Συγκατάθεση για cookies: τι απαιτούν οι κανόνες ePrivacy

Τα banner cookies είναι το πιο ορατό κομμάτι του ευρωπαϊκού δικαίου για την ιδιωτικότητα και εκείνο που εφαρμόζεται λάθος πιο συχνά. Οι κανόνες προέρχονται από δύο πράξεις που λειτουργούν μαζί: η Οδηγία για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες (Οδηγία ePrivacy) 2002/58/ΕΚ ορίζει πότε απαιτείται συγκατάθεση και ο Γενικός Κανονισμός για την Προστασία Δεδομένων (ΓΚΠΔ) ορίζει τι θεωρείται συγκατάθεση.

Ο κανόνας σε μία πρόταση

Το άρθρο 5 παράγραφος 3 της Οδηγίας ePrivacy, όπως τροποποιήθηκε το 2009, επιτρέπει την αποθήκευση πληροφοριών στη συσκευή του χρήστη ή την ανάγνωση πληροφοριών που είναι ήδη αποθηκευμένες εκεί μόνο εφόσον ο χρήστης έχει δώσει τη συγκατάθεσή του αφού έλαβε σαφή και πλήρη ενημέρωση, εκτός αν η αποθήκευση ή η πρόσβαση χρειάζεται αποκλειστικά για τη μετάδοση μιας επικοινωνίας ή είναι απολύτως απαραίτητη για την παροχή υπηρεσίας που ζήτησε ρητά ο χρήστης.

Από αυτό προκύπτουν τρεις συνέπειες:

• Είναι τεχνολογικά ουδέτερος. Καλύπτονται τα cookies, η τοπική αποθήκευση (local storage), τα pixels παρακολούθησης, το αποτύπωμα συσκευής (fingerprinting) και παρόμοιες τεχνικές. Οι κατευθυντήριες γραμμές 2/2023 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (ΕΣΠΔ) εξηγούν πόσο ευρέως ερμηνεύονται οι έννοιες «αποθήκευση» και «πρόσβαση».
• Δεν περιορίζεται στα δεδομένα προσωπικού χαρακτήρα. Στην υπόθεση C-673/17, Planet49 το Δικαστήριο της Ευρωπαϊκής Ένωσης (ΔΕΕ) επιβεβαίωσε ότι το άρθρο 5 παράγραφος 3 εφαρμόζεται είτε οι αποθηκευμένες πληροφορίες είναι δεδομένα προσωπικού χαρακτήρα είτε όχι.
• Η συγκατάθεση προηγείται. Τα μη απαραίτητα σενάρια (scripts) δεν επιτρέπεται να εκτελούνται πριν αποφασίσει ο επισκέπτης.

Τι κάνει τη συγκατάθεση έγκυρη

Επειδή η Οδηγία ePrivacy δανείζεται τον ορισμό της συγκατάθεσης από το δίκαιο προστασίας δεδομένων, εφαρμόζεται το πρότυπο του ΓΚΠΔ (άρθρο 4 σημείο 11, άρθρο 7 και άρθρο 94 παράγραφος 2, το οποίο ορίζει ότι οι παραπομπές στην παλαιά Οδηγία 95/46/ΕΚ νοούνται ως παραπομπές στον ΓΚΠΔ). Η συγκατάθεση πρέπει να είναι:

1. Ελεύθερη: η άρνηση δεν πρέπει να οδηγεί σε χειρότερους όρους από την αποδοχή, πέρα από ό,τι είναι απολύτως απαραίτητο. Τα «τείχη cookies» (cookie walls) που εμποδίζουν την πρόσβαση αν ο επισκέπτης δεν αποδεχθεί θεωρούνται ευρέως από τις ευρωπαϊκές εποπτικές αρχές ασύμβατα με αυτή την απαίτηση.
2. Συγκεκριμένη: διαφορετικοί σκοποί (ανάλυση, διαφήμιση, εξατομίκευση) χρειάζονται χωριστές επιλογές.
3. Εν πλήρει επιγνώσει: ο επισκέπτης πρέπει να γνωρίζει ποιος συλλέγει τι, για ποιον σκοπό και για πόσο χρόνο. Η απόφαση Planet49 έκρινε ότι σε αυτό περιλαμβάνεται η ενημέρωση για τη διάρκεια των cookies και για το αν τρίτοι μπορούν να έχουν πρόσβαση σε αυτά.
4. Αδιαμφισβήτητη: απαιτείται σαφής θετική ενέργεια. Η απόφαση Planet49 απέκλεισε τα προεπιλεγμένα πλαίσια ελέγχου· η κύλιση ή η «συνέχιση της περιήγησης» δεν αποτελεί επίσης συγκατάθεση (κατευθυντήριες γραμμές 05/2020 του ΕΣΠΔ).

Ο ΓΚΠΔ προσθέτει δύο λειτουργικές υποχρεώσεις: ο υπεύθυνος επεξεργασίας πρέπει να μπορεί να αποδείξει τη συγκατάθεση (άρθρο 7 παράγραφος 1) και η ανάκληση της συγκατάθεσης πρέπει να είναι εξίσου εύκολη με την παροχή της (άρθρο 7 παράγραφος 3). Στην πράξη αυτό σημαίνει ένα αποθηκευμένο αρχείο συγκατάθεσης και έναν μόνιμα διαθέσιμο τρόπο για να ανοίξει ξανά το banner.

Σχεδιασμός του banner: σε τι έχουν αντιταχθεί οι εποπτικές αρχές

Τον Ιανουάριο του 2023 το ΕΣΠΔ δημοσίευσε την έκθεση της ειδικής ομάδας του για τα banner cookies (Cookie Banner Taskforce), η οποία συνοψίζει τις κοινές θέσεις των εθνικών αρχών. Στις πρακτικές που οι περισσότερες αρχές έκριναν προβληματικές περιλαμβάνονται:

• η απουσία κουμπιού «Απόρριψη» στο πρώτο επίπεδο, όταν εκεί υπάρχει κουμπί «Αποδοχή»·
• τα προεπιλεγμένα πλαίσια σκοπών ή παρόχων στο δεύτερο επίπεδο·
• ο παραπλανητικός σχεδιασμός της επιλογής απόρριψης ως συνδέσμου αντί για κουμπί·
• τα παραπλανητικά χρώματα και η αντίθεση των κουμπιών που κάνουν την «Αποδοχή» τη μόνη προφανή επιλογή·
• η επίκληση «έννομου συμφέροντος» για παρακολούθηση που απαιτεί συγκατάθεση·
• η κατάταξη μη απαραίτητων cookies ως «απαραίτητων»·
• η απουσία εύκολου τρόπου ανάκλησης της συγκατάθεσης στη συνέχεια.

Η επιβολή σε εθνικό επίπεδο ακολουθεί την ίδια γραμμή. Η γαλλική CNIL, για παράδειγμα, επέβαλε πρόστιμα στην Google και στο Facebook στα τέλη του 2021 (ανακοινώθηκαν τον Ιανουάριο του 2022), επειδή η άρνηση των cookies απαιτούσε περισσότερα κλικ από την αποδοχή τους.

Τι εξαιρείται

Η εξαίρεση για τα «απολύτως απαραίτητα» είναι στενή και κρίνεται από τη σκοπιά του επισκέπτη: πρόκειται για αποθήκευση χωρίς την οποία η υπηρεσία δεν μπορεί να λειτουργήσει. Τυπικά παραδείγματα είναι ένα cookie καλαθιού αγορών, ένα cookie συνεδρίας μετά τη σύνδεση, ένα cookie εξισορρόπησης φορτίου ή το cookie που απομνημονεύει την ίδια την επιλογή συγκατάθεσης. Τα εργαλεία ανάλυσης, οι δοκιμές A/B, η διαφήμιση και τα pixels των μέσων κοινωνικής δικτύωσης γενικά δεν είναι απολύτως απαραίτητα, ακόμη και όταν είναι πρώτου μέρους (first-party) ή «ανωνυμοποιημένα». Ορισμένες εθνικές αρχές δέχονται τη μέτρηση επισκεψιμότητας με στενά καθορισμένες ρυθμίσεις χωρίς συγκατάθεση· ελέγξτε τους κανόνες της χώρας στην οποία απευθύνεστε πριν βασιστείτε σε αυτό.

Πλαίσια συγκατάθεσης και διαχειριστές ετικετών

Οι πλατφόρμες διαχείρισης συγκατάθεσης (CMP) και το IAB Transparency & Consent Framework τυποποιούν τον τρόπο με τον οποίο οι επιλογές μεταβιβάζονται στους διαφημιστές. Στην υπόθεση C-604/22, IAB Europe το ΔΕΕ έκρινε ότι το «TC String» που κωδικοποιεί τις προτιμήσεις ενός χρήστη μπορεί να αποτελεί δεδομένο προσωπικού χαρακτήρα και ότι ο οργανισμός που διαχειρίζεται ένα τέτοιο πλαίσιο μπορεί να είναι από κοινού υπεύθυνος επεξεργασίας. Μια CMP είναι εργαλείο, όχι εγγύηση: αν είναι λανθασμένα ρυθμισμένη, εξακολουθεί να φορτώνει εργαλεία παρακολούθησης πρόωρα. Ομοίως, οι «λειτουργίες συγκατάθεσης» (consent modes) στο πρόγραμμα περιήγησης που προσαρμόζουν τη συμπεριφορά των ετικετών δεν αντικαθιστούν τη συγκατάθεση· αλλάζουν μόνο το τι αποστέλλεται μετά την απόφαση.

Πώς να ελέγξετε το δικό σας banner σε δέκα λεπτά

1. Ανοίξτε ένα ιδιωτικό παράθυρο, ανοίξτε τα εργαλεία προγραμματιστή στις καρτέλες Network και Application και φορτώστε την αρχική σελίδα. Μην κάνετε κλικ πουθενά.
2. Σημειώστε κάθε cookie, κάθε καταχώριση αποθήκευσης και κάθε αίτημα προς τρίτους. Ό,τι υπερβαίνει τα απολύτως απαραίτητα αποτελεί εύρημα.
3. Κάντε κλικ στην «Απόρριψη». Μεταβείτε σε δύο ακόμη σελίδες. Τα μη απαραίτητα αιτήματα πρέπει να παραμένουν ανενεργά.
4. Διαγράψτε τα πάντα, φορτώστε ξανά τη σελίδα και κάντε κλικ στην «Αποδοχή». Συγκρίνετε: η διαφορά είναι ό,τι πραγματικά ελέγχει το banner σας.
5. Αναζητήστε τον τρόπο επιστροφής: έναν σύνδεσμο ή ένα εικονίδιο που ανοίγει ξανά το banner σε κάθε σελίδα.

Οι αυτοματοποιημένοι σαρωτές κάνουν ακριβώς αυτό σε μεγάλη κλίμακα και το επαναλαμβάνουν μετά από κάθε νέα έκδοση· εκεί δικαιολογούν την τιμή τους. Συγκρίνετε τις υπηρεσίες που αξιολογούμε στη σελίδα σύγκρισης.