§ 25 TDDDG: cookies και tracking στη Γερμανία

Όποιος λειτουργεί στη Γερμανία έναν ιστότοπο, συναντά στο θέμα των cookies το § 25 TDDDG. Η διάταξη λέγεται στην καθημερινότητα συχνά ακόμη «παράγραφος TTDSG» και είναι ο λόγος που υπάρχουν τα cookie banner. Το άρθρο εξηγεί τι ρυθμίζει, πότε ισχύει, ποιες εξαιρέσεις υπάρχουν και τι σημαίνει αυτό για σενάρια ανάλυσης και μάρκετινγκ.

Από το TTDSG έγινε TDDDG

Ο κανόνας ισχύει από την 1η Δεκεμβρίου 2021 και αρχικά βρισκόταν στον νόμο Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG). Από τις 14 Μαΐου 2024 ο νόμος λέγεται Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Στο περιεχόμενο του § 25 η μετονομασία δεν άλλαξε τίποτα. Τον νόμο θα τον βρείτε στο gesetze-im-internet.de.

Τι απαιτεί το § 25 παρ. 1

Σύμφωνα με το γράμμα, η αποθήκευση πληροφοριών στον τερματικό εξοπλισμό του τελικού χρήστη ή η πρόσβαση σε πληροφορίες που είναι ήδη αποθηκευμένες εκεί επιτρέπεται μόνο αν ο τελικός χρήστης έχει συναινέσει με βάση σαφείς και πλήρεις πληροφορίες. Η ενημέρωση και η συγκατάθεση πρέπει να γίνονται σύμφωνα με τον GDPR.

Τρία πράγματα είναι σημαντικά:

• Αφορά τη συσκευή και όχι τη σχέση με πρόσωπο. Ο κανόνας ισχύει και όταν στο τέλος δεν προκύπτουν προσωπικά δεδομένα. Η νομική βάση για τη μεταγενέστερη επεξεργασία είναι δεύτερο ερώτημα. Πώς συνδέονται τα δύο στάδια ελέγχου, αναφέρεται στο Αναγνώριση επισκεπτών και GDPR: μια νηφάλια κατάταξη.
• Αφορά περισσότερα από cookies. Και η τοπική αποθήκευση του προγράμματος περιήγησης (localStorage, sessionStorage) είναι αποθήκευση στον τερματικό εξοπλισμό. Η ανάγνωση πληροφοριών της συσκευής από ένα σενάριο μπορεί να αποτελεί πρόσβαση.
• Η συγκατάθεση πρέπει να είναι ενεργή. Αυτό το έκρινε το ΔΕΕ για τα cookies ήδη το 2019. Ένα προσημειωμένο τετραγωνάκι δεν αρκεί (ΔΕΕ, C-673/17, Planet49).

Οι εξαιρέσεις στην παράγραφο 2

Συγκατάθεση δεν χρειάζεστε σε δύο περιπτώσεις:

1. Διαβίβαση μηνύματος (αρ. 1). Μοναδικός σκοπός είναι η διαβίβαση ενός μηνύματος μέσω δημόσιου δικτύου τηλεπικοινωνιών.
2. Απολύτως αναγκαίο (αρ. 2). Η αποθήκευση ή η πρόσβαση είναι απολύτως αναγκαία, ώστε ο πάροχος να μπορεί να διαθέσει μια ψηφιακή υπηρεσία που ο χρήστης έχει ρητά ζητήσει.

Η δεύτερη εξαίρεση ερμηνεύεται στενά. Η Διάσκεψη Προστασίας Δεδομένων, η ένωση των γερμανικών εποπτικών αρχών, συγκέντρωσε παραδείγματα στον οδηγό προσανατολισμού για τηλεμέσα. Κατά κανόνα χωρίς προηγούμενη συγκατάθεση επιτρέπεται, σύμφωνα με αυτόν, ό,τι χρειάζεται ο ίδιος ο ιστότοπος για να λειτουργεί, π.χ. ένα καλάθι αγορών, μια σύνδεση ή η αποθήκευση της απόφασης για τα cookies. Μια στάθμιση συμφερόντων κατά το άρθρο 6 παρ. 1 στοιχ. στ GDPR δεν κάνει ένα σενάριο tracking απολύτως αναγκαία λειτουργία. Τη μέτρηση απήχησης και τα στατιστικά οι αρχές κατά κανόνα δεν τα εντάσσουν εδώ. Αυτή είναι η γραμμή της εποπτείας, ένα δικαστήριο μπορεί σε μεμονωμένη περίπτωση να κρίνει διαφορετικά.

Συνέπειες για σενάρια ανάλυσης και μάρκετινγκ

Για την πράξη προκύπτει ένας απλός εμπειρικός κανόνας: μόλις ένα σενάριο αποθηκεύει στο πρόγραμμα περιήγησης ή διαβάζει από αυτό κάτι που δεν είναι απαραίτητο για την εμφάνιση της σελίδας, χρειάζεστε εκ των προτέρων συγκατάθεση.

Τεχνικά αυτό σημαίνει: το σενάριο επιτρέπεται να φορτώσει μόνο αφού ο επισκέπτης συναινέσει στην αντίστοιχη κατηγορία. Ένα banner που μόνο ενημερώνει και παρ' όλα αυτά φορτώνει αμέσως τα σενάρια, δεν πληροί τον κανόνα. Πώς φαίνεται αυτό κατά την ενσωμάτωση μέσω Tag Manager, περιγράφει η βοήθεια για τη συγκατάθεση στον Tag Manager. Για τα βίντεο ποντικιού διαβάστε περισσότερα στο Session Replay και προστασία δεδομένων: σωστή χρήση βίντεο ποντικιού.

Τι απειλεί σε περίπτωση παραβάσεων

Όποιος αποθηκεύει ή αποκτά πρόσβαση κατά παράβαση του § 25 παρ. 1 πρόταση 1, διαπράττει κατά το § 28 παρ. 1 αρ. 13 TDDDG διοικητική παράβαση. Το πρόστιμο μπορεί να φτάσει κατά το § 28 παρ. 2 τις 300.000 ευρώ. Επιπλέον, η επεξεργασία μπορεί να έχει κατά τον GDPR δικές της συνέπειες. Τον έλεγχο ασκούν οι εποπτικές αρχές προστασίας δεδομένων.

Πώς το χειρίζονται η Αυστρία και η Ελβετία

Ο κανόνας ανάγεται στην οδηγία ePrivacy (άρθρο 5 παρ. 3). Η Αυστρία την μεταφέρει στο § 165 παρ. 3 TKG 2021, περισσότερα στο Cookies στην Αυστρία: § 165 TKG 2021. Η Ελβετία ακολουθεί άλλο δρόμο, βλ. Tracking ιστοτόπου στην Ελβετία: revDSG και FMG.

Συχνές ερωτήσεις

Ισχύει το § 25 TDDDG και για τα αρχεία καταγραφής του διακομιστή; Όχι, όχι για ό,τι λαμβάνει ούτως ή άλλως ο διακομιστής κατά την ανάκτηση της σελίδας. Η διάταξη εφαρμόζεται στην αποθήκευση στη συσκευή και στην πρόσβαση σε ό,τι είναι αποθηκευμένο εκεί. Το αν μια διεύθυνση IP κατά την ανάκτηση εμπίπτει στον GDPR είναι ξεχωριστό ερώτημα, που εξετάζει το Διεύθυνση IP και GDPR: είναι προσωπικό δεδομένο;.

Χρειάζομαι συγκατάθεση για καθαρή μέτρηση απήχησης; Κατά τη γνώμη των γερμανικών εποπτικών αρχών κατά κανόνα ναι, όταν γίνεται πρόσβαση στη συσκευή. Η μέτρηση απήχησης δεν θεωρείται απολύτως αναγκαία.

Αρκεί να μειώσω τη διάρκεια του cookie; Όχι. Η διάρκεια δεν αλλάζει το ερώτημα αν γίνεται αποθήκευση ή ανάγνωση. Αποφασιστικός είναι ο σκοπός της πρόσβασης.