Съгласието за бисквитки се пренаписва: какво променя цифровият пакет Omnibus

Банерът за бисквитки е най-омразният елемент от потребителския интерфейс в Европа. След осем години той все още е и правно уязвим на голяма част от сайтовете. Брюксел най-сетне реши да се заеме и с двата проблема наведнъж, а инструментът за това е пакетът Digital Omnibus, предложен на 19 ноември 2025 г.

В тази статия разглеждаме какво действително съдържа предложението, кое вече е закон днес и какво бихме променили и какво не в едно решение за съгласие точно сега. Към 10 октомври 2026 г. частта от пакета за ОРЗД и ePrivacy не е стигнала до тристранни преговори: Съветът все още няма мандат за преговори, а Парламентът няма позиция, така че части от написаното тук ще се променят.

Как стигнахме дотук

Съгласието за бисквитки никога не е било част от ОРЗД. То се урежда от член 5, параграф 3 от Директивата за правото на неприкосновеност на личния живот и електронни комуникации (ePrivacy) от 2002 г., изменена през 2009 г., според който съхраняването на информация в крайното устройство на потребителя или достъпът до информация в него изискват съгласие, освен ако не са строго необходими за услуга, която потребителят е поискал.

Тази директива трябваше да бъде заменена от Регламент ePrivacy. Предложението стоя блокирано в Съвета осем години и беше официално оттеглено на 11 февруари 2025 г. Останахме с директива от 2002 г., транспонирана по двадесет и седем малко различни начина, която урежда интернет, какъвто не е съществувал, когато е писана.

Резултатът е хаосът, който всички познават: банери, които се различават от държава до държава, съгласие, което технически е невалидно на голям брой сайтове, и потребители, които натискат „Приемам“ рефлекторно, защото отказът отнема повече време.

Какво вече се прилага днес

Преди да стигнем до предложението, си струва да кажем направо как стоят нещата сега, защото много екипи смятат, че банерът им е наред, а той не е.

Прилагането е последователно и конкретно. През септември 2025 г. френският надзорен орган глоби Google с 325 милиона евро и Shein със 150 милиона евро в един и същи ден. Констатациите бяха технически, а не философски: бисквитките се задаваха, преди банерът да се появи, а бутонът за отказ не отказваше надеждно.

Правилата, които регулаторите действително прилагат:

Нищо несъществено, преди потребителят да е направил избор. Нито тагът за анализ, нито пикселът, нито чат джаджата, нито шрифтът от трета страна. Ако се зарежда при отваряне на страницата, няма значение какво пише в банера.

Отказът трябва да е равностоен на приемането. Същото ниво, същата визуална тежест, същият брой кликвания. Ако отказът е път от две стъпки през панел с настройки, а приемането е един бутон, това се третира като заблуждаващ дизайн (dark pattern), който обезсилва съгласието.

Съгласието е гранулирано. Един превключвател, който обединява анализ, реклама и персонализация, не е конкретно съгласие.

Оттеглянето трябва да е толкова лесно, колкото даването. Постоянно достъпен контрол, а не имейл до поддръжката.

Съгласието изтича. Повечето органи приемат, че трябва да питате отново след около шест до тринадесет месеца.

Моделът „съгласие или плащане“ е тесен. Становище 08/2024 на Европейския комитет по защита на данните казва, че големите платформи по правило не могат да предлагат двоичен избор между приемане на проследяването и плащане. Очаква се истинска безплатна алтернатива без поведенческа реклама.

Ако банерът ви не отговаря на някое от първите две изисквания, поправете това, преди да мислите за реформата. Именно те носят глоби днес.

Какво предлага Digital Omnibus

В предложението на Комисията основната структурна промяна е правилата за крайните устройства да се извадят от старата директива и да се включат в самия ОРЗД чрез два нови члена.

Член 88а: съгласие за достъп до крайното устройство

Той заменя член 5, параграф 3 от Директивата ePrivacy и, което е важно, разширява кръга от цели, за които не се изисква съгласие. Сегашното изключение за строго необходимото е толкова тясно, че дори основното измерване на аудиторията по правило изисква банер. Предложението разширява изключенията към неща като сигурност, обобщено измерване на аудиторията и поддържане на целостта на услугата.

Две оперативни промени привличат най-много внимание:

• Приемане или отказ с едно кликване. Изборът трябва да може да се направи с едно действие и в двете посоки.
• Период на изчакване. Ако потребителят откаже, не бива да го питате отново шест месеца. Само това би премахнало голяма част от умората от банери, която хората изпитват.

Член 88б: машинночетими сигнали за съгласие

За инженерите този член е по-интересният. Той би направил сигналите за съгласие на ниво браузър или операционна система правно обвързващи за администраторите. Ако потребителят изрази предпочитанието си веднъж, в браузъра, сайтовете ще трябва да го зачитат, вместо да питат отново.

Това е и частта, която държавите членки харесаха най-малко. Текстът на Съвета, описан по-долу, изцяло заличава член 88б.

Други неща, които си струва да знаете

Пакетът предлага и срокът за уведомяване за нарушение на сигурността на личните данни да се удължи от 72 на 96 часа и коригира няколко определения, свързани с псевдонимизираните данни и обучението на ИИ. Те са извън обхвата на тази статия, но пътуват в същия пакет, което е част от причината досието да е спорно.

Какво прави различно текстът на Съвета

Държавите членки работят по друг текст. Компромисът на ирландското председателство от 2 октомври 2026 г. (документ на Съвета 13886/26, изготвен като мандат на Съвета за преговорите с Парламента и все още неприет към 10 октомври 2026 г.) променя замисъла на Комисията на няколко места:

• Правилата за бисквитките остават в Директивата ePrivacy. Член 5, параграф 3 се пренаписва там, където е, а членове 88а и 88б не се добавят към ОРЗД. В този текст няма задължение за зачитане на сигналите от браузъра.
• Шест цели не изискват съгласие: предаване на съобщение, услуга, която потребителят изрично е поискал, измерване на аудиторията от първа страна, което дава анонимни обобщени данни, измерване на медийната аудитория съгласно Европейския акт за свободата на медиите, сигурност, както и измерване на показването и ефективността на контекстната реклама, без профилиране.
• Отказ с едно кликване. Потребителите трябва да могат да откажат „с бутон с едно кликване или с равностойно средство“.
• По-кратко изчакване. След отказ не се допуска ново искане за същата цел в продължение на „най-малко четири месеца“, срещу шест в текста на Комисията.
• Две идеи на Комисията оцеляват: срокът от 96 часа за уведомяване за нарушения и относителното определение за лични данни.

Това е преговорна позиция, а не закон, а Парламентът все още не е приел своята.

Срокове и защо още не бива да планирате според тях

Реалистичната картина към 10 октомври 2026 г.:

• Тристранните преговори не са започнали. Гласуването на посланиците на ЕС по мандата на Съвета, планирано за 7 октомври, беше отложено и според информациите е насрочено отново за 11 октомври 2026 г.
• В Парламента комисиите LIBE и ITRE публикуваха проектодоклада си на 22 юни 2026 г. и получиха над 1 750 изменения. Гласуване в комисиите още няма.
• Според текста на Комисията член 88а би се прилагал около шест месеца след влизането в сила. Текстът на Съвета дава на държавите членки 24 месеца да транспонират новия член 5, параграф 3, макар че заключителните му разпоредби все още съдържат шестмесечен срок, противоречие, което преговарящите ще трябва да разрешат.
• Според текста на Комисията член 88б би се прилагал в рамките на около 24 месеца. Текстът на Съвета го премахва.

Така най-ранната правдоподобна дата за правилата за едно кликване и за периода на изчакване е 2027 г. по графика на Комисията и по-късно, ако 24-те месеца на Съвета оцелеят. Задълженията за сигнали от браузъра може изобщо да не дойдат. Който ви казва, че банерът за бисквитки умира тази година, ви продава нещо.

Какво бихме променили сега и какво не

Реформата не е закон, но посоката е достатъчно стабилна, за да насочва архитектурата. Ето какво съветваме клиентите си.

Направете го сега

Поправете механиката. Отказ, толкова лесен, колкото приемането, нищо не се зарежда преди взаимодействие, гранулирани категории, работещо оттегляне. Това е действащото право и именно там са глобите.

Отделете състоянието на съгласието от интерфейса за съгласие. Поддържайте услуга за съгласие, която притежава състоянието, предоставя го на приложението и съхранява записа с препратка към версията. Тогава банерът става заменим презентационен слой. Когато правилата се променят, сменяте интерфейса и запазвате инфраструктурата отдолу.

Съхранявайте записите за съгласие правилно. Времеви печат, състояние по категории, идентификатор на версията на текста на банера, използваният механизъм и източникът на решението. Без версията на текста не можете да докажете с какво точно се е съгласил потребителят.

Започнете да приемате сигнали. Global Privacy Control вече има правно значение в няколко юрисдикции и зачитането му струва много малко. Ако го четете още сега, член 88б, ако бъде приет, ще е промяна в конфигурацията, а не проект.

Одитирайте таговете си наистина. Не в интерфейса на мениджъра на тагове, а в браузъра, на реална страница, в чист профил. Пребройте заявките преди съгласието. Обикновено са повече, отколкото екипът очаква.

Не го правете още

Не премахвайте гранулираното съгласие с допускането, че изключенията ще се разширят. Ако окончателният текст отново ги стесни, ще трябва да го изграждате наново.

Не пренаписвайте уведомлението си за поверителност около номера на членове от проекта.

Не махайте банера за измерването на аудиторията. Разширеното изключение е предложение, а не разрешение.

Не се обвързвайте с процес за нарушения с 96-часов срок. Продължавайте да работите с 72 часа.

По-големият въпрос за дизайна

Има и по-широка промяна, която си струва да се назове. Регулаторите вече не питат дали имате съгласие, а как сте го получили. Механиката на интерфейса вече е полето, на което се прилага законът. Затова делата за банери за бисквитки се решават от разположението на бутоните и броя кликвания, а не от формулировката на една политика.

Тази тенденция продължава и след Digital Omnibus. Актът за цифровата справедливост (Digital Fairness Act), чието предложение се очаква в края на 2026 г., е насочен пряко срещу заблуждаващия дизайн, манипулативните интерфейси, персонализираното ценообразуване и пристрастяващия дизайн. Реалистично ще се прилага от 2028 г. или по-късно, но вече показва кои практики имат срок на годност.

Ако показателите ви за растеж зависят от объркващ интерфейс, това вече е риск за съответствието с конкретна дата, а не хитра оптимизация.

Бележка за анализа

Голяма част от проблема с банерите е самопричинен. Екипите зареждат платформа за анализ от трета страна, която изисква съгласие, после губят една трета от данните си заради откази, а после се опитват да заобиколят това с дизайн.

Анализът със собствен хостинг, който поставя поверителността на първо място, може да промени сметката, защото измерването, което остава на вашата собствена инфраструктура и не изгражда профили между сайтове, има много по-силен аргумент за изключението и би се вписало спокойно в разширените изключения, които предлага Omnibus. Писахме за една от възможностите в нашето ръководство за настройка на Matomo, а същата логика важи и за маркетинг автоматизацията със собствен хостинг.

Това не е трик за съответствие. То реално намалява онова, което трябва да обосновавате.

Мястото на темата в по-широката картина

Съгласието за бисквитки е едно парче от много по-голяма регулаторна конструкция. Пълната карта на цифровото съответствие в ЕС за 2026 г. обхваща останалото, а инженерното ръководство за ОРЗД обхваща слоя отдолу.

Ако искате решението ви за съгласие да бъде прегледано спрямо това, което регулаторите реално прилагат, или искате да бъде изградено наново така, че следващата промяна в правилата да е въпрос на конфигурация, а не на пренаписване, можем да помогнем. Пишете на office@c9group.dev.

Ние изграждаме системи, не даваме правни съвети, а последната дума по тълкуването е на вашите юристи.