Съгласие или законен интерес: как да решите

В бранша има два лагера. Единият казва: Който разпознава само фирми, няма нужда от съгласие, законният интерес стига. Другият казва: Без съгласие в банера за бисквитки не върви изобщо. И двете страни са отчасти прави, защото говорят за различни пластове. Тази статия разделя пластовете и в края Ви дава пет въпроса в ръцете.

Тя е трезва класификация, а не правен съвет. За Вашата конкретна настройка решението принадлежи на Вашето консултиране по защита на данните.

Какво важи предварително: достъпът до крайното устройство

Преди да стане дума за GDPR, възниква друг въпрос: Достъпва ли скриптът устройството на посетителя? Директивата за ePrivacy (чл. 5, пар. 3) по принцип изисква съгласие за съхраняването на информация в крайното устройство и за четенето на такава информация. Изключено е онова, което е технически необходимо за услугата, изрично желана от ползвателя.

В Германия това е въведено в § 25 TDDDG, а в Австрия в § 165 Abs. 3 TKG 2021. И двете правила важат независимо от това дали накрая възникват лични данни. Решаващ е самият достъп.

Това засяга повече от бисквитките:

• Запис в паметта на сесията на браузъра (sessionStorage) е съхраняване в крайното устройство.
• Четенето на размера на екрана и езика на браузъра е четене на информация от крайното устройство, дори всяко отделно сведение да изглежда безобидно.
• Записите на кликове и движения на мишката във всеки случай не са нещо, от което посетителят има нужда за показването на страницата.

Германските надзорни органи заемат по това строга линия: измерването на обхвата и статистиката по правило не се считат за технически необходими. Който използва скрипт, който прави такива достъпи, трябва затова да изходи от необходимо съгласие. Това не е въпрос на вкус, а предпоставка, без която останалото изобщо не се достига.

Чл. 6, пар. 1, буква а срещу буква е

Едва след това идва въпросът на кое правно основание по GDPR се опира последващото обработване, доколкото е лично.

Дали един IP адрес изобщо е личен, изяснява IP адрес и GDPR: личен ли е?. Как двете стъпки на проверката са свързани, показва Разпознаване на посетители и GDPR: трезва оценка.

Съгласие (буква а). То трябва да е свободно, информирано, конкретно и недвусмислено. Може да се оттегли по всяко време. За него правното положение е ясно, щом банерът е построен чисто.

Законен интерес (буква е). Тук проверявате три неща: Има ли законен интерес (например подготовка на продажби в B2B)? Необходимо ли е обработването за това? И не преобладават ли интересите или основните права на засегнатите лица? Съображение 47 посочва като мерило разумните очаквания на засегнатите. Директният маркетинг според същото съображение може да е законен интерес.

Към това се добавя правото на възражение по чл. 21: засегнатите могат да възразят срещу обработване на основание буква е. Трябва да го направите практически възможно. Задълженията за информиране по чл. 13 и 14 важат и в двата случая.

Защо данните за поведение затрудняват претеглянето

Присвояването на фирма само по себе си често още може да се обоснове добре за претеглянето: сведението е оскъдно. Целта е ясна. По-трудно става, щом се добави поведение. Какви страници чете някой, колко дълго превърта и къде кликва, казва много за лицето, дори то да се появява само като посетител на една фирма. Видеото с мишката показва още повече. Колкото по-фино е наблюдението, толкова по-малко го очакват посетителите. Съответно е трудно да обосновете преобладаването на Вашия интерес.

Към това се добавя практически проблем: дори да можехте да спечелите претеглянето, това не Ви помага, докато съществува задължението за съгласие за достъпа до устройството. Съгласието тогава така или иначе е налице. Много говори за това да го използвате и като правно основание за обработването, вместо да поддържате две основания едно до друго.

Практичният път: категория „Статистика“, скрипт едва след това

Решението, което на практика най-често работи, е просто:

1. Вашият банер има собствена категория, обикновено „Статистика“ или „Анализ“.
2. Скриптът за разпознаване на посетители се зарежда едва след като посетителят е одобрил тази категория.
3. Без съгласие няма достъп до устройството и няма заявка към услугата.

Технически това върви през Вашия Tag Manager с Consent Mode или през управлението на съгласията на Вашия банер. Ръководство за това ще намерите в помощта под Съгласие в Tag Manager. Whovisit например предоставя шаблон за таг, който изчаква дадено съгласие за статистика, преди да зареди скрипта. За да издържи пътят, Вашият банер трябва обаче наистина да отразява категорията и да предава решението чисто към Tag Manager.

И Google Analytics по правило работи зад същата категория. Какво Analytics издава за фирмите и какво не, е описано в Разпознаване на фирми с Google Analytics: какво може и какво не.

Швейцария: логика на отказ

В Швейцария изходното положение е различно. Законът за далекосъобщенията (чл. 45c) изисква ползвателите да бъдат информирани за обработването на данни на тяхното устройство и да могат да го откажат. Тоест това е решение чрез възражение вместо предварително съгласие. Ревизираният закон за защита на данните (от 1 септември 2023 г.) по принцип също работи с прозрачност и възможност за възражение, а не с общо задължение за съгласие.

Ако имате посетители от Швейцария и от ЕС на една и съща страница, за посетителите от ЕС въпреки това важи по-строгото право. На практика това означава: единен банер със съгласие обикновено е най-простият път, и защото не можете надеждно да разделите посетителите по държава.

Вашият път към решението в пет въпроса

1. Достъпва ли скриптът устройството? (Съхраняване или четене, също памет на сесията, размер на екрана, език.) Ако да, за DE и AT по правило Ви е нужно съгласие. Продължете с въпрос 2.
2. Технически необходим ли е достъпът за желаното показване на страницата? При статистика и разпознаване на посетители почти винаги не.
3. Има ли Вашият банер категория, която подхожда на целта? Ако не, нагласете го, преди да вградите скрипта.
4. Наистина ли скриптът се зарежда едва след съгласието? Проверете в раздела Network на браузъра: преди съгласието не бива да отива заявка към услугата.
5. Пълна ли е информацията в декларацията за защита на данните? Има ли път за оттегляне? Цел, правно основание, получатели, срок на съхранение.

Ако на въпрос 1 отговорите с не, можете да помислите за буква е. При процедури с достъп до крайното устройство това на практика е рядко.

Източници

• Директива 2002/58/ЕО (ePrivacy), чл. 5, пар. 3
• GDPR, чл. 6, пар. 1, чл. 13, 14, 21, както и съображение 47
• § 25 TDDDG (Германия), § 165 Abs. 3 TKG 2021 (Австрия)
• Чл. 45c от закона за далекосъобщенията (Швейцария), закон за защита на данните (Швейцария) в редакцията от 1 септември 2023 г.
• Ръководство на Конференцията за защита на данните за доставчици на телемедии (актуална редакция)