Банери за бисквитки през 2026 г.: защо симетричните бутони вече не стигат

Около четири години работното определение за коректен банер за бисквитки беше визуално. Направете бутона за отказ толкова видим, колкото бутона за приемане, не поставяйте предварително отметки и не превръщайте отказа в сива връзка до цветен правоъгълник. Симетрията стана тест именно защото симетрията се доказва със снимка на екрана.

Две решения на френския орган за защита на данните, публикувани през септември 2025 г., преместиха теста там, където снимката на екрана не стига. Въпросът вече не е как изглежда банерът. Въпросът е какво прави сайтът, след като посетителят е натиснал.

Какво точно реши CNIL

На 3 септември 2025 г. CNIL публикува две решения на ограничения състав. Достъпни са на английски на сайта на самия регулатор и там трябва да се четат, а не в преразказите на пресата: изводите по същество са по-тесни и по-полезни от заглавията.

Най-широко се разпространи числото 200 милиона за Google. Това е само единият от двата компонента. Общо са 325 милиона евро, разпределени между две юридически лица в едно решение, а цитирането само на по-големия компонент омаловажава санкцията с 38%.

Изводът по SHEIN е този, който променя изграждането

В изложението на решението по SHEIN се виждат три отделни дефекта и само единият е за външния вид на банера.

• Бисквитки се поставяха при влизане. Няколко проследяващи технологии, включително рекламни, се записваха върху устройството на посетителя веднага след зареждането, преди каквото и да е взаимодействие с информационния банер.
• Отказът не се изпълняваше. Когато посетител натиснеше „Отхвърли всички“ или по-късно оттеглеше съгласието си, нови бисквитки пак се поставяха, а вече наличните продължаваха да се четат. Именно този извод трябва да се приема сериозно: интерфейсът казваше едно, а техническият слой правеше друго.
• Банерът не обясняваше целите. Показваха се два интерфейса за управление на бисквитки, и двата непълни. Първият предлагаше „Настройки за бисквитки“, „Отхвърли всички“ и „Приеми“ и не съдържаше никаква информация за рекламните цели.

Един сайт може да мине всеки визуален тест в бранша и пак да пропадне и по трите точки. На практика те пропадат заедно и причината почти винаги е една: платформата за съгласие стои като фасада, докато контейнерите на тагов мениджър, сървърните интеграции и няколко наследени скрипта работят по собствен график.

Изводите по Google са структурно различни, но сочат в същата посока. Според изложението на това решение при създаване на профил потребителите са били насочвани към бисквитки за персонализирана реклама вместо към общи и не са били ясно уведомени, че поставянето на рекламни бисквитки е условие за ползване на услугата. Получено така, съгласието не е валидно. Само нарушението за бисквитките е засегнало над 74 милиона профила във Франция.

Колко всъщност беше правоприлагането

Широко се цитира числото 83 санкции за общо 486,8 милиона евро през 2025 г. и то издържа проверка. Собствената равносметка на CNIL за санкциите през 2025 г., публикувана на 9 февруари 2026 г., отчита 83 санкции, кумулативно 486 839 500 евро глоби и 143 покани за привеждане в съответствие. Двайсет и една от санкциите се отнасят до проследяващи технологии: поставяне без съгласие, недостатъчна информация и неизпълнен отказ или оттегляне на съгласието.

Последното от трите е същият дефект, върху който стъпва решението по SHEIN. Това вече е повтарящ се мотив в правоприлагането, а не единичен случай.

Какво се проверява тогава и сега

Практическата последица е, че одитът е запис на мрежата, а не снимка на екрана. Заредете сайта в чист профил, натиснете „Отхвърли всички“, разгледайте три страници и прочетете дневника на заявките. Ако нещо несъществено още пише или чете, имате дефекта от SHEIN, независимо колко добре изглежда банерът. Материалът ни за измерване с по-малко данни показва какво остава налично, когато отказът наистина се изпълнява, а то е повече, отколкото повечето екипи очакват.

Защо техническият слой се разминава с банера

За механизма трябва да се говори конкретно, защото „инструментът за съгласие е зле конфигуриран“ не е диагноза, с която може да се работи. Четири режима на отказ обясняват почти всичко, което се среща.

• Скриптове, които се зареждат извън инструмента за съгласие. Всичко, вградено в шаблон, добавено от разширение или дошло с чужд ембед, по конструкция стои извън контрола на инструмента. Той не може да блокира това, което никога не е обвил.
• Сървърно тагване. Преместването на събирането към сървърна крайна точка го скрива едновременно от конзолата на браузъра и от повечето платформи за съгласие. Правният въпрос не изчезва, а разминаването става невидимо за хората, които иначе биха го забелязали.
• Бисквитки, които вече са върху устройството. Изводът по SHEIN обхваща и четенето, не само записа. Проследяваща бисквитка от предишно посещение продължава да се чете, докато нещо активно не я изчисти при отказ. Повечето реализации спират да пишат и никога не чистят.
• Състояние на съгласието, което не се споделя. Когато джаджа, вградено видео и библиотека за анализ имат всяко свое разбиране за избора, сайтът като цяло няма един отговор за регулатора.

Кой прилага правилата в България

Френските решения са полезни като указание накъде гледат надзорните органи, но санкцията срещу български търговец идва от друго място. Правилата за достъп до крайно оборудване са уредени в Закона за електронните съобщения, а обработването на лични данни, което следва от бисквитките, е в обхвата на ОРЗД и Закона за защита на личните данни, с надзор от Комисията за защита на личните данни.

Разпределението има практическо значение при жалба. Един и същ банер може да породи две отделни производства: едното за поставянето на бисквитки без съгласие, другото за последващото обработване на данните. Затова документацията трябва да отговаря и на двата въпроса, а не само на този, който екипът смята за по-вероятен.

Цифровият омнибус: предложение, а не правило

През ноември 2025 г. Комисията предложи съгласието за достъп до крайно оборудване да излезе от Директивата за електронна неприкосновеност и да влезе в ОРЗД чрез два нови члена. Оттук идва и широко повтаряното твърдение, че банерите се премахват. Нужни са две уточнения.

Първо, статусът. Това са предложения. Те са в обикновената законодателна процедура и могат да бъдат изменени или отпаднали. Към момента нищо в тях не обвързва никого. Състоянието се следи на страницата на Комисията за цифровия омнибус, а не по преразкази.

Второ, съдържанието е по-тясно от заглавията. В предложения вид член 88а създава изключение от съгласието за измерване на аудиторията, но при строги условия: само първа страна, без проследяване между сайтове, без споделяне с трети лица. Той също забранява повторно питане за същата цел поне шест месеца след отказ, което е реална промяна, защото голяма част от текущите конфигурации питат отново при всяко връщане. Член 88б прави сигналите за съгласие на ниво браузър обвързващи за администраторите в рамките на преходен период.

Адвокатската кантора Osborne Clarke, пишейки през декември 2025 г., е скептична, че това изобщо слага край на банерите. Нейният анализ на предложението заключава, че възможността да се сърфира без банери след тези промени е повече от съмнителна, и очаква хибридна конструкция, в която банерите за съгласие и уведомителните банери съжителстват. Очаква и по-скоро дълга преходна фаза, отколкото бързо излекуване, по линия на машинночетимите сигнали. Това е позиция на кантора, не на регулатор, и заслужава да се претегли редом с коментарите на доставчици, които обещават край на управлението на съгласието.

Какво да правите дотогава

• Записвайте мрежата, не екрана. Отхвърлете всичко и вижте какво още се задейства. Повторете след оттегляне на съгласието: този сценарий екипите почти никога не тестват.
• Направете списък на всеки скрипт, който може да пише в хранилището. Контейнери на тагов мениджър, чат джаджи, вградено видео, инструменти за A/B тестове, записвачи на сесии и всичко, добавено от маркетингов изпълнител.
• Посочете целите и третите лица в самия банер. Връзката към политика не спаси SHEIN.
• Направете оттеглянето толкова достъпно, колкото първоначалния избор, и проверете, че работи. Половината от мотива в правоприлагането през 2025 г. е точно в пътя на оттеглянето.
• Не преустройвайте системата заради членове 88а и 88б сега. Стройте така, че промяната да е евтина: едно състояние на съгласието, четено от всичко, вместо пет компонента със собствена логика.
• Пазете доказателства. Запис на избора с часова марка и версия на текста на банера е това, с което се доказва съгласието, а не самото наличие на инструмент.

Банерът е симптом. Основният въпрос е какво събира сайтът и на какво основание, разгледан в текста за личните данни на сайта, и какво се случва, когато някой поиска да го докажете, което е темата на процеса по искания на субекти на данни. Дизайнерската страна на същия проблем, където банерът престава да убеждава и започва да манипулира, е в материала за тъмните шаблони.

Ако слоят за съгласие е сложен веднъж и никога не е сверяван с дневника на мрежата, това е проверка за два часа с голям риск при провал и е най-ценната точка от списъка. Същата работа влиза в преустройството, когато правим онлайн магазини, защото слоят за проследяване е най-скъп за поправяне впоследствие.

Материалът обобщава публикувани решения на регулатор и законодателно предложение на Комисията към август 2026 г. Той не е правен съвет: квалификацията на конкретна проследяваща технология зависи от обстоятелствата на вашия стек.