Съгласие за бисквитки: какво изискват правилата за ePrivacy

Банерите за бисквитки са най-видимата част от правото на ЕС в областта на поверителността и частта, която най-често се прави погрешно. Правилата идват от два акта, които действат заедно: Директивата за ePrivacy 2002/58/ЕО определя кога е необходимо съгласие, а ОРЗД определя какво се счита за съгласие.

Правилото в едно изречение

Член 5, параграф 3 от Директивата за ePrivacy, изменен през 2009 г., позволява съхраняването на информация на устройството на потребителя или достъпа до вече съхранена там информация само ако потребителят е дал съгласие, след като е получил ясна и изчерпателна информация, освен ако съхраняването или достъпът е необходим единствено за предаването на съобщение или е строго необходим за предоставянето на услуга, която потребителят изрично е поискал.

От това следват три последици:

• Правилото е технологично неутрално. Обхванати са бисквитките, локалното хранилище, проследяващите пиксели, цифровият отпечатък на устройството и сходни техники. Насоки 2/2023 на EDPB обясняват колко широко се тълкуват „съхраняване“ и „достъп“.
• То не се ограничава до лични данни. По дело Planet49 (C-673/17) Съдът на ЕС потвърждава, че член 5, параграф 3 се прилага без значение дали съхраняваната информация е лични данни.
• Съгласието е на първо място. Незадължителните скриптове не трябва да се изпълняват, преди посетителят да реши.

Какво прави съгласието валидно

Тъй като Директивата за ePrivacy заимства определението за съгласие от правото в областта на защитата на данните, се прилага стандартът на ОРЗД (член 4, точка 11, член 7 и член 94, параграф 2, който пренасочва позоваванията на старата Директива 95/46/ЕО към ОРЗД). Съгласието трябва да бъде:

1. Свободно изразено: отказът не трябва да води до по-лоши условия от приемането, освен доколкото това е строго необходимо. Стените от бисквитки, които блокират достъпа, ако посетителят не приеме, в общия случай се смятат от регулаторите в ЕС за несъвместими с това.
2. Конкретно: отделните цели (анализи, реклама, персонализиране) изискват отделни избори.
3. Информирано: посетителят трябва да знае кой какво събира, за каква цел и за колко време. Решението по Planet49 постановява, че информацията за срока на бисквитките и за това дали трети страни имат достъп до тях е част от това.
4. Недвусмислено: ясно потвърждаващо действие. Planet49 изключва предварително отметнатите полета; превъртането или „продължаването на разглеждането“ също не е съгласие (Насоки 05/2020 на EDPB).

ОРЗД добавя две оперативни задължения: администраторът трябва да може да докаже съгласието (член 7, параграф 1), а оттеглянето на съгласието трябва да бъде толкова лесно, колкото и даването му (член 7, параграф 3). На практика това означава съхранен запис на съгласието и постоянна възможност банерът да бъде отворен отново.

Дизайн на банера: какво оспорват регулаторите

През януари 2023 г. EDPB публикува доклада на своята работна група за банерите за бисквитки, който обобщава общите позиции на националните органи. Практиките, които повечето органи смятат за проблемни, включват:

• липса на бутон „Отхвърляне“ на първото ниво, когато там има бутон „Приемане“;
• предварително отметнати полета за цели или доставчици на второто ниво;
• подвеждащ дизайн на връзка вместо бутон за възможността за отказ;
• подвеждащи цветове и контраст на бутоните, които правят „Приемане“ единствения очевиден избор;
• позоваване на „законен интерес“ за проследяване, което изисква съгласие;
• класифициране на незадължителни бисквитки като „задължителни“;
• липса на лесен начин за последващо оттегляне на съгласието.

Националното прилагане следва същата линия. Френската CNIL например наложи глоби на Google и Facebook в края на 2021 г. (обявени през януари 2022 г.), защото отказът от бисквитки изискваше повече щраквания от приемането им.

Какво е изключено

Изключението за „строго необходимото“ е тясно и се преценява от гледна точка на посетителя: съхраняване, без което услугата не може да работи. Типични примери са бисквитката на пазарската количка, сесийната бисквитка след вход, бисквитката за разпределяне на натоварването или бисквитката, която запомня самия избор относно съгласието. Анализите, A/B тестването, рекламата и пикселите на социалните мрежи по принцип не са строго необходими, дори когато са на първа страна или „анонимизирани“. Някои национални органи приемат тясно конфигурирано измерване на аудиторията без съгласие; проверете правилата на държавата, към която се насочвате, преди да разчитате на това.

Рамки за съгласие и мениджъри на тагове

Платформите за управление на съгласието (CMP) и рамката IAB Transparency & Consent Framework стандартизират начина, по който изборите се предават на рекламодателите. По дело IAB Europe (C-604/22) Съдът на ЕС постановява, че „TC String“, който кодира предпочитанията на потребителя, може да бъде лични данни и че организацията, която управлява такава рамка, може да бъде съвместен администратор. CMP е инструмент, а не гаранция: неправилно конфигурирана, тя все пак зарежда тракерите твърде рано. По същия начин браузърните „режими на съгласие“, които коригират поведението на таговете, не заменят съгласието; те само променят какво се изпраща след решението.

Как да тествате собствения си банер за десет минути

1. Отворете частен прозорец, отворете инструментите за разработчици в разделите Network и Application и заредете началната страница. Не щраквайте нищо.
2. Отбележете всяка бисквитка, запис в хранилището и заявка към трета страна. Всичко извън строго необходимото е констатация.
3. Щракнете върху „Отхвърляне“. Отворете още две страници. Незадължителните заявки трябва да останат изключени.
4. Изчистете всичко, презаредете и щракнете върху „Приемане“. Сравнете: разликата е това, което банерът ви действително контролира.
5. Потърсете пътя обратно: връзка или икона, която отваря банера отново на всяка страница.

Автоматизираните скенери правят точно това в голям мащаб и го повтарят след всяко ново издание; именно тук те оправдават цената си. Сравнете услугите, които оценяваме, на страницата за сравнение.