Согласноста за колачиња се пишува одново: што менува Digital Omnibus

Банерот за колачиња е најомразениот дел од корисничкиот интерфејс во Европа. По осум години сè уште е правно кревок на голем дел од сајтовите. Брисел конечно реши да се справи со двата проблема одеднаш, а возилото е пакетот Digital Omnibus предложен на 19 ноември 2025.

Овој текст покрива што навистина е во предлогот, што е право денес и што би менувале сега, а што не, во имплементацијата на согласности. Заклучно со 10 октомври 2026, делот од пакетот за GDPR и ePrivacy сè уште не стигнал до тријалог: Советот сè уште нема мандат за преговори, а Парламентот нема став, па дел од ова ќе се помести.

Како стигнавме дотука

Согласноста за колачиња никогаш не живеела во GDPR. Живее во член 5 став 3 од ePrivacy директивата од 2002, изменета во 2009, кој вели дека чувањето информации на терминалната опрема на корисникот или пристапот до нив бара согласност, освен ако е строго неопходно за услуга што корисникот ја побарал.

Таа директива требаше да биде заменета со ePrivacy уредба. Предлогот осум години стоеше блокиран во Советот и формално беше повлечен на 11 февруари 2025. Ни остана директива од 2002, пренесена на дваесет и седум малку различни начини, што надгледува веб каков што не постоел кога била пишувана.

Резултатот е хаосот што сите го препознаваат: банери различни по земји, согласност технички неважечка на голем број сајтови и корисници што рефлексно кликаат прифати бидејќи одбивањето трае подолго.

Што е веќе денес спроведливо

Пред да преминеме на предлогот, вреди да бидеме директни за сегашната состојба, бидејќи многу тимови мислат дека нивниот банер е во ред, а не е.

Спроведувањето беше доследно и конкретно. Во септември 2025 францускиот орган истиот ден го казни Google со 325 милиони евра и Shein со 150 милиони. Наодите беа механички, а не филозофски: колачиња поставувани пред банерот да се појави и опција за одбивање што не одбивала доверливо.

Правилата што регулаторите навистина ги применуваат:

Ништо неесенцијално пред корисникот да преземе дејство. Ниту аналитичката ознака, ниту пикселот, ниту чет виџетот, ниту фонтот од трета страна. Ако се активира при вчитување на страницата, не е важно што вели банерот.

Одбивањето мора да биде рамно на прифаќањето. Ист слој, иста визуелна тежина, ист број кликови. Претворањето на одбивањето во двочекорно патување низ панел со поставки, додека прифаќањето е едно копче, се третира како мрачен образец што ја поништува согласноста.

Согласноста е гранулирана. Едно прекинувалче што ги обединува аналитиката, рекламирањето и персонализацијата не е конкретна согласност.

Повлекувањето мора да биде исто толку лесно како давањето. Трајно достапна контрола, а не имејл до поддршката.

Согласноста истекува. Повеќето органи работат со околу шест до тринаесет месеци пред повторно да се прашува.

Моделот согласност или плаќање е тесен. Мислењето 08/2024 на Европскиот одбор за заштита на податоците вели дека големите платформи општо не смеат да нудат бинарен избор меѓу прифаќање следење и плаќање. Се очекува вистинска бесплатна алтернатива без бихејвиорално рекламирање.

Ако вашиот банер паѓа на која било од првите две точки, поправете го тоа пред да се грижите за реформата. Тие се точките што денес носат казни.

Што предлага Digital Omnibus

Во предлогот на Комисијата, клучниот структурен потег е правилата за терминална опрема да се извадат од старата директива и да се стават во самиот GDPR, преку два нови члена.

Член 88a: согласност за пристап до терминална опрема

Го заменува член 5 став 3 од ePrivacy директивата и, што е важно, го проширува опсегот цели што не бараат согласност. Сегашното изземање за строго неопходното е толку тесно што дури и основно мерење на публика по правило бара банер. Предлогот ги проширува изземањата кон безбедноста, агрегираното мерење на публика и одржувањето на интегритетот на услугата.

Две оперативни измени привлекуваат најмногу внимание:

• Прифаќање или одбивање со еден клик. Изборот мора да биде претставлив со едно дејство, во двете насоки.
• Период на смирување. Ако корисникот одбие, шест месеци не треба повторно да се прашува. Само тоа би отстранило голем дел од заморот од банери.

Член 88b: машински читливи сигнали за согласност

Ова е поинтересно за инженерите. Би ги направил сигналите за согласност на ниво на прелистувач или систем правно обврзувачки за контролорите. Ако корисникот еднаш изрази преференца, во прелистувачот, сајтовите би морале да ја почитуваат наместо повторно да прашуваат.

Ова е и делот што земјите членки најмалку го сакаа. Текстот на Советот, опишан подолу, целосно го брише член 88b.

Други точки што вреди да се знаат

Пакетот предлага и поместување на рокот за пријава на повреди на лични податоци од 72 на 96 часа и прилагодува неколку дефиниции околу псевдонимизираните податоци и обуката на вештачка интелигенција. Тоа е надвор од опфатот на овој текст, но патува со истото возило, што делумно објаснува зошто предметот е спорен.

Што прави поинаку текстот на Советот

Земјите членки работат врз друг текст. Компромисот на ирското претседателство од 2 октомври 2026 (документ на Советот 13886/26, подготвен како мандат на Советот за преговорите со Парламентот и сè уште неусвоен на 10 октомври 2026) го менува решението на Комисијата на неколку места:

• Правилата за колачиња остануваат во ePrivacy директивата. Член 5 став 3 се преработува таму каде што е, а членовите 88a и 88b не се додаваат во GDPR. Во овој текст нема обврска да се почитуваат сигналите од прелистувачот.
• Шест цели не бараат согласност: пренос на комуникација, услуга што корисникот изрично ја побарал, сопствено (first-party) мерење на публика што дава анонимни агрегирани податоци, мерење на медиумска публика според Европскиот акт за слобода на медиумите, безбедност и мерење на прикажувањето и учинокот на контекстуалното рекламирање, без профилирање.
• Одбивање со еден клик. Корисниците мора да можат да одбијат „со копче со еден клик или еквивалентно средство“.
• Пократко чекање. По одбивањето, за истата цел нема ново барање „најмалку четири месеци“, наспроти шест во текстот на Комисијата.
• Две идеи на Комисијата преживуваат: рокот од 96 часа за пријава на повреда и релативната дефиниција на лични податоци.

Ова е преговарачка позиција, не закон, а Парламентот сè уште ја нема усвоено својата.

Временска рамка и зошто сè уште не треба да се планира по неа

Реалната слика на 10 октомври 2026:

• Тријалозите не започнале. Гласањето на амбасадорите на ЕУ за мандатот на Советот, планирано за 7 октомври, беше одложено, а според извештаите е презакажано за 11 октомври 2026.
• Во Парламентот, комитетите LIBE и ITRE го објавија својот нацрт-извештај на 22 јуни 2026 и добија повеќе од 1.750 амандмани. Гласање во комитет сè уште немало.
• Во текстот на Комисијата, член 88a би се применувал околу шест месеци по стапувањето на сила. Текстот на Советот им дава на земјите членки 24 месеци да го транспонираат новиот член 5 став 3, иако неговите завршни одредби сè уште содржат рок од шест месеци, противречност што преговарачите ќе треба да ја решат.
• Во текстот на Комисијата, член 88b би се применувал во рок од околу 24 месеци. Текстот на Советот го отфрла.

Најраниот веројатен датум за правилата за еден клик и смирување е значи 2027 според распоредот на Комисијата, а подоцна ако преживеат 24-те месеци на Советот. Обврските околу сигналите на прелистувачот можеби воопшто нема да дојдат. Кој ви вели дека банерот за колачиња умира годинава, ви продава нешто.

Што би менувале сега, а што не

Реформата не е право, но насоката е доволно стабилна за да ја насочува архитектурата. Вака ги советуваме клиентите.

Направете го ова сега

Поправете ја механиката. Одбивање исто толку лесно како прифаќање, ништо не се активира пред интеракција, гранулирани категории, функционално повлекување. Тоа е важечко право и таму се казните.

Одвојте ја состојбата на согласност од интерфејсот на согласност. Држете сервис за согласности што ја поседува состојбата, ја изложува на апликацијата и го чува записот со референца на верзија. Тогаш банерот станува заменлив презентациски слој. Кога правилата ќе се сменат, го менувате интерфејсот, а инсталацијата ја задржувате.

Чувајте ги записите за согласност како што треба. Временска ознака, состојба по категорија, идентификатор на верзијата на текстот на банерот, употребен механизам и извор на одлуката. Без верзијата на текстот не можете да докажете на што корисникот всушност се согласил.

Почнете да ги слушате сигналите. Global Privacy Control е веќе правно релевантен во неколку јурисдикции и чини многу малку да се почитува. Читањето сега го претвора член 88b, ако дојде, во промена на конфигурација наместо во проект.

Проверете ги вашите ознаки навистина. Не во интерфејсот на tag manager, туку во прелистувачот, на вистинска страница, во чист профил. Избројте ги барањата пред согласност. Обично ги има повеќе отколку што тимот очекува.

Ова уште не го правете

Не отстранувајте ја гранулираната согласност претпоставувајќи дека изземањата ќе се прошират. Ако конечниот текст повторно се стесни, ќе морате да градите одново.

Не препишувајте го известувањето за приватност околу нацрт броеви на членови.

Не отстранувајте го банерот за мерење на публика. Проширеното изземање е предлог, а не дозвола.

Не обврзувајте се на процес од 96 часа. Продолжете да работите на 72.

Поширокото прашање за дизајн

Постои пошироко поместување што вреди да се именува. Регулаторите преминаа од прашањето дали имате согласност кон прашањето како сте ја добиле. Механиката на интерфејсот е денес површина на спроведување. Затоа случаите за банери се вртат околу распоредот на копчиња и бројот кликови, а не околу формулацијата на политика.

Тој тренд продолжува и по Digital Omnibus. Digital Fairness Act, очекуван како предлог кон крајот на 2026, цели право кон мрачните обрасци, манипулативните интерфејси, персонализираните цени и дизајнот што создава зависност. Примената е реално 2028 или подоцна, но покажува кои обрасци имаат рок на траење.

Ако вашите бројки за раст зависат од збунувачки интерфејс, тоа сега е ризик за усогласеност со датум, а не паметна оптимизација.

Забелешка за аналитиката

Голем дел од проблемот со банерот е самонанесен. Тимовите вчитуваат аналитичка платформа од трета страна што бара согласност, потоа губат третина од податоците поради одбивања, па потоа се обидуваат тоа да го заобиколат со дизајн.

Самостојно хостираната аналитика што ја почитува приватноста може да ја смени сметката, бидејќи мерење што останува на вашата инфраструктура и не гради профили низ сајтови има многу посилен аргумент за изземање и удобно би се вклопило во проширените изземања што ги предлага Omnibus. Опишавме една опција во нашиот водич за поставување Matomo, а истата логика важи за самостојно хостираната маркетинг автоматизација.

Ова не е трик за усогласеност. Тоа е вистинско намалување на она што мора да го оправдувате.

Каде е ова во пошироката слика

Согласноста за колачиња е еден дел од многу поголема регулаторна изградба. Целосната мапа на дигитална усогласеност со ЕУ 2026 го покрива остатокот, а инженерскиот водич за GDPR слојот под него.

Ако сакате да ја прегледаме вашата имплементација на согласности во однос на тоа што регулаторите навистина го спроведуваат, или да ја изградиме одново така што следната промена на правила ќе биде конфигурација, а не препишување, пишете на office@c9group.dev.

Градиме системи, не даваме правни совети, а последниот збор за толкувањето им припаѓа на вашите правници.