Краткий ответ: Директива ePrivacy и GDPR — это два различных, но пересекающихся закона ЕС, которые совместно регулируют согласие на использование файлов cookie и онлайн-приватность. Директива ePrivacy устанавливает конкретные правила для размещения файлов cookie на устройствах пользователей, в то время как GDPR определяет стандарты для действительного согласия. Большинство веб-сайтов, работающих в ЕС, должны соблюдать оба закона, и с 2026 года ожидается крупная законодательная реформа, которая может объединить правила использования файлов cookie непосредственно в GDPR.
Основные выводы
- Директива ePrivacy (2002, обновлена в 2009) является основным законом, требующим согласия перед установкой несущественных файлов cookie; GDPR (2018) определяет, что такое "действительное согласие".
- Оба закона применяются одновременно к большинству веб-сайтов, ориентированных на ЕС, один не заменяет другой.
- Предложенная Регламентация ePrivacy была официально отозвана Европейской комиссией в феврале 2025 года.
- Цифровой Омнибус, представленный в ноябре 2025 года, предлагает интегрировать правила согласия на использование файлов cookie в GDPR через новые статьи 88a и 88b.
- Существенные (строго необходимые) файлы cookie освобождены от требований согласия в соответствии с Директивой ePrivacy.
- Директива ePrivacy была транспонирована по-разному в разных государствах-членах ЕС, что создало вариации в соблюдении по странам.
- Исследование 2026 года показало, что только 30,66% веб-сайтов имели кнопку "отклонить все", что указывает на широкое несоответствие [7].
- Баннеры согласия на использование файлов cookie могут удовлетворять оба закона, но только если они соответствуют условиям GDPR для свободно данного, конкретного, информированного и недвусмысленного согласия.
- Платформы управления согласиями (CMP) должны будут адаптироваться к сигналам согласия на уровне браузера в соответствии с предложенными изменениями в GDPR [3].
В чем разница между Директивой ePrivacy и GDPR
Директива ePrivacy и GDPR выполняют разные, но взаимодополняющие функции. Директива ePrivacy (Директива 2002/58/EC, измененная 2009/136/EC) является секторным законом, регулирующим приватность электронных коммуникаций, включая использование файлов cookie и аналогичных технологий отслеживания. GDPR — это общий регламент по защите данных, который устанавливает правовую основу для обработки персональных данных во всех секторах, включая определение и требования к действительному согласию.
Ключевое различие:
| Особенность | Директива ePrivacy | GDPR |
|---|---|---|
| Правовая форма | Директива ЕС (требует национальной транспозиции) | Регламент ЕС (непосредственно применим) |
| Основное внимание | Файлы cookie, отслеживание, электронные коммуникации | Все процессы обработки персональных данных |
| Стандарт согласия | Требует согласия на несущественные файлы cookie | Определяет, что такое действительное согласие |
| Орган, осуществляющий контроль | Национальные регуляторы телекоммуникаций/защиты данных | Национальные органы по защите данных |
| Статус (2026) | Все еще в силе; ожидается реформа | В силе; предложены изменения |
Поскольку Директива ePrivacy является Директивой, а не Регламентом, каждое государство-член ЕС транспонировало ее в национальное законодательство по-разному, что привело к вариациям в соблюдении и конкретных требованиях в разных странах [6].
Нужно ли соблюдать как Директиву ePrivacy, так и GDPR, или только одну из них
Оба закона применяются одновременно, и соблюдение одного не удовлетворяет требования другого. Директива ePrivacy говорит вам когда нужно согласие (перед установкой несущественных файлов cookie); GDPR говорит вам что это согласие должно представлять собой (свободно данное, конкретное, информированное, недвусмысленное и отзывное в любое время) [5].
Думайте об этом так: Директива ePrivacy — это триггер, а GDPR — стандарт. Баннер файлов cookie, который технически появляется до загрузки файлов cookie, но использует заранее отмеченные поля, будет нарушать требования согласия GDPR, даже если он номинально соответствует обязательству уведомления по Директиве ePrivacy.
Распространенная ошибка: Предположение, что уведомление о файлах cookie (информирующее пользователей о наличии файлов cookie) является достаточным. В рамках обоих законов пассивное уведомление не является согласием на несущественные файлы cookie.
Как Директива ePrivacy применяется к файлам cookie на вашем сайте
Директива ePrivacy требует, чтобы операторы веб-сайтов получали предварительное, информированное согласие перед хранением или доступом к информации на устройстве пользователя, что охватывает файлы cookie, пиксели, локальное хранилище и аналогичные технологии [6]. Это обязательство применяется независимо от того, квалифицируются ли собранные данные как персональные данные в соответствии с GDPR.
Практически это означает:
- Никакие несущественные файлы cookie не могут активироваться до того, как пользователь предпримет активное действие для согласия.
- Механизм согласия должен быть ясным и не объединяться с принятием условий обслуживания.
- Пользователи должны иметь возможность отозвать согласие так же легко, как они его дали.
Директива применяется к любой услуге, нацеленной на пользователей ЕС, независимо от того, где базируется оператор веб-сайта.
Какие файлы cookie требуют согласия в соответствии с Директивой ePrivacy и GDPR
В соответствии с Директивой ePrivacy согласие требуется для всех файлов cookie, кроме тех, которые являются "строго необходимыми" для услуги, явно запрашиваемой пользователем. В соответствии с GDPR любое обработка персональных данных требует законной основы, и для файлов cookie отслеживания эта основа почти всегда является согласием.
Категории файлов cookie и требования к согласию:
- Строго необходимые файлы cookie (управление сессией, состояние входа, корзина покупок): Согласие не требуется в соответствии с Директивой ePrivacy. Может применяться законный интерес или основание выполнения контракта в соответствии с GDPR.
- Аналитические файлы cookie (например, отслеживание просмотров страниц, идентифицирующее пользователей): Согласие требуется в рамках обоих законов.
- Маркетинговые и рекламные файлы cookie (поведенческое таргетирование, ретаргетинг): Согласие требуется в рамках обоих законов, это категория с наибольшим риском для соблюдения.
- Функциональные файлы cookie (предпочтения языка, настройки интерфейса): Обсуждается; если они обрабатывают персональные данные, согласие является наиболее безопасным подходом.
Заменяется ли Директива ePrivacy, и что такое Регламент ePrivacy
Директива ePrivacy не заменяется GDPR. Однако предложенный Регламент ePrivacy был предназначен для замены Директивы непосредственно применимым законом на уровне ЕС. Это предложение было официально отозвано Европейской комиссией в феврале 2025 года, ссылаясь на отсутствие предсказуемого согласия среди государств-членов и устаревший характер предложения с учетом недавних технологических изменений [2].
Директива ePrivacy против предложенного Регламента ePrivacy: Регламент был бы непосредственно обязательным для всех государств-членов (устраняя различия в национальной транспозиции), но он никогда не был принят.
Вместо этого Европейская комиссия представила Цифровой Омнибус 19 ноября 2025 года. Этот пакет предлагает интегрировать правила согласия на использование файлов cookie непосредственно в GDPR через новые статьи 88a и 88b [2][3]. Статья 88a определит сценарии, когда согласие не требуется (например, для передачи электронных коммуникаций или услуг, явно запрашиваемых пользователем). Статья 88b введет требования для автоматизированных, машиночитаемых механизмов согласия, включая сигналы согласия на уровне браузера [3].
По состоянию на июль 2026 года Цифровой Омнибус все еще проходит законодательные процессы, окончательный текст ожидается в конце 2026 года или начале 2027 года [4].
Нужны ли согласия для существенных файлов cookie в соответствии с Директивой ePrivacy
Нет. Строго необходимые файлы cookie явно освобождены от требования согласия Директивы ePrivacy. Это файлы cookie, без которых услуга, явно запрашиваемая пользователем, не может функционировать, например, идентификаторы сессий, токены аутентификации и файлы cookie корзины покупок [6].
Крайний случай: "Необходимый" интерпретируется узко. Файл cookie, который улучшает производительность или позволяет проводить аналитику, не является строго необходимым, даже если оператор считает его операционно важным. В случае сомнений лучше требовать согласие.
Как получить действительное согласие на использование файлов cookie, которое удовлетворяет обоим регламентам
Действительное согласие в соответствии с GDPR (а следовательно, и в соответствии с Директивой ePrivacy, которая отсылает к стандартам согласия GDPR) должно быть:
- Свободно данное, без стен согласия или принудительного объединения с принятием условий.
- Конкретное, отдельное согласие для каждой категории файлов cookie (аналитические, маркетинговые и т. д.).
- Информированное, пользователи должны знать, что делают файлы cookie и кто обрабатывает данные.
- Недвусмысленное, требуется активное действие; заранее отмеченные поля недействительны.
- Отзывное, отзыв согласия должен быть таким же простым, как и его предоставление [5].
Хорошо настроенная Платформа управления согласиями (CMP) обрабатывает этот рабочий процесс. Biscotti CMP разработана для поддержки этих требований, включая детализированные категории согласия и ведение учета согласий для аудиторских целей. С учетом того, что Цифровой Омнибус предлагает сигналы согласия на уровне браузера в соответствии со статьей 88b, CMP также должны будут учитывать и уважать сигналы из настроек браузера, что является значительным операционным изменением для отрасли [3].
Могут ли баннеры файлов cookie удовлетворять требованиям как Директивы ePrivacy, так и GDPR
Да, но только если баннер правильно спроектирован. Баннер файлов cookie, который соответствует стандартам согласия GDPR, также удовлетворит требованию согласия Директивы ePrivacy, поскольку Директива отсылает к определению согласия GDPR для государств-членов ЕС [5][6].
Соответствующий баннер должен:
- Предоставить четкие варианты "Принять" и "Отклонить" (или эквивалентные) с равной визуальной значимостью.
- Не использовать темные схемы (например, делать "Отклонить" труднее найти, чем "Принять").
- Блокировать несущественные файлы cookie до получения согласия.
- Записывать и хранить согласие с отметкой времени и ссылкой на версию.
- Позволять пользователям изменять свои предпочтения в любое время.
Исследование 2026 года показало, что только 30,66% веб-сайтов имели кнопку "отклонить все", что означает, что большинство опрошенных сайтов, вероятно, не соответствуют ожиданиям соблюдения [7].
Существуют ли страны, где Директива ePrivacy не применяется
Директива ePrivacy применяется во всех государствах-членах ЕС. Однако, поскольку это Директива (а не Регламент), каждая страна транспонировала ее в национальное законодательство с некоторыми вариациями в объеме, приоритетах соблюдения и штрафах [6]. Страны за пределами ЕС, включая Великобританию после Brexit, имеют свои собственные эквивалентные законы (Правила о конфиденциальности и электронных коммуникациях Великобритании, или PECR).
Выбирайте свою базу соблюдения в зависимости от того, где находятся ваши пользователи, а не только от того, где зарегистрирован ваш бизнес. Компания, базирующаяся в США и имеющая значительный трафик из ЕС, должна соблюдать как Директиву ePrivacy (в соответствии с транспозицией в соответствующих государствах-членах), так и GDPR.
Что произойдет, если вы не будете соблюдать правила Директивы ePrivacy
Несоблюдение Директивы ePrivacy (в соответствии с ее транспозицией в национальное законодательство) может привести к штрафам и мерам принуждения со стороны национальных регуляторов. Штрафы варьируются в зависимости от государства-члена, но могут быть значительными, а нарушения GDPR, вызванные недействительным согласием (например, обработка персональных данных через файлы cookie отслеживания без действительной правовой основы), могут привести к штрафам до 4% от глобального годового оборота или 20 миллионов евро, в зависимости от того, что больше [5].
Национальные органы по защите данных (DPA) продолжают активно расследовать и штрафовать организации за неудачи в согласии на использование файлов cookie [1]. Меры принуждения касались как крупных платформ, так и небольших операторов.
Распространенные ошибки соблюдения:
- Активация аналитических или рекламных файлов cookie при загрузке страницы до регистрации согласия.
- Использование баннеров согласия, которые не блокируют файлы cookie до взаимодействия.
- Невыполнение быстрого отзыва согласия.
- Необновление записей согласия при изменении политики использования файлов cookie.
- Рассмотрение уведомлений о файлах cookie как эквивалента механизмам согласия.
Как долго могут храниться файлы cookie в соответствии с правилами Директивы ePrivacy
Директива ePrivacy не устанавливает максимальную продолжительность хранения файлов cookie напрямую. Однако принципы минимизации данных и ограничения хранения GDPR применяются, когда файлы cookie обрабатывают персональные данные. Согласие должно быть ограничено по времени, и регуляторы обычно ожидают, что организации будут периодически запрашивать согласие, общепринятая рекомендация предполагает 12 месяцев как разумный интервал, хотя это не является жестким законодательным ограничением [6].
Практическое руководство: Установите сроки истечения файлов cookie, пропорциональные их цели. Файл cookie сессии должен истекать, когда браузер закрывается. Аналитическому файлу cookie не нужно иметь двухлетний срок действия, если шесть месяцев служат той же цели.
Какие распространенные ошибки совершают компании при соблюдении Директивы ePrivacy
Помимо вышеупомянутых проблем, несколько паттернов постоянно появляются в делах о соблюдении и аудитах:
- Подразумеваемое согласие: Предположение, что продолжение просмотра означает согласие. Это было явно отвергнуто судами ЕС и DPA.
- Объединенное согласие: Объединение согласия на использование файлов cookie с принятием политики конфиденциальности в одном клике.
- Несогласованное гео-таргетирование: Применение более строгих правил согласия только для пользователей из определенных стран, в то время как файлы cookie отслеживания предоставляются другим, что является риском, учитывая, что меры принуждения могут следовать за местоположением пользователя.
- Игнорирование национальных вариаций: Предположение, что одна конфигурация баннера удовлетворяет всем государствам-членам ЕС, в то время как на самом деле в некоторых странах есть более строгие национальные требования [6].
- Отсутствие аудиторского следа согласия: Невозможность зафиксировать, на что пользователи согласились, когда и под какой версией уведомления о конфиденциальности [1].
Заключение
Отношения между Директивой ePrivacy и GDPR: Понимание правил использования файлов cookie в ЕС не сводятся к выбору одной из рамок, обе применяются, и обе должны быть соблюдены. Директива ePrivacy определяет, когда требуется согласие на файлы cookie; GDPR определяет, как выглядит действительное согласие. Вместе они формируют правовую основу для соблюдения правил использования файлов cookie по всему ЕС.
Регуляторный ландшафт меняется. Предложение о Регламенте ePrivacy было отозвано в начале 2025 года, а Цифровой Омнибус теперь предлагает интегрировать правила использования файлов cookie непосредственно в GDPR через статьи 88a и 88b. Окончательный текст ожидается в конце 2026 года или начале 2027 года, но текущие обязательства остаются в силе в это время.
Практические шаги на 2026 год:
- Проведите аудит поведения файлов cookie на вашем веб-сайте, чтобы подтвердить, что никакие несущественные файлы cookie не активируются до регистрации согласия.
- Проверьте свой баннер согласия на наличие темных схем и убедитесь, что варианты "отклонить" так же заметны, как и "принять".
- Реализуйте CMP, такую как Biscotti CMP, которая ведет учет записей согласия и поддерживает управление детализированными категориями.
- Следите за прогрессом Цифрового Омнибуса и оцените, готов ли ваш поставщик CMP к поддержке сигналов согласия на уровне браузера.
- Проверьте национальную транспозицию Директивы ePrivacy в каждом государстве-члене ЕС, где у вас есть значительный трафик пользователей.
Часто задаваемые вопросы
В: Заменяет ли GDPR Директиву ePrivacy для файлов cookie? Нет. GDPR и Директива ePrivacy сосуществуют. Директива ePrivacy остается основным законом, требующим согласия на файлы cookie; GDPR регулирует, что такое действительное согласие и как должны обрабатываться персональные данные, обработанные через файлы cookie.
В: Что такое Регламент ePrivacy, и он все еще будет принят? Регламент ePrivacy был предложенным законом ЕС, предназначенным для замены Директивы ePrivacy непосредственно применимым регламентом. Он был официально отозван Европейской комиссией в феврале 2025 года и не будет продвигаться в текущей форме.
В: Что такое Цифровой Омнибус? Цифровой Омнибус, представленный в ноябре 2025 года, является законодательным предложением ЕС, которое упростит цифровое регулирование, интегрируя правила согласия на использование файлов cookie в GDPR через новые статьи 88a и 88b. По состоянию на июль 2026 года он все еще находится на стадии законодательного рассмотрения.
В: Освобождены ли аналитические файлы cookie от требований согласия? Нет. Аналитические файлы cookie, которые идентифицируют отдельных пользователей или устройства, являются несущественными и требуют предварительного согласия в соответствии с Директивой ePrivacy, независимо от того, используются ли они в коммерческих целях.
В: Может ли стена файлов cookie (блокировка доступа, если пользователи не принимают файлы cookie) считаться действительным согласием? Как правило, нет. Регуляторы и суды ЕС установили, что согласие, полученное через стены файлов cookie, не является свободно данным в соответствии с GDPR, поскольку у пользователей нет реального выбора. Некоторые национальные DPA допускают стены файлов cookie в ограниченных обстоятельствах, если предлагается платная альтернатива, но это остается спорным.
В: Как часто пользователи должны запрашивать повторное согласие на файлы cookie? Нет фиксированного законодательного периода, но регуляторы обычно ожидают, что согласие будет обновлено, когда цели или список файлов cookie изменяются существенно, или после разумного периода (часто упоминается 12 месяцев на практике). Согласие, полученное по предыдущей версии уведомления о конфиденциальности, может не охватывать новые виды обработки.
В: Что такое строго необходимый файл cookie? Строго необходимый файл cookie — это тот, без которого услуга, явно запрашиваемая пользователем, не может функционировать, например, токен сессии для входа или идентификатор корзины покупок. Эти файлы освобождены от требования согласия Директивы ePrivacy.
В: Применяется ли Директива ePrivacy к неевропейским компаниям? Да, если эти компании нацелены на пользователей, находящихся в ЕС. Территориальная сфера действия следует за местоположением пользователя, а не за зарегистрированным адресом оператора.
В: На что мне следует обратить внимание при выборе Платформы управления согласиями? Соответствующая CMP должна блокировать несущественные файлы cookie до получения согласия, поддерживать детализированные категории согласия, вести учет согласия с отметками времени, позволять легкий отзыв и быть готовой поддерживать сигналы согласия на уровне браузера, как это требуется в соответствии с предложенными изменениями в GDPR.
В: Могу ли я использовать один баннер файлов cookie для всего ЕС? Один баннер может работать как базовая версия, но поскольку Директива ePrivacy была транспонирована по-разному в разных государствах-членах, некоторые страны могут иметь более строгие требования. Юридический обзор в соответствии с национальным законодательством каждого целевого рынка рекомендуется для сайтов с высоким трафиком.
Ссылки
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai