Hiter odgovor: Direktiva o e-zasebnosti in GDPR sta dva različna, a prekrivajoča se zakona EU, ki skupaj urejata soglasje za piškotke in spletno zasebnost. Direktiva o e-zasebnosti določa posebna pravila za nameščanje piškotkov na naprave uporabnikov, medtem ko GDPR opredeljuje standarde za veljavno soglasje. Večina spletnih mest, ki delujejo v EU, mora izpolnjevati oba zakona, in od leta 2026 je v teku velika zakonodajna prenova, ki bi lahko združila pravila o piškotkih neposredno v GDPR.
Ključne ugotovitve
- Direktiva o e-zasebnosti (2002, posodobljena 2009) je glavni zakon, ki zahteva soglasje pred nastavitvijo neobveznih piškotkov; GDPR (2018) opredeljuje, kaj "veljavno soglasje" dejansko pomeni.
- Oba zakona se hkrati uporabljata za večino spletnih mest, usmerjenih v EU, eden ne nadomešča drugega.
- Predlagana Uredba o e-zasebnosti je bila formalno umaknjena s strani Evropske komisije februarja 2025.
- Digitalni omnibus paket, predstavljen novembra 2025, predlaga integracijo pravil o soglasju za piškotke v GDPR preko novih členov 88a in 88b.
- Obvezni (strogo potrebni) piškotki so izvzeti iz zahtev po soglasju po Direktivi o e-zasebnosti.
- Direktiva o e-zasebnosti je bila prenesena različno v različnih državah članicah EU, kar je povzročilo variacije v skladnosti po državah.
- Študija iz leta 2026 je pokazala, da je le 30,66 % spletnih mest imelo gumb "zavrni vse", kar kaže na široko neskladnost [7].
- Pasice za soglasje o piškotkih lahko izpolnjujejo oba zakona, vendar le, če izpolnjujejo pogoje GDPR za prostovoljno dano, specifično, obveščeno in nedvoumno soglasje.
- Platforme za upravljanje soglasij (CMP) se bodo morale prilagoditi signalom soglasja na ravni brskalnika v skladu s predlaganimi spremembami GDPR [3].
Kakšna je razlika med Direktivo o e-zasebnosti in GDPR
Direktiva o e-zasebnosti in GDPR imata različne, a dopolnjujoče funkcije. Direktiva o e-zasebnosti (Direktiva 2002/58/ES, spremenjena z 2009/136/ES) je sektorni zakon, ki ureja zasebnost elektronskih komunikacij, vključno z uporabo piškotkov in podobnih tehnologij sledenja. GDPR je splošna uredba o varstvu podatkov, ki določa pravni okvir za obdelavo osebnih podatkov v vseh sektorjih, vključno z opredelitvijo in zahtevami za veljavno soglasje.
Ključna razlika:
| Značilnost | Direktiva o e-zasebnosti | GDPR |
|---|---|---|
| Pravna oblika | Direktiva EU (zahteva nacionalno prenesene) | Uredba EU (takoj uporabna) |
| Glavni poudarek | Piškotki, sledenje, elektronske komunikacije | Vsa obdelava osebnih podatkov |
| Standard soglasja | Zahteva soglasje za neobvezne piškotke | Določa, kaj pomeni veljavno soglasje |
| Organi za izvrševanje | Nacionalni regulatorji telekomunikacij/DPA | Nacionalne agencije za varstvo podatkov |
| Status (2026) | Še vedno v veljavi; reforma v teku | V veljavi; predlagane spremembe v teku |
Ker je Direktiva o e-zasebnosti Direktiva in ne Uredba, jo je vsaka država članica EU prenesla v nacionalno zakonodajo na različne načine, kar je povzročilo razlike v izvrševanju in specifičnih zahtevah po državah [6].
Ali se morate skladovati z obema, Direktivo o e-zasebnosti in GDPR, ali samo z eno
Oba zakona se hkrati uporabljata, skladnost z enim ne zadostuje za drugega. Direktiva o e-zasebnosti vam pove kdaj potrebujete soglasje (pred nastavitvijo neobveznih piškotkov); GDPR vam pove kako mora to soglasje izgledati (prostovoljno dano, specifično, obveščeno, nedvoumno in umakljivo kadarkoli) [5].
Pomislite na to tako: Direktiva o e-zasebnosti je sprožilec, GDPR pa je standard. Pasica za piškotke, ki se tehnično prikaže pred nalaganjem piškotkov, vendar uporablja predizbrane možnosti, bi kršila zahteve GDPR po soglasju, tudi če nominalno izpolnjuje obveznost obveščanja po Direktivi o e-zasebnosti.
Pogosta napaka: Predpostavka, da je obvestilo o piškotkih (ki uporabnike obvešča o obstoju piškotkov) dovolj. Po obeh okvirih pasivno obveščanje ni soglasje za neobvezne piškotke.
Kako se Direktiva o e-zasebnosti uporablja za piškotke na vaši spletni strani
Direktiva o e-zasebnosti zahteva, da operaterji spletnih mest pridobijo predhodno, obveščeno soglasje pred shranjevanjem ali dostopom do informacij na napravi uporabnika, kar zajema piškotke, piksle, lokalno shranjevanje in podobne tehnologije [6]. Ta obveznost velja ne glede na to, ali zbrani podatki kvalificirajo kot osebni podatki po GDPR.
Praktično to pomeni:
- Nobeni neobvezni piškotki se ne smejo aktivirati, preden uporabnik sprejme pozitivno dejanje za soglasje.
- Mehanizem soglasja mora biti jasen in ne sme biti združen z sprejemom pogojev storitve.
- Uporabniki morajo imeti možnost umakniti soglasje tako enostavno, kot so ga dali.
Direktiva se uporablja za vsako storitev, ki cilja na uporabnike v EU, ne glede na to, kje je sedež operaterja spletne strani.
Kateri piškotki zahtevajo soglasje po Direktivi o e-zasebnosti in GDPR
Po Direktivi o e-zasebnosti je soglasje potrebno za vse piškotke, razen tistih, ki so "strogo potrebni" za storitev, ki jo je uporabnik izrecno zahteval. Po GDPR je za vsako obdelavo osebnih podatkov potrebna pravna podlaga, pri piškotkih za sledenje pa je ta podlaga skoraj vedno soglasje.
Kategorije piškotkov in zahteve po soglasju:
- Strogo potrebni piškotki (upravljanje sej, stanje prijave, nakupovalna košarica): Soglasje ni potrebno po Direktivi o e-zasebnosti. Morda se lahko uporabi pravna podlaga legitimnega interesa ali izpolnjevanja pogodbe po GDPR.
- Analitični piškotki (npr. sledenje ogledom strani, ki identificira uporabnike): Soglasje je potrebno po obeh okvirih.
- Piškotki za trženje in oglaševanje (vedenjsko usmerjanje, ponovno usmerjanje): Soglasje je potrebno po obeh okvirih, to je kategorija z največjim tveganjem za izvrševanje.
- Funkcionalni piškotki (jezikovne nastavitve, nastavitve uporabniškega vmesnika): Razpravljajo se; če obdelujejo osebne podatke, je soglasje najvarnejši pristop.
Ali se Direktiva o e-zasebnosti nadomešča in kaj je Uredba o e-zasebnosti
Direktiva o e-zasebnosti ne bo nadomeščena z GDPR. Vendar je bila predlagana Uredba o e-zasebnosti namenjena nadomestitvi Direktive z neposredno uporabnim zakonom na ravni EU. Ta predlog je bila formalno umaknjen s strani Evropske komisije februarja 2025, ker ni bilo mogoče predvideti dogovora med državami članicami in ker je predlog zastarel glede na nedavne tehnološke spremembe [2].
Direktiva o e-zasebnosti proti predlagani Uredbi o e-zasebnosti: Uredba bi bila neposredno zavezujoča v vseh državah članicah (kar bi odpravilo razlike v nacionalnem prenosu), vendar nikoli ni bila sprejeta.
Namesto tega je Evropska komisija 19. novembra 2025 predstavila Digitalni omnibus paket. Ta paket predlaga integracijo pravil o soglasju za piškotke neposredno v GDPR preko novih členov 88a in 88b [2][3]. Člen 88a bi opredelil scenarije, kjer soglasje ni potrebno (kot je prenos elektronskih komunikacij ali storitev, ki jih izrecno zahteva uporabnik). Člen 88b bi uvedel zahteve za avtomatizirane, strojno berljive mehanizme soglasja, vključno s signali soglasja na ravni brskalnika [3].
Od julija 2026 je Digitalni omnibus paket še vedno v zakonodajnem postopku, pričakuje se, da bo končno besedilo na voljo do konca leta 2026 ali v začetku leta 2027 [4].
Ali potrebni piškotki zahtevajo soglasje po Direktivi o e-zasebnosti
Ne. Strogo potrebni piškotki so izrecno izvzeti iz zahteve po soglasju Direktive o e-zasebnosti. To so piškotki, brez katerih storitev, ki jo je uporabnik aktivno zahteval, ne more delovati, na primer identifikatorji sej, avtorizacijski žetoni in piškotki za nakupovalne košarice [6].
Mejni primer: "Potrebno" se razume ozko. Piškotek, ki izboljšuje delovanje ali omogoča analitiko, ni strogo potreben, tudi če ga operater smatra za operativno pomembnega. V dvomih raje zahtevajte soglasje.
Kako pridobiti veljavno soglasje za piškotke, ki izpolnjuje oba predpisa
Veljavno soglasje po GDPR (in torej po Direktivi o e-zasebnosti, ki se sklicuje na standarde soglasja GDPR) mora biti:
- Prostovoljno dano, brez zidov soglasja ali prisilnega združevanja s sprejemom pogojev.
- Specifično, ločeno soglasje za vsako kategorijo piškotkov (analitika, trženje itd.).
- Obveščeno, uporabniki morajo vedeti, kaj piškotki počnejo in kdo obdeluje podatke.
- Nedvoumno, potrebno je pozitivno dejanje; predizbrane možnosti so neveljavne.
- Umakljivo, umik soglasja mora biti enostaven kot njegovo dajanje [5].
Dobro konfigurirana Platforma za upravljanje soglasij (CMP) obravnava ta delovni tok. Biscotti CMP je zasnovan za podporo tem zahtevam, vključno z granularnimi kategorijami soglasja in beleženjem soglasja za revizijske namene. S predlogom Digitalnega omnibus paketa, ki predlaga signale soglasja na ravni brskalnika po členu 88b, se bodo CMP morale prilagoditi in upoštevati signale iz nastavitev brskalnika, kar je pomembna operativna sprememba za industrijo [3].
Ali lahko pasice za piškotke izpolnjujejo zahteve tako Direktive o e-zasebnosti kot GDPR
Da, vendar le, če je pasica pravilno zasnovana. Pasica za piškotke, ki izpolnjuje standarde soglasja GDPR, bo prav tako izpolnjevala zahtevo po soglasju Direktive o e-zasebnosti, ker se Direktiva sklicuje na opredelitev soglasja GDPR za države članice EU [5][6].
Skladna pasica mora:
- Predstaviti jasno možnost "Sprejmi" in "Zavrni" (ali ekvivalentno) z enako vizualno izpostavljenostjo.
- Ne uporabljati temnih vzorcev (npr. otežiti iskanje "Zavrni" v primerjavi s "Sprejmi").
- Blokirati neobvezne piškotke, dokler soglasje ni dano.
- Zabeležiti in shraniti soglasje z oznako časa in referenco različice.
- Uporabnikom omogočiti, da kadarkoli spremenijo svoje nastavitve.
Študija iz leta 2026 je pokazala, da je le 30,66 % spletnih mest imelo gumb "zavrni vse", kar pomeni, da večina anketiranih spletnih mest verjetno ne izpolnjuje pričakovanj glede skladnosti [7].
Ali obstajajo države, kjer Direktiva o e-zasebnosti ne velja
Direktiva o e-zasebnosti velja v vseh državah članicah EU. Vendar pa, ker gre za Direktivo (ne Uredbo), jo je vsaka država prenesla v nacionalno zakonodajo z nekaterimi razlikami v obsegu, prioritetah izvrševanja in kaznih [6]. Države zunaj EU, vključno z Združenim kraljestvom po brexitu, imajo svoje ustrezne zakone (Pravilnik o zasebnosti in elektronskih komunikacijah v Združenem kraljestvu, ali PECR).
Izberite svojo osnovo za skladnost glede na to, kje se nahajajo vaši uporabniki, ne le glede na to, kje je registrirano vaše podjetje. Podjetje s sedežem v ZDA z znatnim prometom iz EU se mora skladovati tako z Direktivo o e-zasebnosti (kot je prenesena v ustreznih državah članicah) kot z GDPR.
Kaj se zgodi, če se ne skladujete s pravili Direktive o e-zasebnosti
Neskladnost z Direktivo o e-zasebnosti (kot je prenesena v nacionalno zakonodajo) lahko privede do denarnih kazni in izvršilnih ukrepov nacionalnih regulatorjev. Kazni se razlikujejo po državah članicah, vendar so lahko znatne, kršitve GDPR, ki jih sproži neveljavno soglasje (na primer, obdelava osebnih podatkov preko piškotkov za sledenje brez veljavne pravne podlage), pa prinašajo kazni do 4 % svetovnega letnega prometa ali 20 milijonov evrov, kar je višje [5].
Nacionalne agencije za varstvo podatkov (DPA) še naprej aktivno preiskujejo in kaznujejo organizacije zaradi neuspeha pri soglasju za piškotke [1]. Izvršilni ukrepi so bili usmerjeni tako proti velikim platformam kot tudi manjšim operaterjem.
Pogoste napake pri skladnosti:
- Aktiviranje analitičnih ali oglaševalskih piškotkov ob nalaganju strani, preden je soglasje zabeleženo.
- Uporaba pasic za soglasje, ki ne blokirajo piškotkov, dokler ne pride do interakcije.
- Neupoštevanje umika soglasja takoj.
- Neposodabljanje zapisov soglasja, ko se politike piškotkov spremenijo.
- Obravnavanje obvestil o piškotkih kot enakovrednih mehanizmom soglasja.
Kako dolgo lahko piškotki ostanejo shranjeni po pravilih Direktive o e-zasebnosti
Direktiva o e-zasebnosti neposredno ne določa največjega trajanja shranjevanja piškotkov. Vendar pa se načela minimizacije podatkov in omejitve shranjevanja GDPR uporabljajo, kjer piškotki obdelujejo osebne podatke. Soglasje bi moralo biti časovno omejeno, regulatorji pa na splošno pričakujejo, da organizacije občasno ponovno zaprosijo za soglasje, pogosto citirana smernica pa predlaga 12 mesecev kot razumen interval, čeprav to ni stroga zakonska omejitev [6].
Praktični nasvet: Nastavite obdobja poteka piškotkov, ki so sorazmerna njihovemu namenu. Sejni piškotek naj poteče, ko se brskalnik zapre. Analitični piškotek ne potrebuje dvoletne življenjske dobe, če šest mesecev služi istemu namenu.
Katere so pogoste napake, ki jih podjetja delajo pri skladnosti z e-zasebnostjo
Poleg zgoraj navedenih težav se v izvršilnih primerih in revizijah dosledno pojavljajo naslednji vzorci:
- Implicitno soglasje: Predpostavka, da nadaljnje brskanje pomeni soglasje. To so evropska sodišča in DPA izrecno zavrnila.
- Združeno soglasje: Združevanje soglasja za piškotke s sprejemom politike zasebnosti v enem kliku.
- Neskladno geotargetiranje: Uporaba strožjih pravil o soglasju le za uporabnike iz določenih držav, medtem ko drugim strežejo piškotke za sledenje, kar je tveganje, saj se izvrševanje lahko sledi lokaciji uporabnika.
- Ignoriranje nacionalnih razlik: Predpostavka, da ena sama konfiguracija pasice zadostuje vsem državam članicam EU, ko pa v resnici nekatere države imajo strožje nacionalne zahteve [6].
- Brez sledi soglasja: Ne beleženje, čemu so uporabniki soglašali, kdaj in pod katero različico obvestila o zasebnosti [1].
Zaključek
Razmerje med Direktivo o e-zasebnosti in GDPR: Navigacija po pravilih EU o piškotkih ni vprašanje izbire enega okvira pred drugim, oba se uporabljata in oba morata biti izpolnjena. Direktiva o e-zasebnosti opredeljuje, kdaj je soglasje potrebno za piškotke; GDPR opredeljuje, kako izgleda veljavno soglasje. Skupaj tvorita pravno podlago za skladnost s piškotki v EU.
Regulativno okolje se spreminja. Predlog Uredbe o e-zasebnosti je bil umaknjen v začetku leta 2025, Digitalni omnibus paket pa zdaj predlaga vključitev pravil o piškotkih neposredno v GDPR preko členov 88a in 88b. Končno besedilo se pričakuje do konca leta 2026 ali v začetku leta 2027, vendar trenutne obveznosti ostajajo v polni veljavi v vmesnem času.
Izvedljivi naslednji koraki za leto 2026:
- Preverite obnašanje piškotkov na svoji spletni strani, da potrdite, da nobeni neobvezni piškotki ne aktivirajo pred zajemom soglasja.
- Preglejte svojo pasico za soglasje zaradi temnih vzorcev in zagotovite, da so možnosti "zavrni" tako izpostavljene kot "sprejmi".
- Implementirajte CMP, kot je Biscotti CMP, ki beleži zapise soglasja in podpira upravljanje z granularnimi kategorijami.
- Spremljajte napredek Digitalnega omnibus paketa in ocenite, ali se vaš ponudnik CMP pripravlja na podporo signalom soglasja na ravni brskalnika.
- Preverite nacionalni prenos Direktive o e-zasebnosti v vsaki državi članici EU, kjer imate znaten promet uporabnikov.
Pogosta vprašanja
Q: Ali GDPR nadomešča Direktivo o e-zasebnosti za piškotke?
Ne. GDPR in Direktiva o e-zasebnosti sobivata. Direktiva o e-zasebnosti ostaja glavni zakon, ki zahteva soglasje za piškotke; GDPR ureja, kaj pomeni veljavno soglasje in kako je treba obravnavati osebne podatke, obdelane preko piškotkov.
Q: Kaj je Uredba o e-zasebnosti in ali še prihaja?
Uredba o e-zasebnosti je bil predlagan zakon EU, ki naj bi nadomestil Direktivo o e-zasebnosti z neposredno uporabno uredbo. Evropska komisija jo je formalno umaknila februarja 2025 in ne bo napredovala v trenutni obliki.
Q: Kaj je Digitalni omnibus paket?
Digitalni omnibus paket, predstavljen novembra 2025, je zakonodajni predlog EU, ki bi poenostavil digitalno regulacijo z integracijo pravil o soglasju za piškotke v GDPR preko novih členov 88a in 88b. Od julija 2026 je še vedno v zakonodajnem pregledu.
Q: Ali so analitični piškotki izvzeti iz zahtev po soglasju?
Ne. Analitični piškotki, ki identificirajo posamezne uporabnike ali naprave, so neobvezni in zahtevajo predhodno soglasje po Direktivi o e-zasebnosti, ne glede na to, ali se uporabljajo za komercialne namene.
Q: Ali lahko zid soglasja (blokiranje dostopa, razen če uporabniki sprejmejo piškotke) predstavlja veljavno soglasje?
Na splošno ne. Evropski regulatorji in sodišča so ugotovili, da soglasje, pridobljeno preko zidov soglasja, ni prostovoljno dano po GDPR, ker uporabniki nimajo prave izbire. Nekateri nacionalni DPA dovoljujejo zidove soglasja v omejenih okoliščinah, če je ponujena plačana alternativa, vendar to ostaja sporno.
Q: Kako pogosto morajo uporabniki ponovno dati soglasje za piškotke?
Ni fiksnega zakonskega obdobja, vendar regulatorji na splošno pričakujejo, da se soglasje osveži, ko se nameni ali seznam piškotkov bistveno spremenijo, ali po razumnem obdobju (pogosto citirano kot 12 mesecev v praksi). Soglasje, pridobljeno pod prejšnjo različico obvestila o zasebnosti, morda ne pokriva novih dejavnosti obdelave.
Q: Kaj je strogo potreben piškotek?
Strogo potreben piškotek je tisti, brez katerega storitev, ki jo je uporabnik izrecno zahteval, ne more delovati, na primer, žeton za prijavo ali identifikator nakupovalne košarice. Ti so izvzeti iz zahteve po soglasju Direktive o e-zasebnosti.
Q: Ali se Direktiva o e-zasebnosti uporablja za podjetja zunaj EU?
Da, če ta podjetja ciljajo ali strežejo uporabnikom, ki se nahajajo v EU. Teritorialni obseg sledi lokaciji uporabnika, ne registrirani naslovu operaterja.
Q: Na kaj naj pazim pri Platformi za upravljanje soglasij?
Skladna CMP bi morala blokirati neobvezne piškotke pred soglasjem, podpirati granularne kategorije soglasja, beležiti soglasje z oznakami časa, omogočiti enostavno umik in biti pripravljena podpirati signale soglasja na ravni brskalnika, kot je zahtevano po predlaganih spremembah GDPR.
Q: Ali lahko uporabim eno samo pasico za piškotke za celotno EU?
Ena sama pasica lahko deluje kot osnova, vendar ker je bila Direktiva o e-zasebnosti prenesena različno v državah članicah, imajo nekatere države morda strožje zahteve. Pravno pregledovanje glede nacionalne zakonodaje vsakega ciljnega trga je priporočljivo za spletna mesta z visokim prometom.
Reference
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai