ЕС согласовал позицию по Digital Omnibus: cookies без согласия для измерения рекламы и пауза в четыре месяца

Совет ЕС согласовал мандат по Digital Omnibus, 179-страничному пакету, который переписывает часть GDPR, директиву ePrivacy, Data Act и правила сообщения о киберинцидентах. Документ циркулировал среди делегаций как 14756/26.

Для рынка рекламы мандат фиксирует позицию государств-членов по трём вопросам: закрытый список из шести целей, для которых согласие на cookies не требуется, включая измерение контекстной рекламы; минимум четыре месяца ожидания, прежде чем сайт сможет повторно запросить согласие после отказа; относительное определение персональных данных с новой статьёй о псевдонимизации.

Исключения для cookies

Правила о доступе к данным на устройстве остаются в переписанной статье 5(3) директивы ePrivacy. Доступ без согласия допускается только в той мере, в какой он строго необходим для шести целей. Шестая касается измерения показа и эффективности рекламы, которая основана только на контенте текущей страницы или одном поисковом запросе и не предполагает обработки персональных данных. Такое измерение не должно включать профайлинг и обработку данных о прошлой или будущей активности пользователя, в том числе на других сайтах. Данные псевдонимизируются после сбора и не используются для других целей.

В преамбуле (recital 44g) прямо названы capping cookies, то есть ограничение частоты показов, и cookies для измерения рекламы. Однако тот же пункт исключает программатик и профайлинг. Где граница для ограничения частоты в пределах одного сайта и одной кампании, решат надзорные органы и, возможно, суды.

Отказ и повторный запрос

Пользователь должен иметь возможность отказаться от запроса согласия одним нажатием кнопки или равноценным способом. Если он отказал, сайт не может повторно запрашивать согласие на ту же цель в течение минимум четырёх месяцев. В исходном предложении Комиссии от 19 ноября 2025 года срок составлял шесть месяцев.

При этом Комиссия предлагала вынести согласие на cookies из ePrivacy в GDPR (новая статья 88a) и обязать сайты учитывать машиночитаемые сигналы согласия из браузера (статья 88b). Обе статьи в мандате зачёркнуты. Совет убрал сигнал браузера ещё в июне, а в сентябре 19 организаций просили вернуть его. Согласованный текст этого не делает.

Что дальше

Закон пока не принят. Европарламент ещё не утвердил свою позицию, и только после этого начнутся переговоры с Советом по итоговому тексту. Совет сообщил, что переговоры будет вести ирландское председательство, но дату голосования в Парламенте документ не называет. По данным noyb, в Парламенте подано более 1000 поправок, а группа EPP внесла 248 поправок, которые, по оценке noyb, ослабляют защиту приватности.

Для маркетологов это пока план, а не правило: сроки и состав исключений могут измениться.