Швидка відповідь: Директива ePrivacy та GDPR — це два окремі, але перекриваючі закони ЄС, які спільно регулюють згоду на використання файлів cookie та онлайн-приватність. Директива ePrivacy встановлює конкретні правила для розміщення файлів cookie на пристроях користувачів, тоді як GDPR визначає стандарти для дійсної згоди. Більшість веб-сайтів, що працюють в ЄС, повинні дотримуватися обох, і з 2026 року заплановано велике законодавче оновлення, яке може об'єднати правила використання файлів cookie безпосередньо в GDPR.
Основні висновки
- Директива ePrivacy (2002, оновлена в 2009) є основним законом, що вимагає згоди перед встановленням неістотних файлів cookie; GDPR (2018) визначає, що таке "дійсна згода".
- Обидва закони застосовуються одночасно до більшості веб-сайтів, орієнтованих на ЄС, один не замінює інший.
- Запропонована Регуляція ePrivacy була офіційно відкликана Європейською Комісією в лютому 2025 року.
- Цифровий Омнібус, представлений в листопаді 2025 року, пропонує інтегрувати правила згоди на файли cookie в GDPR через нові статті 88a та 88b.
- Істотні (строго необхідні) файли cookie звільнені від вимог щодо згоди відповідно до Директиви ePrivacy.
- Директива ePrivacy була трансформована по-різному в різних країнах-членах ЄС, що створює варіації у відповідності за країнами.
- Дослідження 2026 року показало, що лише 30,66% веб-сайтів мали кнопку "відхилити всі", що свідчить про широке невиконання [7].
- Банери згоди на файли cookie можуть задовольняти обидва закони, але лише якщо вони відповідають умовам GDPR для вільно наданої, конкретної, інформованої та однозначної згоди.
- Платформи управління згодою (CMP) повинні адаптуватися до сигналів згоди на рівні браузера відповідно до запропонованих змін у GDPR [3].
У чому різниця між Директивою ePrivacy та GDPR
Директива ePrivacy та GDPR виконують різні, але доповнюючі функції. Директива ePrivacy (Директива 2002/58/EC, змінена 2009/136/EC) є специфічним законом, що регулює приватність електронних комунікацій, включаючи використання файлів cookie та подібних технологій відстеження. GDPR є загальним регламентом захисту даних, який встановлює правову основу для обробки особистих даних у всіх секторах, включаючи визначення та вимоги до дійсної згоди.
Ключове відмінність:
| Особливість | Директива ePrivacy | GDPR |
|---|---|---|
| Правова форма | Директива ЄС (вимагає національної трансформації) | Регламент ЄС (безпосередньо застосовується) |
| Основна увага | Файли cookie, відстеження, електронні комунікації | Вся обробка особистих даних |
| Стандарт згоди | Вимагає згоди на неістотні файли cookie | Визначає, що таке дійсна згода |
| Орган, що контролює | Національні регулятори телекомунікацій/DPA | Національні органи захисту даних |
| Статус (2026) | Все ще в силі; реформа в процесі | В силі; запропоновані зміни в процесі |
Оскільки Директива ePrivacy є Директивою, а не Регламентом, кожна країна-член ЄС трансформувала її в національне законодавство по-різному, що призвело до варіацій у виконанні та специфічних вимогах у різних країнах [6].
Чи потрібно дотримуватися як Директиви ePrivacy, так і GDPR, чи лише одного з них
Обидва закони застосовуються одночасно, і дотримання одного не задовольняє вимог іншого. Директива ePrivacy вказує, коли потрібна згода (перед встановленням неістотних файлів cookie); GDPR вказує, якою має бути ця згода (вільно надана, конкретна, інформована, однозначна та така, що може бути відкликана в будь-який час) [5].
Думайте про це так: Директива ePrivacy є спусковим гачком, а GDPR — стандартом. Банер з файлів cookie, який технічно з'являється перед завантаженням файлів cookie, але використовує попередньо позначені поля, порушить вимоги GDPR щодо згоди, навіть якщо він номінально відповідає зобов'язанням Директиви ePrivacy щодо сповіщення.
Поширена помилка: Припущення, що сповіщення про файли cookie (інформування користувачів про наявність файлів cookie) є достатнім. Відповідно до обох рамок, пасивне сповіщення не є згодою на неістотні файли cookie.
Як Директива ePrivacy застосовується до файлів cookie на вашому веб-сайті
Директива ePrivacy вимагає, щоб оператори веб-сайтів отримували попередню, інформовану згоду перед зберіганням або доступом до інформації на пристрої користувача, це охоплює файли cookie, пікселі, локальне зберігання та подібні технології [6]. Це зобов'язання застосовується незалежно від того, чи дані, що збираються, кваліфікуються як особисті дані відповідно до GDPR.
Практично це означає:
- Жодні неістотні файли cookie не можуть активуватися, поки користувач не вживає активних дій для надання згоди.
- Механізм згоди має бути чітким і не об'єднуватися з прийняттям умов обслуговування.
- Користувачі повинні мати можливість відкликати згоду так само легко, як і надати її.
Директива застосовується до будь-якої служби, що націлюється на користувачів ЄС, незалежно від того, де базується оператор веб-сайту.
Які файли cookie вимагають згоди відповідно до Директиви ePrivacy та GDPR
Відповідно до Директиви ePrivacy, згода потрібна для всіх файлів cookie, за винятком тих, які є "строго необхідними" для послуги, явно запитаної користувачем. Відповідно до GDPR, будь-яка обробка особистих даних вимагає законної основи, і для файлів cookie відстеження ця основа майже завжди є згодою.
Категорії файлів cookie та вимоги до згоди:
- Строго необхідні файли cookie (управління сесією, стан входу, кошик для покупок): Згода не потрібна відповідно до Директиви ePrivacy. Може застосовуватися законний інтерес або виконання контракту відповідно до GDPR.
- Аналітичні файли cookie (наприклад, відстеження переглядів сторінок, що ідентифікують користувачів): Згода потрібна відповідно до обох рамок.
- Маркетингові та рекламні файли cookie (поведінкове таргетування, повторне таргетування): Згода потрібна відповідно до обох рамок, це найвищий ризик для виконання.
- Функціональні файли cookie (налаштування мови, налаштування інтерфейсу): Обговорюється; якщо вони обробляють особисті дані, згода є найбезпечнішим підходом.
Чи замінюється Директива ePrivacy, і що таке Регуляція ePrivacy
Директива ePrivacy не замінюється GDPR. Однак запропонована Регуляція ePrivacy мала на меті замінити Директиву безпосередньо застосовуваним законом на рівні ЄС. Ця пропозиція була офіційно відкликана Європейською Комісією в лютому 2025 року через відсутність передбачуваної угоди серед країн-членів та застарілий характер пропозиції з огляду на нещодавні технологічні зміни [2].
Директива ePrivacy проти запропонованої Регуляції ePrivacy: Регуляція була б безпосередньо обов'язковою для всіх країн-членів (усуваючи відмінності в національній трансформації), але вона ніколи не була прийнята.
Замість цього Європейська Комісія представила Цифровий Омнібус 19 листопада 2025 року. Цей пакет пропонує інтегрувати правила згоди на файли cookie безпосередньо в GDPR через нові статті 88a та 88b [2][3]. Стаття 88a визначатиме сценарії, коли згода не потрібна (наприклад, для передачі електронних комунікацій або послуг, явно запитуваних користувачем). Стаття 88b введе вимоги для автоматизованих, машинозчитуваних механізмів згоди, включаючи сигнали згоди на рівні браузера [3].
Станом на липень 2026 року Цифровий Омнібус все ще проходить законодавчі процеси, остаточний текст очікується наприкінці 2026 або на початку 2027 року [4].
Чи потрібна згода для істотних файлів cookie відповідно до Директиви ePrivacy
Ні. Строго необхідні файли cookie явно звільнені від вимоги згоди Директиви ePrivacy. Це файли cookie, без яких послуга, яку користувач активно запитував, не може функціонувати, наприклад, ідентифікатори сесій, токени аутентифікації та файли cookie для кошика покупок [6].
Крайній випадок: "Необхідний" тлумачиться вузько. Файл cookie, який покращує продуктивність або дозволяє аналітику, не є строго необхідним, навіть якщо оператор вважає його операційно важливим. У разі сумнівів краще вимагати згоду.
Як отримати дійсну згоду на файли cookie, що відповідає обом регламентам
Дійсна згода відповідно до GDPR (а отже, і відповідно до Директиви ePrivacy, яка посилається на стандарти згоди GDPR) має бути:
- Вільно надана, без стін згоди або примусового об'єднання з прийняттям умов.
- Конкретна, окрема згода для кожної категорії файлів cookie (аналітичні, маркетингові тощо).
- Інформована, користувачі повинні знати, що роблять файли cookie та хто обробляє дані.
- Однозначна, потрібна позитивна дія; попередньо позначені поля недійсні.
- Можливість відкликання, відкликання згоди має бути таким же простим, як і надання [5].
Добре налаштована Платформа управління згодою (CMP) обробляє цей робочий процес. Biscotti CMP розроблена для підтримки цих вимог, включаючи детальні категорії згоди та ведення обліку згоди для аудиторських цілей. З Цифровим Омнібусом, що пропонує сигнали згоди на рівні браузера відповідно до статті 88b, CMP також потрібно буде враховувати та поважати сигнали з налаштувань браузера, що є значним операційним зсувом для галузі [3].
Чи можуть банери згоди задовольнити вимоги як Директиви ePrivacy, так і GDPR
Так, але лише якщо банер правильно спроектований. Банер з файлів cookie, який відповідає стандартам згоди GDPR, також задовольнить вимогу згоди Директиви ePrivacy, оскільки Директива посилається на визначення згоди GDPR для країн-членів ЄС [5][6].
Вимоги до відповідного банера:
- Надати чіткі опції "Прийняти" та "Відхилити" (або еквівалентні) з однаковою візуальною помітністю.
- Не використовувати темні патерни (наприклад, робити "Відхилити" важче знайти, ніж "Прийняти").
- Блокувати неістотні файли cookie, поки не буде надано згоду.
- Записувати та зберігати згоду з позначкою часу та посиланням на версію.
- Дозволяти користувачам змінювати свої налаштування в будь-який час.
Дослідження 2026 року показало, що лише 30,66% веб-сайтів мали кнопку "відхилити всі", що означає, що більшість опитаних сайтів, ймовірно, не відповідають очікуванням щодо відповідності [7].
Чи є країни, в яких Директива ePrivacy не застосовується
Директива ePrivacy застосовується в усіх країнах-членах ЄС. Однак, оскільки це Директива (а не Регламент), кожна країна трансформувала її в національне законодавство з деякими варіаціями в обсязі, пріоритетах виконання та покараннях [6]. Країни поза межами ЄС, включаючи Великобританію після Brexit, мають свої власні еквівалентні закони (Регламент про конфіденційність та електронні комунікації Великобританії, або PECR).
Виберіть свою базу відповідності залежно від того, де розташовані ваші користувачі, а не лише де зареєстрований ваш бізнес. Компанія, що базується в США, з значним трафіком з ЄС, повинна дотримуватися як Директиви ePrivacy (як вона трансформована в відповідних країнах-членах), так і GDPR.
Що станеться, якщо ви не дотримаєтеся правил Директиви ePrivacy
Недотримання Директиви ePrivacy (як вона трансформована в національне законодавство) може призвести до штрафів та дій з боку національних регуляторів. Штрафи варіюються в залежності від країни-члена, але можуть бути значними, а порушення GDPR, викликані недійсною згодою (наприклад, обробка особистих даних через файли cookie для відстеження без дійсної правової основи), можуть призвести до штрафів до 4% від світового річного обороту або 20 мільйонів євро, залежно від того, що більше [5].
Національні органи захисту даних (DPA) продовжують активно розслідувати та накладати штрафи на організації за невиконання вимог щодо згоди на файли cookie [1]. Дії з виконанням націлені як на великі платформи, так і на невеликих операторів.
Поширені помилки у відповідності:
- Активація аналітичних або рекламних файлів cookie при завантаженні сторінки до реєстрації згоди.
- Використання банерів згоди, які не блокують файли cookie до взаємодії.
- Невиконання відкликання згоди своєчасно.
- Невнесення змін до записів згоди, коли змінюються політики щодо файлів cookie.
- Вважання сповіщень про файли cookie еквівалентом механізмів згоди.
Як довго можуть зберігатися файли cookie відповідно до правил Директиви ePrivacy
Директива ePrivacy не визначає максимальний термін зберігання файлів cookie безпосередньо. Однак принципи мінімізації даних та обмеження зберігання GDPR застосовуються, коли файли cookie обробляють особисті дані. Згода повинна бути обмежена за часом, і регулятори зазвичай очікують, що організації періодично повторно запитуватимуть згоду, загальноприйнята рекомендація вказує на 12 місяців як розумний інтервал, хоча це не є жорстким законодавчим обмеженням [6].
Практичні рекомендації: Встановіть терміни дії файлів cookie, пропорційні їх меті. Файл cookie сесії повинен закінчуватися, коли браузер закривається. Аналітичний файл cookie не потребує дворічного терміну дії, якщо шість місяців виконують ту ж мету.
Які поширені помилки роблять компанії з відповідності Директиві ePrivacy
Крім зазначених вище проблем, кілька патернів постійно з'являються в справах про виконання та аудитах:
- Непряме згода: Припущення, що продовження перегляду є згодою. Це було явно відхилено судами ЄС та DPA.
- Об'єднана згода: Поєднання згоди на файли cookie з прийняттям політики конфіденційності в одному кліку.
- Несумісне гео-таргетування: Застосування більш суворих правил згоди лише для користувачів з певних країн, в той час як файли cookie для відстеження надаються іншим, що є ризиком, оскільки виконання може слідувати за місцем розташування користувача.
- Ігнорування національних варіацій: Припущення, що одна конфігурація банера задовольняє всі країни-члени ЄС, коли насправді деякі країни мають більш суворі національні вимоги [6].
- Відсутність аудиторського сліду згоди: Невиконання запису того, на що користувачі погодилися, коли і під якою версією сповіщення про конфіденційність [1].
Висновок
Взаємовідносини між Директивою ePrivacy та GDPR: Орієнтація в правилах використання файлів cookie в ЄС не є питанням вибору однієї рамки над іншою, обидві застосовуються, і обидві повинні бути виконані. Директива ePrivacy визначає, коли потрібна згода на файли cookie; GDPR визначає, як виглядає дійсна згода. Разом вони формують правову основу для відповідності використанню файлів cookie в ЄС.
Регуляторний ландшафт змінюється. Пропозиція Регуляції ePrivacy була відкликана на початку 2025 року, а Цифровий Омнібус тепер пропонує інтегрувати правила файлів cookie безпосередньо в GDPR через статті 88a та 88b. Остаточний текст очікується наприкінці 2026 або на початку 2027 року, але поточні зобов'язання залишаються в силі в цей час.
Дії, які потрібно виконати в 2026 році:
- Аудитуйте поведінку файлів cookie на вашому веб-сайті, щоб підтвердити, що жодні неістотні файли cookie не активуються до реєстрації згоди.
- Перегляньте свій банер згоди на темні патерни та переконайтеся, що опції "відхилити" є такими ж помітними, як і "прийняти".
- Впровадьте CMP, таку як Biscotti CMP, яка веде облік записів згоди та підтримує управління детальними категоріями.
- Слідкуйте за прогресом Цифрового Омнібусу та оцініть, чи ваш постачальник CMP готується до підтримки сигналів згоди на рівні браузера.
- Перевірте національну трансформацію Директиви ePrivacy в кожній країні-члені ЄС, де у вас є значний трафік користувачів.
Питання та відповіді
Q: Чи замінює GDPR Директиву ePrivacy для файлів cookie?
Ні. GDPR та Директива ePrivacy співіснують. Директива ePrivacy залишається основним законом, що вимагає згоди на файли cookie; GDPR регулює, що таке дійсна згода і як повинні оброблятися особисті дані, оброблені через файли cookie.
Q: Що таке Регуляція ePrivacy, і чи вона ще буде?
Регуляція ePrivacy була запропонованим законом ЄС, який мав на меті замінити Директиву ePrivacy безпосередньо застосовуваним регламентом. Вона була офіційно відкликана Європейською Комісією в лютому 2025 року і не буде продовжена в її поточній формі.
Q: Що таке Цифровий Омнібус?
Цифровий Омнібус, представлений в листопаді 2025 року, є законодавчою пропозицією ЄС, яка спростить цифрове регулювання, інтегруючи правила згоди на файли cookie в GDPR через нові статті 88a та 88b. Станом на липень 2026 року вона все ще перебуває на стадії законодавчого розгляду.
Q: Чи звільнені аналітичні файли cookie від вимог щодо згоди?
Ні. Аналітичні файли cookie, які ідентифікують окремих користувачів або пристрої, є неістотними і вимагають попередньої згоди відповідно до Директиви ePrivacy, незалежно від того, чи використовуються вони в комерційних цілях.
Q: Чи може стіна згоди (блокування доступу, якщо користувачі не приймають файли cookie) становити дійсну згоду?
Загалом, ні. Регулятори та суди ЄС вважають, що згода, отримана через стіни згоди, не є вільно наданою відповідно до GDPR, оскільки у користувачів немає справжнього вибору. Деякі національні DPA дозволяють стіни згоди в обмежених обставинах, якщо пропонується платна альтернатива, але це залишається спірним.
Q: Як часто користувачів потрібно запитувати про повторну згоду на файли cookie?
Немає фіксованого законодавчого періоду, але регулятори зазвичай очікують, що згода буде оновлена, коли цілі або список файлів cookie змінюються суттєво, або через розумний період (часто вказується 12 місяців на практиці). Згода, отримана за попередньою версією сповіщення про конфіденційність, може не охоплювати нові види обробки.
Q: Що таке строго необхідний файл cookie?
Строго необхідний файл cookie — це той, без якого послуга, явно запитана користувачем, не може функціонувати, наприклад, токен сесії для входу або ідентифікатор кошика для покупок. Ці файли cookie звільнені від вимоги згоди Директиви ePrivacy.
Q: Чи застосовується Директива ePrivacy до неєвропейських бізнесів?
Так, якщо ці бізнеси націлюються на користувачів, розташованих в ЄС. Територіальний обсяг слідує за місцем розташування користувача, а не за зареєстрованою адресою оператора.
Q: На що слід звернути увагу при виборі Платформи управління згодою?
Відповідна CMP повинна блокувати неістотні файли cookie до отримання згоди, підтримувати детальні категорії згоди, вести облік згоди з позначками часу, дозволяти легке відкликання та бути готовою підтримувати сигнали згоди на рівні браузера, як це вимагається відповідно до запропонованих змін у GDPR.
Q: Чи можу я використовувати один банер з файлів cookie для всього ЄС?
Один банер може працювати як базова лінія, але оскільки Директива ePrivacy була трансформована по-різному в країнах-членах, деякі країни можуть мати більш суворі вимоги. Юридичний огляд відповідно до національного законодавства кожного цільового ринку є доцільним для сайтів з великим трафіком.
Посилання
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai