Cookies v Rakousku: výklad § 165 TKG 2021

V Rakousku neexistuje vlastní cookie paragraf v zákoně o ochraně údajů. Pravidlo stojí v telekomunikačním zákoně 2021 (TKG 2021) a proto snadno unikne pozornosti. Tento článek vysvětluje, co § 165 odst. 3 TKG 2021 vyžaduje, jaké výjimky platí a jak předpis souvisí s GDPR.

Co stojí v zákoně

Znění § 165 odst. 3 TKG 2021 je v Právním informačním systému spolku. Obsahuje dvě povinnosti pro poskytovatele služby informační společnosti, tedy i pro provozovatele webů:

1. Informace. Musíte uživatele informovat, které osobní údaje zpracováváte, na jakém právním základě, k jakým účelům a jak dlouho se údaje ukládají.
2. Souhlas. Zjišťování těchto údajů je přípustné jen tehdy, pokud uživatel udělil souhlas aktivně a na základě jasných a vyčerpávajících informací.

Předpis provádí čl. 5 odst. 3 směrnice ePrivacy. Pro podniky v Německu platí obdobné pravidlo v § 25 TDDDG.

Jaká technika pod to spadá?

Znění zákona cookies neuvádí. Úřad pro ochranu údajů (DSB) vykládá předpis ve svých FAQ k cookies široce: podle tohoto výkladu zahrnuje ukládání informací v koncovém zařízení a přístup k nim, nejen cookies. Patří sem srovnatelné techniky, jako je lokální úložiště prohlížeče.

Existuje i užší výklad. Vztahuje znění („zjišťování těchto údajů“) na osobní údaje a tím zužuje oblast působnosti. Pro praxi je to riziko, nikoli volný lístek. Kdo se opírá o úzký výklad, měl by to probrat se svým poradcem pro ochranu údajů.

Výjimky

Souhlas není nutný, pokud

• jediným účelem je provedení přenosu zprávy komunikační sítí, nebo
• ukládání nebo přístup je bezpodmínečně nutný k tomu, aby poskytovatel mohl poskytnout službu, kterou uživatel výslovně požaduje.

Obojí je vymezeno úzce. Podle DSB technicky nezbytné cookies souhlas nepotřebují. Ani směrnice, ani TKG 2021 však seznam neposkytují, DSB se opírá o kritéria dřívější pracovní skupiny podle článku 29. Trackovací cookies sem podle jejího názoru nepatří. Typické případy bez předchozího souhlasu jsou košík, přihlášení a uložení rozhodnutí o banneru. Statistické a marketingové nástroje pod to zpravidla nespadají.

Souběh s GDPR

Platí dvě kontroly vedle sebe, stejně jako ve zbytku EU:

Splněný první krok nenahrazuje druhý. Kdo pro skript získává souhlas, může jej často využít i jako základ podle čl. 6 odst. 1 písm. a GDPR. Kdy místo toho nese oprávněný zájem, je v článku Oprávněný zájem podle GDPR: 3 kroky posouzení.

Kdo kontroluje a co hrozí

Podle FAQ DSB spočívá vymáhání při porušení § 165 odst. 3 TKG 2021 u telekomunikačních úřadů. DSB může být příslušný, pokud se nasazením zároveň zpracovávají osobní údaje, například při tvorbě profilů. Za porušení GDPR platí pokuty podle čl. 83 GDPR.

TKG 2021 samotný stanoví v § 188 odst. 4 Z 24 správní trest až do výše 50 000 eur, pokud uživatelé nejsou v rozporu s § 165 odst. 3 informováni. Pro případ chybějícího souhlasu toto ustanovení vlastní trest neuvádí. To neznamená, že porušení zůstane bez následků, protože vedle platí GDPR.

Kontrolní seznam pro Rakousko

1. Sepište všechny skripty, pixely a přístupy do paměti na svém webu.
2. Roztřiďte na „bezpodmínečně nutné“ a „vše ostatní“.
3. Vše ostatní načítejte až po aktivním souhlasu.
4. Informujte v zásadách ochrany osobních údajů a v banneru o údajích, základu, účelu a době uložení.
5. Nabídněte odmítnutí a odvolání stejně snadno jako souhlas.

Časté otázky

Platí § 165 odst. 3 TKG 2021 i pro německé podniky? Závisí to na jednotlivém případě, například na tom, kde má váš podnik sídlo a na koho se nabídka zaměřuje. Vyjasněte to se svým poradcem pro ochranu údajů. V Německu platí § 25 TDDDG, v obou zemích zní praxe stejně: nepotřebné skripty až po souhlasu.

Stačí upozornění „Používáním souhlasíte“? Ne. Zákon vyžaduje aktivní souhlas. Pouhé další používání stránky není aktivní jednání.

Je Švýcarsko podobně přísné? Ne, platí tam jiný model s informací a možností odmítnutí. To vysvětluje článek Webový tracking ve Švýcarsku: revDSG a FMG.