Privola za kolačiće: što zahtijevaju pravila o e-privatnosti

Banneri za kolačiće najvidljiviji su dio prava EU-a o privatnosti i dio koji se najčešće radi pogrešno. Pravila potječu iz dvaju instrumenata koji djeluju zajedno: Direktiva o e-privatnosti 2002/58/EZ određuje kada je privola potrebna, a GDPR definira što se smatra privolom.

Pravilo u jednoj rečenici

Članak 5. stavak 3. Direktive o e-privatnosti, kako je izmijenjen 2009., dopušta pohranu informacija na uređaju korisnika ili čitanje informacija koje su ondje već pohranjene samo ako je korisnik dao privolu nakon što je dobio jasne i potpune informacije, osim ako je pohrana ili pristup potreban isključivo za prijenos komunikacije ili je nužno potreban za pružanje usluge koju je korisnik izričito zatražio.

Iz toga proizlaze tri posljedice:

• Pravilo je tehnološki neutralno. Obuhvaćeni su kolačići, lokalna pohrana, pikseli za praćenje, otisak uređaja i slične tehnike. Smjernice EDPB-a 2/2023 objašnjavaju koliko se široko tumače „pohrana” i „pristup”.
• Nije ograničeno na osobne podatke. U predmetu Planet49 (C-673/17) Sud EU-a potvrdio je da se članak 5. stavak 3. primjenjuje bez obzira na to jesu li pohranjene informacije osobni podaci.
• Privola je na prvom mjestu. Skripte koje nisu nužne ne smiju se pokrenuti prije nego što posjetitelj odluči.

Što privolu čini valjanom

Budući da Direktiva o e-privatnosti definiciju privole preuzima iz prava o zaštiti podataka, primjenjuje se standard GDPR-a (članak 4. točka 11., članak 7. i članak 94. stavak 2., koji upućivanja na staru Direktivu 95/46/EZ preusmjerava na GDPR). Privola mora biti:

1. Dobrovoljna: odbijanje ne smije dovesti do lošijih uvjeta od prihvaćanja, osim u mjeri u kojoj je to nužno potrebno. Zidove kolačića koji onemogućuju pristup ako posjetitelj ne prihvati regulatori u EU-u uglavnom smatraju nespojivima s tim.
2. Posebna: odvojene svrhe (analitika, oglašavanje, personalizacija) zahtijevaju odvojene odabire.
3. Informirana: posjetitelj mora znati tko prikuplja što, u koju svrhu i koliko dugo. U presudi Planet49 utvrđeno je da su dio toga informacije o trajanju kolačića i o tome mogu li im pristupiti treće strane.
4. Nedvosmislena: jasna potvrdna radnja. Presudom Planet49 isključeni su unaprijed označeni potvrdni okviri; ni pomicanje stranice ni „nastavak pregledavanja” nisu privola (Smjernice EDPB-a 05/2020).

GDPR dodaje dvije operativne obveze: voditelj obrade mora moći dokazati privolu (članak 7. stavak 1.), a povlačenje privole mora biti jednako jednostavno kao njezino davanje (članak 7. stavak 3.). U praksi to znači pohranjen zapis o privoli i trajan način ponovnog otvaranja bannera.

Dizajn bannera: čemu su se regulatori protivili

U siječnju 2023. EDPB je objavio izvješće svoje radne skupine za bannere za kolačiće, koje sažima zajednička stajališta nacionalnih tijela. Prakse koje je većina tijela smatrala problematičnima uključuju:

• nema gumba „Odbij” na prvoj razini, iako je ondje gumb „Prihvati”;
• unaprijed označeni okviri za svrhe ili pružatelje na drugoj razini;
• obmanjujući dizajn poveznice umjesto gumba za mogućnost odbijanja;
• obmanjujuće boje i kontrast gumba zbog kojih je „Prihvati” jedini očit izbor;
• pozivanje na „legitimni interes” za praćenje koje zahtijeva privolu;
• razvrstavanje kolačića koji nisu nužni kao „nužnih”;
• ne postoji jednostavan način za naknadno povlačenje privole.

Nacionalna provedba slijedi iste smjernice. Francuski CNIL, na primjer, kaznio je Google i Facebook krajem 2021. (objavljeno u siječnju 2022.) jer je odbijanje kolačića zahtijevalo više klikova od njihova prihvaćanja.

Što je izuzeto

Iznimka za „nužno potrebno” uska je i procjenjuje se iz perspektive posjetitelja: pohrana bez koje usluga ne može funkcionirati. Tipični su primjeri kolačić košarice, kolačić sesije nakon prijave, kolačić za raspodjelu opterećenja ili kolačić koji pamti sam odabir privole. Analitika, A/B testiranje, oglašavanje i pikseli društvenih mreža općenito nisu nužno potrebni, čak ni kada su prve strane ili „anonimizirani”. Neka nacionalna tijela prihvaćaju usko konfigurirano mjerenje posjećenosti bez privole; prije nego što se na to oslonite, provjerite pravila zemlje kojoj se obraćate.

Okviri za privolu i upravitelji oznaka

Platforme za upravljanje privolama (CMP) i okvir IAB Transparency & Consent Framework standardiziraju način na koji se odabiri prosljeđuju oglašivačima. U predmetu IAB Europe (C-604/22) Sud EU-a presudio je da „TC String” kojim se kodiraju korisnikove postavke može biti osobni podatak i da organizacija koja upravlja takvim okvirom može biti zajednički voditelj obrade. CMP je alat, a ne jamstvo: pogrešno konfiguriran i dalje prerano učitava alate za praćenje. Isto tako, „načini privole” u pregledniku koji prilagođavaju ponašanje oznaka ne zamjenjuju privolu; mijenjaju samo ono što se šalje nakon odluke.

Kako za deset minuta ispitati vlastiti banner

1. Otvorite privatni prozor, u alatima za programere otvorite kartice Network i Application i učitajte početnu stranicu. Ništa ne klikajte.
2. Zabilježite svaki kolačić, unos u pohranu i zahtjev treće strane. Sve što prelazi nužno potrebno jest nalaz.
3. Kliknite „Odbij”. Otvorite još dvije stranice. Zahtjevi koji nisu nužni moraju ostati isključeni.
4. Sve izbrišite, ponovno učitajte stranicu i kliknite „Prihvati”. Usporedite: razlika je ono što vaš banner stvarno kontrolira.
5. Potražite put natrag: poveznicu ili ikonu koja na svakoj stranici ponovno otvara banner.

Automatizirani skeneri rade upravo to u velikom opsegu i ponavljaju to nakon svakog izdanja; tu opravdavaju svoju cijenu. Usporedite usluge koje ocjenjujemo na stranici s usporedbom.