Συγκατάθεση ή έννομο συμφέρον: πώς αποφασίζετε

Στον κλάδο υπάρχουν δύο στρατόπεδα. Το ένα λέει: όποιος αναγνωρίζει μόνο εταιρείες, δεν χρειάζεται συγκατάθεση, αρκεί το έννομο συμφέρον. Το άλλο λέει: χωρίς συγκατάθεση στο cookie banner δεν λειτουργεί τίποτα. Και οι δύο πλευρές έχουν εν μέρει δίκιο, επειδή μιλούν για διαφορετικά επίπεδα. Το άρθρο αυτό διαχωρίζει τα επίπεδα και σας δίνει στο τέλος πέντε ερωτήματα.

Είναι μια νηφάλια τοποθέτηση και όχι νομική συμβουλή. Για τη συγκεκριμένη διαμόρφωσή σας, η απόφαση ανήκει στη συμβουλή προστασίας δεδομένων σας.

Τι ισχύει προηγουμένως: η πρόσβαση στην τερματική συσκευή

Πριν φτάσουμε στον GDPR, τίθεται άλλο ερώτημα: έχει το σενάριο πρόσβαση στη συσκευή του επισκέπτη; Η οδηγία ePrivacy (άρθρο 5 παρ. 3) απαιτεί κατ' αρχήν συγκατάθεση για την αποθήκευση πληροφοριών στην τερματική συσκευή και για την ανάγνωση τέτοιων πληροφοριών. Εξαιρείται ό,τι είναι τεχνικά αναγκαίο για την υπηρεσία που ζήτησε ρητά ο χρήστης.

Στη Γερμανία αυτό εφαρμόζεται στο § 25 TDDDG και στην Αυστρία στο § 165 παρ. 3 TKG 2021. Και οι δύο κανόνες ισχύουν ανεξάρτητα από το αν στο τέλος προκύπτουν δεδομένα προσωπικού χαρακτήρα. Αποφασιστική είναι η ίδια η πρόσβαση.

Αυτό αφορά περισσότερα από τα cookies:

• Μια εγγραφή στη μνήμη συνεδρίας του προγράμματος περιήγησης (sessionStorage) είναι αποθήκευση στην τερματική συσκευή.
• Η ανάγνωση μεγέθους οθόνης και γλώσσας προγράμματος περιήγησης είναι ανάγνωση πληροφοριών από την τερματική συσκευή, ακόμη κι αν κάθε μεμονωμένο στοιχείο φαίνεται αθώο.
• Καταγραφές κλικ και κινήσεων ποντικιού δεν είναι ούτως ή άλλως κάτι που χρειάζεται ένας επισκέπτης για την εμφάνιση της σελίδας.

Οι γερμανικές εποπτικές αρχές εκπροσωπούν εδώ αυστηρή γραμμή: η μέτρηση απήχησης και τα στατιστικά δεν θεωρούνται κατά κανόνα τεχνικά αναγκαία. Όποιος χρησιμοποιεί σενάριο που κάνει τέτοιες προσβάσεις, πρέπει γι' αυτό να υποθέτει ότι χρειάζεται συγκατάθεση. Αυτό δεν είναι θέμα γούστου, αλλά η προϋπόθεση, χωρίς την οποία δεν φτάνετε καν στα υπόλοιπα.

Άρθρο 6 παρ. 1 στοιχ. α έναντι στοιχ. στ

Μόνο μετά έρχεται το ερώτημα σε ποια νομική βάση του GDPR στηρίζεται η επακόλουθη επεξεργασία, εφόσον αφορά δεδομένα προσωπικού χαρακτήρα.

Το αν μια διεύθυνση IP είναι καν προσωπικό δεδομένο, το διευκρινίζει το Διεύθυνση IP και GDPR: είναι προσωπικό δεδομένο;. Πώς συνδέονται τα δύο βήματα ελέγχου, δείχνει το Αναγνώριση επισκεπτών και GDPR: μια νηφάλια τοποθέτηση.

Συγκατάθεση (στοιχ. α). Πρέπει να είναι ελεύθερη, ενημερωμένη, συγκεκριμένη και σαφής. Μπορεί να ανακληθεί ανά πάσα στιγμή. Εδώ η νομική κατάσταση είναι σαφής, μόλις το banner κατασκευαστεί σωστά.

Έννομο συμφέρον (στοιχ. στ). Εδώ ελέγχετε τρία πράγματα: υπάρχει έννομο συμφέρον (για παράδειγμα προετοιμασία πωλήσεων στο B2B); Είναι η επεξεργασία απαραίτητη γι' αυτό; Και μήπως δεν υπερισχύουν τα συμφέροντα ή τα θεμελιώδη δικαιώματα των υποκειμένων; Η αιτιολογική σκέψη 47 θέτει ως κριτήριο τις εύλογες προσδοκίες των υποκειμένων. Η άμεση διαφήμιση μπορεί σύμφωνα με την ίδια αιτιολογική σκέψη να είναι έννομο συμφέρον.

Προστίθεται το δικαίωμα αντίταξης κατά το άρθρο 21: τα υποκείμενα μπορούν να αντιταχθούν στην επεξεργασία βάσει του στοιχ. στ. Πρέπει να το καταστήσετε πρακτικά δυνατό. Και οι υποχρεώσεις ενημέρωσης των άρθρων 13 και 14 ισχύουν και στις δύο περιπτώσεις.

Γιατί τα δεδομένα συμπεριφοράς δυσκολεύουν τη στάθμιση

Μια αντιστοίχιση εταιρείας από μόνη της μπορεί συχνά να αιτιολογηθεί καλά για τη στάθμιση: η πληροφορία είναι περιορισμένη. Ο σκοπός είναι σαφής. Δυσκολεύει όταν προστίθεται συμπεριφορά. Ποιες σελίδες διαβάζει κάποιος, πόσο κυλά και πού κάνει κλικ, λέει πολλά για ένα πρόσωπο, ακόμη κι αν εμφανίζεται μόνο ως επισκέπτης μιας εταιρείας. Ένα βίντεο ποντικιού δείχνει ακόμη περισσότερα. Όσο λεπτομερέστερη η παρατήρηση, τόσο λιγότερο την περιμένουν οι επισκέπτες. Αντίστοιχα δύσκολο γίνεται να αιτιολογήσετε την υπεροχή του συμφέροντός σας.

Προστίθεται ένα πρακτικό πρόβλημα: ακόμη κι αν κερδίζατε τη στάθμιση, δεν σας βοηθά σε τίποτα, όσο υφίσταται η υποχρέωση συγκατάθεσης για την πρόσβαση στη συσκευή. Η συγκατάθεση υπάρχει τότε ούτως ή άλλως. Πολλά συνηγορούν να τη χρησιμοποιήσετε και ως νομική βάση για την επεξεργασία, αντί να συντηρείτε δύο βάσεις παράλληλα.

Ο πρακτικός δρόμος: κατηγορία στατιστικών, σενάριο μόνο μετά

Η λύση που στην πράξη λειτουργεί συχνότερα είναι απλή:

1. Το banner σας έχει ξεχωριστή κατηγορία, συνήθως «Στατιστικά» ή «Ανάλυση».
2. Το σενάριο αναγνώρισης επισκεπτών φορτώνει μόνο αφού ο επισκέπτης συναινέσει σε αυτή την κατηγορία.
3. Χωρίς συγκατάθεση δεν γίνεται πρόσβαση στη συσκευή και δεν στέλνεται αίτημα στην υπηρεσία.

Τεχνικά αυτό γίνεται μέσω του Tag Manager σας με Consent Mode ή μέσω της διαχείρισης συγκατάθεσης του banner σας. Οδηγίες γι' αυτό θα βρείτε στη βοήθεια στο Συγκατάθεση στο Tag Manager. Το Whovisit για παράδειγμα παρέχει ένα πρότυπο tag που περιμένει τη δοθείσα συγκατάθεση για στατιστικά, πριν φορτώσει το σενάριο. Για να στέκει ο δρόμος, το banner σας πρέπει όμως πράγματι να αποτυπώνει την κατηγορία και να μεταβιβάζει σωστά την απόφαση στο Tag Manager.

Και το Google Analytics τρέχει συνήθως πίσω από την ίδια κατηγορία. Τι αποκαλύπτει το Analytics για εταιρείες και τι όχι, αναφέρεται στο Αναγνώριση εταιρειών με Google Analytics: τι γίνεται και τι όχι.

Ελβετία: λογική opt-out

Στην Ελβετία το σημείο εκκίνησης είναι διαφορετικό. Ο νόμος περί τηλεπικοινωνιών (άρθρο 45c) απαιτεί να ενημερώνονται οι χρήστες για την επεξεργασία δεδομένων στη συσκευή τους και να μπορούν να την απορρίψουν. Πρόκειται λοιπόν για λύση αντίταξης αντί προηγούμενης συγκατάθεσης. Και ο αναθεωρημένος νόμος προστασίας δεδομένων (από 1 Σεπτεμβρίου 2023) λειτουργεί κατ' αρχήν επίσης με διαφάνεια και δυνατότητα αντίταξης αντί γενικής υποχρέωσης συγκατάθεσης.

Αν έχετε επισκέπτες από την Ελβετία και την ΕΕ στον ίδιο ιστότοπο, για τους επισκέπτες από την ΕΕ ισχύει παρ' όλα αυτά το αυστηρότερο δίκαιο. Στην πράξη αυτό σημαίνει: ένα ενιαίο banner με συγκατάθεση είναι συνήθως ο πιο απλός δρόμος, και επειδή δεν μπορείτε να διαχωρίσετε με βεβαιότητα τους επισκέπτες ανά χώρα.

Η διαδρομή απόφασής σας σε πέντε ερωτήματα

1. Έχει το σενάριο πρόσβαση στη συσκευή; (Αποθήκευση ή ανάγνωση, επίσης μνήμη συνεδρίας, μέγεθος οθόνης, γλώσσα.) Αν ναι, χρειάζεστε για DE και AT κατά κανόνα συγκατάθεση. Συνεχίστε στο ερώτημα 2.
2. Είναι η πρόσβαση τεχνικά αναγκαία για την επιθυμητή εμφάνιση της σελίδας; Στα στατιστικά και στην αναγνώριση επισκεπτών σχεδόν πάντα όχι.
3. Έχει το banner σας κατηγορία που ταιριάζει στον σκοπό; Αν όχι, προσαρμόστε το πριν ενσωματώσετε το σενάριο.
4. Φορτώνει πράγματι το σενάριο μόνο μετά τη συγκατάθεση; Ελέγξτε στην καρτέλα δικτύου του προγράμματος περιήγησης: πριν τη συγκατάθεση δεν επιτρέπεται να φύγει κανένα αίτημα προς την υπηρεσία.
5. Είναι πλήρης η ενημέρωση στη δήλωση προστασίας δεδομένων; Υπάρχει δρόμος ανάκλησης; Σκοπός, νομική βάση, αποδέκτες, διάρκεια αποθήκευσης.

Αν απαντήσετε στο ερώτημα 1 με όχι, μπορείτε να σκεφτείτε το στοιχ. στ. Αυτό είναι στην πράξη σπάνιο σε διαδικασίες με πρόσβαση στην τερματική συσκευή.

Πηγές

• Οδηγία 2002/58/ΕΚ (ePrivacy), άρθρο 5 παρ. 3
• GDPR, άρθρο 6 παρ. 1, άρθρα 13, 14, 21 καθώς και αιτιολογική σκέψη 47
• § 25 TDDDG (Γερμανία), § 165 παρ. 3 TKG 2021 (Αυστρία)
• Άρθρο 45c Fernmeldegesetz (Ελβετία), νόμος προστασίας δεδομένων (Ελβετία) στη μορφή της 1ης Σεπτεμβρίου 2023
• Οδηγός προσανατολισμού της Διάσκεψης Προστασίας Δεδομένων (DSK) για παρόχους τηλεμέσων (τρέχουσα έκδοση)