Kdaj je potrebna privolitev za piškotke?

Splošno pravilo je preprosto: privolitev je potrebna za vse piškotke, razen za tiste, ki so nujno potrebni. A podrobnosti so pomembne. Če natančno veste, kdaj je privolitev potrebna in kdaj ne, se izognete tako prekomerni skladnosti (nadlegovanje uporabnikov z nepotrebnimi pozivi za privolitev) kot pomanjkljivi skladnosti (nameščanje piškotkov brez pravne podlage).

Splošno pravilo

Člen 5(3) direktive o zasebnosti in elektronskih komunikacijah (ePrivacy) določa izhodišče:

Države članice zagotovijo, da je shranjevanje informacij ali pridobivanje dostopa do že shranjenih informacij v terminalski opremi naročnika ali uporabnika dovoljeno samo pod pogojem, da je zadevni naročnik ali uporabnik podal svojo privolitev, potem ko je prejel jasne in izčrpne informacije [...] o namenih obdelave.

To zajema vse piškotke, vso lokalno shrambo, vse shranjevanje ali dostop na ravni naprave. Če vaše spletno mesto karkoli zapiše v uporabnikovo napravo, je privolitev privzeta zahteva.

Izjema za nujno potrebne piškotke

Isti člen določa edino izjemo:

To ne preprečuje nikakršnega tehničnega shranjevanja ali dostopa, katerega izključni namen je izvedba prenosa sporočila po elektronskem komunikacijskem omrežju, ali ki je nujno potrebno, da lahko ponudnik storitve informacijske družbe, ki jo je naročnik ali uporabnik izrecno zahteval, to storitev zagotovi.

Ta izjema ima dva dela:

1. Tehnični prenos: piškotki, ki so tehnično potrebni za izvedbo komunikacije. To je ozka kategorija — v bistvu omejena na piškotke za porazdelitev obremenitve in podobne nujnosti na ravni omrežja.
2. Nujno potrebni za storitev: piškotki, ki so bistveni za storitev, ki jo je uporabnik izrecno zahteval. Ključna besedna zveza je »ki jo je naročnik ali uporabnik izrecno zahteval«. Storitev mora biti nekaj, kar je uporabnik zahteval, in piškotek mora biti nepogrešljiv za njeno zagotovitev.

Piškotki, ki so nujno potrebni (privolitev ni potrebna)

• Sejni piškotki za avtentikacijo. Ko se uporabnik prijavi, je sejni piškotek, ki ohranja njegovo prijavljeno stanje, nujno potreben za storitev, ki jo je zahteval (dostop do svojega računa).
• Piškotki nakupovalne košarice. Na spletni trgovini je piškotek, ki spremlja izdelke v košarici, nujno potreben za nakupovalno storitev, ki jo uporabnik uporablja.
• Žetoni za zaščito pred CSRF. Ti so nujno potrebni za varno delovanje oddaje obrazcev.
• Piškotki za shranjevanje nastavitev privolitve. Piškotek, ki shranjuje uporabnikove izbire glede privolitve, je nujno potreben — brez njega ne morete spoštovati njegovih nastavitev zasebnosti.
• Piškotki, povezani z vnosom. Piškotki, ki si zapomnijo vnos v obrazec skozi večstopenjski postopek (na primer postopek blagajne), ki ga je uporabnik sprožil.
• Piškotki za porazdelitev obremenitve. Tehnični piškotki, ki usmerjajo zahteve na pravi strežnik. Ti sodijo pod del izjeme, ki se nanaša na »prenos«.
• Piškotki za prilagajanje uporabniškega vmesnika. Ko uporabnik izrecno izbere jezik ali temo prek kontrolnika na strani, je piškotek, ki shranjuje to izbiro, nujno potreben za storitev, ki jo je zahteval. Vendar je to odvisno od konteksta — glejte spodaj.

Piškotki, ki NISO nujno potrebni (privolitev je potrebna)

• Analitični piškotki. Merjenje spletnega prometa koristi upravljavcu spletnega mesta, ne uporabniku. Uporabnik ni zahteval storitve analize prometa.
• Oglaševalski piškotki in piškotki za ponovno ciljanje. Ti služijo interesom oglaševalcev in upravljavca spletnega mesta, nikoli uporabniku.
• Piškotki za deljenje na družbenih omrežjih. Te nastavljajo tretjeosebna družbena omrežja, ne za storitev, ki jo je uporabnik zahteval.
• Piškotki za A/B-testiranje. Ti služijo optimizacijskim ciljem upravljavca.
• Piškotki za partnersko (affiliate) sledenje. Ti sledijo, kateri partner je uporabnika napotil, in služijo poslovnim interesom upravljavca.
• Trajni piškotki za prijavo (»zapomni si me«). EDPB je poudaril, da je sejni piškotek za trenutno prijavo sicer potreben, vendar trajni piškotek, ki ohranja uporabnika prijavljenega prek več sej, presega tisto, kar je nujno potrebno. Uporabnik bi se lahko preprosto znova prijavil.
• Piškotki za spremljanje zmogljivosti. Piškotki, ki se uporabljajo za spremljanje časov nalaganja strani, stopenj napak in podobnih tehničnih meril, služijo upravljavcu, ne uporabniku.

Razprava o lastni (first-party) analitiki

Eno najbolj spornih področij pri skladnosti glede piškotkov je vprašanje, ali se lahko lastni analitični piškotki uporabljajo brez privolitve. Odgovor se razlikuje glede na jurisdikcijo in se še razvija.

Stališče CNIL (Francija)

Francoski CNIL je izdal posebne smernice, v katerih navaja, da so lahko določeni piškotki za merjenje občinstva izvzeti iz privolitve, pod pogojem:

1. da je namen strogo omejen na merjenje občinstva (brez medspletnega sledenja);
2. da se podatki ne delijo s tretjimi osebami;
3. da so piškotki izključno lastni;
4. da se podatki uporabljajo le za pripravo anonimne statistike;
5. da imajo piškotki omejeno življenjsko dobo (največ 13 mesecev);
6. da so uporabniki obveščeni o njihovi uporabi;
7. da lahko uporabniki uporabo zavrnejo.

Pod temi pogoji CNIL šteje določena orodja (na primer Matomo, nastavljen v načinu, ki spoštuje zasebnost) za upravičena do izjeme. Google Analytics ne izpolnjuje pogojev, predvsem zato, ker Google obdeluje podatke na lastni infrastrukturi in jih lahko uporablja za lastne namene.

Stališče nizozemskega AP (Nizozemska)

Nizozemski Autoriteit Persoonsgegevens je podobno nakazal, da se lahko analitični piškotki z minimalnim vplivom na zasebnost uporabljajo brez privolitve, vendar je določil pogoje, primerljive s pogoji CNIL.

Druge jurisdikcije

Večina drugih evropskih nadzornih organov za varstvo podatkov ni sprejela izrecne izjeme za analitiko. ICO (Združeno kraljestvo) je izjavil, da analitični piškotki zahtevajo privolitev. Nemški nadzorni organi na splošno zahtevajo privolitev za vse nebistvene piškotke. Stališče španskega AEPD je usklajeno z zahtevo po privolitvi.

Praktično priporočilo

Če ne delujete izključno v Franciji ali na Nizozemskem in ne morete izpolniti vseh pogojev CNIL/AP, je najvarnejši pristop obravnavati analitične piškotke kot piškotke, ki zahtevajo privolitev. Če se vendarle zanašate na izjemo za analitiko, dokumentirajte svoje razloge, poskrbite, da izpolnjujete vse pogoje, in spremljajte regulativni razvoj — to področje se še razvija.

Izjeme od privolitve glede na namen piškotka: diagram odločanja

Za vsak piškotek na svojem spletnem mestu pojdite skozi ta vprašanja:

1. Je piškotek tehnično potreben za prenos komunikacije? (npr. porazdelitev obremenitve) Če da: privolitev ni potrebna. Če ne: nadaljujte.
2. Je uporabnik izrecno zahteval storitev, ki potrebuje ta piškotek? (npr. prijava, dodajanje izdelkov v košarico) Če da: nadaljujte. Če ne: privolitev je potrebna.
3. Ali zahtevana storitev brez tega konkretnega piškotka ne bi delovala? Če da: privolitev ni potrebna (nujno potreben). Če bi storitev delovala, a manj priročno: privolitev je potrebna.
4. Je piškotek lastni, omejen na agregirano analitiko, s podatki, ki se ne delijo s tretjimi osebami, in ali ste v jurisdikciji z izjemo za analitiko? Če je odgovor na vse pritrdilen: morda izvzet, a dokumentirajte svoje razloge. Če je odgovor na katerokoli vprašanje negativen: privolitev je potrebna.
5. V vseh drugih primerih: privolitev je potrebna.

Posebne situacije

Piškotni zidovi (cookie walls)

Piškotni zid blokira dostop do spletnega mesta, dokler uporabnik ne sprejme piškotkov. Stališče EDPB je, da piškotni zidovi na splošno preprečujejo, da bi bila privolitev »prostovoljna«, in zato niso skladni. Vendar so nekateri nadzorni organi (zlasti nizozemski AP, po sodni odločbi) nakazali, da so piškotni zidovi lahko sprejemljivi, če je ponujena resnična, enakovredna alternativa — na primer plačljiva različica storitve brez piškotkov. To ostaja sporno področje.

Plačljivi zid v primerjavi s piškotnim zidom

Nekateri založniki ponujajo model »privolitev ali plačilo«: sprejmete piškotke za sledenje in dobite brezplačen dostop ali pa plačate za izkušnjo brez piškotkov. EDPB je leta 2024 izdal mnenje o tej praksi, pri čemer je priznal, da je lahko pod določenimi pogoji dopustna, a izrazil zaskrbljenost, da mora biti alternativa s »plačilom« resnično razumna in ne določena po ceni, oblikovani za izsiljevanje privolitve.

Otroci

V skladu s členom 8 GDPR privolitev za storitve informacijske družbe, namenjene otrokom, zahteva preverjanje, za otroke pod določeno starostjo (od 13 do 16 let, odvisno od države članice) pa privolitev staršev. Če je vaše spletno mesto namenjeno otrokom, so zahteve glede privolitve za piškotke strožje.

Zaposleni in konteksti B2B

Direktiva ePrivacy velja za »naročnika ali uporabnika« — ne le za potrošnike. Če vaša platforma B2B SaaS uporablja nebistvene piškotke, je privolitev še vedno potrebna od posameznega uporabnika, tudi v poslovnem kontekstu.

Kaj se zgodi brez veljavne privolitve

Če namestite nebistvene piškotke brez veljavne privolitve:

• Podatki, ki jih zbirate, so lahko nezakoniti tako po direktivi ePrivacy kot po GDPR.
• Grozijo vam potencialne globe po GDPR do 20 milijonov EUR ali 4 % svetovnega letnega prometa, kar je višje (člen 83(5)).
• Lahko vam naložijo izbris nezakonito zbranih podatkov.
• Vaši analitični in oglaševalski podatki so lahko oporečni — če je pravna podlaga za zbiranje neveljavna, podatkov ni mogoče zakonito uporabljati.
• Nadaljnji prejemniki teh podatkov (oglaševalska omrežja, ponudniki analitike) so lahko prav tako odgovorni.

To niso hipotetična tveganja. CNIL je izrecno zaradi kršitev glede privolitve za piškotke oglobil Google z 150 milijoni EUR in Facebook s 60 milijoni EUR. Manjša podjetja so bila za podobne napake oglobljena z desettisoči evrov.

Passiro prepozna vsak piškotek na vašem spletnem mestu in označi tiste, ki zahtevajo privolitev, tako da ste lahko prepričani, da vaš mehanizem za privolitev zajema prave piškotke — nič več in nič manj.

Nato primerjajmo dva temeljna modela privolitve: opt-in v primerjavi z opt-out in kje se uporablja kateri.