Greitas atsakymas: ePrivacy direktyva ir GDPR yra dvi atskiros, tačiau persidengiančios ES teisės aktai, kurie kartu reguliuoja slapukų sutikimą ir interneto privatumą. ePrivacy direktyva nustato konkrečias taisykles, kaip slapukai gali būti įdiegti vartotojų įrenginiuose, o GDPR apibrėžia, kas yra galiojantis sutikimas. Dauguma svetainių, veikiančių ES, turi laikytis abiejų, o nuo 2026 m. vyksta didelė teisės aktų reforma, kuri gali sujungti slapukų taisykles tiesiogiai su GDPR.
Pagrindiniai aspektai
- ePrivacy direktyva (2002, atnaujinta 2009) yra pagrindinis teisės aktas, reikalaujantis sutikimo prieš nustatant neesminius slapukus; GDPR (2018) apibrėžia, ką iš tikrųjų reiškia „galiojantis sutikimas“.
- Abu teisės aktai taikomi vienu metu daugumai ES svetainių, vienas nepakeičia kito.
- Siūloma ePrivacy reglamentas buvo oficialiai atšauktas Europos Komisijos 2025 m. vasario mėn.
- Skaitmeninis omnibus paketas, pristatytas 2025 m. lapkričio mėn., siūlo integruoti slapukų sutikimo taisykles į GDPR per naujus 88a ir 88b straipsnius.
- Esminiai (griežtai būtini) slapukai yra atleisti nuo sutikimo reikalavimų pagal ePrivacy direktyvą.
- ePrivacy direktyva buvo skirtingai perkelta į nacionalinę teisę ES šalyse, sukuriant atitikties variacijas pagal šalis.
- 2026 m. tyrimas parodė, kad tik 30,66 % svetainių turėjo „atmesti visus“ mygtuką, tai rodo plačią nesilaikymą [7].
- Slapukų sutikimo skydeliai gali atitikti abu teisės aktus, tačiau tik jei jie atitinka GDPR sąlygas dėl laisvai duoto, konkretaus, informuoto ir nedviprasmiško sutikimo.
- Sutikimo valdymo platformos (CMP) turės prisitaikyti prie naršyklės lygio sutikimo signalų pagal siūlomus GDPR pakeitimus [3].
Koks skirtumas tarp ePrivacy direktyvos ir GDPR
ePrivacy direktyva ir GDPR atlieka skirtingas, tačiau papildomas funkcijas. ePrivacy direktyva (Direktyva 2002/58/EB, pakeista 2009/136/EB) yra sektoriui specifinis teisės aktas, reguliuojantis elektroninių komunikacijų privatumą, įskaitant slapukų ir panašių sekimo technologijų naudojimą. GDPR yra bendras duomenų apsaugos reglamentas, kuris nustato teisinį pagrindą asmens duomenų tvarkymui visose srityse, įskaitant galiojamo sutikimo apibrėžimą ir reikalavimus.
Pagrindinis skirtumas:
| Ypatybė | ePrivacy direktyva | GDPR |
|---|---|---|
| Teisinė forma | ES direktyva (reikalauja nacionalinio perkėlimo) | ES reglamentas (tiesiogiai taikomas) |
| Pagrindinis dėmesys | Slapukai, sekimas, elektroninės komunikacijos | Visi asmens duomenų tvarkymo aspektai |
| Sutikimo standartas | Reikalauja sutikimo neesminiams slapukams | Apibrėžia, ką reiškia galiojantis sutikimas |
| Įgyvendinimo institucija | Nacionaliniai telekomunikacijų/DPA reguliuotojai | Nacionalinės duomenų apsaugos institucijos |
| Statusas (2026) | Vis dar galioja; reforma laukia | Galioja; siūlomi pakeitimai |
Kadangi ePrivacy direktyva yra direktyva, o ne reglamentas, kiekviena ES valstybė narė ją skirtingai perkelia į nacionalinę teisę, sukurdama įgyvendinimo ir specifinių reikalavimų variacijas šalyse [6].
Ar reikia laikytis tiek ePrivacy direktyvos, tiek GDPR, ar tik vienos
Abu teisės aktai taikomi vienu metu, o laikymasis vieno nepatvirtina kito. ePrivacy direktyva nurodo, kada reikia sutikimo (prieš nustatant neesminius slapukus); GDPR nurodo, kaip tas sutikimas turi atrodyti (laisvai duotas, konkretus, informuotas, nedviprasmiškas ir atšaukiamas bet kuriuo metu) [5].
Galite tai suprasti taip: ePrivacy direktyva yra trigeris, o GDPR yra standartas. Slapukų skydelis, kuris techniškai pasirodo prieš įkeliant slapukus, bet naudoja iš anksto pažymėtas dėžutes, pažeistų GDPR sutikimo reikalavimus, net jei nominaliai atitinka ePrivacy direktyvos pranešimo pareigą.
Dažna klaida: manyti, kad slapukų pranešimas (informuojantis vartotojus apie slapukų egzistavimą) yra pakankamas. Pagal abu teisinius pagrindus pasyvus pranešimas nėra sutikimas neesminiams slapukams.
Kaip ePrivacy direktyva taikoma slapukams jūsų svetainėje
ePrivacy direktyva reikalauja, kad svetainių operatoriai gautų išankstinį, informuotą sutikimą prieš saugant ar pasiekiant informaciją vartotojo įrenginyje, tai apima slapukus, pikselius, vietinę saugyklą ir panašias technologijas [6]. Šis įsipareigojimas taikomas nepriklausomai nuo to, ar surinkti duomenys atitinka asmens duomenų apibrėžimą pagal GDPR.
Praktiškai tai reiškia:
- Nė vienas neesminis slapukas negali būti įjungtas, kol vartotojas nepriima teigiamo sutikimo.
- Sutikimo mechanizmas turi būti aiškus ir negali būti susietas su paslaugų teikimo sąlygų priėmimu.
- Vartotojai turi turėti galimybę atšaukti sutikimą taip pat lengvai, kaip jį suteikė.
Direktyva taikoma bet kuriai paslaugai, kuri yra orientuota į ES vartotojus, nepriklausomai nuo to, kur yra svetainės operatorius.
Kokie slapukai reikalauja sutikimo pagal ePrivacy direktyvą ir GDPR
Pagal ePrivacy direktyvą sutikimas reikalaujamas visiems slapukams, išskyrus tuos, kurie yra „griežtai būtini“ paslaugai, kurią aiškiai paprašė vartotojas. Pagal GDPR bet koks asmens duomenų tvarkymas reikalauja teisėto pagrindo, o sekimo slapukams tas pagrindas beveik visada yra sutikimas.
Slapukų kategorijos ir sutikimo reikalavimai:
- Griežtai būtini slapukai (sesijos valdymas, prisijungimo būsena, pirkinių krepšelis): Sutikimas nereikalingas pagal ePrivacy direktyvą. GDPR teisėtas interesas arba sutarties vykdymo pagrindas gali būti taikomas.
- Analitiniai slapukai (pvz., puslapio peržiūrų sekimas, identifikuojantis vartotojus): Sutikimas reikalaujamas pagal abu teisinius pagrindus.
- Rinkodaros ir reklamos slapukai (elgesio tikslinimas, persekiojimas): Sutikimas reikalaujamas pagal abu teisinius pagrindus, tai yra didžiausio rizikos lygio kategorija dėl vykdymo.
- Funkciniai slapukai (kalbos nuostatos, UI nustatymai): Diskutuojama; jei jie tvarko asmens duomenis, sutikimas yra saugiausias požiūris.
Ar ePrivacy direktyva bus pakeista, ir kas yra ePrivacy reglamentas
ePrivacy direktyva nėra keičiama GDPR. Tačiau siūlomas ePrivacy reglamentas turėjo pakeisti direktyvą tiesiogiai taikomu ES teisės aktu. Šis pasiūlymas buvo oficialiai atšauktas Europos Komisijos 2025 m. vasario mėn., nurodant, kad nėra numatomos sutarties tarp valstybių narių ir pasiūlymo pasenęs pobūdis, atsižvelgiant į naujausius technologinius pokyčius [2].
ePrivacy direktyva vs. siūlomas ePrivacy reglamentas: Reglamentas būtų buvęs tiesiogiai privalomas visoms valstybėms narėms (eliminuojant nacionalinio perkėlimo skirtumus), tačiau jis niekada nebuvo priimtas.
Jo vietoje Europos Komisija pristatė Skaitmeninį omnibus paketą 2025 m. lapkričio 19 d. Šis paketas siūlo integruoti slapukų sutikimo taisykles tiesiogiai į GDPR per naujus 88a ir 88b straipsnius [2][3]. 88a straipsnis apibrėžtų scenarijus, kai sutikimas nėra reikalingas (pavyzdžiui, elektroninių komunikacijų perdavimui arba paslaugoms, kurias aiškiai paprašė vartotojas). 88b straipsnis įvestų reikalavimus automatizuotiems, mašininio skaitymo sutikimo mechanizmams, įskaitant naršyklės lygio sutikimo signalus [3].
Nuo 2026 m. liepos mėn. Skaitmeninis omnibus paketas vis dar yra teisėkūros procese, o galutinis tekstas tikimasi iki 2026 m. pabaigos arba 2027 m. pradžios [4].
Ar esminiai slapukai reikalauja sutikimo pagal ePrivacy direktyvą
Ne. Griežtai būtini slapukai yra aiškiai atleisti nuo ePrivacy direktyvos sutikimo reikalavimo. Tai yra slapukai, be kurių paslauga, kurią vartotojas aktyviai paprašė, negali veikti, pavyzdžiui, sesijos identifikatoriai, autentifikavimo žetonai ir pirkinių krepšelio slapukai [6].
Ribinis atvejis: „Būtinas“ interpretuojamas siaurai. Slapukas, kuris pagerina našumą arba leidžia analitiką, nėra griežtai būtinas, net jei operatorius laiko jį operatyviai svarbiu. Jei kyla abejonių, geriau reikalauti sutikimo.
Kaip gauti galiojantį slapukų sutikimą, kuris atitiktų abu reglamentus
Galiojantis sutikimas pagal GDPR (o todėl ir pagal ePrivacy direktyvą, kuri remiasi GDPR sutikimo standartais) turi būti:
- Laisvai duotas, be sutikimo sienų ar priverstinio susiejimo su sąlygų priėmimu.
- Konkretus, atskiras sutikimas kiekvienai slapukų kategorijai (analitiniai, rinkodaros ir kt.).
- Informuotas, vartotojai turi žinoti, ką slapukai daro ir kas tvarko duomenis.
- Nedviprasmiškas, reikalaujama teigiamo veiksmo; iš anksto pažymėtos dėžutės yra negaliojančios.
- Atšaukiamas, sutikimo atšaukimas turi būti toks pat lengvas kaip ir suteikimas [5].
Gerai sukonfigūruota sutikimo valdymo platforma (CMP) tvarko šį darbo srautą. Biscotti CMP yra sukurta taip, kad atitiktų šiuos reikalavimus, įskaitant detalių sutikimo kategorijų ir sutikimo registravimo auditui. Su Skaitmeniniu omnibus paketu, siūlančiu naršyklės lygio sutikimo signalus pagal 88b straipsnį, CMP taip pat turės gauti ir gerbti signalus iš naršyklės nustatymų, kas yra reikšmingas operatyvinis pokytis pramonei [3].
Ar slapukų skydeliai gali atitikti tiek ePrivacy, tiek GDPR reikalavimus
Taip, bet tik jei skydelis yra tinkamai suprojektuotas. Slapukų skydelis, kuris atitinka GDPR sutikimo standartus, taip pat atitiks ePrivacy direktyvos sutikimo reikalavimą, nes direktyva remiasi GDPR sutikimo apibrėžimu ES valstybėms narėms [5][6].
Atitinkantis skydelis turi:
- Pateikti aiškų „Priimti“ ir „Atmesti“ (arba lygiavertę) pasirinkimą su vienoda vizualine svarba.
- Nenaudoti tamsių modelių (pvz., padaryti „Atmesti“ sunkiau surandamą nei „Priimti“).
- Blokuoti neesminius slapukus, kol sutikimas nėra suteiktas.
- Užregistruoti ir saugoti sutikimą su laiko žyma ir versijos nuoroda.
- Leisti vartotojams bet kuriuo metu keisti savo nuostatas.
2026 m. tyrimas parodė, kad tik 30,66 % svetainių turėjo „atmesti visus“ mygtuką, tai reiškia, kad dauguma apklaustų svetainių greičiausiai neatitinka atitikties lūkesčių [7].
Ar yra šalių, kuriose ePrivacy direktyva netaikoma
ePrivacy direktyva taikoma visoms ES valstybėms narėms. Tačiau, kadangi tai yra direktyva (o ne reglamentas), kiekviena šalis ją skirtingai perkelia į nacionalinę teisę, todėl gali būti tam tikrų skirtumų taikymo srityje, vykdymo prioritetuose ir baudose [6]. Šalys už ES ribų, įskaitant JK po „Brexit“, turi savo atitinkamus teisės aktus (JK privatumo ir elektroninių komunikacijų reglamentai, arba PECR).
Pasirinkite savo atitikties pagrindą pagal tai, kur yra jūsų vartotojai, o ne tik pagal tai, kur registruota jūsų įmonė. JAV įsikūrusi įmonė, turinti didelį ES srautą, turi laikytis tiek ePrivacy direktyvos (kaip ji buvo perkelta atitinkamose valstybėse narėse), tiek GDPR.
Kas nutinka, jei nesilaikote ePrivacy direktyvos taisyklių
Nesilaikymas ePrivacy direktyvos (kaip ji buvo perkelta į nacionalinę teisę) gali lemti baudas ir vykdymo veiksmus iš nacionalinių reguliuotojų. Baudos skiriasi pagal valstybes nares, tačiau gali būti reikšmingos, o GDPR pažeidimai, kuriuos sukelia negaliojantis sutikimas (pavyzdžiui, asmens duomenų tvarkymas per sekimo slapukus be galiojančio teisinio pagrindo), gali lemti baudas iki 4 % pasaulinio metinio apyvartos arba 20 milijonų eurų, priklausomai nuo to, kas yra didesnis [5].
Nacionalinės duomenų apsaugos institucijos (DPA) toliau aktyviai tiria ir baudžia organizacijas už slapukų sutikimo nesėkmes [1]. Vykdymo veiksmai buvo nukreipti tiek į dideles platformas, tiek į mažus operatorius.
Dažnos atitikties klaidos:
- Analitinių ar reklamos slapukų įjungimas puslapio įkrovimo metu prieš sutikimui užregistruojant.
- Sutikimo skydelių naudojimas, kurie neblokuoja slapukų, kol neįvyksta sąveika.
- Nesilaikymas sutikimo atšaukimo reikalavimų.
- Nesuteikti atnaujinimų sutikimo įrašams, kai slapukų politika keičiasi.
- Slapukų pranešimų laikymas lygiaverčiais sutikimo mechanizmams.
Kiek laiko slapukai gali būti saugomi pagal ePrivacy direktyvos taisykles
ePrivacy direktyva tiesiogiai nenurodo maksimalaus slapukų saugojimo laikotarpio. Tačiau GDPR duomenų minimizavimo ir saugojimo apribojimų principai taikomi, kai slapukai tvarko asmens duomenis. Sutikimas turėtų būti laiko apribotas, o reguliuotojai paprastai tikisi, kad organizacijos periodiškai pakartos sutikimą, dažnai nurodoma, kad 12 mėnesių yra protingas intervalas, nors tai nėra griežtas teisės aktų apribojimas [6].
Praktiniai patarimai: Nustatykite slapukų galiojimo laikotarpius, atsižvelgdami į jų tikslą. Sesijos slapukas turėtų pasibaigti, kai naršyklė uždaroma. Analitinis slapukas neturi turėti dvejų metų galiojimo, jei šeši mėnesiai tarnauja tam pačiam tikslui.
Kokios yra dažnos klaidos, kurias įmonės daro su ePrivacy atitiktimi
Be aukščiau nurodytų problemų, keletas modelių nuolat pasirodo vykdymo bylose ir audituose:
- Nurodytas sutikimas: Manoma, kad tęsiamas naršymas reiškia sutikimą. Tai buvo aiškiai atmesta ES teismų ir DPA.
- Sujungtas sutikimas: Slapukų sutikimo derinimas su privatumo politikos priėmimu vienu paspaudimu.
- Nekonsekventinis geo-tiklinimas: Griežtesnių sutikimo taisyklių taikymas tik tam tikrų šalių vartotojams, tuo tarpu sekimo slapukai yra teikiami kitiems, kas kelia riziką, kad vykdymas gali sekti vartotojo vietą.
- Nacionalinių skirtumų ignoravimas: Manoma, kad vienas skydelio konfigūravimas atitinka visas ES valstybes nares, kai iš tikrųjų kai kurios šalys turi griežtesnius nacionalinius reikalavimus [6].
- Nėra sutikimo audito pėdsako: Nesugebėjimas užregistruoti, ką vartotojai sutiko, kada ir pagal kurią privatumo pranešimo versiją [1].
Išvada
Santykis tarp ePrivacy direktyvos ir GDPR: Navigacija ES slapukų taisyklėse nėra klausimas, ar pasirinkti vieną sistemą vietoj kitos, abu taikomi, ir abu turi būti patenkinti. ePrivacy direktyva apibrėžia, kada reikia sutikimo slapukams; GDPR apibrėžia, kaip turi atrodyti galiojantis sutikimas. Kartu jie sudaro teisinį pagrindą slapukų atitikties visoje ES.
Reguliavimo aplinka keičiasi. ePrivacy reglamento pasiūlymas buvo atšauktas 2025 m. pradžioje, o Skaitmeninis omnibus paketas dabar siūlo įtraukti slapukų taisykles tiesiogiai į GDPR per 88a ir 88b straipsnius. Galutinis tekstas tikimasi iki 2026 m. pabaigos arba 2027 m. pradžios, tačiau esami įsipareigojimai tuo tarpu išlieka visiškai galiojantys.
Veiksmingi kiti žingsniai 2026 m.:
- Patikrinkite savo svetainės slapukų elgesį, kad įsitikintumėte, jog jokie neesminiai slapukai neįsijungia prieš sutikimui užfiksuojant.
- Peržiūrėkite savo sutikimo skydelį dėl tamsių modelių ir užtikrinkite, kad „atmesti“ parinktys būtų tokios pat akivaizdžios kaip „priimti“.
- Įdiekite CMP, tokią kaip Biscotti CMP, kuri registruoja sutikimo įrašus ir palaiko detalių kategorijų valdymą.
- Stebėkite Skaitmeninio omnibus paketo pažangą ir įvertinkite, ar jūsų CMP tiekėjas ruošiasi naršyklės lygio sutikimo signalų palaikymui.
- Patikrinkite ePrivacy direktyvos nacionalinį perkėlimą kiekvienoje ES valstybėje narėje, kurioje turite reikšmingą vartotojų srautą.
DUK
K: Ar GDPR pakeičia ePrivacy direktyvą slapukams?
Ne. GDPR ir ePrivacy direktyva egzistuoja kartu. ePrivacy direktyva išlieka pagrindiniu teisės aktu, reikalaujančiu sutikimo slapukams; GDPR reguliuoja, ką reiškia galiojantis sutikimas ir kaip asmens duomenys, tvarkomi per slapukus, turi būti tvarkomi.
K: Kas yra ePrivacy reglamentas, ir ar jis vis dar bus?
ePrivacy reglamentas buvo siūlomas ES teisės aktas, skirtas pakeisti ePrivacy direktyvą tiesiogiai taikomu reglamentu. Jis buvo oficialiai atšauktas Europos Komisijos 2025 m. vasario mėn. ir nebus tęsiamas esama forma.
K: Kas yra Skaitmeninis omnibus paketas?
Skaitmeninis omnibus paketas, pristatytas 2025 m. lapkričio mėn., yra ES teisėkūros pasiūlymas, kuris supaprastintų skaitmeninį reguliavimą, integruodamas slapukų sutikimo taisykles į GDPR per naujus 88a ir 88b straipsnius. Nuo 2026 m. liepos mėn. jis vis dar yra teisėkūros peržiūros procese.
K: Ar analitiniai slapukai atleidžiami nuo sutikimo reikalavimų?
Ne. Analitiniai slapukai, identifikuojantys individualius vartotojus ar įrenginius, yra neesminiai ir reikalauja išankstinio sutikimo pagal ePrivacy direktyvą, nepriklausomai nuo to, ar jie naudojami komerciniais tikslais.
K: Ar slapukų siena (blokuojanti prieigą, kol vartotojai priima slapukus) gali būti laikoma galiojančiu sutikimu?
Apskritai ne. ES reguliuotojai ir teismai nustatė, kad sutikimas, gautas per slapukų sienas, nėra laisvai duotas pagal GDPR, nes vartotojai neturi tikro pasirinkimo. Kai kurie nacionaliniai DPA leidžia slapukų sienas ribotais atvejais, jei siūloma mokama alternatyva, tačiau tai išlieka ginčytina.
K: Kaip dažnai vartotojai turi būti prašomi pakartotinai sutikti su slapukais?
Nėra nustatyto teisės aktų laikotarpio, tačiau reguliuotojai paprastai tikisi, kad sutikimas bus atnaujintas, kai tikslai ar slapukų sąrašas keičiasi reikšmingai, arba po protingo laikotarpio (dažnai praktikoje nurodoma 12 mėnesių). Sutikimas, gautas pagal ankstesnę privatumo pranešimo versiją, gali neapimti naujų tvarkymo veiklų.
K: Kas yra griežtai būtinas slapukas?
Griežtai būtinas slapukas yra tas, be kurio paslauga, kurią aiškiai paprašė vartotojas, negali veikti, pavyzdžiui, prisijungimo sesijos žetonas arba pirkinių krepšelio identifikatorius. Šie slapukai yra atleisti nuo ePrivacy direktyvos sutikimo reikalavimo.
K: Ar ePrivacy direktyva taikoma ne ES verslams?
Taip, jei šios įmonės orientuojasi į vartotojus, esančius ES. Teritorinė taikymo sritis seka vartotojo vietą, o ne operatoriaus registruotą adresą.
K: Į ką turėčiau atkreipti dėmesį pasirinkdamas sutikimo valdymo platformą?
Atitinkama CMP turėtų blokuoti neesminius slapukus prieš sutikimą, palaikyti detalių sutikimo kategorijų valdymą, registruoti sutikimą su laiko žymomis, leisti lengvai atšaukti sutikimą ir būti pasiruošusi palaikyti naršyklės lygio sutikimo signalus, kaip reikalaujama pagal siūlomus GDPR pakeitimus.
K: Ar galiu naudoti vieną slapukų skydelį visai ES?
Vienas skydelis gali veikti kaip pagrindas, tačiau kadangi ePrivacy direktyva buvo skirtingai perkelta į nacionalinę teisę, kai kurios šalys gali turėti griežtesnius reikalavimus. Teisinis peržiūrėjimas pagal kiekvienos tikslinės rinkos nacionalinę teisę yra patartinas svetainėms, turinčioms didelį srautą.
Nuorodos
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai