Opt-in vs. opt-out: kahe nõusolekumudeli mõistmine

Küpsiste nõusolekule on maailmas kaks põhimõtteliselt erinevat lähenemist. Euroopa Liit nõuab opt-in-mudelit: mingeid küpsiseid enne, kui kasutaja ütleb jah. Ameerika Ühendriigid lubavad (enamikus osariikides) opt-out-mudelit: küpsised paigaldatakse vaikimisi ja kasutaja saab öelda ei. Nende kahe mudeli — nende õigusliku aluse, tagajärgede ja kohaldamisala — mõistmine on hädavajalik igale ülemaailmse sihtrühmaga veebisaidile.

Opt-in-mudel

Opt-in-mudeli kohaselt ei tohi mitteolulisi küpsiseid paigaldada enne, kui kasutaja on andnud selgesõnalise ja aktiivse nõusoleku. Kui kasutaja midagi ei tee, siis ka küpsiseid ei paigaldata. Just selle mudeli näeb ette EL-i e-privaatsuse direktiiv (artikkel 5 lõige 3), tõlgendatuna GDPR-i nõusoleku määratluse kaudu (artikkel 4 punkt 11).

Kuidas opt-in praktikas toimib

1. Kasutaja külastab veebisaiti esimest korda.
2. Aktiivsed on ainult rangelt vajalikud küpsised. Analüütika-, turundus- ja eelistuste küpsised on blokeeritud.
3. Ilmub nõusolekumehhanism, mis tutvustab küpsisekategooriaid ja palub kasutajal teha valik.
4. Kasutaja valib aktiivselt, milliseid kategooriaid vastu võtta (või klõpsab „Nõustu kõigiga“ või „Keeldu kõigist“).
5. Laaditakse ainult vastuvõetud kategooriatele vastavad skriptid.
6. Kui kasutaja midagi ei tee, ei seata ühtki mitteolulist küpsist. Nõusolekumehhanism jääb nähtavaks (või kättesaadavaks), kuni kasutaja teeb valiku.

Õiguslik alus

Opt-in-nõue tuleneb kahest allikast:

• E-privaatsuse direktiivi artikkel 5 lõige 3: nõuab „nõusolekut“ enne teabe salvestamist kasutaja seadmesse.
• GDPR-i artikkel 4 punkt 11: määratleb nõusoleku „selge kinnitava toimingu“ nõudmisena — mis välistab tegevusetuse, eelnevalt märgitud kastikesed ja eeldatava nõustumise.
• Euroopa Kohtu Planet49 otsus (C-673/17): kinnitas, et nõutav on aktiivne nõusolek ning eelnevalt märgitud kastikesed ei kujuta endast kehtivat nõusolekut.

Kus opt-in kehtib

Kõigis EL/EMP liikmesriikides (27 EL-i riiki ning Norra, Island ja Liechtenstein), samuti Ühendkuningriigis (mis säilitas pärast Brexitit e-privaatsuse reeglid Privacy and Electronic Communications Regulations ehk PECR kaudu).

Tagajärjed veebisaidi haldajatele

• Arvestage märkimisväärse nõusolekust keeldumise määraga. Valdkonna andmed viitavad, et 30–50% Euroopa külastajatest keeldub mitteolulistest küpsistest, kui neile antakse tegelik valik.
• Analüütikaandmed jäävad puudulikuks. Teil on andmed ainult nõusoleku andnud kasutajate kohta. See ei ole viga — see on regulatsiooni kavatsetud tulemus.
• Skriptide laadimine peab olema tingimuslik. Vajate tehnilist mehhanismi, mis blokeerib skriptid, kuni nõusolek on registreeritud. Seda ei saa teha ainult bänneriga — see nõuab tegelikku skriptihaldust.

Opt-out-mudel

Opt-out-mudeli kohaselt võib küpsiseid vaikimisi paigaldada. Kasutajal on õigus keelduda või loobuda, kuid kui ta midagi ei tee, on jälgimine lubatud. Seda mudelit kasutatakse Ameerika Ühendriikides ja mitmes muus jurisdiktsioonis.

Kuidas opt-out praktikas toimib

1. Kasutaja külastab veebisaiti.
2. Kõik küpsised — sealhulgas analüütika- ja turundusküpsised — paigaldatakse kohe.
3. Teade teavitab kasutajat, et küpsiseid kasutatakse, ja pakub loobumise võimalust.
4. Kui kasutaja midagi ei tee, jäävad küpsised aktiivseks.
5. Kui kasutaja loobub, austatakse tema eelistusi edaspidi (ja mõnes jurisdiktsioonis võib olla vaja varem kogutud andmed kustutada).

Õiguslik alus

Opt-out-mudel esineb järgmistes raamistikes:

• CCPA/CPRA (California): California tarbijatel on õigus loobuda isikuandmete „müügist“ või „jagamisest“. Kontekstideülese käitumusliku reklaami eesmärgil kasutatavad küpsised kujutavad CPRA kohaselt endast „jagamist“. Kohustus on pakkuda loobumismehhanismi (sageli lingi „Ära müü ega jaga minu isikuandmeid“ kaudu), mitte hankida eelnevat nõusolekut.
• CAN-SPAM Act ja FTC juhised: USA föderaalne lähenemine veebipõhisele jälgimisele on ajalooliselt olnud teavitamine-ja-valik, mitte kinnitav nõusolek.
• Mitmesugused USA osariigi seadused: Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA) ja teised järgivad opt-out-mudeli variatsioone sihtreklaami ja andmemüügi puhul.

Kus opt-out kehtib

Ameerika Ühendriikides (osariigiti erinevalt), Kanadas (PIPEDA — kuigi see võib kavandatavate reformidega muutuda), Austraalias (Privacy Act alusel — samuti ülevaatamisel) ja mitmes muus jurisdiktsioonis väljaspool EL/EMP-d.

Tagajärjed veebisaidi haldajatele

• Vaikimisi kogutakse rohkem andmeid. Kuna küpsised paigaldatakse, kui kasutaja ei ole vastu, on analüütika- ja reklaamiandmed täielikumad.
• Tuleb pakkuda selget loobumismehhanismi. CCPA/CPRA kohaselt tähendab see linki „Ära müü ega jaga minu isikuandmeid“, mis on hõlpsasti leitav ja kasutatav.
• Tuleb austada Global Privacy Controli (GPC). California seadus nõuab, et ettevõtted käsitleksid GPC brauserisignaali kehtiva loobumistaotlusena.

Üksikasjalik võrdlus

Kas eri piirkondades võib kasutada erinevaid mudeleid?

Jah, ja paljud ülemaailmsed veebisaidid seda teevadki. Seda lähenemist nimetatakse geo-suunatud nõusolekuhalduseks. Veebisait tuvastab külastaja asukoha (tavaliselt IP-geolokatsiooni abil) ja esitab sobiva nõusolekumudeli:

• EL/EMP/Ühendkuningriigi külastajad: opt-in-mudel detailse nõusolekuga.
• California külastajad: opt-out-mudel lingiga „Ära müü ega jaga“.
• Muud USA külastajad: ainult teavitamine (sõltuvalt osariigi seaduse kohaldatavusest).
• Muud jurisdiktsioonid: kohaldatava kohaliku õiguse alusel.

Geo-suunamise väljakutsed

• IP-geolokatsioon ei ole täiuslik. VPN-kasutajad võivad jääda valesse asukohta. Mobiilikasutajad võivad liikuda jurisdiktsioonide vahel.
• Hoolduskoormus. Peate jälgima regulatiivseid arenguid igas jurisdiktsioonis, mida teenindate, ja uuendama vastavalt oma nõusolekuvooge.
• Testimise keerukus. Peate kontrollima, et iga piirkondlik variant toimiks õigesti — erinevad bännerid, erinevad vaikeolekud, erinev skriptide blokeerimiskäitumine.
• GDPR kehtib eksterritoriaalselt. Kui suunate teenuse EL-i kasutajatele (artikkel 3 lõige 2), kehtib GDPR olenemata teie ettevõtte asukohast. „Suunamine“ hõlmab kaupade või teenuste pakkumist EL-i elanikele või nende käitumise jälgimist.

Parim tava: vaikimisi opt-in

Kui mitme nõusolekumudeli haldamine tundub üle jõu käiv, on olemas lihtsam tee: rakendage vaikimisi opt-in-mudelit ülemaailmselt.

Miks see toimib:

1. Vastavus kõikjal. Opt-in-mudel täidab kõige rangemad nõuded. Kui järgite GDPR-i nõusolekunõudeid, ületate automaatselt CCPA, LGPD ja enamiku muude raamistike nõudeid.
2. Lihtsus. Üks nõusolekumehhanism, üks rakendus, üks testide komplekt. Ei mingit geo-tuvastust, piirkondlikke variante ega erijuhtumeid.
3. Tulevikukindlus. Ülemaailmne suundumus liigub rangemate nõusolekunõuete poole. Kavandatavad reformid USA-s, Kanadas, Austraalias ja Indias liiguvad kõik selgesõnalisema nõusoleku suunas. Kui ehitate praegu opt-in-mudelile, ei pea hiljem ümber tegema.
4. Kasutajate usaldus. Kasutajad üle maailma reageerivad läbipaistvatele ja lugupidavatele nõusolekutavadele positiivselt. Tegeliku valiku pakkumine — isegi seal, kus seadus seda rangelt ei nõua — loob usaldust ja brändi usaldusväärsust.
5. Andmete kvaliteet. Nõusolekuga kogutud andmed on puhtamad, paremini põhjendatavad ja väärtuslikumad kui õigusliku ebamäärasuse kaudu kogutud andmed.

Kompromiss on reaalne: kogute ülemaailmselt vähem andmeid. Kuid andmed, mida kogute, on õiguslikult korrektsed, eetiliselt puhtad ja üha väärtuslikumad, kuna kolmandate osapoolte andmed muutuvad vähem kättesaadavaks.

Uued arengud

Nõusolekumaastik ei ole staatiline. Mitut arengut tasub jälgida:

• E-privaatsuse määrus. EL on alates 2017. aastast töötanud e-privaatsuse direktiivi asendaja kallal. Kui see vastu võetakse, saab sellest otsekohalduv määrus (nagu GDPR), mitte direktiiv, mis vajab riiklikku ülevõtmist. Küpsiste nõusolekureeglid jäävad eeldatavasti praeguse raamistikuga sarnaseks või muutuvad rangemaks.
• Global Privacy Control (GPC). See brauseritasandi signaal edastab kasutaja privaatsuseelistusi automaatselt. California seadus juba nõuab GPC austamist. Sama teevad Colorado ja Connecticut. Sellest võib saada standardmehhanism loobumiseelistuste edastamiseks.
• „Nõusolek või maksa“ mudelid. EDPB 2024. aasta arvamus „nõusoleku või maksmise“ kohta (eelkõige Meta lähenemise kontekstis) kujundab seda, kuidas reguleerijad näevad nõusoleku ja teenustele juurdepääsu vahelist suhet.
• Brauseritasandi nõusolek. Mõned ettepanekud viiksid nõusolekuhalduse üksikutelt veebisaitidelt brauserisse endasse, kus kasutajad seavad oma eelistused ühe korra, mitte igal saidil eraldi. See muudaks põhimõtteliselt seda, kuidas nõusolek praktikas toimib.

Passiro aitab teil rakendada teie sihtrühmale õiget nõusolekumudelit, tuvastades ja kategoriseerides automaatselt kõik teie saidi küpsised — olenemata sellest, kas valite opt-in-, opt-out- või geo-suunatud lähenemise.

Meie viimases osas vaatleme nõusoleku parimaid tavasid — praktilisi ja rakendatavaid juhiseid, kuidas rakendada nõusolekut, mis on nii nõuetele vastav kui ka kasutajasõbralik.