Slapukų sutikimas perrašomas: ką keičia skaitmeninis omnibusas

Slapukų juosta yra labiausiai nemėgstamas naudotojo sąsajos elementas Europoje. Be to, po aštuonerių metų nemažoje dalyje svetainių ji vis dar teisiškai trapi. Briuselis pagaliau nusprendė vienu metu spręsti abi problemas, o priemonė tam yra 2025 m. lapkričio 19 d. pasiūlytas skaitmeninio omnibuso paketas.

Šiame straipsnyje aptariame, kas iš tikrųjų yra pasiūlyme, kas jau šiandien yra įstatymas ir ką mes keistume bei ko nekeistume sutikimų įgyvendinime dabar. 2026 m. spalio 10 d. duomenimis, paketo BDAR ir e. privatumo dalis dar nepasiekė trišalio dialogo: Taryba dar neturi derybinių įgaliojimų, o Parlamentas neturi pozicijos, todėl dalis to, kas čia parašyta, keisis.

Kaip čia atsidūrėme

Slapukų sutikimas niekada nebuvo BDAR dalis. Jis reglamentuojamas 2002 m. E. privatumo direktyvos, iš dalies pakeistos 2009 m., 5 straipsnio 3 dalyje, kurioje nustatyta, kad informacijai saugoti naudotojo galiniame įrenginyje arba prieigai prie jame saugomos informacijos reikia sutikimo, nebent tai griežtai būtina naudotojo prašomai paslaugai teikti.

Šią direktyvą turėjo pakeisti E. privatumo reglamentas. Pasiūlymas aštuonerius metus strigo Taryboje ir 2025 m. vasario 11 d. buvo oficialiai atsiimtas. Liko 2002 m. direktyva, į nacionalinę teisę perkelta dvidešimt septyniais šiek tiek skirtingais būdais, prižiūrinti internetą, kurio ją rašant dar nebuvo.

Rezultatas yra visiems pažįstama netvarka: skirtingose šalyse skirtingos juostos, daugybėje svetainių techniškai negaliojantis sutikimas ir naudotojai, kurie refleksiškai spaudžia „sutinku“, nes atsisakyti užtrunka ilgiau.

Ką jau šiandien galima vykdyti priverstinai

Prieš pereinant prie pasiūlymo, verta tiesiai pasakyti apie dabartinę padėtį, nes daug komandų mano, kad jų juosta tvarkinga, nors taip nėra.

Priežiūra nuosekli ir konkreti. 2025 m. rugsėjį Prancūzijos priežiūros institucija tą pačią dieną skyrė Google 325 mln. eurų, o Shein 150 mln. eurų baudas. Išvados buvo mechaninės, o ne filosofinės: slapukai buvo įrašomi prieš pasirodant juostai, o atsisakymo parinktis patikimai neatsisakydavo.

Taisyklės, kurias priežiūros institucijos iš tikrųjų taiko:

Nieko nebūtino iki naudotojo veiksmo. Nei analitikos žymos, nei pikselio, nei pokalbių valdiklio, nei trečiosios šalies šrifto. Jei kas nors suveikia įkeliant puslapį, nesvarbu, ką sako juosta.

Atsisakymas turi atitikti sutikimą. Tas pats sluoksnis, tas pats vizualinis svoris, tas pats paspaudimų skaičius. Kai atsisakymas reikalauja dviejų žingsnių per nustatymų skydelį, o sutikimas yra vienas mygtukas, tai laikoma apgaulingu dizaino modeliu (dark pattern), dėl kurio sutikimas negalioja.

Sutikimas yra detalizuotas. Vienas jungiklis, apjungiantis analitiką, reklamą ir personalizavimą, nėra konkretus sutikimas.

Atšaukti turi būti taip pat lengva, kaip duoti. Nuolat pasiekiamas valdiklis, o ne el. laiškas pagalbos tarnybai.

Sutikimas nustoja galioti. Dauguma institucijų laikosi maždaug nuo šešių iki trylikos mėnesių, po kurių reikėtų paklausti iš naujo.

„Sutik arba mokėk“ taikymas siauras. Europos duomenų apsaugos valdybos nuomonėje 08/2024 teigiama, kad didelės platformos paprastai negali pateikti dvejetainio pasirinkimo tarp sutikimo su sekimu ir mokėjimo. Tikimasi tikros nemokamos alternatyvos be elgsena grindžiamos reklamos.

Jei jūsų juosta neatitinka kurios nors iš pirmųjų dviejų taisyklių, sutvarkykite tai prieš nerimaudami dėl reformos. Būtent už jas šiandien skiriamos baudos.

Ką siūlo skaitmeninis omnibusas

Komisijos pasiūlyme pagrindinis struktūrinis žingsnis yra iškelti galinių įrenginių taisykles iš senosios direktyvos ir perkelti jas į patį BDAR, per du naujus straipsnius.

88a straipsnis: sutikimas dėl prieigos prie galinio įrenginio

Jis pakeičia E. privatumo direktyvos 5 straipsnio 3 dalį ir, svarbiausia, išplečia tikslų, kuriems sutikimo nereikia, sąrašą. Dabartinė griežto būtinumo išimtis tokia siaura, kad net paprastam auditorijos matavimui paprastai reikia juostos. Pasiūlymas išplečia išimtis tokiems dalykams kaip saugumas, apibendrintas auditorijos matavimas ir paslaugos vientisumo palaikymas.

Daugiausia dėmesio sulaukia du veikimo pakeitimai:

• Sutikimas arba atsisakymas vienu paspaudimu. Pasirinkimas turi būti pateikiamas vienu veiksmu, abiem kryptimis.
• Laukimo laikotarpis. Jei naudotojas atsisako, šešis mėnesius neturėtumėte jo klausti iš naujo. Vien tai panaikintų didelę dalį žmonių patiriamo nuovargio nuo juostų.

88b straipsnis: mašininiu būdu skaitomi sutikimo signalai

Inžinieriams šis įdomesnis. Jis naršyklės ar sistemos lygmens sutikimo signalus padarytų teisiškai privalomus duomenų valdytojams. Jei naudotojas savo pasirinkimą išreiškia vieną kartą, naršyklėje, svetainės turėtų jo paisyti, o ne klausti iš naujo.

Būtent ši dalis valstybėms narėms patiko mažiausiai. Tarybos tekstas, aprašytas toliau, 88b straipsnį išbraukia visiškai.

Kiti dalykai, kuriuos verta žinoti

Paketu taip pat siūloma pranešimo apie asmens duomenų saugumo pažeidimą terminą pratęsti nuo 72 iki 96 valandų ir koreguojamos kelios apibrėžtys, susijusios su pseudonimizuotais duomenimis ir DI mokymu. Tai nepatenka į šio straipsnio apimtį, tačiau keliauja tuo pačiu teisės aktu, ir tai viena iš priežasčių, kodėl dėl šios bylos ginčijamasi.

Kuo skiriasi Tarybos tekstas

Valstybės narės dirba su kitu tekstu. 2026 m. spalio 2 d. Airijos pirmininkavimo kompromisas (Tarybos dokumentas 13886/26, parengtas kaip Tarybos įgaliojimai deryboms su Parlamentu ir 2026 m. spalio 10 d. dar nepriimtas) keliose vietose keičia Komisijos sumanymą:

• Slapukų taisyklės lieka E. privatumo direktyvoje. 5 straipsnio 3 dalis perrašoma ten, kur yra, o 88a ir 88b straipsniai į BDAR nepridedami. Šiame tekste nėra prievolės paisyti naršyklės signalų.
• Šešiems tikslams sutikimo nereikia: pranešimo perdavimas, paslauga, kurios naudotojas aiškiai paprašė, pirmosios šalies auditorijos matavimas, kurio rezultatas yra anoniminiai apibendrinti duomenys, žiniasklaidos auditorijos matavimas pagal Europos žiniasklaidos laisvės aktą, saugumas ir kontekstinės reklamos rodymo bei veiksmingumo matavimas, be profiliavimo.
• Atsisakymas vienu paspaudimu. Naudotojai turi galėti atsisakyti „with a single-click button or equivalent means“.
• Trumpesnis laukimas. Po atsisakymo tuo pačiu tikslu naujai neprašoma „at least four months“, palyginti su šešiais mėnesiais Komisijos tekste.
• Išlieka dvi Komisijos idėjos: 96 valandų terminas pranešti apie pažeidimą ir santykinė asmens duomenų apibrėžtis.

Tai derybinė pozicija, ne įstatymas, o Parlamentas savosios dar nepriėmė.

Terminai ir kodėl dar neverta pagal juos planuoti

Reali padėtis 2026 m. spalio 10 d.:

• Trišaliai dialogai neprasidėjo. ES ambasadorių balsavimas dėl Tarybos įgaliojimų, planuotas spalio 7 d., buvo atidėtas, ir, pranešimų duomenimis, perkeltas į 2026 m. spalio 11 d.
• Parlamente LIBE ir ITRE komitetai 2026 m. birželio 22 d. paskelbė savo pranešimo projektą ir gavo daugiau nei 1 750 pakeitimų. Balsavimo komitete nebuvo.
• Komisijos tekste 88a straipsnis būtų taikomas maždaug po šešių mėnesių nuo įsigaliojimo. Tarybos tekstas valstybėms narėms skiria 24 mėnesius naujajai 5 straipsnio 3 daliai perkelti, nors jo baigiamosiose nuostatose vis dar yra šešių mėnesių data; šį prieštaravimą derybininkams teks išspręsti.
• Komisijos tekste 88b straipsnis būtų taikomas per maždaug 24 mėnesius. Tarybos tekste jo nebėra.

Taigi anksčiausia tikėtina vieno paspaudimo ir laukimo laikotarpio taisyklių data pagal Komisijos tvarkaraštį yra 2027 m., o vėliau, jei išliks Tarybos 24 mėnesiai. Naršyklės signalų prievolių gali ir visai nebūti. Kas sako, kad slapukų juosta šiemet mirs, kažką parduoda.

Ką keistume dabar ir ko nekeistume

Reforma nėra įstatymas, tačiau kryptis pakankamai stabili, kad turėtų įtakos architektūrai. Štai ką patariame klientams.

Padarykite tai dabar

Sutvarkykite mechaniką. Atsisakyti taip pat lengva kaip sutikti, niekas nesuveikia iki sąveikos, detalizuotos kategorijos, veikiantis atšaukimas. Tai galiojanti teisė, ir būtent už tai skiriamos baudos.

Atskirkite sutikimo būseną nuo sutikimo sąsajos. Turėkite sutikimų paslaugą, kuri valdo būseną, pateikia ją programai ir saugo įrašą su versijos nuoroda. Tada juosta tampa keičiamu pateikimo sluoksniu. Pasikeitus taisyklėms, pakeičiate sąsają, o vamzdynas lieka.

Tinkamai saugokite sutikimų įrašus. Laiko žymą, kiekvienos kategorijos būseną, juostos teksto versijos identifikatorių, naudotą mechanizmą ir sprendimo šaltinį. Be teksto versijos negalite įrodyti, su kuo naudotojas iš tikrųjų sutiko.

Pradėkite klausytis signalų. Global Privacy Control jau turi teisinę reikšmę keliose jurisdikcijose, o jo paisyti kainuoja labai nedaug. Jei jį skaitote dabar, 88b straipsnis, jei bus priimtas, taps konfigūracijos pakeitimu, o ne projektu.

Iš tikrųjų patikrinkite savo žymas. Ne žymų tvarkyklės sąsajoje, o naršyklėje, tikrame puslapyje, švariame profilyje. Suskaičiuokite užklausas iki sutikimo. Paprastai jų būna daugiau, nei tikisi komanda.

To dar nedarykite

Neatsisakykite detalizuoto sutikimo, manydami, kad išimtys bus išplėstos. Jei galutinis tekstas jas vėl susiaurins, teks viską kurti iš naujo.

Neperrašykite privatumo pranešimo pagal projekto straipsnių numerius.

Nepašalinkite juostos auditorijos matavimui. Išplėsta išimtis yra pasiūlymas, o ne leidimas.

Neįsipareigokite 96 valandų pažeidimų procesui. Toliau dirbkite pagal 72.

Didesnis projektavimo klausimas

Verta įvardyti platesnį pokytį. Priežiūros institucijos nuo klausimo, ar turite sutikimą, perėjo prie klausimo, kaip jį gavote. Sąsajos mechanika dabar yra priežiūros objektas. Todėl slapukų juostų bylos sukasi apie mygtukų išdėstymą ir paspaudimų skaičių, o ne apie politikos formuluotes.

Ši tendencija tęsis ir po skaitmeninio omnibuso. Skaitmeninio sąžiningumo aktas, kurio pasiūlymo tikimasi 2026 m. pabaigoje, tiesiogiai nukreiptas prieš apgaulingus dizaino modelius, manipuliuojančias sąsajas, individualizuotą kainodarą ir priklausomybę sukeliantį dizainą. Realiai jis bus taikomas 2028 m. ar vėliau, tačiau jau dabar parodo, kurių modelių galiojimas ribotas.

Jei jūsų augimo rodikliai priklauso nuo painios sąsajos, tai dabar yra atitikties rizika su konkrečia data, o ne gudri optimizacija.

Pastaba apie analitiką

Didelę dalį juostų problemos susikuriame patys. Komandos įkelia trečiosios šalies analitikos platformą, kuriai reikia sutikimo, tada dėl atsisakymų praranda trečdalį duomenų ir tada bando šią problemą apeiti dizainu.

Savo serveriuose talpinama, privatumą pirmiausia vertinanti analitika gali pakeisti skaičiavimą, nes matavimas, kuris lieka jūsų pačių infrastruktūroje ir nekuria tarpsvetainių profilių, turi daug stipresnį argumentą išimčiai, ir puikiai tilptų į omnibuso siūlomas išplėstas išimtis. Apie vieną galimybę rašėme mūsų Matomo diegimo vadove, o ta pati logika taikoma ir savo serveriuose talpinamam rinkodaros automatizavimui.

Tai ne atitikties gudrybė. Tai tikras sumažinimas to, ką turite pagrįsti.

Kur tai telpa platesniame paveiksle

Slapukų sutikimas yra viena didelės reguliavimo statybos dalis. Likusią dalį aprašo visas 2026 m. ES skaitmeninės atitikties žemėlapis, o po juo esantį sluoksnį BDAR inžinerinis vadovas.

Jei norite, kad jūsų sutikimų įgyvendinimas būtų peržiūrėtas pagal tai, ką priežiūros institucijos iš tikrųjų vykdo, arba norite jį perkurti taip, kad kitas taisyklių pakeitimas būtų konfigūracija, o ne perrašymas, galime padėti. Rašykite office@c9group.dev.

Mes kuriame sistemas, teisinių konsultacijų neteikiame, o galutinis žodis dėl interpretacijos priklauso jūsų teisininkams.