Küpsiste nõusolek: mida nõuavad e-privaatsuse reeglid

Küpsiste bännerid on ELi privaatsusõiguse kõige nähtavam osa ja osa, mida kõige sagedamini valesti tehakse. Reeglid tulenevad kahest koos toimivast õigusaktist: e-privaatsuse direktiiv 2002/58/EÜ määrab, millal on nõusolek vajalik, ja GDPR määratleb, mida loetakse nõusolekuks.

Reegel ühe lausega

E-privaatsuse direktiivi artikli 5 lõige 3, mida muudeti 2009. aastal, lubab kasutaja seadmesse teavet salvestada või seal juba salvestatud teavet lugeda ainult siis, kui kasutaja on andnud nõusoleku pärast selge ja põhjaliku teabe saamist, välja arvatud juhul, kui salvestamine või juurdepääs on vajalik üksnes side edastamiseks või on rangelt vajalik kasutaja poolt sõnaselgelt soovitud teenuse osutamiseks.

Sellest tuleneb kolm järeldust:

• Reegel on tehnoloogianeutraalne. Hõlmatud on küpsised, kohalik salvestusruum, jälgimispikslid, seadme sõrmejäljetuvastus ja sarnased tehnikad. EDPB suunised 2/2023 selgitavad, kui laialt mõisteid „salvestamine“ ja „juurdepääs“ tõlgendatakse.
• Reegel ei piirdu isikuandmetega. Kohtuasjas Planet49 (C-673/17) kinnitas Euroopa Kohus, et artikli 5 lõiget 3 kohaldatakse ükskõik kas salvestatud teave on isikuandmed.
• Nõusolek tuleb esimesena. Mittevajalikud skriptid ei tohi käivituda enne, kui külastaja on otsustanud.

Mis teeb nõusoleku kehtivaks

Kuna e-privaatsuse direktiiv laenab nõusoleku määratluse andmekaitseõigusest, kohaldub GDPR-i standard (artikli 4 punkt 11, artikkel 7 ja artikli 94 lõige 2, mis suunab viited varasemale direktiivile 95/46/EÜ GDPR-ile). Nõusolek peab olema:

1. Vabatahtlik: keeldumine ei tohi kaasa tuua halvemaid tingimusi kui nõustumine, välja arvatud rangelt vajalikus ulatuses. ELi järelevalveasutused peavad laialdaselt sellega vastuolus olevaks küpsiste seinu (cookie walls), mis blokeerivad juurdepääsu, kui külastaja ei nõustu.
2. Konkreetne: eri eesmärgid (analüütika, reklaam, isikupärastamine) vajavad eraldi valikuid.
3. Teadlik: külastaja peab teadma, kes mida kogub, mis eesmärgil ja kui kaua. Kohtuasjas Planet49 leiti, et sellesse kuulub teave küpsiste kestuse kohta ja selle kohta, kas kolmandatel osapooltel on neile juurdepääs.
4. Ühemõtteline: selge kinnitav tegevus. Kohtuasi Planet49 välistas eelnevalt märgitud märkeruudud; kerimine või „sirvimise jätkamine“ ei ole samuti nõusolek (EDPB suunised 05/2020).

GDPR lisab kaks toimimiskohustust: vastutav töötleja peab suutma nõusolekut tõendada (artikli 7 lõige 1) ning nõusoleku tagasivõtmine peab olema sama lihtne kui selle andmine (artikli 7 lõige 3). Praktikas tähendab see salvestatud nõusolekukirjet ja püsivat võimalust bänner uuesti avada.

Bänneri kujundus: mida järelevalveasutused on kritiseerinud

Jaanuaris 2023 avaldas EDPB oma küpsiste bännerite rakkerühma aruande, mis võtab kokku riiklike asutuste ühised seisukohad. Enamiku asutuste arvates problemaatiliste tavade hulka kuuluvad:

• esimesel tasandil puudub nupp „keeldu“, kuigi seal on nupp „nõustu“;
• teisel tasandil on eesmärkide või pakkujate ruudud eelnevalt märgitud;
• keeldumisvõimalus on nupu asemel eksitavalt kujundatud lingina;
• eksitavad nupuvärvid ja kontrast, mis muudavad „nõustu“ ainsaks ilmseks valikuks;
• nõusolekut nõudva jälgimise põhjendamine „õigustatud huviga“;
• mittevajalike küpsiste liigitamine „hädavajalikeks“;
• puudub lihtne viis nõusolek hiljem tagasi võtta.

Riiklik järelevalve järgib samu põhimõtteid. Näiteks Prantsuse CNIL määras 2021. aasta lõpus (teatati jaanuaris 2022) Google’ile ja Facebookile trahvi, sest küpsistest keeldumine nõudis rohkem klõpse kui nendega nõustumine.

Mis on erandiga hõlmatud

„Rangelt vajaliku“ erand on kitsas ja seda hinnatakse külastaja vaatenurgast: salvestamine, ilma milleta teenus ei toimi. Tüüpilised näited on ostukorvi küpsis, sessiooniküpsis pärast sisselogimist, koormuse jaotamise küpsis või küpsis, mis jätab meelde nõusolekuvaliku enda. Analüütika, A/B-testimine, reklaam ja sotsiaalmeedia pikslid ei ole üldjuhul rangelt vajalikud, isegi kui need on esimese osapoole omad või „anonüümitud“. Mõned riiklikud asutused aktsepteerivad kitsalt seadistatud külastatavuse mõõtmist ilma nõusolekuta; enne sellele tuginemist kontrollige sihtriigi reegleid.

Nõusolekuraamistikud ja sildihaldurid

Nõusolekuhaldusplatvormid (CMP-d) ja IAB läbipaistvuse ja nõusoleku raamistik (Transparency & Consent Framework) standardivad, kuidas valikud reklaamijatele edastatakse. Kohtuasjas IAB Europe (C-604/22) leidis Euroopa Kohus, et kasutaja eelistusi kodeeriv „TC String“ võib olla isikuandmed ja et sellist raamistikku haldav organisatsioon võib olla kaasvastutav töötleja. CMP on tööriist, mitte garantii: valesti seadistatud CMP laadib jälgurid ikkagi liiga vara. Samamoodi ei asenda brauseripoolsed „nõusolekurežiimid“, mis kohandavad siltide käitumist, nõusolekut; need muudavad ainult seda, mida pärast otsust saadetakse.

Kuidas oma bännerit kümne minutiga testida

1. Avage privaatne aken, avage arendustööriistades vahekaardid Network ja Application ning laadige avaleht. Ärge klõpsake midagi.
2. Märkige üles iga küpsis, salvestuskirje ja kolmanda osapoole päring. Kõik, mis ületab rangelt vajaliku, on leid.
3. Klõpsake „keeldu“. Liikuge veel kahele lehele. Mittevajalikud päringud peavad jääma välja lülitatuks.
4. Kustutage kõik, laadige leht uuesti ja klõpsake „nõustu“. Võrrelge: erinevus on see, mida teie bänner tegelikult kontrollib.
5. Otsige tagasiteed: linki või ikooni, mis avab bänneri igal lehel uuesti.

Automaatsed skannerid teevad täpselt seda suures mahus ja kordavad seda pärast iga väljalaset; just seal teenivad nad oma hinna tagasi. Võrrelge meie hinnatud teenuseid võrdluslehel.