Cookie-hozzájárulás: mit írnak elő az ePrivacy-szabályok

A cookie-bannerek az uniós adatvédelmi jog leglátványosabb részei, és egyben azok, amelyeket a leggyakrabban rosszul valósítanak meg. A szabályok két, egymással összefüggő jogi eszközből erednek: az elektronikus hírközlési adatvédelmi irányelv (ePrivacy-irányelv, 2002/58/EK irányelv) határozza meg, mikor kell hozzájárulás, az általános adatvédelmi rendelet (GDPR) pedig azt, hogy mi számít hozzájárulásnak.

A szabály egy mondatban

Az ePrivacy-irányelv 2009-ben módosított 5. cikk (3) bekezdése csak akkor engedi meg, hogy információt tároljanak a felhasználó eszközén, vagy hogy az ott már tárolt információhoz hozzáférjenek, ha a felhasználó egyértelmű és átfogó tájékoztatást követően hozzájárulását adta, kivéve, ha a tárolás vagy a hozzáférés kizárólag egy közlés továbbításához szükséges, vagy a felhasználó által kifejezetten kért szolgáltatás nyújtásához feltétlenül szükséges.

Ebből három következmény adódik:

• Technológiasemleges. A cookie-k, a helyi tárolás, a követőpixelek, az eszköz-ujjlenyomat és a hasonló technikák mind ide tartoznak. Az Európai Adatvédelmi Testület (EDPB) 2/2023. sz. iránymutatása elmagyarázza, milyen tágan kell értelmezni a „tárolás” és a „hozzáférés” fogalmát.
• Nem korlátozódik a személyes adatokra. A C-673/17. sz. Planet49-ügyben az Európai Unió Bírósága (EUB) megerősítette, hogy az 5. cikk (3) bekezdése alkalmazandó, tekintet nélkül arra, hogy a tárolt információ személyes adat-e.
• A hozzájárulás az első. A nem szükséges szkriptek nem futhatnak le, mielőtt a látogató döntene.

Mitől érvényes a hozzájárulás

Mivel az ePrivacy-irányelv az adatvédelmi jogból veszi át a hozzájárulás fogalmát, a GDPR mércéje alkalmazandó (4. cikk 11. pont, 7. cikk, valamint a 94. cikk (2) bekezdése, amely a korábbi 95/46/EK irányelvre történő hivatkozásokat a GDPR-ra irányítja át). A hozzájárulásnak:

1. önkéntesnek kell lennie: az elutasítás – a feltétlenül szükséges mértéken túl – nem vezethet kedvezőtlenebb feltételekhez, mint az elfogadás. Az uniós szabályozó hatóságok széles körben összeegyeztethetetlennek tartják ezzel az úgynevezett cookie-falakat, amelyek elfogadás nélkül elzárják a hozzáférést.
2. konkrétnak kell lennie: a különböző célokhoz (analitika, hirdetés, személyre szabás) külön döntések kellenek.
3. megfelelő tájékoztatáson kell alapulnia: a látogatónak tudnia kell, ki mit gyűjt, milyen célból és mennyi ideig. A Planet49-ügyben a Bíróság kimondta, hogy ennek része a cookie-k élettartamára és arra vonatkozó tájékoztatás is, hogy harmadik felek hozzáférhetnek-e azokhoz.
4. egyértelműnek kell lennie: világos, megerősítő cselekedet szükséges. A Planet49-ítélet kizárta az előre bejelölt jelölőnégyzeteket; a görgetés vagy a „böngészés folytatása” sem minősül hozzájárulásnak (az EDPB 05/2020. sz. iránymutatása).

A GDPR két működési kötelezettséget is előír: az adatkezelőnek igazolnia kell tudnia a hozzájárulást (7. cikk (1) bekezdés), és a hozzájárulás visszavonásának ugyanolyan egyszerűnek kell lennie, mint a megadásának (7. cikk (3) bekezdés). A gyakorlatban ez tárolt hozzájárulási nyilvántartást és a banner újbóli megnyitásának állandó lehetőségét jelenti.

Bannertervezés: mit kifogásoltak a hatóságok

2023 januárjában az EDPB közzétette a cookie-bannerekkel foglalkozó munkacsoportjának jelentését, amely összefoglalja a nemzeti hatóságok közös álláspontjait. A legtöbb hatóság által problémásnak tartott gyakorlatok közé tartozik:

• az első szinten nincs „Elutasítás” gomb, holott „Elfogadás” gomb van;
• előre bejelölt cél- vagy partnerjelölőnégyzetek a második szinten;
• megtévesztő linkkialakítás gomb helyett az elutasítási lehetőségnél;
• megtévesztő gombszínek és kontraszt, amelyek az „Elfogadás” gombot teszik az egyetlen kézenfekvő választássá;
• „jogos érdekre” hivatkozás olyan követésnél, amelyhez hozzájárulás szükséges;
• nem szükséges cookie-k „szükségesként” való besorolása;
• a hozzájárulás utólagos visszavonásának egyszerű módja hiányzik.

A nemzeti jogérvényesítés ugyanezt az irányt követi. A francia CNIL például 2021 végén (a bejelentés 2022 januárjában történt) bírságot szabott ki a Google-ra és a Facebookra, mert a cookie-k elutasítása több kattintást igényelt, mint az elfogadásuk.

Mi mentesül

A „feltétlenül szükséges” kivétel szűk, és a látogató szemszögéből kell megítélni: olyan tárolásról van szó, amely nélkül a szolgáltatás nem működik. Jellemző példa a kosár-cookie, a bejelentkezés utáni munkamenet-cookie, a terheléselosztó cookie, vagy maga a hozzájárulási döntést megjegyző cookie. Az analitika, az A/B tesztelés, a hirdetési és a közösségimédia-pixelek általában nem feltétlenül szükségesek, még akkor sem, ha first-party jellegűek vagy „anonimizáltak”. Egyes nemzeti hatóságok elfogadják a szűken konfigurált közönségmérést hozzájárulás nélkül; mielőtt erre támaszkodna, ellenőrizze annak az országnak a szabályait, amelyet megcéloz.

Hozzájárulási keretrendszerek és címkekezelők

A hozzájáruláskezelő platformok (CMP-k) és az IAB Transparency & Consent Framework szabványosítják, hogyan jutnak el a döntések a hirdetőkhöz. Az IAB Europe-ügyben (C-604/22) az EUB kimondta, hogy a felhasználó preferenciáit kódoló „TC String” személyes adat lehet, és hogy az ilyen keretrendszert működtető szervezet közös adatkezelő lehet. A CMP eszköz, nem garancia: egy rosszul konfigurált CMP továbbra is idő előtt betölti a követőkódokat. Hasonlóképpen, a címkék viselkedését módosító böngészőoldali „hozzájárulási módok” (consent mode) nem helyettesítik a hozzájárulást; csak azt változtatják meg, mi kerül elküldésre a döntés után.

Hogyan tesztelheti saját bannerét tíz perc alatt

1. Nyisson meg egy privát ablakot, nyissa meg a fejlesztői eszközöket a Network és az Application lapon, és töltse be a kezdőlapot. Ne kattintson semmire.
2. Jegyezzen fel minden cookie-t, tárolási bejegyzést és harmadik félhez irányuló kérést. Minden, ami túlmegy a feltétlenül szükségesen, megállapításnak számít.
3. Kattintson az „Elutasítás” gombra. Lépjen tovább két további oldalra. A nem szükséges kéréseknek kikapcsolva kell maradniuk.
4. Töröljön mindent, töltse újra az oldalt, és kattintson az „Elfogadás” gombra. Hasonlítsa össze: a különbség az, amit a bannere ténylegesen szabályoz.
5. Keresse meg a visszautat: egy linket vagy ikont, amely minden oldalon újra megnyitja a bannert.

Az automatizált szkennerek pontosan ezt végzik el nagy léptékben, és minden kiadás után megismétlik; ebben rejlik az áruk értéke. Az általunk értékelt szolgáltatásokat az összehasonlító oldalon vetheti össze.