Souhlas, nebo oprávněný zájem: jak se rozhodnout

V oboru existují dva tábory. Jeden říká: kdo rozpoznává jen firmy, nepotřebuje souhlas, stačí oprávněný zájem. Druhý říká: bez souhlasu v cookie banneru nejde vůbec nic. Obě strany mají kus pravdy, protože mluví o různých vrstvách. Tento článek vrstvy odděluje a na konci vám dává do ruky pět otázek.

Je to věcné zařazení, nikoli právní poradenství. Pro vaše konkrétní nastavení patří rozhodnutí vašemu poradci pro ochranu údajů.

Co platí předem: přístup ke koncovému zařízení

Než půjde o GDPR, vyvstává jiná otázka: přistupuje skript k zařízení návštěvníka? Směrnice ePrivacy (čl. 5 odst. 3) vyžaduje pro ukládání informací v koncovém zařízení a pro čtení takových informací v zásadě souhlas. Výjimkou je to, co je technicky nezbytné pro službu, kterou uživatel výslovně požaduje.

V Německu je to provedeno v § 25 TDDDG a v Rakousku v § 165 odst. 3 TKG 2021. Obě pravidla platí nezávisle na tom, zda nakonec vznikají osobní údaje. Rozhodující je samotný přístup.

To se týká více než cookies:

• Záznam v úložišti relace prohlížeče (sessionStorage) je ukládání v koncovém zařízení.
• Čtení velikosti obrazovky a jazyka prohlížeče je čtení informací z koncového zařízení, i když každý jednotlivý údaj působí neškodně.
• Záznamy kliknutí a pohybů myši nejsou nic, co by návštěvník potřeboval k zobrazení stránky.

Německé dozorové úřady zastávají přísnou linii: měření dosahu a statistika se zpravidla nepovažují za technicky nezbytné. Kdo nasazuje skript, který takové přístupy provádí, by proto měl vycházet z nutného souhlasu. To není otázka vkusu, ale předpoklad, bez něhož se k ostatnímu ani nedospěje.

Čl. 6 odst. 1 písm. a proti písm. f

Teprve potom přichází otázka, o jaký právní základ GDPR se následné zpracování opírá, pokud je osobní.

Zda je IP adresa vůbec osobním údajem, vyjasňuje článek IP adresa a GDPR: je osobním údajem?. Jak obě kontroly souvisejí, ukazuje Rozpoznání návštěvníků a GDPR: věcné zhodnocení.

Souhlas (písm. a). Musí být svobodný, informovaný, konkrétní a jednoznačný. Lze jej kdykoli odvolat. Za to je právní situace jasná, jakmile je banner čistě postaven.

Oprávněný zájem (písm. f). Zde posuzujete tři věci: existuje oprávněný zájem (například příprava obchodu v B2B)? Je k tomu zpracování nezbytné? A nepřevažují zájmy nebo základní práva dotčených osob? Bod odůvodnění 47 uvádí jako měřítko přiměřená očekávání subjektů údajů. Přímý marketing může být podle téhož bodu odůvodnění oprávněným zájmem.

K tomu přistupuje právo vznést námitku podle čl. 21: subjekty údajů mohou proti zpracování na základě písm. f vznést námitku. Musíte to prakticky umožnit. I informační povinnosti podle čl. 13 a 14 platí v obou případech.

Proč behaviorální data ztěžují vyvažování

Přiřazení firmy samo o sobě je pro vyvažování často ještě dobře odůvodnitelné: informace je skromná. Účel je jasný. Obtížnější je to, jakmile přibude chování. Které stránky někdo čte, jak dlouho rolluje a kam klikne, vypovídá o osobě mnoho, i když se objevuje jen jako návštěvník firmy. Video myši ukazuje ještě víc. Čím jemnější pozorování, tím méně ho návštěvníci očekávají. Tím obtížnější je odůvodnit převahu vašeho zájmu.

K tomu přistupuje praktický problém: i kdybyste vyvažování vyhráli, nepomůže vám to, dokud trvá povinnost souhlasu pro přístup k zařízení. Souhlas tu pak stejně je. Mnohé hovoří pro to, použít jej i jako právní základ zpracování, místo abyste vedle sebe spravovali dva základy.

Praktická cesta: kategorie Statistika, skript až poté

Řešení, které v praxi funguje nejčastěji, je jednoduché:

1. Váš banner má vlastní kategorii, většinou „Statistika“ nebo „Analytika“.
2. Skript pro rozpoznání návštěvníků se načte až poté, co návštěvník této kategorii souhlasil.
3. Bez souhlasu nedochází k přístupu k zařízení ani k dotazu na službu.

Technicky to jde přes váš Tag Manager s Consent Mode nebo přes správu souhlasů vašeho banneru. Návod najdete v nápovědě pod Souhlas v Tag Manageru. Whovisit například dodává šablonu značky, která čeká na udělený souhlas se statistikou, než skript načte. Aby cesta nesla, musí však váš banner kategorii skutečně zobrazovat a čistě předávat rozhodnutí Tag Manageru.

Také Google Analytics běží zpravidla za toutéž kategorií. Co Analytics o firmách prozrazuje a co ne, je v článku Rozpoznání firem pomocí Google Analytics: co jde a co ne.

Švýcarsko: logika opt-out

Ve Švýcarsku je výchozí situace jiná. Zákon o telekomunikacích (čl. 45c) vyžaduje, aby byli uživatelé informováni o zpracování údajů na svém zařízení a mohli je odmítnout. Jde tedy o řešení s námitkou místo předchozího souhlasu. Revidovaný zákon o ochraně údajů (od 1. září 2023) rovněž v zásadě pracuje s transparentností a možností námitky místo obecné povinnosti souhlasu.

Pokud máte na téže stránce návštěvníky ze Švýcarska i z EU, platí pro návštěvníky z EU přesto přísnější právo. Prakticky to znamená: jednotný banner se souhlasem je zpravidla nejjednodušší cesta, také proto, že návštěvníky nelze spolehlivě dělit podle země.

Vaše rozhodovací cesta v pěti otázkách

1. Přistupuje skript k zařízení? (Ukládání nebo čtení, i úložiště relace, velikost obrazovky, jazyk.) Pokud ano, potřebujete pro DE a AT zpravidla souhlas. Dále otázka 2.
2. Je přístup technicky nezbytný pro požadované zobrazení stránky? U statistiky a rozpoznání návštěvníků téměř vždy ne.
3. Má váš banner kategorii, která odpovídá účelu? Pokud ne, upravte ji dříve, než skript zabudujete.
4. Načítá se skript opravdu až po souhlasu? Ověřte na kartě Síť v prohlížeči: před souhlasem nesmí odejít žádný dotaz na službu.
5. Jsou informace v zásadách ochrany osobních údajů úplné? Existuje cesta k odvolání? Účel, právní základ, příjemci, doba uložení.

Pokud u otázky 1 odpovíte ne, můžete uvažovat o písm. f. U postupů s přístupem ke koncovému zařízení je to v praxi vzácné.

Zdroje

• Směrnice 2002/58/ES (ePrivacy), čl. 5 odst. 3
• GDPR, čl. 6 odst. 1, čl. 13, 14, 21 a bod odůvodnění 47
• § 25 TDDDG (Německo), § 165 Abs. 3 TKG 2021 (Rakousko)
• Čl. 45c zákona o telekomunikacích (Švýcarsko), zákon o ochraně údajů (Švýcarsko) ve znění od 1. září 2023
• Orientační pomůcka Konference pro ochranu údajů pro poskytovatele telemédií (aktuální znění)