Predpisi o piškotkih in zasebnosti: globalni pregled

Skladnost s predpisi o piškotkih ne ureja en sam zakon. Oblikuje jo pisana mešanica nacionalnih in regionalnih predpisov, ki se med seboj bistveno razlikujejo po obsegu, zahtevah in izvrševanju. Za vsako spletno mesto z mednarodnim občinstvom — kar na odprtem internetu velja skoraj za vsako spletno mesto — je razumevanje, kateri zakoni veljajo in kako se razlikujejo, ključnega pomena.

Ta vodnik prikazuje globalno regulativno okolje za piškotke in spletno sledenje, od modela EU, ki temelji na privolitvi, prek ameriškega pristopa obveščanja in izbire do novih okvirov drugod po svetu.

Globalna mešanica predpisov

Ne obstaja en sam "zakon o piškotkih". Namesto tega skladnost s predpisi o piškotkih stoji na presečišču predpisov o zasebnosti, direktiv o elektronskih komunikacijah in zakonov o varstvu potrošnikov. Rezultat je zapleteno, včasih protislovno okolje, kjer za isto spletno mesto lahko veljajo različna pravila glede na to, kje se nahajajo njegovi obiskovalci.

Izoblikovala sta se dva široka modela:

• Model EU (privolitev na prvem mestu): Nenujni piškotki se lahko nastavijo šele potem, ko je uporabnik podal informirano, specifično in prostovoljno privolitev. Privzeto ni sledenja. Uporabnik mora izraziti privolitev.
• Ameriški model (obvestilo in izbira): Podjetja morajo razkriti svoje prakse zbiranja podatkov in uporabnikom omogočiti, da zavrnejo določene načine uporabe (zlasti prodajo ali deljenje osebnih podatkov). Privzeto je sledenje omogočeno, uporabnik pa ga lahko zavrne.

Večina novih predpisov o zasebnosti po svetu se približuje modelu EU, čeprav z lokalnimi različicami. Razumevanje obeh modelov — in specifičnih zakonov znotraj njiju — je nujno za vsako spletno mesto, ki deluje čez meje.

Okvir EU: Direktiva o e-zasebnosti + GDPR

Pristop Evropske unije k urejanju piškotkov temelji na dveh pravnih instrumentih, ki delujeta skupaj:

Direktiva o e-zasebnosti (2002/58/ES)

Direktiva o e-zasebnosti — pogosto imenovana "Direktiva o piškotkih" — je primarni zakon EU, ki ureja uporabo piškotkov in podobnih tehnologij za sledenje. Njena ključna določba, člen 5(3), določa:

Države članice zagotovijo, da je shranjevanje informacij ali pridobitev dostopa do informacij, ki so že shranjene, v terminalski opremi naročnika ali uporabnika dovoljeno samo pod pogojem, da je zadevni naročnik ali uporabnik podal svojo privolitev po tem, ko je prejel jasne in izčrpne informacije.

Edina izjema velja za piškotke, ki so "nujno potrebni" za zagotavljanje storitve, ki jo uporabnik izrecno zahteva — na primer sejni piškotki za nakupovalno košarico ali stanje prijave.

Pomembno: Direktiva o e-zasebnosti je direktiva, ne uredba. To pomeni, da jo je vsaka država članica EU prenesla v nacionalno zakonodajo z lokalnimi različicami. Temeljno načelo (privolitev je potrebna za nenujne piškotke) je dosledno, podrobnosti izvajanja pa se razlikujejo. Na primer:

• Francija (CNIL): Izdala je podrobne smernice o piškotkih, vključno z omejeno izjemo za določena orodja za merjenje občinstva, ki izpolnjujejo stroge pogoje (anonimizacija, brez sledenja med spletnimi mesti, omejeno hranjenje).
• Nemčija: Uveljavljena z zakonom TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz), ki je začel veljati decembra 2021 in je izrecno kodificiral zahtevo po privolitvi.
• Italija (Garante): Leta 2021 je objavila podrobne smernice o piškotkih, ki zahtevajo gumb za zavrnitev na prvi ravni in prepovedujejo t. i. zidove piškotkov.
• Nizozemska (AP): Zavzela je nekoliko bolj dopustno stališče do zidov piškotkov, saj meni, da so lahko sprejemljivi, če ima uporabnik na voljo dejansko alternativno pot do vsebine.

GDPR (Uredba (EU) 2016/679)

Splošna uredba o varstvu podatkov ne omenja izrecno piškotkov, ureja pa obdelavo osebnih podatkov — piškotki pa pogosto vključujejo osebne podatke. GDPR je za skladnost s predpisi o piškotkih pomemben na več načinov:

• Standard privolitve (člen 4(11), člen 7): GDPR opredeljuje, kaj sestavlja veljavno privolitev: prostovoljno, specifično, informirano, nedvoumno dana z jasnim pritrdilnim dejanjem. Ta standard velja za privolitev za piškotke, pridobljeno v skladu z Direktivo o e-zasebnosti.
• Transparentnost (členi 12–14): Kadar piškotki obdelujejo osebne podatke, veljajo zahteve GDPR glede transparentnosti. To pomeni, da mora vaša politika o piškotkih zagotavljati specifične informacije o vključeni obdelavi podatkov.
• Pravna podlaga (člen 6): Obdelava osebnih podatkov prek piškotkov zahteva pravno podlago. Za nenujne piškotke je ta podlaga privolitev. Nekateri upravljavci poskušajo utemeljitev opreti na zakoniti interes (člen 6(1)(f)), vendar organi za varstvo podatkov vse pogosteje zavračajo zakoniti interes kot podlago za oglaševalsko in analitično sledenje.
• Pravice posameznikov (členi 15–22): Uporabniki imajo pravice do dostopa, popravka, izbrisa in prenosljivosti svojih podatkov — vključno s podatki, zbranimi prek piškotkov.
• Ekstrateritorialni doseg (člen 3): GDPR velja za vsako organizacijo, ki obdeluje osebne podatke posameznikov v EU, ne glede na to, kje ima organizacija sedež. Ameriško podjetje, ki cilja na stranke iz EU, mora zagotoviti skladnost.

Prihajajoča Uredba o e-zasebnosti

Evropska komisija je leta 2017 predlagala Uredbo o e-zasebnosti, ki naj bi nadomestila Direktivo o e-zasebnosti, uskladila pravila med državami članicami in jih posodobila za sodobne tehnologije. Od začetka leta 2026 uredba še ni bila dokončana. Pogajanja se vlečejo, saj obstajajo nesoglasja glede izjem zaradi zakonitega interesa, določb o zidovih piškotkov in mehanizmov za privolitev na ravni brskalnika.

Ko bo sčasoma sprejeta, se bo Uredba o e-zasebnosti neposredno uporabljala v vseh državah članicah (za razliko od sedanje direktive, ki zahteva nacionalni prenos). Do takrat ostajata veljavna zakonodaja obstoječa Direktiva o e-zasebnosti in njene nacionalne implementacije.

Ameriški okvir: zakoni o zasebnosti na ravni zveznih držav

Združene države nimajo zveznega zakona o piškotkih niti zveznega celovitega zakona o zasebnosti (od začetka leta 2026). Namesto tega se je ureditev zasebnosti izoblikovala na ravni zveznih držav in ustvarila mešanico zahtev.

Kalifornija: CCPA in CPRA

Kalifornijski zakon o zasebnosti potrošnikov (CCPA), kot ga dopolnjuje Kalifornijski zakon o pravicah do zasebnosti (CPRA), je najbolj celovit ameriški zvezni zakon o zasebnosti. Ključne določbe, pomembne za piškotke:

• Pravica do zavrnitve prodaje/deljenja. Potrošniki imajo pravico zavrniti "prodajo" ali "deljenje" svojih osebnih podatkov. V skladu s CPRA "deljenje" vključuje deljenje podatkov s tretjimi osebami za vedenjsko oglaševanje med različnimi konteksti — kar je natanko tisto, kar počne večina oglaševalskih piškotkov.
• Predhodna privolitev ni potrebna. Za razliko od modela EU CCPA/CPRA ne zahteva predhodne privolitve za piškotke. Privzeto je sledenje dovoljeno, uporabniki pa ga morajo aktivno zavrniti.
• Povezava "Ne prodajaj ali deli". Podjetja morajo na svojem spletnem mestu zagotoviti vidno povezavo "Ne prodajajte ali delite mojih osebnih podatkov".
• Global Privacy Control (GPC). Podjetja morajo signal brskalnika GPC upoštevati kot veljavno zahtevo za zavrnitev. Če uporabnikov brskalnik pošlje signal GPC, ga mora podjetje obravnavati, kot da je uporabnik kliknil "Ne prodajaj ali deli".
• Obvestilo ob zbiranju. Podjetja morajo ob zbiranju ali pred njim razkriti kategorije zbranih osebnih podatkov in namene, za katere bodo uporabljeni.

Drugi zakoni ameriških zveznih držav

Po zgledu Kalifornije so številne ameriške zvezne države sprejele celovite zakone o zasebnosti. Od začetka leta 2026 zvezne države z veljavnimi zakoni o zasebnosti vključujejo:

Dodatne zvezne države so sprejele zakone z datumi uveljavitve v letih 2025 in 2026. Trend je jasen: ureditev zasebnosti na ravni zveznih držav se širi, večina novih zakonov pa vključuje pravice do zavrnitve ciljanega oglaševanja, ki neposredno vplivajo na prakse glede piškotkov.

Drugi pomembni predpisi

Združeno kraljestvo: UK GDPR in PECR

Po brexitu je Združeno kraljestvo ohranilo GDPR kot "UK GDPR" in še naprej izvršuje Predpise o zasebnosti in elektronskih komunikacijah (PECR), ki uveljavljajo Direktivo o e-zasebnosti. Zahteve glede piškotkov so v bistvu enake kot v EU: za nenujne piškotke je potrebna predhodna privolitev, z ozko izjemo za nujno potrebne piškotke. Ta pravila izvršuje Urad informacijskega pooblaščenca (ICO), ki je objavil podrobne smernice o piškotkih.

Brazilija: LGPD

Brazilski Lei Geral de Protecao de Dados (LGPD), ki velja od leta 2020, je močno navdihnjen z GDPR. Zahteva pravno podlago za obdelavo osebnih podatkov, vključno s podatki, zbranimi prek piškotkov. Čeprav LGPD nima neposrednega ustreznika določbe Direktive o e-zasebnosti, specifične za piškotke, je treba za obdelavo podatkov na osnovi piškotkov vzpostaviti privolitev ali zakoniti interes. ANPD (nacionalni organ za varstvo podatkov) postopoma izdaja smernice o piškotkih in privolitvi.

Kanada: PIPEDA in predlog zakona C-27

Kanadski Zakon o varstvu osebnih podatkov in elektronskih dokumentih (PIPEDA) zahteva "smiselno privolitev" za zbiranje, uporabo in razkritje osebnih podatkov. Za piškotke, ki zbirajo osebne podatke, morajo organizacije pridobiti privolitev in zagotoviti jasne informacije o svojih praksah. Predlog zakona C-27, predlagani Zakon o varstvu zasebnosti potrošnikov, bi posodobil kanadski okvir s strožjimi zahtevami glede privolitve, vendar je njegov sprejem zamujen.

Japonska: APPI

Japonski Zakon o varstvu osebnih podatkov (APPI), dopolnjen leta 2022, je uvedel koncept "informacij, ki se lahko nanašajo na osebo", ki v določenih kontekstih lahko vključujejo identifikatorje piškotkov. Kadar se podatki iz piškotkov kombinirajo z drugimi informacijami za identifikacijo posameznika, veljajo zahteve glede privolitve.

Južna Koreja: PIPA

Južnokorejski Zakon o varstvu osebnih podatkov (PIPA), dopolnjen leta 2023, zahteva privolitev za zbiranje in uporabo osebnih podatkov, ki lahko vključujejo podatke iz piškotkov, kadar ti identificirajo ali lahko identificirajo posameznika.

Trend zbliževanja

Kljub trenutni mešanici predpisov se izraža jasen trend: večina novih zakonov o zasebnosti sledi modelu EU — ureditvi, ki daje privolitev na prvo mesto in krepi vlogo uporabnika. Celo zakoni ameriških zveznih držav, ki tehnično temeljijo na zavrnitvi (opt-out) namesto na privolitvi (opt-in), se premikajo k strožjim zahtevam z univerzalnimi signali za zavrnitev (GPC), načeli minimizacije podatkov in razširjenimi opredelitvami "osebnih podatkov", ki zajemajo identifikatorje piškotkov.

V praksi to zbliževanje pomeni, da so spletna mesta, ki uvedejo skladnost s piškotki na ravni EU (predhodna privolitev, jasna sprejem/zavrnitev, natančne kategorije, transparentne politike), dobro pripravljena na skladnost z večino drugih jurisdikcij. Standard EU je najvišji skupni imenovalec.

Ocena tveganja: kateri zakoni veljajo za vaše spletno mesto?

Ključno vprašanje za vsakega upravljavca spletnega mesta je: kateri zakoni veljajo zame? Odgovor je odvisen od dveh dejavnikov:

1. Kje ima vaša organizacija sedež. Zavezani ste zakonom o zasebnosti tistih jurisdikcij, kjer ima vaša organizacija poslovno enoto (pisarno, hčerinsko družbo, podružnico).
2. Kje se nahajajo vaši uporabniki. Zaradi ekstrateritorialnega dosega GDPR (člen 3(2)) ste zavezani zakonodaji EU o zasebnosti, če ponujate blago ali storitve posameznikom v EU ali če spremljate vedenje posameznikov v EU. Podobne ekstrateritorialne določbe obstajajo v UK GDPR, brazilskem LGPD in drugih zakonih.

V praksi bi morali zagotoviti skladnost z Direktivo o e-zasebnosti in GDPR, če je vaše spletno mesto dostopno uporabnikom v EU — in če imate kakršen koli promet iz EU, kar velja za praktično vsa spletna mesta. Če imate ameriški promet, bi morali upoštevati CCPA/CPRA (Kalifornija) in druge veljavne zakone zveznih držav.

Pragmatičen pristop:

• Uveljavite privolitev po standardu EU za vse obiskovalce iz EU/EGP/ZK (predhodna privolitev za nenujne piškotke).
• Uveljavite mehanizme za zavrnitev za ameriške obiskovalce (povezava Ne prodajaj/deli, podpora za GPC).
• Privzeto uporabite višji standard, če geografsko zaznavanje ni izvedljivo. Privolitev na ravni EU zadošča praktično vsem jurisdikcijam.

Ekstrateritorialni doseg

Eden najpomembnejših vidikov sodobne ureditve zasebnosti je njen ekstrateritorialni doseg. GDPR (člen 3(2)) velja za organizacije zunaj EU, ki:

• ponujajo blago ali storitve posameznikom v EU (tudi če so brezplačne — spletno mesto, dostopno v EU, ki cilja na uporabnike iz EU, izpolnjuje pogoj), ali
• spremljajo vedenje posameznikov v EU (analitika in oglaševalsko sledenje predstavljata spremljanje).

To pomeni, da je ameriško podjetje, ki uporablja Google Analytics na spletnem mestu, ki prejema promet iz EU, tehnično zavezano GDPR in zahtevam Direktive o e-zasebnosti glede piškotkov. Izvrševanje proti organizacijam zunaj EU je bilo v preteklosti omejeno, a se povečuje, zlasti pri velikih podjetjih. Praktično tveganje za manjše organizacije je odvisno od vidnosti in obsega pritožb, pravna obveznost pa obstaja ne glede na velikost.

Okolje izvrševanja

Izvrševanje skladnosti s predpisi o piškotkih se je od leta 2020 dramatično okrepilo. Ključni trendi:

Kdo izvršuje

V EU nacionalni organi za varstvo podatkov (DPA) izvršujejo tako Direktivo o e-zasebnosti kot GDPR. Med pomembnimi dejavnimi izvrševalci so CNIL (Francija), Garante (Italija), Datatilsynet (Danska in Norveška), BfDI (Nemčija na zvezni ravni) in APD (Belgija). EDPB usklajuje čezmejno izvrševanje.

V ZDA kalifornijski državni tožilec in Kalifornijska agencija za varstvo zasebnosti izvršujeta CCPA/CPRA. Državni tožilci zveznih držav izvršujejo druge zakone zveznih držav.

Kako izvršujejo

• Preiskave na podlagi pritožb. Večina izvrševanja se začne s pritožbo uporabnika pri DPA. Pritožba sproži preiskavo praks spletnega mesta glede piškotkov.
• Presejalne preiskave. DPA občasno izvajajo presejanja po celotnem sektorju in pregledajo stotine spletnih mest glede skladnosti s piškotki. CNIL, italijanski Garante in danski Datatilsynet so vsi izvedli javno objavljena presejanja.
• Pritožbe nevladnih organizacij. Organizacije za zagovorništvo zasebnosti, kot je noyb (ki jo vodi Max Schrems), so vložile množične pritožbe proti stotinam spletnih mest in ustvarile znaten obseg izvrševanja. Zgolj pritožbe noyb glede pasic o piškotkih so privedle do več deset ukrepov izvrševanja po vsej EU.

Kazni

Globe po GDPR za kršitve v zvezi s piškotki lahko dosežejo do 20 milijonov EUR ali 4 % letnega globalnega prometa, kar je višje. V praksi so se globe za kršitve v zvezi s piškotki gibale od opozoril (za manjše organizacije z lažjimi kršitvami) do 150 milijonov EUR (Google, CNIL, 2022). Trend gre v smeri višjih glob in pogostejšega izvrševanja.

Poleg glob neskladnost prinaša tveganje za ugled, škodo zaupanju potrošnikov ter operativne stroške nujnega odpravljanja pomanjkljivosti na podlagi regulativne odredbe.

Passiro vam pomaga krmariti po tej regulativni zapletenosti z avtomatizirano skladnostjo, ki se prilagaja zakonom, veljavnim za vaše obiskovalce. Spoznajte, kako Passiro poenostavlja skladnost s piškotki v različnih jurisdikcijah.