Id-Direttiva ePrivacy: Il-Liġi tal-Cookies tal-UE Spjegata

Meta n-nies jirreferu għal "il-liġi tal-cookies tal-UE," normalment ikunu qed jirreferu għad-Direttiva ePrivacy — speċifikament l-Artikolu 5(3). Filwaqt li l-GDPR jikseb l-akbar parti tal-attenzjoni, id-Direttiva ePrivacy hija r-regolament li jirregola direttament l-użu tal-cookies u teknoloġiji simili ta' traċċar. Il-fehim ta' din id-direttiva, ir-relazzjoni tagħha mal-GDPR, u r-Regolament ePrivacy li ġej huma essenzjali għal kull min hu responsabbli mill-konformità tal-cookies fuq sit web Ewropew.

X'inhi d-Direttiva ePrivacy?

Id-Direttiva ePrivacy (uffiċjalment id-Direttiva 2002/58/KE) ġiet adottata fit-12 ta' Lulju 2002 bħala parti mill-qafas tal-UE dwar il-privatezza fit-telekomunikazzjonijiet. Oriġinarjament kienet iffokata fuq il-privatezza fil-komunikazzjonijiet elettroniċi — tkopri suġġetti bħall-kunfidenzjalità tal-komunikazzjonijiet, id-data tat-traffiku, l-ispam, u l-identifikazzjoni tal-persuna li ċċempel.

Fl-2009, id-direttiva ġiet emendata b'mod sinifikanti mid-Direttiva 2009/136/KE (spiss imsejħa d-"Direttiva dwar id-Drittijiet taċ-Ċittadini"). Din l-emenda introduċiet ir-rekwiżit tal-kunsens għall-cookies li nafu llum, u ssostitwiet ir-reġim preċedenti ta' opt-out b'mudell ta' opt-in. Qabel l-2009, is-siti web kien biss jeħtiġilhom jinformaw lill-utenti dwar il-cookies u jagħtuhom id-dritt li jirrifjutaw. Wara l-2009, il-kunsens minn qabel sar obbligatorju għall-cookies kollha mhux essenzjali.

B'differenza mill-GDPR, li huwa regolament (direttament applikabbli fl-Istati Membri kollha), id-Direttiva ePrivacy hija direttiva (kull Stat Membru irid jittrasponiha fil-liġi nazzjonali). Dan ifisser li r-regoli speċifiċi tal-cookies ivarjaw minn pajjiż għal ieħor, minkejja li r-rekwiżiti sottostanti huma l-istess.

Artikolu 5(3): Ir-Regola tal-Kunsens tal-Cookies

L-Artikolu 5(3) tad-Direttiva ePrivacy huwa d-dispożizzjoni li tirregola direttament il-cookies. Fil-forma emendata tiegħu, jgħid:

"L-Istati Membri għandhom jiżguraw li l-ħażna ta' informazzjoni, jew il-kisba ta' aċċess għal informazzjoni li diġà tkun maħżuna, fit-tagħmir terminali ta' abbonat jew utent tkun permessa biss bil-kundizzjoni li l-abbonat jew l-utent ikkonċernat ikun ta l-kunsens tiegħu jew tagħha, wara li jkun ġie pprovdut b'informazzjoni ċara u komprensiva, skont [id-Direttiva dwar il-Protezzjoni tad-Data, issa l-GDPR], fost affarijiet oħra, dwar l-għanijiet tal-ipproċessar."

Din id-dispożizzjoni tistabbilixxi diversi rekwiżiti ewlenin:

1. Ambitu: Tkopri kwalunkwe ħażna ta' informazzjoni fuq it-tagħmir ta' utent, jew aċċess għal informazzjoni maħżuna fuq it-tagħmir ta' utent. Dan jinkludi l-cookies, iżda wkoll il-local storage, l-IndexedDB, id-device fingerprinting, il-pixels tat-traċċar, u kwalunkwe teknoloġija oħra li taqra minn jew tikteb fuq it-tagħmir tal-utent.
2. Kunsens minn qabel: Il-kunsens irid jinkiseb qabel ma tinħażen jew jinkiseb aċċess għall-informazzjoni — mhux wara.
3. Kunsens informat: L-utent irid jiġi pprovdut b'informazzjoni ċara u komprensiva dwar l-għanijiet tal-ħażna jew l-aċċess.
4. Standard tal-kunsens: Ir-referenza għall-GDPR (oriġinarjament id-Direttiva dwar il-Protezzjoni tad-Data) tfisser li d-definizzjoni u l-kundizzjonijiet tal-GDPR għall-kunsens japplikaw. Il-kunsens irid jingħata liberament, ikun speċifiku, informat, u inekwivoku.

L-Eżenzjoni "Strettament Neċessarja"

L-Artikolu 5(3) jinkludi eżenzjoni importanti fit-tieni sentenza tiegħu:

"Dan ma għandux jipprevjeni kwalunkwe ħażna jew aċċess tekniku bl-uniku skop li titwettaq it-trażmissjoni ta' komunikazzjoni fuq netwerk ta' komunikazzjonijiet elettroniċi, jew kif strettament neċessarju biex il-fornitur ta' servizz tas-soċjetà tal-informazzjoni li jkun ġie mitlub b'mod espliċitu mill-abbonat jew l-utent jipprovdi s-servizz."

Din l-eżenzjoni tkopri żewġ kategoriji ta' cookies li ma jeħtiġux kunsens:

1. Cookies neċessarji għat-trażmissjoni ta' komunikazzjoni (eż. cookies tal-load-balancing).
2. Cookies strettament neċessarji biex jipprovdu servizz mitlub b'mod espliċitu mill-utent (eż. cookies tal-basket tax-xiri, cookies tas-sessjoni ta' awtentikazzjoni, cookies tal-preferenzi tal-utent għal servizz li l-utent qed juża b'mod attiv).

Il-predeċessur tal-Bord Ewropew għall-Protezzjoni tad-Data, il-Grupp ta' Ħidma tal-Artikolu 29, ipprovda gwida dettaljata dwar liema cookies jikkwalifikaw bħala strettament neċessarji fl-Opinjoni 04/2012. L-eżempji jinkludu:

• Eżentati (l-ebda kunsens meħtieġ): Cookies tas-sessjoni għall-input tal-utent (formoli b'diversi passi), cookies ta' awtentikazzjoni, cookies tal-basket tax-xiri, cookies tas-sigurtà (tokens CSRF), cookies tas-sessjoni tal-plejer multimedjali, cookies tal-load-balancing, cookies ta' personalizzazzjoni tal-UI (preferenza tal-lingwa) għas-sessjoni attwali.
• Mhux eżentati (kunsens meħtieġ): Cookies tal-analytics (inkluż Google Analytics), cookies tar-reklamar, cookies tal-kondiviżjoni/traċċar tal-midja soċjali, cookies persistenti tal-preferenzi li jibqgħu lil hinn mis-sessjoni, kwalunkwe cookies ta' traċċar minn partijiet terzi.

Id-distinzjoni kritika hija bejn il-cookies li jaqdu t-talba espliċita tal-utent u l-cookies li jaqdu l-interessi tal-operatur tas-sit web. Cookie tal-preferenza tal-lingwa li tiġi stabbilita minħabba li l-utent ikklikkja selettur tal-lingwa hija strettament neċessarja. Cookie tal-analytics stabbilita biex tgħin lill-operatur tas-sit web jifhem it-traffiku mhijiex — anke jekk l-operatur iqisha importanti.

Kif ePrivacy u GDPR Jaħdmu Flimkien

Ir-relazzjoni bejn id-Direttiva ePrivacy u l-GDPR hija waħda ta' lex specialis (liġi speċifika) u lex generalis (liġi ġenerali). Id-Direttiva ePrivacy hija l-liġi speċifika li tirregola l-privatezza fil-komunikazzjonijiet elettroniċi, filwaqt li l-GDPR huwa l-qafas ġenerali tal-protezzjoni tad-data.

F'termini prattiċi:

• Id-Direttiva ePrivacy tirregola jekk tistax tqiegħed cookie fuq it-tagħmir ta' utent. Tirrikjedi kunsens għal cookies mhux essenzjali, irrispettivament minn jekk il-cookie ikunx fih data personali.
• Il-GDPR jirregola x'jikkostitwixxi kunsens validu u kif tista' tipproċessa kwalunkwe data personali miġbura permezz ta' cookies. Jipprovdi wkoll il-qafas tal-infurzar, inkluż id-dritt li jitressqu lmenti mal-DPAs u r-reġim ta' multi sostanzjali.

Dan ifisser li anke cookie li ma jkunx fih data personali (pereżempju, identifikatur tal-analytics iġġenerat b'mod każwali mingħajr rabta ma' kwalunkwe data oħra) xorta jeħtieġ kunsens skont id-Direttiva ePrivacy, minħabba li l-Artikolu 5(3) japplika għal kwalunkwe ħażna fuq it-tagħmir tal-utent — mhux biss ħażna ta' data personali.

Bil-kontra, jekk tipproċessa data personali permezz tal-cookies, trid tikkonforma mal-qafas sħiħ tal-GDPR: bażi legali, trasparenza, drittijiet tas-suġġett tad-data, valutazzjonijiet tal-impatt fuq il-protezzjoni tad-data, u l-obbligi l-oħra kollha.

Implimentazzjonijiet Nazzjonali

Minħabba li d-Direttiva ePrivacy hija direttiva u mhux regolament, kull Stat Membru tal-UE ittrasponiha fil-liġi nazzjonali b'ċerta varjazzjoni. Filwaqt li r-rekwiżit ewlieni — kunsens qabel cookies mhux essenzjali — huwa konsistenti fl-Istati Membri kollha, hemm differenzi notevoli fi:

• Intensità tal-infurzar: Franza (CNIL) u l-Italja (Garante) kienu l-aktar attivi fl-infurzar tal-cookies, filwaqt li pajjiżi oħra ffokaw ir-riżorsi tagħhom band'oħra.
• Eżenzjonijiet speċifiċi: Xi pajjiżi adottaw interpretazzjonijiet ftit usa' jew idjaq tal-eżenzjoni "strettament neċessarja".
• Cookies tal-analytics: Xi DPAs esploraw jekk għodod tal-analytics ikkonfigurati sew u li jippreservaw il-privatezza (eż. analytics anonimizzati mingħajr traċċar bejn is-siti) jistgħux jikkwalifikaw għal bażi ta' interess leġittimu. L-eżenzjoni tal-CNIL Franċiż għal għodod tal-kejl tal-udjenza taħt kundizzjonijiet speċifiċi hija l-aktar eżempju notevoli, għalkemm tibqa' kontroversjali.
• Ħitan tal-cookies: Il-legalità tal-ħitan tal-cookies (li jitolbu kunsens biex jiġi aċċessat sit web) tvarja skont il-ġurisdizzjoni. Id-DPA Olandiż u l-EDPB ħadu pożizzjoni stretta kontrihom, filwaqt li l-Conseil d'Etat Franċiż sabhom permissibbli taħt ċerti kundizzjonijiet.

Ir-Regolament ePrivacy Propost

Il-Kummissjoni Ewropea ppubblikat proposta għal Regolament ePrivacy f'Jannar 2017, maħsuba biex tissostitwixxi d-Direttiva ePrivacy u tallinja r-regoli tal-cookies mal-GDPR. Aktar minn disa' snin wara, ir-regolament għadu taħt negozjati, u dan jagħmlu wieħed mill-aktar proċessi leġiżlattivi twal fl-istorja tal-UE.

Bidliet Ewlenin fir-Regolament Propost

Filwaqt li t-test finali għadu ma ġiex miftiehem, il-proposta u l-pożizzjonijiet sussegwenti tal-Kunsill issuġġerew diversi bidliet sinifikanti:

• Applikabbiltà diretta: Bħala regolament u mhux direttiva, ir-Regolament ePrivacy japplika b'mod uniformi fl-Istati Membri kollha, u jelimina l-frammentazzjoni attwali.
• Kunsens ibbażat fuq il-browser: Il-proposti bikrija inkludew dispożizzjonijiet biex l-utenti jistabbilixxu l-preferenzi tal-cookies tagħhom fil-livell tal-browser aktar milli jwieġbu għal banners individwali tal-cookies fuq kull sit web. Dan jissemplifika drastikament l-esperjenza tal-utent, għalkemm l-isfidi tekniċi u politiċi huma sinifikanti.
• Ambitu estiż: Ir-regolament jestendi biex ikopri servizzi ta' komunikazzjoni over-the-top (OTT) bħal WhatsApp u Skype, li mhumiex koperti mid-direttiva attwali.
• Eżenzjonijiet aktar ċari: Ir-regolament għandu l-għan li jiċċara liema tipi ta' cookies huma eżentati mill-kunsens, u potenzjalment ikabbar l-eżenzjoni biex tinkludi ċerti tipi ta' kejl tal-udjenza.
• Regoli tal-metadata: Dispożizzjonijiet ġodda li jirregolaw l-ipproċessar tal-metadata tal-komunikazzjonijiet (data tal-lokalità, ħinijiet tal-konnessjoni) lil hinn minn dak li tkopri d-direttiva attwali.
• Infurzar armonizzat: Ir-regolament jistabbilixxi mekkaniżmu ta' infurzar konsistenti, x'aktarx immudellat fuq il-prinċipju one-stop-shop tal-GDPR.

Status Attwali u Kronoloġija

Sa kmieni fl-2026, ir-Regolament ePrivacy għadu f'negozjati ta' trilogu bejn il-Parlament Ewropew, il-Kunsill tal-UE, u l-Kummissjoni Ewropea. Il-progress kien bil-mod minħabba nuqqasijiet fundamentali ta' qbil dwar diversi punti, inkluż il-mekkaniżmu tal-kunsens ibbażat fuq il-browser, l-ambitu tal-eżenzjoni "strettament neċessarja", u r-regoli għall-ipproċessar tal-metadata.

L-aktar xenarju realistiku huwa li r-regolament mhux se jiġi ffinalizzat qabel l-2027 fl-aħjar każ, b'perjodu ta' tranżizzjoni addizzjonali ta' 12-24 xahar qabel ma jidħol fis-seħħ. L-operaturi tas-siti web għandhom ikomplu jikkonformaw mad-Direttiva ePrivacy attwali kif trasposta fil-liġi nazzjonali tagħhom, issupplimentata bil-qafas tal-kunsens tal-GDPR.

Implikazzjonijiet Prattiċi għas-Sidien tas-Siti Web

Irrispettivament mill-inċertezza regolatorja dwar ir-Regolament ePrivacy li ġej, ir-regoli attwali huma ċari u infurzati b'mod attiv. Is-sidien tas-siti web għandhom:

1. Jittrattaw ir-reġim attwali bħala l-bażi. Ir-rekwiżit tal-kunsens għal cookies mhux essenzjali huwa liġi stabbilita madwar l-UE. Tistenniex ir-Regolament ePrivacy biex timplimenta l-konformità.
2. Jimblukkaw cookies mhux essenzjali qabel il-kunsens. Dan huwa l-aktar aspett teknikament ta' sfida tal-konformità, iżda ma jistax jiġi nnegozjat. Il-mekkaniżmu tal-kunsens tal-cookies tiegħek irid jipprevjeni li skripts jistabbilixxu cookies sakemm l-utent ikun ta l-kunsens b'mod attiv.
3. Japplikaw l-istandard tal-kunsens tal-GDPR. Meta d-Direttiva ePrivacy tgħid "kunsens," tfisser kunsens tal-GDPR: mogħti liberament, speċifiku, informat, inekwivoku, u muri permezz ta' azzjoni affermattiva ċara.
4. Jiddokumentaw il-cookies strettament neċessarji tiegħek. Żomm rekord ċar ta' liema cookies tqis strettament neċessarji u għaliex. Kun ippreparat li tiġġustifika din il-klassifikazzjoni jekk tiġi kkontestata minn DPA.
5. Jimmonitorjaw l-iżviluppi nazzjonali. Minħabba li d-Direttiva ePrivacy hija implimentata b'mod differenti f'kull pajjiż, ibqa' informat dwar il-gwida u l-attività ta' infurzar tad-DPAs fil-pajjiżi fejn jinsabu l-utenti tiegħek.
6. Jħejju għar-Regolament ePrivacy. Filwaqt li l-kronoloġija hija inċerta, id-direzzjoni tal-vjaġġ hija ċara: regoli aktar armonizzati, mekkaniżmi tal-kunsens potenzjalment usa', u enfasi kontinwa fuq il-privatezza tal-utent. Il-bini ta' sistema robusta tal-immaniġġjar tal-kunsens issa jagħmel it-tranżizzjoni aktar bla intoppi meta tasal.

Id-Direttiva ePrivacy tista' tkun ta' aktar minn żewġ deċennji, iżda tibqa' l-pedament tal-liġi tal-cookies fl-Ewropa. Ikkombinata mal-qafas tal-kunsens tal-GDPR u l-programmi ta' infurzar attivi tad-DPAs nazzjonali, toħloq ambjent regolatorju fejn il-konformità tal-cookies mhijiex fakultattiva — hija obbligu legali b'konsegwenzi finanzjarji reali għan-nuqqas ta' konformità.