Sīkdatņu piekrišana: ko pieprasa e-privātuma noteikumi

Sīkdatņu baneri ir ES privātuma tiesību redzamākā daļa un daļa, kas visbiežāk tiek izdarīta nepareizi. Noteikumi izriet no diviem tiesību aktiem, kas darbojas kopā: e-privātuma direktīva 2002/58/EK nosaka, kad piekrišana ir nepieciešama, un VDAR definē, kas tiek uzskatīts par piekrišanu.

Noteikums vienā teikumā

E-privātuma direktīvas 5. panta 3. punkts, kas grozīts 2009. gadā, ļauj glabāt informāciju lietotāja ierīcē vai piekļūt tur jau saglabātai informācijai tikai tad, ja lietotājs ir devis piekrišanu pēc skaidras un visaptverošas informācijas saņemšanas, ja vien glabāšana vai piekļuve nav vajadzīga vienīgi saziņas pārraidei vai nav absolūti nepieciešama, lai sniegtu pakalpojumu, ko lietotājs ir skaidri pieprasījis.

No tā izriet trīs sekas:

• Noteikums ir tehnoloģiski neitrāls. Tas attiecas uz sīkdatnēm, lokālo krātuvi, izsekošanas pikseļiem, ierīces pirkstu nospiedumu noteikšanu un līdzīgām metodēm. EDAK Pamatnostādnes 2/2023 skaidro, cik plaši tiek interpretēti jēdzieni „glabāšana“ un „piekļuve“.
• Noteikums neaprobežojas ar personas datiem. Lietā Planet49 (C-673/17) Eiropas Savienības Tiesa apstiprināja, ka 5. panta 3. punkts ir piemērojams vienalga, vai saglabātā informācija ir personas dati.
• Vispirms piekrišana. Nebūtiski skripti nedrīkst darboties, pirms apmeklētājs nav izlēmis.

Kas padara piekrišanu derīgu

Tā kā e-privātuma direktīva aizņemas piekrišanas definīciju no datu aizsardzības tiesībām, piemēro VDAR standartu (4. panta 11. punkts, 7. pants un 94. panta 2. punkts, kas atsauces uz agrāko Direktīvu 95/46/EK novirza uz VDAR). Piekrišanai jābūt:

1. Brīvi sniegtai: atteikums nedrīkst radīt sliktākus nosacījumus nekā piekrišana, izņemot absolūti nepieciešamo. ES uzraudzības iestādes plaši uzskata, ka sīkdatņu sienas (cookie walls), kas bloķē piekļuvi, ja apmeklētājs nepiekrīt, ar to nav savienojamas.
2. Konkrētai: dažādiem nolūkiem (analītika, reklāma, personalizācija) nepieciešamas atsevišķas izvēles.
3. Apzinātai: apmeklētājam jāzina, kas ko vāc, kādam nolūkam un cik ilgi. Lietā Planet49 atzīts, ka pie tā pieder informācija par sīkdatņu darbības ilgumu un par to, vai tām var piekļūt trešās personas.
4. Viennozīmīgai: skaidra apstiprinoša darbība. Lieta Planet49 izslēdza iepriekš atzīmētas izvēles rūtiņas; ritināšana vai „pārlūkošanas turpināšana“ arī nav piekrišana (EDAK Pamatnostādnes 05/2020).

VDAR pievieno divus darbības pienākumus: pārzinim jāspēj piekrišanu pierādīt (7. panta 1. punkts), un piekrišanas atsaukšanai jābūt tikpat vienkāršai kā tās sniegšanai (7. panta 3. punkts). Praksē tas nozīmē saglabātu piekrišanas ierakstu un pastāvīgu iespēju baneri atvērt no jauna.

Banera dizains: ko uzraudzības iestādes ir kritizējušas

2023. gada janvārī EDAK publicēja savas Sīkdatņu baneru darba grupas ziņojumu, kurā apkopotas valstu iestāžu kopīgās nostājas. Prakses, ko lielākā daļa iestāžu uzskatīja par problemātiskām, ietver:

• pirmajā līmenī nav pogas „Noraidīt“, lai gan tur ir poga „Pieņemt“;
• otrajā līmenī iepriekš atzīmētas nolūku vai piegādātāju rūtiņas;
• maldinošs saites dizains pogas vietā noraidīšanas iespējai;
• maldinošas pogu krāsas un kontrasts, kas padara „Pieņemt“ par vienīgo acīmredzamo izvēli;
• atsaukšanās uz „leģitīmām interesēm“ izsekošanai, kurai nepieciešama piekrišana;
• nebūtisku sīkdatņu klasificēšana kā „būtiskas“;
• nav vienkārša veida, kā vēlāk atsaukt piekrišanu.

Valstu uzraudzība seko tiem pašiem principiem. Piemēram, Francijas CNIL 2021. gada beigās (paziņots 2022. gada janvārī) uzlika naudas sodu Google un Facebook, jo sīkdatņu noraidīšanai bija vajadzīgs vairāk klikšķu nekā to pieņemšanai.

Kam ir izņēmums

„Absolūti nepieciešamā“ izņēmums ir šaurs un tiek vērtēts no apmeklētāja skatpunkta: glabāšana, bez kuras pakalpojums nevar darboties. Tipiski piemēri ir iepirkumu groza sīkdatne, sesijas sīkdatne pēc pieteikšanās, slodzes līdzsvarošanas sīkdatne vai sīkdatne, kas atceras pašu piekrišanas izvēli. Analītika, A/B testēšana, reklāma un sociālo mediju pikseļi parasti nav absolūti nepieciešami, pat ja tie ir pirmās puses vai „anonimizēti“. Dažas valstu iestādes pieņem šauri konfigurētu auditorijas mērīšanu bez piekrišanas; pirms uz to paļaujaties, pārbaudiet mērķa valsts noteikumus.

Piekrišanas ietvari un tagu pārvaldnieki

Piekrišanas pārvaldības platformas (CMP) un IAB pārredzamības un piekrišanas ietvars (Transparency & Consent Framework) standartizē to, kā izvēles tiek nodotas reklāmdevējiem. Lietā IAB Europe (C-604/22) Eiropas Savienības Tiesa atzina, ka „TC String“, kas kodē lietotāja preferences, var būt personas dati un ka organizācija, kas uztur šādu ietvaru, var būt kopīgs pārzinis. CMP ir rīks, nevis garantija: nepareizi konfigurēta CMP joprojām ielādē izsekotājus pārāk agri. Tāpat pārlūkprogrammas puses „piekrišanas režīmi“, kas pielāgo tagu darbību, neaizstāj piekrišanu; tie maina tikai to, kas tiek nosūtīts pēc lēmuma.

Kā desmit minūtēs pārbaudīt savu baneri

1. Atveriet privātu logu, izstrādātāja rīkos atveriet cilnes Network un Application un ielādējiet sākumlapu. Neko neklikšķiniet.
2. Pierakstiet katru sīkdatni, krātuves ierakstu un trešās puses pieprasījumu. Viss, kas pārsniedz absolūti nepieciešamo, ir konstatējums.
3. Noklikšķiniet uz „Noraidīt“. Pārejiet uz vēl divām lapām. Nebūtiskajiem pieprasījumiem jāpaliek izslēgtiem.
4. Notīriet visu, ielādējiet lapu no jauna un noklikšķiniet uz „Pieņemt“. Salīdziniet: atšķirība ir tas, ko Jūsu baneris patiešām kontrolē.
5. Meklējiet ceļu atpakaļ: saiti vai ikonu, kas atkal atver baneri katrā lapā.

Automatizēti skeneri dara tieši to plašā mērogā un atkārto to pēc katra laidiena; tieši tur tie attaisno savu cenu. Salīdziniet mūsu vērtētos pakalpojumus salīdzinājuma lapā.