Zakonodaja EU o piškotkih: Direktiva o zasebnosti in elektronskih komunikacijah ter GDPR

Od kod izvira pravilo EU o piškotkih

Pravilo, ki ga večina ljudi imenuje „zakon EU o piškotkih“, je člen 5(3) Direktive o zasebnosti in elektronskih komunikacijah (Direktiva 2002/58/ES). Od spremembe z Direktivo 2009/136/ES določa, da je shranjevanje informacij na napravi uporabnika ali pridobivanje dostopa do informacij, ki so tam že shranjene, dovoljeno samo, če je uporabnik dal privolitev, potem ko je prejel jasne in izčrpne informacije. Države članice so morale spremenjeno pravilo uporabljati od 25. maja 2011.

Obstajata dve izjemi. Privolitev ni potrebna za shranjevanje ali dostop, ki:

• se uporablja samo za izvedbo prenosa sporočila po omrežju, ali
• je nujno potreben za zagotavljanje storitve, ki jo je uporabnik izrecno zahteval, na primer nakupovalne košarice, prijave ali shranjevanja obiskovalčeve izbire glede piškotkov.

Za vse drugo, na primer analitiko, oglaševanje, ponovno trženje (retargeting) in piksle družbenih omrežij, je privolitev načeloma potrebna. Nekateri nacionalni nadzorni organi dovoljujejo ozke izjeme za merjenje obiskanosti, ki je prijazno do zasebnosti. Slovenski Informacijski pooblaščenec ne: po njegovih smernicah analitični piškotki nikoli niso nujni. Preveri spodnje vodnike po državah.

Ne samo piškotki

Pravilo je tehnološko nevtralno. Evropski odbor za varstvo podatkov (EOVP) v Smernicah 2/2023 o tehničnem področju uporabe člena 5(3), ki jih je v končni obliki sprejel oktobra 2024, pojasnjuje, da zajema tudi sledilne piksle, sledilne povezave, lokalno shrambo, nekatere oblike prstnega odtisa naprave in podobne tehnike. Več v vodniku Kaj so piškotki?

Kako ga uporabljajo države članice

Ker gre za direktivo, je vsaka država članica pravilo zapisala v svoj zakon in vsaka ima svoj nadzorni organ. Nekaj primerov:

Razlike so v podrobnostih: ali so zidovi piškotkov dovoljeni, kako dolgo naj se izbira hrani, ali je analitika lahko izvzeta in kako visoke so globe. V Sloveniji na primer analitika vedno potrebuje privolitev, zid piškotkov pa po smernicah Informacijskega pooblaščenca praviloma ni dovoljen. Globe po ZEKom-2 znašajo za podjetja od 200 do 20.000 evrov; več v vodniku o globah za piškotke.

Kaj doda GDPR

Direktiva o zasebnosti in elektronskih komunikacijah sama ne opredeljuje privolitve; sklicuje se na opredelitev v zakonodaji o varstvu podatkov, zdaj v GDPR. Privolitev za piškotke mora zato biti:

• dana prostovoljno: prava izbira, brez pritiska. Dostop do spletnega mesta praviloma ne bi smel biti odvisen od sprejema sledenja; glej Zid piškotkov;
• specifična: za vsak namen posebej, torej ne en sam „sprejmi“ za vse brez možnosti izbire;
• informirana: obiskovalec ve, kdo namešča katere piškotke, za kakšen namen in za koliko časa;
• nedvoumna: z jasnim, aktivnim dejanjem. Molk, drsenje ali nadaljnje brskanje ni privolitev.

Obiskovalec mora privolitev tudi preklicati enako preprosto, kot jo je dal.

Kadar piškotki obdelujejo osebne podatke, kar sledilni piškotki skoraj vedno počnejo, za to obdelavo velja tudi GDPR: potrebuješ pravno podlago, dati moraš informacije in spoštovati pravice posameznikov, na katere se podatki nanašajo.

Planet49: ključna sodna zadeva

Sodišče EU je v zadevi Planet49 (zadeva C-673/17, 1. oktober 2019) odločilo, da:

• vnaprej obkljukano polje ni veljavna privolitev;
• zahteva po privolitvi velja ne glede na to, ali so informacije osebni podatki;
• morajo informacije za uporabnike vključevati, kako dolgo piškotki trajajo in ali imajo tretje osebe dostop do njih.

Kaj se spreminja in kaj ne

Uredba o zasebnosti in elektronskih komunikacijah je umaknjena

Komisija je leta 2017 predlagala uredbo o zasebnosti in elektronskih komunikacijah (ePrivacy Regulation), ki naj bi nadomestila direktivo. Po letih brez dogovora je v delovnem programu za leto 2025 napovedala umik, ki je bil 6. oktobra 2025 objavljen v Uradnem listu. Direktiva o zasebnosti in elektronskih komunikacijah zato še vedno velja.

Digitalni omnibus je predlog, ne zakon

Komisija je 19. novembra 2025 predstavila digitalni omnibus (Digital Omnibus, postopek 2025/0360(COD)). Med drugim predlaga, da se pravila o dostopu do naprav, ki vključujejo osebne podatke, iz Direktive o zasebnosti in elektronskih komunikacijah prenesejo v GDPR, da se zahteva možnost zavrnitve z enim klikom, da morajo spletna mesta izbiro spoštovati vsaj šest mesecev, da lahko uporabniki svoje izbire nastavijo centralno (na primer v brskalniku) in da se nekatere uporabe z nizkim tveganjem, kot je štetje obiskov, izvzamejo iz privolitve.

Oktobra 2026 je to še vedno predlog: odbori Evropskega parlamenta pripravljajo svoje poročilo, Svet pa še ni sprejel stališča. Države članice in poslanci so predlagali spremembe, zato je lahko končno besedilo drugačno. Dokler ni sprejet in se ne začne uporabljati, ostajajo v veljavi zgornji nacionalni zakoni o piškotkih.

Združeno kraljestvo je ločeno

Od brexita ima Združeno kraljestvo svoja pravila: uredbo 6 PECR skupaj z UK GDPR, ki ju izvršuje ICO. Data (Use and Access) Act 2025 je dodal nove izjeme, na primer za nekatere vrste analitike, ki jih v EU ni. Glej UK cookie law (v angleščini).

Kako biti skladen po vsej EU

1. Preglej svoje spletno mesto in poišči vse piškotke, piksle in skripte, tudi tiste iz vtičnikov in vgrajenih vsebin.
2. Blokiraj vse, za kar je potrebna privolitev, dokler se obiskovalec ne strinja.
3. Ponudi pravo izbiro: „Sprejmi“ in „Zavrni“ enako vidna na prvi ravni ter nastavitve za vsak namen.
4. Jasno obveščaj v pasici in v politiki piškotkov.
5. Omogoči preprost preklic, na primer s povezavo na vsaki strani.
6. Hrani dokaz o vsaki privolitvi.
7. Upoštevaj najstrožja pravila tam, kjer imaš obiskovalce, ali uporabi geografska pravila za posamezne države.
8. Uporabi Google Consent Mode v2, če uporabljaš Google Ads ali Analytics; glej Google Consent Mode v2.

Cookie Confirm pokriva te korake: mesečni pregled z neomejenimi ponovnimi pregledi, skripte, blokirane do privolitve, geografska pravila za posamezne države, pasico v slogu tvoje blagovne znamke v jeziku obiskovalca (več kot 29 jezikov), izjavo o piškotkih, ustvarjeno iz pregleda, in dnevnik privolitev, ki se hrani 12 mesecev. Za 7,95 € na spletno mesto na mesec, s 7-dnevnim brezplačnim preizkusom.

Viri

• EUR-Lex: Direktiva 2002/58/ES (Direktiva o zasebnosti in elektronskih komunikacijah)
• EUR-Lex: Direktiva 2009/136/ES
• EUR-Lex: Uredba (EU) 2016/679 (GDPR)
• SEU: zadeva C-673/17, Planet49 (1. oktober 2019)
• EOVP: Smernice 2/2023 o tehničnem področju uporabe člena 5(3) Direktive o zasebnosti in elektronskih komunikacijah
• EOVP: Smernice 05/2020 o privolitvi
• Svet EU: informativna opomba o umaknjenih predlogih Komisije, UL C/2025/5423 (oktober 2025)
• EUR-Lex: postopek 2017/0003(COD), uredba o zasebnosti in elektronskih komunikacijah
• Evropska komisija: pogosta vprašanja o digitalnem paketu (Digital Omnibus)
• Zakonodajni observatorij Evropskega parlamenta: postopek 2025/0360(COD)
• PISRS: Zakon o elektronskih komunikacijah (ZEKom-2), členi 225, 229 in 301
• Informacijski pooblaščenec: Smernice o uporabi piškotkov in podobnih sledilnih tehnologij (15. december 2023)
• Wetten.nl: Telecommunicatiewet, člen 11.7a
• Gesetze im Internet: § 25 TDDDG
• CNIL: Loi Informatique et Libertés (člen 82)
• Garante privacy: Codice in materia di protezione dei dati personali
• BOE: Ley 34/2002 (LSSI)