Küpsiste nõusolek: mida seadus tegelikult nõuab

Küpsiste nõusolek on üks kõige valemini mõistetud nõudeid digitaalses privaatsuses. Paljud ettevõtted usuvad, et nad vastavad nõuetele, sest nad kuvavad küpsiste bännerit. Kuid bänner ei ole nõusolek. Nõusolek on konkreetne juriidiline mõiste täpsete nõuetega — ja nende nõuete täitmata jätmine võib tähendada, et kogu teie andmete kogumine on ebaseaduslik.

Õiguslik alus

Küpsiste nõusolek toetub kahele õiguslikule sambale:

ePrivacy direktiivi artikkel 5(3) kehtestab nõude: teabe salvestamine kasutaja seadmesse või sellele juurdepääs nõuab kasutaja nõusolekut, välja arvatud juhul, kui salvestamine on rangelt vajalik teenuse jaoks, mida kasutaja on selgesõnaliselt taotlenud. See on reegel, mis reguleerib konkreetselt küpsiseid.

GDPR-i artikkel 4(11) määratleb, mida nõusolek tähendab: „andmesubjekti „nõusolek" on vabatahtlik, konkreetne, teadlik ja ühemõtteline tahteavaldus, millega andmesubjekt kas avalduse vormis või selge nõusolekut väljendava tegevusega nõustub teda puudutavate isikuandmete töötlemisega."

Need kaks sätet toimivad koos. ePrivacy direktiiv ütleb teile, millal on nõusolek vajalik (mittevajalike küpsiste puhul). GDPR ütleb teile, milline kehtiv nõusolek välja näeb. Mõlemad peavad olema täidetud.

Kehtiva nõusoleku viis nõuet

Tuginedes GDPR-i artiklile 4(11), artiklile 7 ja EDPB nõusolekut käsitlevatele suunistele 05/2020, peab kehtiv küpsiste nõusolek vastama viiele kriteeriumile:

1. Vabatahtlik

Kasutajal peab olema tegelik valik. Nõusolek ei ole vabatahtlik, kui:

• Juurdepääs on tingimuslikult seotud nõusolekuga. Kui kasutaja ei saa veebisaiti kasutada ilma kõiki küpsiseid aktsepteerimata („küpsiste sein"), ei ole nõusolek vabatahtlik. EDPB on seda seisukohta kinnitanud, kuigi mõned riiklikud andmekaitseasutused lubavad piiratud küpsiste seinu teatud tingimustel — eriti kui on olemas tegelik alternatiiv (näiteks tasuline, küpsistevaba versioon).
• Esineb märkimisväärne võimuvahekord. Tööandja-töötaja või riigi-kodaniku suhetes ei pruugi nõusolek olla tõeliselt vaba. Enamiku veebisaitide puhul on see vähem asjakohane, kuid see on oluline avalike teenuste ja siseveebi platvormide puhul.
• Keeldumine on oluliselt keerulisem kui aktsepteerimine. Kui „Nõustu kõigiga" on silmapaistev nupp ja „Keeldu kõigist" nõuab seadetes navigeerimist, ei ole nõusolek vabatahtlik. Itaalia Garante ja Prantsuse CNIL on mõlemad andnud konkreetseid suuniseid, mis nõuavad, et küpsistest keeldumine oleks sama lihtne kui nendega nõustumine.

2. Konkreetne

Nõusolek tuleb anda iga eraldiseisva eesmärgi jaoks eraldi. Just seetõttu on olemas küpsiste kategooriad. Kehtiv nõusolekumehhanism peab võimaldama kasutajatel nõustuda analüütikaküpsistega, keeldudes samas turundusküpsistest, või vastupidi. Kõikide küpsiste koondamine ühte „nõustu" või „keeldu" valikusse ei vasta konkreetsuse nõudele — kuigi nii „Nõustu kõigiga" kui ka „Keeldu kõigist" pakkumine otseteedena koos kategooriapõhiste juhtelementidega on lubatud.

3. Teadlik

Enne nõusoleku andmist tuleb kasutajale öelda:

• Kes küpsiseid seab (veebisaidi operaator ja kõik kolmandad osapooled)
• Mida iga küpsiste kategooria teeb
• Kui kaua küpsised kestavad
• Kuidas nõusolek tagasi võtta

See teave tuleb esitada selgelt ja lihtsas keeles. 5000-sõnaline küpsiste poliitika, mis on peidetud kolme klõpsu taha, ei muuda nõusolekut ühelgi mõistlikul viisil „teadlikuks". Teie nõusolekumehhanismi esimene kiht peaks sisaldama piisavalt teavet, et kasutaja saaks teha teadliku otsuse.

4. Ühemõtteline

Nõusolek nõuab selget nõusolekut väljendavat tegevust. Kasutaja peab aktiivselt midagi tegema, et väljendada nõusolekut — klõpsama nupul, märkima kastikese, lülitama lülitit.

Mis EI kujuta endast ühemõttelist nõusolekut:

• Eelnevalt märgitud märkeruudud. Euroopa Kohus otsustas lõplikult kohtuasjas Planet49 (asi C-673/17, oktoober 2019), et eelnevalt märgitud kastikesed ei kujuta endast kehtivat nõusolekut. See kehtib küpsiste nõusoleku seadete puhul, kus kategooriad on vaikimisi märgitud.
• Jätkuv sirvimine. „Selle saidi kasutamist jätkates nõustute küpsistega" ei ole kehtiv nõusolek. Lihtsalt kerimine või lingil klõpsamine ei ole „ühemõtteline tahteavaldus". Mitmed andmekaitseasutused on seda kinnitanud ja EDPB suunised on selles punktis ühemõttelised.
• Brauseri seaded. Kasutaja brauseri seadetele kui nõusoleku vormile tuginemise on reguleerijad tagasi lükanud. Veebisaidi operaator peab nõusoleku saama otse.
• Vaikimine või tegevusetus. Kui kasutaja ignoreerib bännerit ja jätkab sirvimist, ei ole see nõusolek. Ühtegi küpsist ei tohiks paigutada enne, kui kasutaja on teinud aktiivse valiku.

5. Eelnev

Kuigi seda ei ole GDPR-i artiklis 4(11) eraldi elemendina loetletud, teeb ePrivacy direktiiv selgeks, et nõusolek tuleb saada enne küpsiste paigutamist. See on nõue, mida paljud veebisaidid ikka veel ei täida. Skriptid, mis käivituvad lehe laadimisel — seades analüütika- ja turundusküpsised enne, kui kasutaja on nõusolekubännerit üldse näinud — rikuvad seda põhinõuet.

Tehniliselt tähendab see, et mittevajalikud skriptid tuleb blokeerida seni, kuni nõusolek on antud. Lihtsalt bänneri kuvamine, samal ajal kui küpsiseid juba seatakse, ei täida eelneva nõusoleku nõuet.

Milline näeb kehtiv nõusolek praktikas välja

Nõuetele vastav küpsiste nõusoleku rakendus:

1. Blokeerib kõik mittevajalikud küpsised enne, kui kasutaja nõusolekumehhanismiga suhtleb.
2. Esitab selge esimese kihi, mis selgitab kasutatavate küpsiste kategooriaid, koos võimalustega iga kategooriaga nõustuda või sellest keelduda.
3. Pakub „Nõustu kõigiga" ja „Keeldu kõigist" sama silmapaistvuse tasemel — sama suurus, sama visuaalne kaal, sama arv nõutavaid klõpse.
4. Ei kasuta petlikke mustreid — ei eksitavaid nupuvärve, ei peidetud keeldumisvalikuid, ei segadust tekitavat keelt, ei nügimist aktsepteerimise poole.
5. Viitab üksikasjalikule küpsiste poliitikale, mis loetleb iga küpsise nime, eesmärgi, kestuse ja pakkuja järgi.
6. Salvestab nõusoleku koos ajatempliga ja konkreetsete kategooriatega, millega kasutaja nõustus või millest keeldus.
7. Käivitab ainult asjakohased skriptid pärast seda, kui nõusolek on antud selle konkreetse kategooria jaoks.

Nõusoleku elutsükkel

Nõusolek ei ole ühekordne sündmus. Sellel on elutsükkel, mida teie rakendus peab toetama:

Kogumine

Esmakülastus: kuvage nõusolekumehhanism, blokeerige mittevajalikud küpsised, oodake kasutaja tegevust.

Salvestamine

Kui nõusolek on antud, salvestage kasutaja valik rangelt vajalikku küpsisesse (selle küpsise jaoks pole nõusolekut vaja, kuna see on vajalik kasutaja privaatsuseelistuste austamiseks). Salvestage ka serveripoolne kirje nõusoleku tõendina.

Rakendamine

Järgnevatel lehe laadimistel lugege nõusolekuküpsist ja käivitage ainult need skriptid, mis vastavad kasutaja aktsepteeritud kategooriatele. Ärge kuvage bännerit uuesti — austage salvestatud valikut.

Tagasivõtmine

GDPR-i artikkel 7(3) on ühemõtteline: „Nõusoleku tagasivõtmine peab olema sama lihtne kui selle andmine." Teie veebisait peab pakkuma kasutajatele püsivat, kergesti juurdepääsetavat viisi oma küpsiste-eelistuste igal ajal muutmiseks. Levinud lähenemine on väike ikoon või link jaluses, mis avab uuesti nõusoleku haldamise liidese.

Uuendamine

Nõusolek ei kesta igavesti. CNIL soovitab nõusolekut uuendada iga 13 kuu järel. EDPB ei ole seadnud konkreetset kestust, kuid nõuab, et nõusolek jääks kehtivaks ja et kasutaja valik peegeldaks endiselt tema tegelikke soove. Parim praktika on küsida uuesti vähemalt kord aastas või iga kord, kui teie küpsiste kasutus oluliselt muutub.

Muudatused

Kui lisate uusi küpsiseid, uusi kolmandate osapoolte teenuseid või uusi eesmärke, ei pruugi olemasolev nõusolek neid enam katta. Kasutajatelt tuleks uuesti küsida nõusolekut (või selle andmisest keeldumist) uue töötlemise jaoks.

Nõusoleku kirjed ja tõendid

GDPR-i artikkel 7(1) sätestab: „Kui töötlemine põhineb nõusolekul, peab vastutav töötleja olema võimeline tõendama, et andmesubjekt on töötlemiseks nõusoleku andnud." Küpsiste nõusoleku puhul tähendab see, et peate säilitama kirjed selle kohta:

• Millal nõusolek anti (ajatempel)
• Millega kasutaja nõustus (millised kategooriad aktsepteeriti, millistest keelduti)
• Kuidas nõusolek koguti (milline nõusolekumehhanism sel ajal välja nägi — versiooniidentifikaator või ekraanipilt)
• Kes nõusoleku andis (tavaliselt anonümiseeritud identifikaator, mitte kasutaja nimi)

Kui reguleerija palub teil tõendada, et konkreetne küpsis paigutati kehtiva nõusolekuga, on need kirjed teie kaitse. Ilma nendeta ei ole teil tõendeid, et teie nõusolekumehhanism toimib — ja tõendamiskoormis lasub teil, mitte reguleerijal.

Levinud nõusoleku puudused

Kogu Euroopas läbi viidud jõustamismeetmete põhjal on need kõige sagedamini karistatud nõusoleku puudused:

1. Küpsised paigutatud enne nõusolekut. Analüütika- ja turundusskriptid, mis käivituvad lehe laadimisel, enne kui kasutaja bänneriga suhtleb.
2. Esimeses kihis puudub keeldumisvalik. Nõue, et kasutajad klõpsaksid küpsistest keeldumiseks „Seaded" või „Halda eelistusi", samal ajal kui „Nõustu kõigiga" on kohe saadaval.
3. Eelnevalt märgitud kategooriad. Nõusoleku lülitid, mis on vaikimisi „sees" analüütika ja turunduse jaoks.
4. Nõusoleku tagasivõtmise võimaluse puudumine. Kui bänner on suletud, ei ole kasutajal võimalust oma valikut muuta.
5. Nõusolekusein / küpsiste sein. Sisule juurdepääsu blokeerimine, kui kõiki küpsiseid ei aktsepteerita.
6. Eksitav kujundus. Rohelise kasutamine „Nõustu" jaoks ja halli „Keeldu" jaoks, aktsepteerimisnupu suuremaks tegemine või segadust tekitava keele kasutamine, näiteks „Jätka aktsepteerimata" vs „Nõustu ja jätka".

Passiro skannib teie veebisaidi küpsiste nõusoleku rakendust ja kontrollib neid levinud puudusi, aidates teil tuvastada ja parandada nõuetele vastavuse lünki enne, kui reguleerija seda teeb.

Järgmiseks: millal on nõusolek täpselt vajalik? Vastus hõlmab mõningaid olulisi nüansse, sealhulgas rangelt vajalike küpsiste erandit ja käimasolevat arutelu esimese osapoole analüütika ümber.