Законодателството на ЕС за бисквитките: Директивата за ePrivacy и ОРЗД

Откъде идва правилото на ЕС за бисквитките

Правилото, което повечето хора наричат „закона на ЕС за бисквитките“, е член 5, параграф 3 от Директивата за правото на неприкосновеност на личния живот и електронни комуникации (Директива 2002/58/ЕО, наричана Директивата за ePrivacy). След изменението ѝ с Директива 2009/136/ЕО той гласи, че съхраняването на информация на устройството на потребителя или получаването на достъп до информация, която вече е съхранена там, е разрешено само ако потребителят е дал съгласие, след като е получил ясна и изчерпателна информация. Държавите членки трябваше да прилагат измененото правило от 25 май 2011 г.

Има две изключения. Не е нужно съгласие за съхраняване или достъп, което:

• се използва единствено за осъществяване на предаването на съобщение по мрежа, или
• е строго необходимо за предоставянето на услуга, изрично поискана от потребителя, като кошница за пазаруване, вход в профил или запазване на избора на посетителя за бисквитки.

Всичко останало, като анализ, реклама, ретаргетиране и пиксели на социални мрежи, по принцип изисква съгласие. Някои национални надзорни органи допускат тесни изключения за измерване на аудиторията, което щади поверителността. В България КЗЛД приема статистически бисквитки без съгласие само ако се използват в анонимизиран вид и не се споделят. Вижте ръководствата по държави по-долу.

Не само бисквитки

Правилото е технологично неутрално. В своите Насоки 2/2023 относно техническия обхват на член 5, параграф 3, приети в окончателен вид през октомври 2024 г., Европейският комитет по защита на данните (ЕКЗД) обяснява, че то обхваща и пиксели за проследяване, връзки за проследяване, local storage, някои форми на fingerprinting и подобни техники. Повече в Какво са бисквитките?

Как го прилагат държавите членки

Тъй като става дума за директива, всяка държава членка е въвела правилото в собственото си законодателство и всяка има свой надзорен орган. Няколко примера, като се започне с България:

Българският текст е особен: член 4а говори за информация и „възможност да откаже“, а не изрично за съгласие. КЗЛД обаче посочва в насоките си, че бисквитките, които не са строго необходими, изискват предварително съгласие, така че на практика стандартът е същият като в останалата част от ЕС.

Разликите между държавите са в подробностите: дали стените за бисквитки са разрешени, колко дълго трябва да се помни изборът, дали анализът може да бъде освободен от съгласие и колко високи са глобите. Нашето ръководство за глобите за бисквитки сравнява страната на прилагането.

Какво добавя ОРЗД

Директивата за ePrivacy не определя сама понятието „съгласие“; тя препраща към определението в законодателството за защита на данните, днес ОРЗД. Затова съгласието за бисквитки трябва да бъде:

• Свободно дадено: реален избор, без натиск. Достъпът до уебсайт по правило не бива да зависи от приемането на проследяване; вижте Стени за бисквитки.
• Конкретно: за всяка цел поотделно, а не едно „Приемам“ за всичко без възможност за избор.
• Информирано: посетителят знае кой поставя кои бисквитки, с каква цел и за колко време.
• Недвусмислено: чрез ясно, активно действие. Мълчанието, превъртането или продължаването на разглеждането не са съгласие.

Посетителят трябва също да може да оттегли съгласието си толкова лесно, колкото го е дал.

Когато бисквитките обработват лични данни, както почти винаги правят бисквитките за проследяване, ОРЗД се прилага и за това обработване: нужно Ви е правно основание, трябва да предоставите информация и да зачитате правата на субектите на данни.

Planet49: водещото съдебно дело

По делото Planet49 (дело C-673/17, 1 октомври 2019 г.) Съдът на ЕС постанови, че:

• предварително отметнато поле не е валидно съгласие;
• изискването за съгласие се прилага независимо дали информацията представлява лични данни;
• информацията за потребителите трябва да включва срока на действие на бисквитките и дали трети страни имат достъп до тях.

Какво се променя и какво не

Регламентът за ePrivacy беше оттеглен

През 2017 г. Комисията предложи Регламент за ePrivacy, който да замени директивата. След години без съгласие тя обяви оттеглянето му в работната си програма за 2025 г., а оттеглянето беше публикувано в Официален вестник на 6 октомври 2025 г. Следователно Директивата за ePrivacy продължава да се прилага.

Digital Omnibus е предложение, а не закон

На 19 ноември 2025 г. Комисията представи Digital Omnibus (процедура 2025/0360(COD)). Наред с други неща той предлага правилата за достъп до устройства, свързан с лични данни, да бъдат преместени от Директивата за ePrivacy в ОРЗД, да се изисква възможност за отказ с едно кликване, уебсайтовете да зачитат направения избор поне шест месеца, потребителите да могат да задават избора си централно (например в браузъра) и някои нискорискови употреби, като преброяването на посещения, да бъдат освободени от изискването за съгласие.

Към октомври 2026 г. това все още е предложение: комисиите на Европейския парламент работят по своя доклад, а Съветът не е приел позиция. Държави членки и евродепутати са предложили промени, така че окончателният текст може да изглежда различно. Докато не бъде прието и не започне да се прилага, посочените по-горе национални закони за бисквитките остават в сила.

Обединеното кралство е отделен случай

След Brexit Обединеното кралство има свои правила: регламент 6 от PECR заедно с UK GDPR, прилагани от ICO. Data (Use and Access) Act 2025 добави нови изключения, например за някои видове анализ, които не съществуват в ЕС. Вижте UK cookie law (на английски).

Как да спазвате правилата в целия ЕС

1. Сканирайте уебсайта си за всяка бисквитка, пиксел и скрипт, включително тези от плъгини и вградено съдържание.
2. Блокирайте всичко, което изисква съгласие, докато посетителят не се съгласи.
3. Предложете реален избор: „Приемам“ и „Отказвам“, еднакво видими на първото ниво, и настройки за всяка цел.
4. Информирайте ясно в банера и в политика за бисквитките.
5. Направете оттеглянето лесно, например чрез връзка на всяка страница.
6. Пазете доказателство за всяко съгласие.
7. Спазвайте най-строгите правила там, откъдето идват посетителите Ви, или използвайте географски правила за всяка държава.
8. Използвайте Google Consent Mode v2, ако използвате Google Ads или Analytics; вижте Google Consent Mode v2, обяснен.

Cookie Confirm покрива тези стъпки: месечно сканиране с неограничени повторни сканирания, блокирани скриптове до получаване на съгласие, географски правила за всяка държава, банер във фирмения Ви стил, показван на езика на посетителя (над 29 езика), декларация за бисквитките, генерирана от сканирането, и регистър на съгласията, който се пази 12 месеца. За 7,95 € на уебсайт на месец, със 7-дневен безплатен пробен период.

Източници

• EUR-Lex: Директива 2002/58/ЕО (Директивата за ePrivacy)
• Закон за електронната търговия, член 4а (текст, публикуван от Министерството на транспорта и съобщенията)
• КЗЛД: Специфични насоки за различни сектори – Онлайн търговия, използване на „бисквитки“
• EUR-Lex: Директива 2009/136/ЕО
• EUR-Lex: Регламент (ЕС) 2016/679 (ОРЗД)
• Съд на ЕС: Дело C-673/17, Planet49 (1 октомври 2019 г.)
• ЕКЗД: Насоки 2/2023 относно техническия обхват на член 5, параграф 3 от Директивата за ePrivacy
• ЕКЗД: Насоки 05/2020 относно съгласието
• Съвет на ЕС: информационна бележка относно оттеглените предложения на Комисията, ОВ C/2025/5423 (октомври 2025 г.)
• EUR-Lex: процедура 2017/0003(COD), Регламент за ePrivacy
• Европейска комисия: Въпроси и отговори за цифровия пакет (Digital Omnibus)
• Законодателна обсерватория на Европейския парламент: процедура 2025/0360(COD)
• Wetten.nl: Telecommunicatiewet, член 11.7a
• Gesetze im Internet: § 25 TDDDG
• CNIL: Loi Informatique et Libertés (член 82)
• Garante privacy: Codice in materia di protezione dei dati personali
• BOE: Ley 34/2002 (LSSI)