Cookies στην Αυστρία: το § 165 TKG 2021 εξηγημένο

Στην Αυστρία δεν υπάρχει ειδική διάταξη για cookies στον νόμο προστασίας δεδομένων. Ο κανόνας βρίσκεται στον Νόμο περί Τηλεπικοινωνιών 2021 (TKG 2021) και γι' αυτό διαφεύγει εύκολα της προσοχής. Το άρθρο αυτό εξηγεί τι απαιτεί το § 165 παρ. 3 TKG 2021, ποιες εξαιρέσεις ισχύουν και πώς συνδυάζεται η διάταξη με τον GDPR.

Τι αναφέρει ο νόμος

Το κείμενο του § 165 παρ. 3 TKG 2021 βρίσκεται στο Σύστημα Νομικής Πληροφόρησης της Ομοσπονδίας (RIS). Περιέχει δύο υποχρεώσεις για παρόχους υπηρεσίας της κοινωνίας της πληροφορίας, άρα και για διαχειριστές ιστοτόπων:

1. Ενημέρωση. Πρέπει να ενημερώνετε τον χρήστη ποια δεδομένα προσωπικού χαρακτήρα επεξεργάζεστε, σε ποια νομική βάση, για ποιους σκοπούς και πόσο διάστημα αποθηκεύονται τα δεδομένα.
2. Συγκατάθεση. Η συλλογή αυτών των δεδομένων επιτρέπεται μόνο αν ο χρήστης έχει δώσει τη συγκατάθεσή του ενεργά και με βάση σαφείς και πλήρεις πληροφορίες.

Η διάταξη μεταφέρει το άρθρο 5 παρ. 3 της οδηγίας ePrivacy. Για επιχειρήσεις στη Γερμανία ισχύει ο αντίστοιχος κανόνας στο § 25 TDDDG.

Ποια τεχνική εμπίπτει;

Το κείμενο του νόμου δεν αναφέρει cookies. Η Αρχή Προστασίας Δεδομένων (DSB) διαβάζει τη διάταξη στις συχνές ερωτήσεις της για τα cookies διασταλτικά: κατά αυτή την ανάγνωση καλύπτει την αποθήκευση πληροφοριών στην τερματική συσκευή και την πρόσβαση σε αυτές, όχι μόνο τα cookies. Αυτό περιλαμβάνει συγκρίσιμες τεχνικές, όπως η τοπική αποθήκευση του προγράμματος περιήγησης.

Υπάρχει και στενότερη ανάγνωση. Συνδέει τη διατύπωση («συλλογή αυτών των δεδομένων») με δεδομένα προσωπικού χαρακτήρα και περιορίζει έτσι το πεδίο εφαρμογής. Για την πράξη αυτό είναι κίνδυνος και όχι ελευθερία. Όποιος στηρίζεται στη στενή ανάγνωση, πρέπει να το συζητήσει με τη συμβουλή προστασίας δεδομένων του.

Οι εξαιρέσεις

Δεν χρειάζεται συγκατάθεση όταν

• ο αποκλειστικός σκοπός είναι η διεξαγωγή της διαβίβασης ενός μηνύματος μέσω δικτύου επικοινωνιών, ή
• η αποθήκευση ή η πρόσβαση είναι απολύτως αναγκαία, ώστε ο πάροχος να μπορεί να παρέχει μια υπηρεσία που ζήτησε ρητά ο χρήστης.

Και τα δύο ορίζονται στενά. Σύμφωνα με την DSB, τα τεχνικά απαραίτητα cookies δεν χρειάζονται συγκατάθεση. Ούτε η οδηγία ούτε το TKG 2021 παρέχουν όμως κατάλογο, η DSB στηρίζεται σε κριτήρια της πρώην Ομάδας Εργασίας του άρθρου 29. Τα cookies παρακολούθησης δεν εντάσσονται κατά την άποψή της εδώ. Τυπικές περιπτώσεις χωρίς προηγούμενη συγκατάθεση είναι το καλάθι, η σύνδεση και η αποθήκευση της απόφασης του banner. Εργαλεία στατιστικών και μάρκετινγκ κατά κανόνα δεν εμπίπτουν.

Σχέση με τον GDPR

Ισχύουν δύο βήματα ελέγχου παράλληλα, όπως και στην υπόλοιπη ΕΕ:

Ένα πρώτο βήμα που πληρούται δεν αντικαθιστά το δεύτερο. Όποιος λαμβάνει συγκατάθεση για το σενάριο, μπορεί συχνά να τη χρησιμοποιήσει και ως βάση κατά το άρθρο 6 παρ. 1 στοιχ. α GDPR. Πότε στηρίζει αντ' αυτού το έννομο συμφέρον, αναφέρεται στο Έννομο συμφέρον σύμφωνα με τον GDPR: τα 3 βήματα ελέγχου.

Ποιος ελέγχει και τι απειλεί

Σύμφωνα με τις συχνές ερωτήσεις της DSB, την επιβολή σε παραβάσεις του § 165 παρ. 3 TKG 2021 έχουν οι αρχές τηλεπικοινωνιών. Η DSB μπορεί να είναι αρμόδια όταν με τη χρήση επεξεργάζονται ταυτόχρονα δεδομένα προσωπικού χαρακτήρα, για παράδειγμα στη δημιουργία προφίλ. Για παραβάσεις του GDPR ισχύουν τα πρόστιμα του άρθρου 83 GDPR.

Το ίδιο το TKG 2021 προβλέπει στο § 188 παρ. 4 αρ. 24 διοικητική ποινή έως 50.000 ευρώ, αν οι χρήστες δεν ενημερώνονται κατά παράβαση του § 165 παρ. 3. Για την περίπτωση έλλειψης συγκατάθεσης αυτή η διάταξη δεν αναφέρει δική της ποινή. Αυτό δεν σημαίνει ότι μια παράβαση μένει χωρίς συνέπειες, επειδή ισχύει παράλληλα ο GDPR.

Λίστα ελέγχου για την Αυστρία

1. Καταγράψτε όλα τα σενάρια, pixel και προσβάσεις αποθήκευσης του ιστότοπού σας.
2. Ταξινομήστε σε «απολύτως αναγκαία» και «όλα τα υπόλοιπα».
3. Φορτώστε όλα τα υπόλοιπα μόνο μετά από ενεργή συγκατάθεση.
4. Ενημερώστε στη δήλωση προστασίας δεδομένων και στο banner για δεδομένα, βάση, σκοπό και διάρκεια αποθήκευσης.
5. Προσφέρετε απόρριψη και ανάκληση τόσο εύκολα όσο και αποδοχή.

Συχνές ερωτήσεις

Ισχύει το § 165 παρ. 3 TKG 2021 και για γερμανικές επιχειρήσεις; Εξαρτάται από τη συγκεκριμένη περίπτωση, για παράδειγμα από το πού εδρεύει η επιχείρησή σας και σε ποιον απευθύνεται η προσφορά. Διευκρινίστε το με τη συμβουλή προστασίας δεδομένων σας. Στη Γερμανία ισχύει το § 25 TDDDG, και στις δύο χώρες η πρακτική είναι: μη απαραίτητα σενάρια μόνο μετά από συγκατάθεση.

Αρκεί μια υπόδειξη «Με τη χρήση συμφωνείτε»; Όχι. Ο νόμος απαιτεί ενεργή συγκατάθεση. Η απλή συνέχιση της χρήσης της σελίδας δεν είναι ενεργή πράξη.

Είναι η Ελβετία εξίσου αυστηρή; Όχι, εκεί ισχύει άλλο μοντέλο με ενημέρωση και δυνατότητα απόρριψης. Αυτό εξηγεί το Tracking ιστότοπου στην Ελβετία: revDSG και FMG.