Slapukų sutikimas: ko reikalauja e. privatumo taisyklės

Slapukų baneriai yra labiausiai matoma ES privatumo teisės dalis ir dalis, kuri dažniausiai įgyvendinama netinkamai. Taisyklės kyla iš dviejų kartu veikiančių teisės aktų: E. privatumo direktyva 2002/58/EB nustato, kada reikia sutikimo, o BDAR apibrėžia, kas laikoma sutikimu.

Taisyklė vienu sakiniu

E. privatumo direktyvos 5 straipsnio 3 dalis, iš dalies pakeista 2009 m., leidžia saugoti informaciją naudotojo įrenginyje arba gauti prieigą prie jau jame saugomos informacijos tik tuo atveju, jei naudotojas davė sutikimą gavęs aiškią ir išsamią informaciją, nebent saugojimas ar prieiga reikalingi tik ryšiui perduoti arba yra griežtai būtini naudotojo aiškiai paprašytai paslaugai teikti.

Iš to kyla trys pasekmės:

• Taisyklė yra technologiškai neutrali. Ji taikoma slapukams, vietinei saugyklai, sekimo pikseliams, įrenginio pirštų atspaudų nustatymui ir panašioms technikoms. EDAV gairės 2/2023 paaiškina, kaip plačiai aiškinamos sąvokos „saugojimas“ ir „prieiga“.
• Taisyklė neapsiriboja asmens duomenimis. Byloje Planet49 (C-673/17) Teisingumo Teismas patvirtino, kad 5 straipsnio 3 dalis taikoma nesvarbu, ar saugoma informacija yra asmens duomenys.
• Pirmiausia sutikimas. Nebūtini scenarijai negali veikti, kol lankytojas neapsisprendė.

Kas lemia sutikimo galiojimą

Kadangi E. privatumo direktyva sutikimo apibrėžtį perima iš duomenų apsaugos teisės, taikomas BDAR standartas (4 straipsnio 11 punktas, 7 straipsnis ir 94 straipsnio 2 dalis, pagal kurią nuorodos į ankstesnę Direktyvą 95/46/EB laikomos nuorodomis į BDAR). Sutikimas turi būti:

1. Laisva valia duotas: atsisakymas negali lemti blogesnių sąlygų nei sutikimas, išskyrus tai, kas griežtai būtina. ES priežiūros institucijos plačiai laiko, kad slapukų sienos (cookie walls), blokuojančios prieigą, jei lankytojas nesutinka, su tuo nesuderinamos.
2. Konkretus: skirtingiems tikslams (analitikai, reklamai, suasmeninimui) reikia atskirų pasirinkimų.
3. Informuotas: lankytojas turi žinoti, kas ką renka, kokiu tikslu ir kiek laiko. Byloje Planet49 nuspręsta, kad tai apima informaciją apie slapukų galiojimo trukmę ir apie tai, ar prie jų gali prieiti trečiosios šalys.
4. Nedviprasmiškas: aiškus patvirtinamasis veiksmas. Byla Planet49 atmetė iš anksto pažymėtus žymimuosius langelius; slinkimas ar „naršymo tęsimas“ taip pat nėra sutikimas (EDAV gairės 05/2020).

BDAR prideda dvi veiklos prievoles: duomenų valdytojas turi gebėti sutikimą įrodyti (7 straipsnio 1 dalis), o sutikimą atšaukti turi būti taip pat paprasta, kaip jį duoti (7 straipsnio 3 dalis). Praktiškai tai reiškia išsaugotą sutikimo įrašą ir nuolatinę galimybę vėl atidaryti banerį.

Banerio dizainas: ką kritikavo priežiūros institucijos

2023 m. sausio mėn. EDAV paskelbė savo Slapukų banerių darbo grupos ataskaitą, kurioje apibendrinamos bendros nacionalinių institucijų pozicijos. Praktikos, kurias dauguma institucijų laikė problemiškomis, apima:

• pirmajame lygmenyje nėra mygtuko „Atmesti“, nors ten yra mygtukas „Priimti“;
• antrajame lygmenyje iš anksto pažymėti tikslų ar tiekėjų langeliai;
• klaidinantis nuorodos dizainas vietoj mygtuko atmetimo parinkčiai;
• klaidinančios mygtukų spalvos ir kontrastas, dėl kurių „Priimti“ tampa vieninteliu akivaizdžiu pasirinkimu;
• „teisėto intereso“ nurodymas sekimui, kuriam reikia sutikimo;
• nebūtinų slapukų priskyrimas „būtiniems“;
• nėra paprasto būdo vėliau atšaukti sutikimą.

Nacionalinė priežiūra laikosi tų pačių principų. Pavyzdžiui, Prancūzijos CNIL 2021 m. pabaigoje (paskelbta 2022 m. sausio mėn.) skyrė baudas Google ir Facebook, nes slapukams atmesti reikėjo daugiau paspaudimų nei jiems priimti.

Kam taikoma išimtis

„Griežtai būtino“ išimtis yra siaura ir vertinama lankytojo požiūriu: saugojimas, be kurio paslauga negali veikti. Tipiniai pavyzdžiai yra pirkinių krepšelio slapukas, sesijos slapukas po prisijungimo, apkrovos balansavimo slapukas arba slapukas, įsimenantis patį sutikimo pasirinkimą. Analitika, A/B testavimas, reklama ir socialinių tinklų pikseliai paprastai nėra griežtai būtini, net jei jie yra pirmosios šalies ar „anonimizuoti“. Kai kurios nacionalinės institucijos leidžia siaurai sukonfigūruotą auditorijos matavimą be sutikimo; prieš tuo remdamiesi, patikrinkite tikslinės šalies taisykles.

Sutikimo sistemos ir žymų tvarkytuvės

Sutikimų valdymo platformos (CMP) ir IAB skaidrumo ir sutikimo sistema (Transparency & Consent Framework) standartizuoja, kaip pasirinkimai perduodami reklamuotojams. Byloje IAB Europe (C-604/22) Teisingumo Teismas nusprendė, kad naudotojo nuostatas koduojanti „TC String“ eilutė gali būti asmens duomenys ir kad tokią sistemą valdanti organizacija gali būti bendra duomenų valdytoja. CMP yra įrankis, o ne garantija: netinkamai sukonfigūruota CMP vis tiek per anksti įkelia sekiklius. Taip pat naršyklės pusės „sutikimo režimai“, keičiantys žymų elgseną, nepakeičia sutikimo; jie keičia tik tai, kas siunčiama po sprendimo.

Kaip per dešimt minučių patikrinti savo banerį

1. Atidarykite privatų langą, kūrėjo įrankiuose atidarykite skirtukus Network ir Application ir įkelkite pradžios puslapį. Nieko nespauskite.
2. Užsirašykite kiekvieną slapuką, saugyklos įrašą ir trečiosios šalies užklausą. Viskas, kas viršija griežtai būtiną, yra radinys.
3. Paspauskite „Atmesti“. Pereikite į dar du puslapius. Nebūtinos užklausos turi likti išjungtos.
4. Viską išvalykite, įkelkite iš naujo ir paspauskite „Priimti“. Palyginkite: skirtumas yra tai, ką Jūsų baneris iš tikrųjų valdo.
5. Ieškokite kelio atgal: nuorodos ar piktogramos, kuri kiekviename puslapyje vėl atidaro banerį.

Automatizuoti skeneriai daro būtent tai dideliu mastu ir kartoja po kiekvienos naujos versijos; būtent čia jie atsiperka. Palyginkite mūsų vertinamas paslaugas palyginimo puslapyje.