Privolitev za piškotke se piše na novo: kaj spreminja Digital Omnibus

Pasica za piškotke je najbolj osovražen del uporabniškega vmesnika v Evropi. Po osmih letih je tudi še vedno pravno krhka na velikem delu spletnih mest. Bruselj se je končno odločil lotiti obeh težav hkrati, vozilo pa je paket Digital Omnibus, predlagan 19. novembra 2025.

Ta članek pokriva, kaj je v predlogu v resnici, kaj je pravo danes in kaj bi zdaj spremenili, česa pa ne, pri izvedbi privolitev. Avgusta 2026 je zadeva še v trialogih, zato se bo del tega premaknil.

Kako smo prišli sem

Privolitev za piškotke ni nikoli živela v GDPR. Živi v členu 5(3) direktive ePrivacy iz leta 2002, spremenjene 2009, ki pravi, da shranjevanje informacij na terminalski opremi uporabnika ali dostop do njih zahteva privolitev, razen če je nujno potrebno za storitev, ki jo je uporabnik zahteval.

To direktivo naj bi zamenjala uredba ePrivacy. Predlog je osem let obtičal v Svetu in je bil formalno umaknjen 11. februarja 2025. Ostala nam je direktiva iz leta 2002, prenesena na sedemindvajset rahlo različnih načinov, ki nadzoruje splet, kakršnega ob njenem nastanku ni bilo.

Rezultat je zmešnjava, ki jo vsi prepoznajo: pasice, ki se razlikujejo po državah, privolitev, ki je tehnično neveljavna na velikem številu spletnih mest, in uporabniki, ki refleksno kliknejo sprejmi, ker zavrnitev traja dlje.

Kaj je že danes izvršljivo

Preden pridemo do predloga, je vredno biti odkrit o trenutnem stanju, saj mnoge ekipe menijo, da je njihova pasica v redu, pa ni.

Izvrševanje je bilo dosledno in konkretno. Septembra 2025 je francoski organ istega dne kaznoval Google s 325 milijoni evrov in Shein s 150 milijoni. Ugotovitve so bile mehanske, ne filozofske: piškotki nastavljeni, preden se je pasica pojavila, in možnost zavrnitve, ki ni zanesljivo zavrnila.

Pravila, ki jih regulatorji resnično uporabljajo:

Nič nebistvenega, preden uporabnik ukrepa. Ne analitična oznaka, ne piksel, ne klepetalni gradnik, ne pisava tretje osebe. Če se sproži ob nalaganju strani, ni pomembno, kaj pravi pasica.

Zavrnitev mora biti enakovredna sprejemu. Ista plast, ista vizualna teža, isto število klikov. Spreminjanje zavrnitve v dvostopenjsko pot skozi ploščo nastavitev, ko je sprejem en gumb, se obravnava kot temni vzorec, ki privolitev razveljavi.

Privolitev je granularna. Eno stikalo, ki združuje analitiko, oglaševanje in personalizacijo, ni konkretna privolitev.

Preklic mora biti enako lahek kot podaja. Trajno dosegljiv kontrolnik, ne e-pošta podpori.

Privolitev poteče. Večina organov dela s približno šest do trinajst meseci, preden je treba znova vprašati.

Model privoli ali plačaj je ozek. Mnenje 08/2024 Evropskega odbora za varstvo podatkov pravi, da velike platforme praviloma ne smejo ponujati binarne izbire med sprejemom sledenja in plačilom. Pričakuje se resnična brezplačna alternativa brez vedenjskega oglaševanja.

Če vaša pasica pade pri kateri koli od prvih dveh točk, popravite to, preden skrbite za reformo. To so točke, ki danes prinašajo kazni.

Kaj predlaga Digital Omnibus

Ključna strukturna poteza je vzeti pravila o terminalski opremi iz stare direktive in jih postaviti v sam GDPR, prek dveh novih členov.

Člen 88a: privolitev za dostop do terminalske opreme

Nadomešča člen 5(3) direktive ePrivacy in, kar je pomembno, širi nabor namenov, ki ne zahtevajo privolitve. Sedanja izjema za nujno potrebno je tako ozka, da celo osnovno merjenje občinstva praviloma zahteva pasico. Predlog širi izjeme proti varnosti, združenemu merjenju občinstva in ohranjanju celovitosti storitve.

Dve operativni spremembi pritegneta največ pozornosti:

• Sprejem ali zavrnitev z enim klikom. Izbira mora biti predstavljiva z enim dejanjem, v obe smeri.
• Obdobje mirovanja. Če uporabnik zavrne, naj se šest mesecev ne bi znova spraševalo. Že to bi odstranilo velik del utrujenosti od pasic.

Člen 88b: strojno berljivi signali privolitve

To je najzanimivejše za inženirje. Signale privolitve na ravni brskalnika ali sistema bi naredil pravno zavezujoče za upravljavce. Če uporabnik enkrat izrazi preferenco, v brskalniku, bi jo spletna mesta morala upoštevati, namesto da znova sprašujejo.

Prejšnja različica paketa je vsebovala močnejši brskalniški mehanizem, ki je med pogajanji odpadel. Preživi načelo, da avtomatizirani signali štejejo.

Druge točke, ki jih velja poznati

Paket predlaga tudi premik roka za prijavo kršitev varstva osebnih podatkov s 72 na 96 ur ter prilagaja več opredelitev o psevdonimiziranih podatkih in učenju umetne inteligence. To presega obseg tega članka, a potuje v istem vozilu, kar deloma pojasnjuje, zakaj je zadeva sporna.

Časovnica in zakaj še ne kaže načrtovati po njej

Realna slika avgusta 2026:

• Predlog je v trialogu med Parlamentom, Svetom in Komisijo.
• Končno glasovanje se pričakuje pozneje v letu 2026, čeprav so se roki že premaknili.
• Člen 88a bi se uporabljal približno šest mesecev po začetku veljavnosti.
• Člen 88b bi se uporabljal v približno 24 mesecih.

Najzgodnejši verjeten datum za pravila enega klika in mirovanja je torej nekje v letu 2027, obveznosti glede signalov brskalnika pa v letu 2028. Kdor vam pravi, da pasica za piškotke letos umre, vam nekaj prodaja.

Kaj bi zdaj spremenili, česa pa ne

Reforma ni pravo, a je smer dovolj stabilna, da usmerja arhitekturo. Tako svetujemo strankam.

To naredite zdaj

Popravite mehaniko. Zavrnitev enako lahka kot sprejem, nič se ne sproži pred interakcijo, granularne kategorije, delujoč preklic. To je veljavno pravo in tam so kazni.

Ločite stanje privolitve od vmesnika privolitve. Vzdržujte storitev privolitev, ki ima stanje, ga izpostavlja aplikaciji in shranjuje zapis s sklicem na različico. Tedaj pasica postane zamenljiva predstavitvena plast. Ko se pravila spremenijo, zamenjate vmesnik in ohranite napeljavo.

Zapise privolitev shranjujte pravilno. Časovni žig, stanje po kategoriji, identifikator različice besedila pasice, uporabljen mehanizem in vir odločitve. Brez različice besedila ne morete dokazati, na kaj je uporabnik dejansko pristal.

Začnite poslušati signale. Global Privacy Control je v več jurisdikcijah že pravno pomemben in ga je zelo poceni upoštevati. Branje zdaj spremeni člen 88b, če pride, v spremembo konfiguracije namesto v projekt.

Res preverite svoje oznake. Ne v vmesniku upravitelja oznak, ampak v brskalniku, na resnični strani, v čistem profilu. Preštejte zahteve pred privolitvijo. Običajno jih je več, kot ekipa pričakuje.

Tega še ne počnite

Ne odstranjujte granularne privolitve ob predpostavki, da se bodo izjeme razširile. Če se končno besedilo znova zoži, boste morali graditi na novo.

Ne prepisujte obvestila o zasebnosti okoli osnutkov številk členov.

Ne odstranjujte pasice za merjenje občinstva. Razširjena izjema je predlog, ne dovoljenje.

Ne zavezujte se k procesu 96 ur. Delujte naprej na 72.

Širše vprašanje zasnove

Obstaja širši premik, ki ga velja poimenovati. Regulatorji so prešli od vprašanja, ali imate privolitev, k vprašanju, kako ste jo pridobili. Mehanika vmesnika je danes površina izvrševanja. Zato se primeri o pasicah vrtijo okoli razporeditve gumbov in števila klikov, ne okoli besedila politike.

Ta trend se nadaljuje čez Digital Omnibus. Digital Fairness Act, pričakovan kot predlog konec leta 2026, cilja naravnost na temne vzorce, manipulativne vmesnike, personalizirane cene in zasvojljivo oblikovanje. Uporaba je realno 2028 ali pozneje, a kaže, kateri vzorci imajo rok trajanja.

Če vaše številke rasti temeljijo na zmedenem vmesniku, je to zdaj tveganje skladnosti z datumom, ne pametna optimizacija.

Opomba o analitiki

Velik del težave s pasico je samopovzročen. Ekipe naložijo analitično platformo tretje osebe, ki zahteva privolitev, nato izgubijo tretjino podatkov zaradi zavrnitev, nato pa poskušajo to obiti z oblikovanjem.

Samostojno gostovana analitika, prijazna do zasebnosti, lahko spremeni račun, saj ima meritev, ki ostaja na vaši infrastrukturi in ne gradi profilov med spletnimi mesti, precej močnejši argument za izjemo in bi se udobno umestila v razširjene izjeme, ki jih predlaga Omnibus. Eno možnost smo opisali v našem vodniku za postavitev Matomo, enaka logika pa velja za samostojno gostovano trženjsko avtomatizacijo.

To ni trik skladnosti. To je resnično zmanjšanje tistega, kar morate utemeljevati.

Kje to stoji v širši sliki

Privolitev za piškotke je en del veliko večje regulativne gradnje. Celotni zemljevid digitalne skladnosti EU 2026 pokriva preostanek, inženirski vodnik po GDPR pa plast pod njim.

Če želite, da vašo izvedbo privolitev pregledamo glede na to, kar regulatorji resnično izvršujejo, ali jo prezidamo tako, da bo naslednja sprememba pravil konfiguracija in ne prepis, pišite na office@c9group.dev.

Gradimo sisteme, ne dajemo pravnih nasvetov, zadnja beseda o razlagi pa pripada vašim pravnikom.