Privolitev za piškotke: kaj zahtevajo pravila ePrivacy

Pasice za piškotke so najbolj viden del prava EU o zasebnosti in del, ki je najpogosteje narejen narobe. Pravila izhajajo iz dveh instrumentov, ki delujeta skupaj: direktiva o e-zasebnosti 2002/58/ES določa, kdaj je privolitev potrebna, GDPR pa opredeljuje, kaj šteje za privolitev.

Pravilo v enem stavku

Člen 5(3) direktive o e-zasebnosti, kakor je bil spremenjen leta 2009, dovoljuje shranjevanje informacij v napravi uporabnika ali branje informacij, ki so tam že shranjene, le če je uporabnik dal privolitev, potem ko je prejel jasne in izčrpne informacije, razen če je shranjevanje ali dostop potreben izključno za prenos sporočila ali je nujno potreben za zagotavljanje storitve, ki jo je uporabnik izrecno zahteval.

Iz tega sledijo tri posledice:

• Pravilo je tehnološko nevtralno. Zajeti so piškotki, lokalna shramba, sledilne slikovne pike, prstni odtisi naprave in podobne tehnike. Smernice EDPB 2/2023 pojasnjujejo, kako široko se razlagata »shranjevanje« in »dostop«.
• Ni omejeno na osebne podatke. V zadevi Planet49 (C-673/17) je Sodišče EU potrdilo, da se člen 5(3) uporablja ne glede na to, ali so shranjene informacije osebni podatki.
• Privolitev je na prvem mestu. Nebistvene skripte se ne smejo izvajati, preden se obiskovalec odloči.

Kaj naredi privolitev veljavno

Ker direktiva o e-zasebnosti opredelitev privolitve prevzema iz prava o varstvu podatkov, velja standard GDPR (člen 4(11), člen 7 in člen 94(2), ki sklice na staro Direktivo 95/46/ES preusmerja na GDPR). Privolitev mora biti:

1. Prostovoljna: zavrnitev ne sme pripeljati do slabših pogojev kot sprejetje, razen v obsegu, ki je nujno potreben. Zidove piškotkov, ki preprečujejo dostop, če obiskovalec ne sprejme, regulatorji v EU večinoma štejejo za nezdružljive s tem.
2. Specifična: ločeni nameni (analitika, oglaševanje, prilagajanje) zahtevajo ločene izbire.
3. Informirana: obiskovalec mora vedeti, kdo zbira kaj, za kakšen namen in kako dolgo. Sodba Planet49 je določila, da so del tega informacije o trajanju piškotkov in o tem, ali imajo tretje osebe dostop do njih.
4. Nedvoumna: jasno pritrdilno dejanje. Planet49 je izključila vnaprej označena potrditvena polja; tudi pomikanje ali »nadaljnje brskanje« ni privolitev (Smernice EDPB 05/2020).

GDPR dodaja dve operativni dolžnosti: upravljavec mora biti sposoben privolitev dokazati (člen 7(1)), preklic privolitve pa mora biti enako preprost kot njena dodelitev (člen 7(3)). V praksi to pomeni shranjen zapis o privolitvi in stalno možnost ponovnega odprtja pasice.

Oblikovanje pasice: kaj so regulatorji kritizirali

Januarja 2023 je EDPB objavil poročilo svoje projektne skupine za pasice za piškotke, ki povzema skupna stališča nacionalnih organov. Med praksami, ki jih je večina organov štela za sporne, so:

• na prvi ravni ni gumba »Zavrni«, čeprav je tam gumb »Sprejmi«;
• vnaprej označena polja za namene ali ponudnike na drugi ravni;
• zavajajoče oblikovana povezava namesto gumba za možnost zavrnitve;
• zavajajoče barve in kontrast gumbov, zaradi katerih je »Sprejmi« edina očitna izbira;
• sklicevanje na »zakoniti interes« za sledenje, ki zahteva privolitev;
• razvrščanje nebistvenih piškotkov kot »bistvenih«;
• ni preprostega načina za poznejši preklic privolitve.

Nacionalno izvrševanje sledi istim smernicam. Francoski CNIL je na primer konec leta 2021 (objavljeno januarja 2022) kaznoval Google in Facebook, ker je zavrnitev piškotkov zahtevala več klikov kot njihovo sprejetje.

Kaj je izvzeto

Izjema za »nujno potrebno« je ozka in se presoja z vidika obiskovalca: shranjevanje, brez katerega storitev ne more delovati. Tipični primeri so piškotek nakupovalne košarice, sejni piškotek po prijavi, piškotek za porazdelitev obremenitve ali piškotek, ki si zapomni samo izbiro glede privolitve. Analitika, testiranje A/B, oglaševanje in slikovne pike družbenih omrežij na splošno niso nujno potrebni, tudi kadar so prve osebe ali »anonimizirani«. Nekateri nacionalni organi sprejemajo ozko nastavljeno merjenje obiskanosti brez privolitve; preden se na to zanesete, preverite pravila države, na katero ciljate.

Okviri za privolitev in upravitelji oznak

Platforme za upravljanje privolitev (CMP) in okvir IAB Transparency & Consent Framework standardizirajo, kako se izbire posredujejo oglaševalcem. V zadevi IAB Europe (C-604/22) je Sodišče EU razsodilo, da je »TC String«, ki kodira uporabnikove nastavitve, lahko osebni podatek in da je organizacija, ki upravlja tak okvir, lahko skupni upravljavec. CMP je orodje, ne jamstvo: napačno nastavljena platforma še vedno prezgodaj naloži sledilnike. Prav tako »načini privolitve« v brskalniku, ki prilagajajo delovanje oznak, ne nadomeščajo privolitve; spremenijo le, kaj se pošlje po odločitvi.

Kako v desetih minutah preizkusite svojo pasico

1. Odprite zasebno okno, v orodjih za razvijalce odprite zavihka Network in Application ter naložite domačo stran. Ničesar ne kliknite.
2. Zabeležite vsak piškotek, vnos v shrambo in zahtevo tretje osebe. Vse, kar presega nujno potrebno, je ugotovitev.
3. Kliknite »Zavrni«. Pojdite na še dve strani. Nebistvene zahteve morajo ostati izklopljene.
4. Vse počistite, ponovno naložite stran in kliknite »Sprejmi«. Primerjajte: razlika je tisto, kar vaša pasica dejansko nadzoruje.
5. Poiščite pot nazaj: povezavo ali ikono, ki na vsaki strani ponovno odpre pasico.

Samodejni skenerji počnejo prav to v velikem obsegu in to ponovijo po vsaki novi izdaji; tu upravičijo svojo ceno. Storitve, ki jih ocenjujemo, primerjajte na strani s primerjavo.