 2026, masih dalam tinjauan legislatif.
Q: Apakah cookie analitik dikecualikan dari persyaratan persetujuan? Tidak. Cookie analitik yang mengidentifikasi pengguna atau perangkat individu adalah tidak penting dan memerlukan persetujuan sebelumnya berdasarkan Direktif ePrivacy, terlepas dari apakah mereka digunakan untuk tujuan komersial.
Q: Dapatkah dinding cookie (memblokir akses kecuali pengguna menerima cookie) dianggap sebagai persetujuan yang sah? Umumnya tidak. Regulator dan pengadilan UE telah menemukan bahwa persetujuan yang diperoleh melalui dinding cookie tidak diberikan secara bebas di bawah GDPR, karena pengguna tidak memiliki pilihan yang nyata. Beberapa DPA nasional mengizinkan dinding cookie dalam keadaan terbatas jika alternatif berbayar ditawarkan, tetapi ini tetap diperdebatkan.
Q: Seberapa sering pengguna harus diminta untuk memberikan persetujuan ulang untuk cookie? Tidak ada periode hukum tetap, tetapi regulator umumnya mengharapkan persetujuan diperbarui ketika tujuan atau daftar cookie berubah secara material, atau setelah periode yang wajar (sering kali dikutip sebagai 12 bulan dalam praktik). Persetujuan yang diperoleh di bawah versi sebelumnya dari pemberitahuan privasi mungkin tidak mencakup aktivitas pemrosesan baru.
Q: Apa itu cookie yang sangat diperlukan? Cookie yang sangat diperlukan adalah cookie tanpa mana layanan yang secara eksplisit diminta oleh pengguna tidak dapat berfungsi, misalnya, token sesi login atau pengidentifikasi keranjang belanja. Ini dikecualikan dari persyaratan persetujuan Direktif ePrivacy.
Q: Apakah Direktif ePrivacy berlaku untuk bisnis non-UE? Ya, jika bisnis tersebut menargetkan atau melayani pengguna yang berada di UE. Ruang lingkup teritorial mengikuti lokasi pengguna, bukan alamat terdaftar operator.
Q: Apa yang harus saya cari dalam Platform Manajemen Persetujuan? CMP yang patuh harus memblokir cookie yang tidak penting sebelum persetujuan, mendukung kategori persetujuan yang terperinci, mencatat persetujuan dengan cap waktu, memungkinkan pencabutan yang mudah, dan siap untuk mendukung sinyal persetujuan tingkat browser sebagaimana diperlukan berdasarkan amandemen GDPR yang diusulkan.
Q: Dapatkah saya menggunakan satu spanduk cookie untuk seluruh UE? Sebuah spanduk tunggal dapat berfungsi sebagai dasar, tetapi karena Direktif ePrivacy telah ditransposisikan secara berbeda di antara negara anggota, beberapa negara mungkin memiliki persyaratan yang lebih ketat. Tinjauan hukum terhadap hukum nasional setiap pasar target disarankan untuk situs dengan lalu lintas tinggi.
Referensi
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai