Privolitev za piškotke se piše na novo: kaj spreminja Digital Omnibus

Pasica za piškotke je najbolj osovražen del uporabniškega vmesnika v Evropi. Po osmih letih je tudi še vedno pravno krhka na velikem delu spletnih mest. Bruselj se je končno odločil lotiti obeh težav hkrati, vozilo pa je paket Digital Omnibus, predlagan 19. novembra 2025.

Ta članek pokriva, kaj je v predlogu v resnici, kaj je pravo danes in kaj bi zdaj spremenili, česa pa ne, pri izvedbi privolitev. Na dan 10. oktobra 2026 del paketa, ki zadeva GDPR in ePrivacy, še ni prišel do trialoga: Svet še nima pogajalskega mandata, Parlament pa nima stališča, zato se bo del tega premaknil.

Kako smo prišli sem

Privolitev za piškotke ni nikoli živela v GDPR. Živi v členu 5(3) direktive ePrivacy iz leta 2002, spremenjene 2009, ki pravi, da shranjevanje informacij na terminalski opremi uporabnika ali dostop do njih zahteva privolitev, razen če je nujno potrebno za storitev, ki jo je uporabnik zahteval.

To direktivo naj bi zamenjala uredba ePrivacy. Predlog je osem let obtičal v Svetu in je bil formalno umaknjen 11. februarja 2025. Ostala nam je direktiva iz leta 2002, prenesena na sedemindvajset rahlo različnih načinov, ki nadzoruje splet, kakršnega ob njenem nastanku ni bilo.

Rezultat je zmešnjava, ki jo vsi prepoznajo: pasice, ki se razlikujejo po državah, privolitev, ki je tehnično neveljavna na velikem številu spletnih mest, in uporabniki, ki refleksno kliknejo sprejmi, ker zavrnitev traja dlje.

Kaj je že danes izvršljivo

Preden pridemo do predloga, je vredno biti odkrit o trenutnem stanju, saj mnoge ekipe menijo, da je njihova pasica v redu, pa ni.

Izvrševanje je bilo dosledno in konkretno. Septembra 2025 je francoski organ istega dne kaznoval Google s 325 milijoni evrov in Shein s 150 milijoni. Ugotovitve so bile mehanske, ne filozofske: piškotki nastavljeni, preden se je pasica pojavila, in možnost zavrnitve, ki ni zanesljivo zavrnila.

Pravila, ki jih regulatorji resnično uporabljajo:

Nič nebistvenega, preden uporabnik ukrepa. Ne analitična oznaka, ne piksel, ne klepetalni gradnik, ne pisava tretje osebe. Če se sproži ob nalaganju strani, ni pomembno, kaj pravi pasica.

Zavrnitev mora biti enakovredna sprejemu. Ista plast, ista vizualna teža, isto število klikov. Spreminjanje zavrnitve v dvostopenjsko pot skozi ploščo nastavitev, ko je sprejem en gumb, se obravnava kot temni vzorec, ki privolitev razveljavi.

Privolitev je granularna. Eno stikalo, ki združuje analitiko, oglaševanje in personalizacijo, ni konkretna privolitev.

Preklic mora biti enako lahek kot podaja. Trajno dosegljiv kontrolnik, ne e-pošta podpori.

Privolitev poteče. Večina organov dela s približno šest do trinajst meseci, preden je treba znova vprašati.

Model privoli ali plačaj je ozek. Mnenje 08/2024 Evropskega odbora za varstvo podatkov pravi, da velike platforme praviloma ne smejo ponujati binarne izbire med sprejemom sledenja in plačilom. Pričakuje se resnična brezplačna alternativa brez vedenjskega oglaševanja.

Če vaša pasica pade pri kateri koli od prvih dveh točk, popravite to, preden skrbite za reformo. To so točke, ki danes prinašajo kazni.

Kaj predlaga Digital Omnibus

V predlogu Komisije je ključna strukturna poteza vzeti pravila o terminalski opremi iz stare direktive in jih postaviti v sam GDPR, prek dveh novih členov.

Člen 88a: privolitev za dostop do terminalske opreme

Nadomešča člen 5(3) direktive ePrivacy in, kar je pomembno, širi nabor namenov, ki ne zahtevajo privolitve. Sedanja izjema za nujno potrebno je tako ozka, da celo osnovno merjenje občinstva praviloma zahteva pasico. Predlog širi izjeme proti varnosti, združenemu merjenju občinstva in ohranjanju celovitosti storitve.

Dve operativni spremembi pritegneta največ pozornosti:

• Sprejem ali zavrnitev z enim klikom. Izbira mora biti predstavljiva z enim dejanjem, v obe smeri.
• Obdobje mirovanja. Če uporabnik zavrne, naj se šest mesecev ne bi znova spraševalo. Že to bi odstranilo velik del utrujenosti od pasic.

Člen 88b: strojno berljivi signali privolitve

To je najzanimivejše za inženirje. Signale privolitve na ravni brskalnika ali sistema bi naredil pravno zavezujoče za upravljavce. Če uporabnik enkrat izrazi preferenco, v brskalniku, bi jo spletna mesta morala upoštevati, namesto da znova sprašujejo.

To je tudi del, ki je bil državam članicam najmanj všeč. Besedilo Sveta, opisano spodaj, člen 88b v celoti črta.

Druge točke, ki jih velja poznati

Paket predlaga tudi premik roka za prijavo kršitev varstva osebnih podatkov s 72 na 96 ur ter prilagaja več opredelitev o psevdonimiziranih podatkih in učenju umetne inteligence. To presega obseg tega članka, a potuje v istem vozilu, kar deloma pojasnjuje, zakaj je zadeva sporna.

Kaj besedilo Sveta ureja drugače

Države članice delajo na drugem besedilu. Kompromis irskega predsedstva z dne 2. oktobra 2026 (dokument Sveta 13886/26, pripravljen kot mandat Sveta za pogajanja s Parlamentom in na dan 10. oktobra 2026 še ne sprejet) zasnovo Komisije spreminja na več mestih:

• Pravila o piškotkih ostanejo v direktivi ePrivacy. Člen 5(3) se prepiše tam, kjer je, člena 88a in 88b pa se v GDPR ne dodata. V tem besedilu ni obveznosti upoštevanja signalov brskalnika.
• Šest namenov ne zahteva privolitve: prenos sporočila, storitev, ki jo je uporabnik izrecno zahteval, lastno merjenje občinstva (first party), ki daje anonimne združene podatke, merjenje medijskega občinstva po Evropskem aktu o svobodi medijev, varnost ter merjenje prikazovanja in uspešnosti kontekstualnega oglaševanja, brez profiliranja.
• Zavrnitev z enim klikom. Uporabniki morajo imeti možnost zavrniti „z gumbom z enim samim klikom ali enakovrednim sredstvom“.
• Krajše čakanje. Po zavrnitvi za isti namen „vsaj štiri mesece“ ni nove zahteve, v besedilu Komisije pa šest.
• Dve zamisli Komisije preživita: 96-urni rok za prijavo kršitev in relativna opredelitev osebnih podatkov.

To je pogajalsko stališče, ne zakon, Parlament pa svojega še ni sprejel.

Časovnica in zakaj še ne kaže načrtovati po njej

Realna slika na dan 10. oktobra 2026:

• Trialogi se še niso začeli. Glasovanje veleposlanikov EU o mandatu Sveta, načrtovano za 7. oktober, je bilo preloženo, po poročanju medijev na 11. oktober 2026.
• V Parlamentu sta odbora LIBE in ITRE 22. junija 2026 objavila osnutek poročila in prejela več kot 1750 predlogov sprememb. Glasovanja v odboru še ni bilo.
• V besedilu Komisije bi se člen 88a uporabljal približno šest mesecev po začetku veljavnosti. Besedilo Sveta državam članicam daje 24 mesecev za prenos novega člena 5(3), čeprav njegove končne določbe še vedno navajajo šestmesečni rok, kar je neskladje, ki ga bodo morali razrešiti pogajalci.
• V besedilu Komisije bi se člen 88b uporabljal v približno 24 mesecih. Besedilo Sveta ga opušča.

Najzgodnejši verjeten datum za pravila enega klika in mirovanja je torej leto 2027 po časovnici Komisije, in pozneje, če se ohrani 24 mesecev iz besedila Sveta. Obveznosti glede signalov brskalnika morda sploh ne bodo prišle. Kdor vam pravi, da pasica za piškotke letos umre, vam nekaj prodaja.

Kaj bi zdaj spremenili, česa pa ne

Reforma ni pravo, a je smer dovolj stabilna, da usmerja arhitekturo. Tako svetujemo strankam.

To naredite zdaj

Popravite mehaniko. Zavrnitev enako lahka kot sprejem, nič se ne sproži pred interakcijo, granularne kategorije, delujoč preklic. To je veljavno pravo in tam so kazni.

Ločite stanje privolitve od vmesnika privolitve. Vzdržujte storitev privolitev, ki ima stanje, ga izpostavlja aplikaciji in shranjuje zapis s sklicem na različico. Tedaj pasica postane zamenljiva predstavitvena plast. Ko se pravila spremenijo, zamenjate vmesnik in ohranite napeljavo.

Zapise privolitev shranjujte pravilno. Časovni žig, stanje po kategoriji, identifikator različice besedila pasice, uporabljen mehanizem in vir odločitve. Brez različice besedila ne morete dokazati, na kaj je uporabnik dejansko pristal.

Začnite poslušati signale. Global Privacy Control je v več jurisdikcijah že pravno pomemben in ga je zelo poceni upoštevati. Branje zdaj spremeni člen 88b, če pride, v spremembo konfiguracije namesto v projekt.

Res preverite svoje oznake. Ne v vmesniku upravitelja oznak, ampak v brskalniku, na resnični strani, v čistem profilu. Preštejte zahteve pred privolitvijo. Običajno jih je več, kot ekipa pričakuje.

Tega še ne počnite

Ne odstranjujte granularne privolitve ob predpostavki, da se bodo izjeme razširile. Če se končno besedilo znova zoži, boste morali graditi na novo.

Ne prepisujte obvestila o zasebnosti okoli osnutkov številk členov.

Ne odstranjujte pasice za merjenje občinstva. Razširjena izjema je predlog, ne dovoljenje.

Ne zavezujte se k procesu 96 ur. Delujte naprej na 72.

Širše vprašanje zasnove

Obstaja širši premik, ki ga velja poimenovati. Regulatorji so prešli od vprašanja, ali imate privolitev, k vprašanju, kako ste jo pridobili. Mehanika vmesnika je danes površina izvrševanja. Zato se primeri o pasicah vrtijo okoli razporeditve gumbov in števila klikov, ne okoli besedila politike.

Ta trend se nadaljuje čez Digital Omnibus. Digital Fairness Act, pričakovan kot predlog konec leta 2026, cilja naravnost na temne vzorce, manipulativne vmesnike, personalizirane cene in zasvojljivo oblikovanje. Uporaba je realno 2028 ali pozneje, a kaže, kateri vzorci imajo rok trajanja.

Če vaše številke rasti temeljijo na zmedenem vmesniku, je to zdaj tveganje skladnosti z datumom, ne pametna optimizacija.

Opomba o analitiki

Velik del težave s pasico je samopovzročen. Ekipe naložijo analitično platformo tretje osebe, ki zahteva privolitev, nato izgubijo tretjino podatkov zaradi zavrnitev, nato pa poskušajo to obiti z oblikovanjem.

Samostojno gostovana analitika, prijazna do zasebnosti, lahko spremeni račun, saj ima meritev, ki ostaja na vaši infrastrukturi in ne gradi profilov med spletnimi mesti, precej močnejši argument za izjemo in bi se udobno umestila v razširjene izjeme, ki jih predlaga Omnibus. Eno možnost smo opisali v našem vodniku za postavitev Matomo, enaka logika pa velja za samostojno gostovano trženjsko avtomatizacijo.

To ni trik skladnosti. To je resnično zmanjšanje tistega, kar morate utemeljevati.

Kje to stoji v širši sliki

Privolitev za piškotke je en del veliko večje regulativne gradnje. Celotni zemljevid digitalne skladnosti EU 2026 pokriva preostanek, inženirski vodnik po GDPR pa plast pod njim.

Če želite, da vašo izvedbo privolitev pregledamo glede na to, kar regulatorji resnično izvršujejo, ali jo prezidamo tako, da bo naslednja sprememba pravil konfiguracija in ne prepis, pišite na office@c9group.dev.

Gradimo sisteme, ne dajemo pravnih nasvetov, zadnja beseda o razlagi pa pripada vašim pravnikom.