Sutikimas dėl slapukų: ko iš tikrųjų reikalauja įstatymas

Sutikimas dėl slapukų yra vienas dažniausiai neteisingai suprantamų skaitmeninės privatumo apsaugos reikalavimų. Daugelis įmonių mano, kad laikosi reikalavimų vien todėl, kad rodo slapukų juostą. Tačiau juosta nėra sutikimas. Sutikimas yra konkreti teisinė sąvoka su tiksliais reikalavimais — o šių reikalavimų neatitikimas gali reikšti, kad visas jūsų duomenų rinkimas yra neteisėtas.

Teisinis pagrindas

Sutikimas dėl slapukų remiasi dviem teisiniais ramsčiais:

ePrivacy direktyvos 5 straipsnio 3 dalis nustato reikalavimą: informacijos saugojimui ar prieigai prie jos naudotojo įrenginyje reikalingas naudotojo sutikimas, nebent saugojimas yra būtinas paslaugai, kurios naudotojas aiškiai paprašė. Būtent ši taisyklė reguliuoja slapukus.

GDPR 4 straipsnio 11 punktas apibrėžia, ką reiškia sutikimas: „duomenų subjekto sutikimas – bet koks laisva valia duotas, konkretus ir informacija pagrįstas bei vienareikšmis tinkamai informuoto duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais veiksmais, kuriais jis sutinka, kad būtų tvarkomi su juo susiję asmens duomenys.“

Šios dvi nuostatos veikia kartu. ePrivacy direktyva nurodo, kada reikalingas sutikimas (nebūtiniems slapukams). GDPR nurodo, koks yra galiojantis sutikimas. Abu reikalavimai turi būti tenkinami.

Penki galiojančio sutikimo reikalavimai

Remiantis GDPR 4 straipsnio 11 punktu, 7 straipsniu ir EDPB gairėmis 05/2020 dėl sutikimo, galiojantis sutikimas dėl slapukų turi atitikti penkis kriterijus:

1. Duotas laisva valia

Naudotojas turi turėti tikrą pasirinkimą. Sutikimas nėra laisvas, jei:

• Prieiga priklauso nuo sutikimo. Jei naudotojas negali naudotis svetaine nepriimdamas visų slapukų („slapukų siena“), sutikimas nėra duotas laisva valia. EDPB patvirtino šią poziciją, nors kai kurios nacionalinės DPA tam tikromis aplinkybėmis leidžia ribotas slapukų sienas — ypač jei egzistuoja tikra alternatyva (pavyzdžiui, mokama versija be slapukų).
• Yra ryškus galios disbalansas. Darbdavio ir darbuotojo arba valdžios ir piliečio santykiuose sutikimas gali būti ne visiškai laisvas. Daugumai svetainių tai mažiau aktualu, tačiau svarbu valdžios paslaugoms ir intraneto platformoms.
• Atsisakyti gerokai sunkiau nei sutikti. Jei „Priimti visus“ yra ryškus mygtukas, o „Atmesti visus“ reikalauja naršyti per nustatymus, sutikimas nėra duotas laisva valia. Italijos Garante ir Prancūzijos CNIL abi išleido specialias gaires, reikalaujančias, kad slapukų atmetimas būtų toks pat lengvas kaip jų priėmimas.

2. Konkretus

Sutikimas turi būti duodamas kiekvienam atskiram tikslui atskirai. Būtent dėl to egzistuoja slapukų kategorijos. Galiojantis sutikimo mechanizmas turi leisti naudotojams priimti analitikos slapukus, bet atmesti rinkodaros slapukus, arba atvirkščiai. Visų slapukų sujungimas į vieną mygtuką „priimti“ arba „atmesti“ neatitinka konkretumo reikalavimo — nors greitieji mygtukai „Priimti visus“ ir „Atmesti visus“ kartu su kategorijų valdikliais yra priimtini.

3. Informacija pagrįstas

Prieš duodamas sutikimą, naudotojas turi būti informuotas:

• Kas nustato slapukus (svetainės operatorius ir bet kokios trečiosios šalys)
• Ką atlieka kiekviena slapukų kategorija
• Kiek laiko galioja slapukai
• Kaip atšaukti sutikimą

Ši informacija turi būti pateikta aiškiai ir paprasta kalba. 5 000 žodžių slapukų politika, paslėpta už trijų paspaudimų, jokia prasminga prasme nepadaro sutikimo „informacija pagrįsto“. Pirmasis jūsų sutikimo mechanizmo sluoksnis turėtų apimti pakankamai informacijos, kad naudotojas galėtų priimti pagrįstą sprendimą.

4. Vienareikšmis

Sutikimui reikalingas aiškus vienareikšmis veiksmas. Naudotojas turi aktyviai ką nors atlikti, kad išreikštų sutikimą — paspausti mygtuką, pažymėti langelį, perjungti jungiklį.

Kas NĖRA vienareikšmis sutikimas:

• Iš anksto pažymėti žymimieji langeliai. ESTT galutinai nusprendė byloje Planet49 (byla C-673/17, 2019 m. spalio mėn.), kad iš anksto pažymėti langeliai nėra galiojantis sutikimas. Tai taikoma slapukų sutikimo nustatymams, kur kategorijos pažymėtos pagal numatytuosius nustatymus.
• Tolesnis naršymas. „Toliau naudodamiesi šia svetaine sutinkate su slapukais“ nėra galiojantis sutikimas. Paprastas slinkimas ar nuorodos paspaudimas nėra „vienareikšmis valios išreiškimas“. Kelios DPA tai patvirtino, o EDPB gairės šiuo klausimu yra aiškios.
• Naršyklės nustatymai. Reguliuotojai atmetė galimybę naudoti naudotojo naršyklės nustatymus kaip sutikimo formą. Svetainės operatorius turi gauti sutikimą tiesiogiai.
• Tylėjimas ar neveikimas. Jei naudotojas ignoruoja juostą ir toliau naršo, tai nėra sutikimas. Jokie slapukai neturėtų būti nustatomi, kol naudotojas nepadarė aktyvaus pasirinkimo.

5. Išankstinis

Nors GDPR 4 straipsnio 11 punkte tai nenurodyta kaip atskiras elementas, ePrivacy direktyva aiškiai nurodo, kad sutikimas turi būti gautas prieš nustatant slapukus. Būtent šio reikalavimo daugelis svetainių vis dar neatitinka. Scenarijai, kurie suveikia įkeliant puslapį — nustatydami analitikos ir rinkodaros slapukus dar prieš naudotojui pamatant sutikimo juostą — pažeidžia šį esminį reikalavimą.

Techniškai tai reiškia, kad nebūtini scenarijai turi būti blokuojami, kol duodamas sutikimas. Vien juostos rodymas, kai slapukai jau nustatomi, neatitinka išankstinio sutikimo reikalavimo.

Kaip galiojantis sutikimas atrodo praktikoje

Reikalavimus atitinkantis sutikimo dėl slapukų įgyvendinimas:

1. Blokuoja visus nebūtinus slapukus prieš naudotojui sąveikaujant su sutikimo mechanizmu.
2. Pateikia aiškų pirmąjį sluoksnį, kuriame paaiškinamos naudojamų slapukų kategorijos su galimybe priimti ar atmesti kiekvieną kategoriją.
3. Siūlo „Priimti visus“ ir „Atmesti visus“ vienodo ryškumo — vienodo dydžio, vienodo vizualinio svorio, reikalaujant vienodo paspaudimų skaičiaus.
4. Nenaudoja apgaulingų šablonų — jokių klaidinančių mygtukų spalvų, paslėptų atmetimo parinkčių, painios kalbos ar stūmimo link priėmimo.
5. Pateikia nuorodą į išsamią slapukų politiką, kurioje išvardyti visi slapukai pagal pavadinimą, tikslą, trukmę ir teikėją.
6. Įrašo sutikimą su laiko žyma ir konkrečiomis kategorijomis, kurias naudotojas priėmė ar atmetė.
7. Paleidžia atitinkamus scenarijus tik gavus sutikimą dėl tos konkrečios kategorijos.

Sutikimo gyvavimo ciklas

Sutikimas nėra vienkartinis įvykis. Jis turi gyvavimo ciklą, kurį jūsų įgyvendinimas turi palaikyti:

Rinkimas

Pirmasis apsilankymas: parodykite sutikimo mechanizmą, užblokuokite nebūtinus slapukus, laukite naudotojo veiksmo.

Saugojimas

Kai duodamas sutikimas, išsaugokite naudotojo pasirinkimą būtiname slapuke (šiam slapukui sutikimo nereikia, nes jis būtinas siekiant gerbti naudotojo privatumo nuostatas). Taip pat išsaugokite serverio pusės įrašą kaip sutikimo įrodymą.

Taikymas

Vėlesnių puslapio įkėlimų metu perskaitykite sutikimo slapuką ir paleiskite tik tuos scenarijus, kurie atitinka naudotojo priimtas kategorijas. Nerodykite juostos iš naujo — gerbkite išsaugotą pasirinkimą.

Atšaukimas

GDPR 7 straipsnio 3 dalis yra aiški: „Atšaukti sutikimą turi būti taip pat lengva, kaip ir jį duoti.“ Jūsų svetainė turi suteikti nuolatinį, lengvai prieinamą būdą naudotojams bet kada keisti savo slapukų nuostatas. Įprastas sprendimas — mažas piktograma ar nuoroda poraštėje, kuri iš naujo atveria sutikimo valdymo sąsają.

Atnaujinimas

Sutikimas negalioja amžinai. CNIL rekomenduoja atnaujinti sutikimą kas 13 mėnesių. EDPB nenustatė konkrečios trukmės, tačiau reikalauja, kad sutikimas išliktų galiojantis ir kad naudotojo pasirinkimas vis dar atspindėtų jo tikrąją valią. Geriausia praktika — iš naujo paprašyti sutikimo bent kartą per metus arba kai reikšmingai keičiasi jūsų slapukų naudojimas.

Pakeitimai

Jei pridedate naujų slapukų, naujų trečiųjų šalių paslaugų ar naujų tikslų, esamas sutikimas gali jų nebeapimti. Naudotojų reikėtų iš naujo paprašyti duoti (arba nesuteikti) sutikimo dėl naujo tvarkymo.

Sutikimo įrašai ir įrodymai

GDPR 7 straipsnio 1 dalyje teigiama: „Kai duomenys tvarkomi remiantis sutikimu, duomenų valdytojas turi galėti įrodyti, kad duomenų subjektas davė sutikimą.“ Kalbant apie sutikimą dėl slapukų, tai reiškia, kad turite saugoti įrašus apie:

• Kada buvo duotas sutikimas (laiko žyma)
• Su kuo naudotojas sutiko (kurios kategorijos buvo priimtos, kurios atmestos)
• Kaip buvo surinktas sutikimas (kaip tuo metu atrodė sutikimo mechanizmas — versijos identifikatorius ar ekrano kopija)
• Kas davė sutikimą (paprastai anonimizuotas identifikatorius, o ne naudotojo vardas)

Jei reguliuotojas paprašys įrodyti, kad konkretus slapukas buvo nustatytas su galiojančiu sutikimu, šie įrašai yra jūsų gynyba. Be jų neturite jokių įrodymų, kad jūsų sutikimo mechanizmas veikia — o įrodinėjimo našta tenka jums, o ne reguliuotojui.

Dažni sutikimo pažeidimai

Remiantis vykdymo veiksmais visoje Europoje, tai yra dažniausiai baudžiami sutikimo pažeidimai:

1. Slapukai nustatyti prieš sutikimą. Analitikos ir rinkodaros scenarijai suveikia įkeliant puslapį, prieš naudotojui sąveikaujant su juosta.
2. Nėra atmetimo parinkties pirmajame sluoksnyje. Reikalaujama, kad naudotojai spustelėtų „Nustatymai“ ar „Valdyti nuostatas“, norėdami atmesti slapukus, o „Priimti visus“ yra iš karto prieinama.
3. Iš anksto pažymėtos kategorijos. Sutikimo jungikliai, kurie pagal numatytuosius nustatymus yra „įjungti“ analitikai ir rinkodarai.
4. Nėra būdo atšaukti sutikimą. Kartą uždarius juostą, naudotojas nebeturi būdo pakeisti savo pasirinkimo.
5. Sutikimo siena / slapukų siena. Blokuojama prieiga prie turinio, jei nepriimami visi slapukai.
6. Klaidinantis dizainas. Naudojama žalia spalva mygtukui „Priimti“ ir pilka „Atmesti“, priėmimo mygtukas padaromas didesnis arba naudojama paini kalba, pavyzdžiui, „Tęsti nepriimant“ ir „Priimti ir tęsti“.

Passiro nuskaito jūsų svetainės sutikimo dėl slapukų įgyvendinimą ir tikrina, ar nėra šių dažnų pažeidimų, padėdamas nustatyti ir ištaisyti atitikties spragas anksčiau nei tai padarys reguliuotojas.

Toliau: kada tiksliai reikalingas sutikimas? Atsakymas apima keletą svarbių niuansų, įskaitant griežtai būtinų slapukų išimtį ir vykstančias diskusijas dėl pirmosios šalies analitikos.