Küpsiste nõusolekut kirjutatakse ümber: mida digiomnibus muudab

Küpsiste bänner on Euroopa kõige vihatum kasutajaliidese osa. Kaheksa aasta järel on see ühtlasi suurel osal veebilehtedest õiguslikult endiselt habras. Brüssel on lõpuks otsustanud mõlema probleemiga korraga tegeleda ja selle vahend on 19. novembril 2025 esitatud digiomnibuse (Digital Omnibus) pakett.

See artikkel käsitleb, mis ettepanekus tegelikult on, mis on juba praegu seadus ning mida me nõusolekulahenduses praegu muudaksime ja mida mitte. 10. oktoobri 2026. aasta seisuga ei ole paketi GDPR-i ja e-privaatsuse osa jõudnud kolmepoolsetele läbirääkimistele: nõukogul pole veel läbirääkimismandaati ja parlamendil pole seisukohta, nii et osa sellest muutub.

Kuidas me siia jõudsime

Küpsiste nõusolek ei ole kunagi olnud GDPR-is. See on 2002. aasta e-privaatsuse direktiivi (muudetud 2009. aastal) artikli 5 lõikes 3, mille kohaselt on teabe salvestamiseks kasutaja lõppseadmesse või sealt teabele juurdepääsuks vaja nõusolekut, välja arvatud juhul, kui see on rangelt vajalik kasutaja taotletud teenuse osutamiseks.

See direktiiv pidi asenduma e-privaatsuse määrusega. Ettepanek seisis nõukogus kaheksa aastat ummikus ja võeti 11. veebruaril 2025 ametlikult tagasi. Meile jäi 2002. aasta direktiiv, mis on üle võetud kahekümne seitsmel veidi erineval viisil ja mis valvab veebi, mida selle kirjutamise ajal veel ei olnud.

Tulemus on segadus, mida kõik tunnevad: riigiti erinevad bännerid, nõusolek, mis on suurel hulgal saitidel tehniliselt kehtetu, ja kasutajad, kes klõpsavad refleksina „nõustun“, sest keeldumine võtab kauem aega.

Mis on juba täna jõustatav

Enne ettepaneku juurde minekut tasub praegusest olukorrast otse rääkida, sest paljud meeskonnad usuvad, et nende bänner on korras, kuigi see ei ole.

Järelevalve on olnud järjekindel ja konkreetne. 2025. aasta septembris määras Prantsusmaa järelevalveasutus samal päeval trahvi Google’ile 325 miljonit eurot ja Sheinile 150 miljonit eurot. Leiud olid tehnilised, mitte filosoofilised: küpsised paigaldati enne bänneri ilmumist ja keeldumisvalik ei keeldunud usaldusväärselt.

Reeglid, mida järelevalveasutused tegelikult kohaldavad:

Midagi mittehädavajalikku enne kasutaja tegevust. Ei analüütikasilti, pikslit, vestlusvidinat ega kolmanda osapoole fonti. Kui see käivitub lehe laadimisel, pole oluline, mida bänner ütleb.

Keeldumine peab vastama nõustumisele. Sama kiht, sama visuaalne kaal, sama arv klõpse. Kui keeldumine on kaheastmeline teekond läbi eelistuste paneeli, samal ajal kui nõustumine on üks nupp, peetakse seda pettemustriks, mis muudab nõusoleku kehtetuks.

Nõusolek on liigendatud. Üks lüliti, mis seob kokku analüütika, reklaami ja isikupärastamise, ei ole konkreetne nõusolek.

Nõusoleku tagasivõtmine peab olema sama lihtne kui andmine. Alati kättesaadav juhtelement, mitte e-kiri klienditoele.

Nõusolek aegub. Enamik asutusi lähtub sellest, et uuesti tuleks küsida umbes kuue kuni kolmeteistkümne kuu pärast.

„Nõusolek või maksa“ on kitsas. Euroopa Andmekaitsenõukogu arvamuse 08/2024 kohaselt ei saa suured platvormid üldjuhul panna kasutajat ainult kahe valiku ette: nõustuda jälgimisega või maksta. Eeldatakse tõelist tasuta alternatiivi ilma käitumispõhise reklaamita.

Kui teie bänner ei vasta kahele esimesele, parandage see enne, kui hakkate reformi pärast muretsema. Just need toovad täna trahve.

Mida digiomnibus välja pakub

Komisjoni ettepanekus on peamine struktuurne muudatus lõppseadme reeglite tõstmine vanast direktiivist välja ja GDPR-i enda alla kahe uue artikli kaudu.

Artikkel 88a: nõusolek lõppseadmele juurdepääsuks

See asendab e-privaatsuse direktiivi artikli 5 lõike 3 ja, mis oluline, laiendab nende eesmärkide ringi, mis nõusolekut ei vaja. Praegune range vajalikkuse erand on nii kitsas, et isegi lihtne külastatavuse mõõtmine vajab üldjuhul bännerit. Ettepanek laiendab erandeid näiteks turvalisusele, koondandmetel põhinevale külastatavuse mõõtmisele ja teenuse tervikluse säilitamisele.

Kõige rohkem tähelepanu saavad kaks praktilist muudatust:

• Nõustumine või keeldumine ühe klõpsuga. Valik peab olema võimalik ühe toiminguga, mõlemas suunas.
• Ooteaeg. Kui kasutaja keeldub, ei tohiks temalt kuue kuu jooksul uuesti küsida. Juba see üksi kõrvaldaks suure osa bännerite tüütusest, mida inimesed kogevad.

Artikkel 88b: masinloetavad nõusolekusignaalid

Inseneride jaoks on see huvitavam. See muudaks brauseri- või süsteemitasandi nõusolekusignaalid vastutavatele töötlejatele õiguslikult siduvaks. Kui kasutaja väljendab oma eelistust üks kord brauseris, peaksid saidid seda arvestama, mitte uuesti küsima.

Just see osa meeldis liikmesriikidele kõige vähem. Allpool kirjeldatud nõukogu tekst kustutab artikli 88b täielikult.

Muud asjad, mida tasub teada

Pakett teeb ka ettepaneku pikendada isikuandmetega seotud rikkumisest teatamise tähtaega 72 tunnilt 96 tunnini ning muudab mitut pseudonüümitud andmete ja tehisintellekti treenimisega seotud määratlust. Need jäävad selle artikli teemast välja, kuid liiguvad samas paketis, mis on üks põhjus, miks toimik on vastuoluline.

Mida nõukogu tekst teeb teisiti

Liikmesriigid töötavad teise tekstiga. Iirimaa eesistumise 2. oktoobri 2026. aasta kompromiss (nõukogu dokument 13886/26, koostatud nõukogu mandaadina läbirääkimisteks parlamendiga ja 10. oktoobri 2026. aasta seisuga veel vastu võtmata) muudab komisjoni ülesehitust mitmes kohas:

• Küpsiste reeglid jäävad e-privaatsuse direktiivi. Artikkel 5 lõige 3 kirjutatakse ümber samas kohas ning artikleid 88a ja 88b GDPR-i ei lisata. Selles tekstis puudub kohustus brauseri signaale arvestada.
• Kuus eesmärki ei vaja nõusolekut: side edastamine, teenus, mida kasutaja on selgesõnaliselt taotlenud, anonüümseid koondandmeid tootev esimese osapoole külastatavuse mõõtmine, meediakasutuse mõõtmine Euroopa meediavabaduse määruse alusel, turvalisus ning kontekstipõhise reklaami kuvamise ja tulemuslikkuse mõõtmine ilma profiilianalüüsita.
• Keeldumine ühe klõpsuga. Kasutajatel peab olema võimalik keelduda „ühe klõpsuga nupu või samaväärse vahendi abil“.
• Lühem ooteaeg. Pärast keeldumist ei tohi sama eesmärgi kohta uut taotlust esitada „vähemalt nelja kuu“ jooksul, komisjoni tekstis on see kuus kuud.
• Kaks komisjoni ideed jäävad alles: 96 tunni tähtaeg rikkumisest teatamiseks ja isikuandmete suhteline määratlus.

See on läbirääkimisseisukoht, mitte seadus, ja parlament ei ole veel oma seisukohta vastu võtnud.

Ajakava ja miks ei tasu sellega veel arvestada

Realistlik pilt 10. oktoobri 2026. aasta seisuga:

• Kolmepoolsed läbirääkimised ei ole alanud. ELi suursaadikute hääletus nõukogu mandaadi üle, mis oli kavandatud 7. oktoobrile, lükati edasi ja teadete kohaselt kavandati see uuesti 11. oktoobrile 2026.
• Parlamendis avaldasid LIBE ja ITRE komisjon oma raporti projekti 22. juunil 2026 ja said üle 1 750 muudatusettepaneku. Komisjonis ei ole veel hääletatud.
• Komisjoni tekstis hakataks artiklit 88a kohaldama umbes kuus kuud pärast jõustumist. Nõukogu tekst annab liikmesriikidele uue artikli 5 lõike 3 ülevõtmiseks 24 kuud, kuigi selle lõppsätetes on endiselt kuue kuu tähtaeg, ja selle vastuolu peavad läbirääkijad lahendama.
• Komisjoni tekstis hakataks artiklit 88b kohaldama umbes 24 kuu jooksul. Nõukogu tekst jätab selle välja.

Seega on ühe klõpsu ja ooteaja reeglite varaseim usutav kuupäev komisjoni ajakava järgi 2027. aasta ja hiljem, kui nõukogu 24 kuud jäävad püsima. Brauseri signaalide kohustust ei pruugi üldse tulla. Igaüks, kes ütleb teile, et küpsiste bänner sureb sel aastal, müüb teile midagi.

Mida me praegu muudaksime ja mida mitte

Reform ei ole seadus, kuid suund on piisavalt stabiilne, et arhitektuurile suunda anda. Nii nõustame oma kliente.

Tehke seda kohe

Parandage tehniline lahendus. Keeldumine sama lihtne kui nõustumine, enne kasutaja tegevust ei käivitu midagi, liigendatud kategooriad, toimiv tagasivõtmine. See on kehtiv õigus ja just siit tulevad trahvid.

Eraldage nõusoleku olek nõusoleku kasutajaliidesest. Pidage nõusolekuteenust, mis haldab olekut, teeb selle rakendusele kättesaadavaks ja salvestab kirje koos viitega versioonile. Siis muutub bänner asendatavaks esitluskihiks. Kui reeglid muutuvad, vahetate kasutajaliidese ja torustik jääb alles.

Salvestage nõusolekukirjed korralikult. Ajatempel, iga kategooria olek, bänneri tekstiversiooni identifikaator, kasutatud mehhanism ja otsuse allikas. Ilma tekstiversioonita ei saa te tõendada, millega kasutaja tegelikult nõustus.

Hakake signaale kuulama. Global Privacy Control on mitmes jurisdiktsioonis juba õiguslikult asjakohane ja selle arvestamine maksab väga vähe. Kui loete seda juba praegu, on artikkel 88b, kui see vastu võetakse, seadistuse muudatus, mitte projekt.

Auditeerige oma silte päriselt. Mitte sildihalduri kasutajaliideses, vaid brauseris, päris lehel, puhtas profiilis. Lugege kokku päringud enne nõusolekut. Neid on tavaliselt rohkem, kui meeskond ootab.

Ärge tehke seda veel

Ärge kaotage liigendatud nõusolekut eeldusel, et erandid laienevad. Kui lõplik tekst neid jälle kitsendab, peate selle uuesti ehitama.

Ärge kirjutage oma privaatsusteadet ümber eelnõu artiklinumbrite järgi.

Ärge eemaldage bännerit külastatavuse mõõtmiseks. Laiendatud erand on ettepanek, mitte luba.

Ärge võtke kasutusele 96 tunni rikkumisprotsessi. Jätkake 72 tunniga.

Suurem disainiküsimus

Tasub nimetada laiemat nihet. Järelevalveasutused ei küsi enam, kas teil on nõusolek, vaid kuidas te selle saite. Kasutajaliidese tehniline lahendus on nüüd järelevalve põhiobjekt. Seepärast sõltuvad küpsiste bänneri kaasused nuppude paigutusest ja klõpsude arvust, mitte poliitika sõnastusest.

See suundumus jätkub ka pärast digiomnibust. Digitaalse õigluse õigusakt (Digital Fairness Act), mille ettepanekut oodatakse 2026. aasta lõpus, on suunatud otse pettemustritele, manipuleerivatele kasutajaliidestele, isikupärastatud hinnakujundusele ja sõltuvust tekitavale disainile. Kohaldamine on realistlikult 2028. aastal või hiljem, kuid see näitab, millistel mustritel on säilivusaeg.

Kui teie kasvunumbrid sõltuvad segadusse ajavast kasutajaliidesest, on see nüüd kuupäevaga vastavusrisk, mitte nutikas optimeerimine.

Märkus analüütika kohta

Suur osa bänneriprobleemist on omatehtud. Meeskonnad laadivad kolmanda osapoole analüütikaplatvormi, mis vajab nõusolekut, kaotavad keeldumiste tõttu kolmandiku oma andmetest ja püüavad siis disainiga sellest mööda pääseda.

Enda serveris majutatud, privaatsust esikohale seadev analüütika võib arvutust muuta, sest mõõtmisel, mis jääb teie enda taristule ega loo saitideüleseid profiile, on erandile palju tugevam argument ja see mahuks mugavalt omnibusega pakutud laiendatud erandite alla. Kirjutasime ühest võimalusest oma Matomo seadistamise juhendis ja sama loogika kehtib enda serveris majutatud turundusautomaatika kohta.

See ei ole vastavustrikk. See vähendab päriselt seda, mida peate põhjendama.

Kuhu see laiemas pildis paigutub

Küpsiste nõusolek on üks osa palju suuremast regulatiivsest ülesehitusest. 2026. aasta ELi digivastavuse täielik kaart käsitleb ülejäänut ja GDPR-i insenerijuhend selle all olevat kihti.

Kui soovite, et teie nõusolekulahendus vaadataks üle selle järgi, mida järelevalveasutused tegelikult jõustavad, või soovite selle ümber ehitada nii, et järgmine reeglimuudatus oleks seadistus, mitte ümberkirjutamine, saame aidata. Kirjutage aadressil office@c9group.dev.

Me ehitame süsteeme, ei anna õigusnõu ja lõplik tõlgendusotsus kuulub teie õigusnõustajale.