GDPR u l-Cookies: Gwida Kompleta għall-Konformità

Ir-Regolament Ġenerali dwar il-Protezzjoni tad-Data (GDPR) biddel il-mod kif il-websajts jimmaniġġjaw il-cookies meta daħal fis-seħħ fil-25 ta' Mejju 2018. Filwaqt li d-Direttiva ePrivacy hija l-liġi primarja tal-UE li tirregola l-cookies, il-GDPR japplika kull meta l-cookies jipproċessaw data personali — li, fil-prattika, ifisser kważi dejjem. Il-fehim ta' kif il-GDPR japplika għall-cookies huwa essenzjali għal kwalunkwe websajt li topera fiż-Żona Ekonomika Ewropea jew li tindirizza utenti fiha.

Kif il-GDPR Japplika għall-Cookies

Il-GDPR ma jsemmix il-cookies b'isimhom. Minflok, jirregola l-ipproċessar tad-data personali, definita fl-Artikolu 4(1) bħala kwalunkwe informazzjoni relatata ma' persuna fiżika identifikata jew identifikabbli. Il-Premessa 30 tal-GDPR tiddikjara b'mod espliċitu li l-identifikaturi online — inklużi l-identifikaturi tal-cookies — jistgħu jintużaw biex jinħolqu profili ta' persuni fiżiċi u jiġu identifikati. Dan ifisser li kwalunkwe cookie li fih jew hija marbuta ma' identifikatur uniku tikkostitwixxi data personali skont il-GDPR.

Fil-prattika, dan ikopri kważi l-cookies kollha lil hinn mill-aktar funzjonali bażiċi. Il-cookies tal-analytics li jassenjaw ID uniku tal-viżitatur, il-cookies tar-reklamar li jsegwu l-imġiba tal-ibbrawżjar, u anke l-cookies tas-sessjoni marbuta ma' kont tal-utent kollha jipproċessaw data personali u għalhekk jaqgħu taħt ir-rekwiżiti tal-GDPR.

Artikolu 6: Bażi Legali għall-Ipproċessar

Skont l-Artikolu 6 tal-GDPR, kull każ ta' pproċessar ta' data personali jeħtieġ bażi legali. Għall-ipproċessar relatat mal-cookies, l-aktar żewġ bażijiet komuni li jiġu invokati huma:

• Kunsens (Artikolu 6(1)(a)): Is-suġġett tad-data ta l-kunsens tiegħu għall-ipproċessar għal skop wieħed jew aktar speċifiċi. Din hija l-bażi legali primarja għall-biċċa l-kbira tal-ipproċessar tal-cookies, partikolarment għall-cookies tal-analytics, tal-marketing u tar-reklamar.
• Interess leġittimu (Artikolu 6(1)(f)): L-ipproċessar huwa meħtieġ għall-interessi leġittimi tal-kontrollur, sakemm dawk l-interessi ma jiġux megħluba mid-drittijiet u l-libertajiet tas-suġġett tad-data.

Il-bażi tal-interess leġittimu kienet is-suġġett ta' dibattitu sinifikanti fil-kuntest tal-cookies. Xi operaturi tal-websajts argumentaw li l-issegwiment tal-analytics jaqdi interess leġittimu. Madankollu, diversi Awtoritajiet għall-Protezzjoni tad-Data ċaħdu dan l-argument għall-cookies li mhumiex strettament meħtieġa. Il-CNIL Franċiż, id-DSB Awstrijak, u l-Bord Ewropew għall-Protezzjoni tad-Data (EDPB) kollha ħadu l-pożizzjoni li l-kunsens huwa meħtieġ għall-cookies tal-analytics, u li l-interess leġittimu ma jistax iservi bħala bażi legali biex jiġu ssettjati cookies mhux essenzjali fuq l-apparat ta' utent.

Il-Linji Gwida 05/2020 tal-EDPB dwar il-kunsens jiddikjaraw b'mod inekwivoku: "L-iscrolling jew il-kontinwazzjoni tal-ibbrawżjar ta' websajt ma jikkostitwixxix kunsens validu." L-era tal-kunsens impliċitu għall-cookies spiċċat.

Artikolu 7: Kundizzjonijiet għal Kunsens Validu

L-Artikolu 7 jistabbilixxi l-kundizzjonijiet li l-kunsens irid jissodisfa. Biex il-kunsens għall-cookies ikun validu skont il-GDPR, irid ikun:

1. Mogħti liberament: L-utent irid ikollu għażla ġenwina. Il-kunsens ma jkunx mogħti liberament jekk l-utent ma jkunx jista' jirrifjuta jew jirtira l-kunsens mingħajr detriment. Il-ħitan tal-cookies li jimblokkaw l-aċċess għal websajt sakemm il-cookies kollha jiġu aċċettati nstabu mhux konformi minn diversi DPAs, għalkemm il-pajsaġġ legali jvarja skont il-ġurisdizzjoni.
2. Speċifiku: Il-kunsens irid jingħata għal kull skop distint. "Aċċetta kollox" waħdu mingħajr l-għażla li tagħti kunsens għal kategoriji speċifiċi ma jissodisfax dan ir-rekwiżit.
3. Infurmat: L-utent irid jiġi mgħarraf b'mod ċar dwar dak li qed jagħti l-kunsens tiegħu għalih. Dan ifisser l-identifikazzjoni tal-cookies, l-iskopijiet tagħhom, id-data miġbura, u kwalunkwe parti terza involuta.
4. Mhux ambigwu: Il-kunsens irid jingħata permezz ta' azzjoni affermattiva ċara. Il-kaxxi diġà ttikkjati, is-silenzju, jew l-inattività ma jikkostitwixxux kunsens validu.

L-Artikolu 7(3) iżid rekwiżit kritiku: l-irtirar tal-kunsens irid ikun daqstant faċli daqs l-għoti tiegħu. Jekk utent jista' jaċċetta l-cookies bi klikk waħda, irid ikun kapaċi jirtira dak il-kunsens bl-istess faċilità. Banner tal-cookies li jagħmel "Aċċetta" prominenti iżda jidfen l-għażla tal-opt-out f'paġna ta' settings diversi klikks 'il bogħod ma jikkonformax.

Artikolu 4(11): Id-Definizzjoni ta' Kunsens

L-Artikolu 4(11) jiddefinixxi l-kunsens bħala "kwalunkwe indikazzjoni tax-xewqat tas-suġġett tad-data mogħtija liberament, speċifika, infurmata u mhux ambigwa li permezz tagħha huwa jew hija, permezz ta' dikjarazzjoni jew ta' azzjoni affermattiva ċara, jindikaw il-qbil tagħhom mal-ipproċessar tad-data personali relatata magħhom."

Din id-definizzjoni hija msaħħa mill-Premessa 32, li tiddikjara:

"Il-kunsens għandu jingħata permezz ta' att affermattiv ċar li jistabbilixxi indikazzjoni tal-qbil tas-suġġett tad-data mogħtija liberament, speċifika, infurmata u mhux ambigwa. Dan jista' jinkludi t-tikkjar ta' kaxxa meta wieħed iżur websajt tal-internet. Is-silenzju, il-kaxxi diġà ttikkjati jew l-inattività m'għandhomx jikkostitwixxu kunsens."

Is-sentenza landmark Planet49 mill-Qorti tal-Ġustizzja tal-Unjoni Ewropea (QĠUE) f'Ottubru 2019 (Każ C-673/17) ikkonfermat din l-interpretazzjoni, u ddeċidiet li l-kaxxi diġà ttikkjati ma jikkostitwixxux kunsens validu għall-cookies.

Obbligi ta' Trasparenza: Artikoli 12–14

L-Artikoli 12 sa 14 jeħtieġu li l-kontrolluri tad-data jipprovdu informazzjoni dwar l-ipproċessar tad-data f'forma konċiża, trasparenti, intelliġibbli u faċilment aċċessibbli, bl-użu ta' lingwaġġ ċar u sempliċi. Għall-cookies, dan ifisser:

• Il-politika tal-cookies tiegħek trid tinkiteb b'lingwaġġ li l-utenti ordinarji jistgħu jifhmu — mhux ġargon legali.
• L-informazzjoni trid tiġi pprovduta fil-ħin tal-ġbir tad-data (jiġifieri, qabel ma jiġu ssettjati l-cookies).
• L-utenti jridu jiġu mgħarrfa bl-identità tal-kontrollur, l-iskopijiet tal-ipproċessar, il-kategoriji tad-data, kwalunkwe riċevitur, il-perjodi ta' żamma, u d-drittijiet tagħhom.
• Jekk il-cookies jinqasmu ma' partijiet terzi (bħal Google Analytics, Facebook Pixel, jew netwerks tar-reklamar), dawk il-partijiet terzi jridu jiġu identifikati.

Artikolu 17: Id-Dritt għat-Tħassir

L-Artikolu 17 jagħti lis-suġġetti tad-data d-dritt li d-data personali tagħhom titħassar. Fil-kuntest tal-cookies, dan ifisser li jekk utent jitlob it-tħassir tad-data tiegħu, kwalunkwe data personali miġbura permezz tal-cookies trid titħassar. Dan jinkludi l-profili tal-analytics, l-identifikaturi tar-reklamar, u kwalunkwe data oħra marbuta mal-identifikaturi tal-cookies.

Għall-operaturi tal-websajts li jużaw servizzi tal-analytics jew tar-reklamar ta' parti terza, dan jista' jkun partikolarment ta' sfida, peress li d-data tista' tinżamm mill-parti terza. Il-ftehimiet tal-ipproċessar tad-data tiegħek mal-fornituri tal-cookies ta' parti terza għandhom jinkludu dispożizzjonijiet biex jiġu ttrattati t-talbiet ta' tħassir.

GDPR vs. ePrivacy: Liema Japplika u Meta?

Ir-relazzjoni bejn il-GDPR u d-Direttiva ePrivacy tista' tkun konfuża. Hawn kif jinteraġixxu:

• Id-Direttiva ePrivacy (Artikolu 5(3)) tirregola l-att ta' ħżin jew aċċess ta' informazzjoni fuq l-apparat ta' utent. Teħtieġ kunsens għall-cookies kollha ħlief dawk li huma strettament meħtieġa. Din hija l-lex specialis (liġi speċifika) għall-cookies.
• Il-GDPR jirregola l-ipproċessar sussegwenti ta' kwalunkwe data personali miġbura permezz tal-cookies. Jipprovdi l-qafas għal dak li jikkostitwixxi kunsens validu, id-drittijiet tas-suġġetti tad-data, u l-obbligi tal-kontrolluri tad-data.

F'termini prattiċi: id-Direttiva ePrivacy tgħidlek li għandek bżonn il-kunsens biex tissettja cookie. Il-GDPR jgħidlek kif jidher il-kunsens validu, x'tista' tagħmel bid-data, u x'drittijiet għandhom l-utenti fir-rigward ta' dik id-data. It-tnejn japplikaw simultanjament.

Awtoritajiet għall-Protezzjoni tad-Data u l-Infurzar

Kull stat membru tal-UE għandu Awtorità għall-Protezzjoni tad-Data (DPA) responsabbli għall-infurzar kemm tal-GDPR kif ukoll tal-implimentazzjonijiet nazzjonali tad-Direttiva ePrivacy. Dawn l-awtoritajiet għandhom is-setgħa li jinvestigaw l-ilmenti, iwettqu awditjar, u jimponu multi sa 4% tal-fatturat annwali globali jew €20 miljun, skont liema huwa ogħla.

L-infurzar relatat mal-cookies aċċellera b'mod drammatiku minn mindu daħal fis-seħħ fl-2020. Id-DPAs madwar l-Ewropa mxew mill-gwida u t-twissijiet għal multi sostanzjali, u għamlu l-konformità tal-cookies riskju kummerċjali ġenwin aktar milli tħassib teoretiku.

Multi Ewlenin tal-GDPR Relatati mal-Cookies

L-azzjonijiet ta' infurzar li ġejjin juru l-konsegwenzi finanzjarji reali tan-nuqqas ta' konformità tal-cookies:

Dawn il-multi mhumiex limitati għal korporazzjonijiet kbar. Negozji żgħar u ta' daqs medju wkoll iffaċċjaw azzjonijiet ta' infurzar, partikolarment fi Franza, l-Italja u l-Ġermanja. Il-CNIL waħdu ħareġ aktar minn 100 avviż formali lil websajts ta' kull daqs dwar il-konformità tal-cookies fl-2021.

Lista ta' Kontroll Prattika għall-Konformità tal-Cookies mal-GDPR

Uża din il-lista ta' kontroll biex tivverifika li l-websajt tiegħek tissodisfa r-rekwiżiti tal-GDPR għall-cookies:

1. Identifika l-cookies kollha li l-websajt tiegħek tissettja, inklużi dawk imqiegħda minn skripts ta' parti terza bħall-analytics, ir-reklamar, u l-widgets tal-midja soċjali.
2. Ikklassifika kull cookie bħala strettament meħtieġa, funzjonali, tal-analytics, jew tal-marketing/reklamar.
3. Implimenta kunsens minn qabel għall-cookies mhux essenzjali kollha. L-ebda cookie tal-analytics jew tal-marketing m'għandha tispara qabel ma l-utent ikun ta l-kunsens.
4. Ippreżenta l-għażliet tal-kunsens b'mod ġust. L-għażla li jiġu rrifjutati l-cookies trid tkun daqstant prominenti u aċċessibbli daqs l-għażla li jiġu aċċettati.
5. Offri kunsens granulari. L-utenti jridu jkunu kapaċi jagħtu kunsens għal kategoriji speċifiċi ta' cookies aktar milli jiġu sfurzati f'għażla ta' kollox jew xejn.
6. Tużax kaxxi diġà ttikkjati. Il-kategoriji kollha tal-cookies fakultattivi jridu jkunu mhux ittikkjati b'mod awtomatiku.
7. Ipprovdi informazzjoni ċara dwar l-iskop ta' kull cookie, id-data li tiġbor, min għandu aċċess għad-data, u kemm iddum il-cookie.
8. Identifika l-partijiet terzi. Semmi s-servizzi ta' parti terza li jissettjaw cookies fuq is-sit tiegħek (Google Analytics, Facebook Pixel, HubSpot, eċċ.).
9. Agħmel l-irtirar faċli. Ipprovdi mod persistenti u faċilment aċċessibbli biex l-utenti jbiddlu l-preferenzi tal-cookies tagħhom wara l-kunsens inizjali. Link fil-footer jew ikona flottanti huma approċċi komuni.
10. Aħżen ir-rekords tal-kunsens. Żomm reġistru ta' meta kull utent ta l-kunsens, x'ta l-kunsens għalih, u l-verżjoni tal-politika tal-cookies fis-seħħ dak iż-żmien.
11. Irrispetta l-għażliet tal-kunsens teknikament. Aċċerta li ċ-ċaħda tal-kunsens fil-fatt tipprevjeni li l-cookies korrispondenti jiġu ssettjati. Dan jeħtieġ l-imblukkar tal-iscripts qabel il-kunsens, mhux biss it-tħassir tal-cookies wara.
12. Żomm politika tal-cookies li tkun attwali, preċiża, u miktuba b'lingwaġġ sempliċi. Aġġornaha kull meta żżid cookies jew servizzi ġodda ta' parti terza.
13. Immaniġġja t-talbiet tas-suġġetti tad-data. Kelli proċess biex twieġeb għat-talbiet ta' tħassir li jinkludi d-data miġbura permezz tal-cookies.
14. Skennja regolarment. Ħaddem skans awtomatizzati tal-cookies mill-inqas kull xahar u wara kull deployment biex taqbad cookies ġodda introdotti minn skripts jew plugins aġġornati.

Il-konformità tal-cookies skont il-GDPR mhijiex eżerċizzju ta' darba. Teħtieġ attenzjoni kontinwa hekk kif il-websajt tiegħek tevolvi, jiżdiedu skripts ġodda, u l-gwida regolatorja tiġi aġġornata. L-organizzazzjonijiet li jittrattawha bħala proċess kontinwu aktar milli eżerċizzju ta' kaxxa ta' verifika huma dawk li jevitaw l-azzjonijiet ta' infurzar — u jibnu l-fiduċja mal-utenti tagħhom fil-proċess.