Nõusolek või õigustatud huvi: kuidas otsustada

Valdkonnas on kaks leeri. Üks ütleb: kes tuvastab ainult ettevõtteid, ei vaja nõusolekut, õigustatud huvi piisab. Teine ütleb: ilma nõusolekuta küpsiste bännerus ei toimi midagi. Mõlemal poolel on osaliselt õigus, sest nad räägivad erinevatest kihtidest. See artikkel eraldab kihid ja annab lõpuks kätte viis küsimust.

See on asjalik hinnang, mitte õigusnõustamine. Teie konkreetse seadistuse üle peab otsustama teie andmekaitsenõustaja.

Mis kehtib eelnevalt: juurdepääs lõppseadmele

Enne GDPR-i tekib teine küsimus: kas skript pääseb külastaja seadmele ligi? E-privaatsuse direktiiv (artikli 5 lõige 3) nõuab teabe salvestamiseks lõppseadmesse ja sellise teabe lugemiseks põhimõtteliselt nõusolekut. Erandiks on see, mis on kasutaja selgesõnaliselt soovitud teenuse jaoks tehniliselt vajalik.

Saksamaal on see üle võetud § 25 TDDDG-sse ja Austrias § 165 lg 3 TKG 2021. Mõlemad reeglid kehtivad sõltumata sellest, kas lõpuks tekivad isikuandmed. Otsustav on juurdepääs ise.

See puudutab enamat kui küpsiseid:

• Kirje brauseri seansimälus (sessionStorage) on salvestamine lõppseadmesse.
• Ekraani suuruse ja brauseri keele lugemine on teabe lugemine lõppseadmest, ka siis, kui iga üksik andmeühik tundub kahjutu.
• Klõpsude ja hiireliigutuste salvestised ei ole nagunii midagi, mida külastaja lehe kuvamiseks vajab.

Saksa järelevalveasutused esindavad selles ranget joont: haardemõõtmine ja statistika ei loeta reeglina tehniliselt vajalikuks. Kes kasutab skripti, mis selliseid juurdepääse teeb, peaks seetõttu lähtuma vajalikust nõusolekust. See ei ole maitseküsimus, vaid eeldus, ilma milleta ülejäänuni üldse ei jõuta.

Artikkel 6 lõige 1 punkt a versus punkt f

Alles pärast seda tuleb küsimus, millisele GDPR-i õiguslikule alusele järgnev töötlemine toetub, kui see on isikuandmete töötlemine.

Kas IP-aadress on üldse isikuandmed, selgitab artikkel IP-aadress ja GDPR: kas see on isikuandmed?. Kuidas mõlemad kontrollsammud kokku käivad, näitab artikkel Külastajate tuvastamine ja GDPR: asjalik hinnang.

Nõusolek (punkt a). See peab olema vabatahtlik, teadlik, konkreetne ja üheselt mõistetav. Seda saab igal ajal tagasi võtta. Õiguslik olukord on selge, niipea kui bänner on korralikult ehitatud.

Õigustatud huvi (punkt f). Siin kontrollite kolme asja: kas on õigustatud huvi (näiteks müügi ettevalmistamine B2B-s)? Kas töötlemine on selleks vajalik? Ja kas ei kaalu üles andmesubjektide huvid või põhiõigused? Põhjendus 47 nimetab mõõdupuuks andmesubjektide mõistlikud ootused. Otseturundus võib sama põhjenduse järgi olla õigustatud huvi.

Lisaks tuleb vastuväite õigus artikli 21 järgi: andmesubjektid võivad punkti f alusel toimuvale töötlemisele vastu vaielda. Peate selle praktiliselt võimalikuks tegema. Ka teavitamiskohustused artiklite 13 ja 14 järgi kehtivad mõlemal juhul.

Miks käitumisandmed kaalumist raskendavad

Ettevõtte tuvastamist üksi on kaalumise jaoks sageli veel hästi põhjendada: teave on napp. Eesmärk on selge. Keerulisemaks läheb, niipea kui lisandub käitumine. Milliseid lehti keegi loeb, kui kaua ta kerib ja kuhu ta klõpsab, ütleb isiku kohta palju, ka siis, kui ta ilmub ainult ettevõtte külastajana. Hiirevideo näitab veel rohkem. Mida peenem jälgimine, seda vähem külastajad seda ootavad. Vastavalt raske on põhjendada teie huvi kaalukust.

Lisaks praktiline probleem: isegi kui võiksite kaalumise võita, ei aita see teid, kuni seadmele juurdepääsu nõusolekukohustus kehtib. Nõusolek on siis niikuinii olemas. Palju räägib selle kasuks, et kasutada seda ka töötlemise õigusliku alusena, selle asemel et hoida kahte alust kõrvuti.

Praktiline tee: statistikakategooria, skript alles pärast

Lahendus, mis praktikas kõige sagedamini toimib, on lihtne:

1. Teie bännerus on oma kategooria, enamasti „Statistika“ või „Analüüs“.
2. Külastajate tuvastamise skript laeb alles pärast seda, kui külastaja on selle kategooriaga nõustunud.
3. Ilma nõusolekuta ei toimu juurdepääsu seadmele ega päringut teenusele.

Tehniliselt käib see teie Tag Manageri kaudu Consent Mode'iga või teie banneri nõusolekuhalduse kaudu. Juhendi leiate abist jaotises Nõusolek Tag Manageris. Whovisit pakub näiteks sildimalli, mis ootab antud statistikanõusolekut, enne kui skripti laeb. Et tee kannaks, peab teie bänner kategooriat tõesti kujutama ja otsuse korrektselt Tag Managerile edasi andma.

Ka Google Analytics töötab reeglina sama kategooria taga. Mida Analytics ettevõtete kohta reedab ja mida mitte, seisab artiklis Ettevõtete tuvastamine Google Analyticsiga: mis on võimalik ja mis mitte.

Šveits: opt-out-loogika

Šveitsis on lähtekoht teine. Sideseadus (art. 45c) nõuab, et kasutajaid teavitatakse nende seadmel toimuvast andmetöötlusest ja nad saavad sellest keelduda. See on seega vastuväitelahendus eelneva nõusoleku asemel. Läbivaadatud andmekaitseseadus (alates 1. septembrist 2023) töötab põhimõtteliselt samuti läbipaistvuse ja vastuväitevõimalusega, mitte üldise nõusolekukohustusega.

Kui teil on samal lehel külastajaid Šveitsist ja ELst, kehtib ELi külastajate jaoks siiski rangem õigus. Praktikas tähendab see: ühtne bänner nõusolekuga on tavaliselt kõige lihtsam tee, ka seetõttu, et te ei saa külastajaid riigi järgi kindlalt eristada.

Teie otsustustee viies küsimuses

1. Kas skript pääseb seadmele ligi? (Salvestamine või lugemine, ka seansimälu, ekraani suurus, keel.) Kui jah, vajate DE ja AT jaoks reeglina nõusolekut. Edasi küsimus 2.
2. Kas juurdepääs on lehe soovitud kuvamiseks tehniliselt vajalik? Statistika ja külastajate tuvastamise puhul peaaegu alati ei.
3. Kas teie bännerus on kategooria, mis eesmärgile sobib? Kui ei, kohandage enne skripti lisamist.
4. Kas skript laeb tõesti alles pärast nõusolekut? Kontrollige brauseri võrgukaardil: enne nõusolekut ei tohi teenusele minna ühtki päringut.
5. Kas teave privaatsuspoliitikas on täielik? Kas on tee tagasivõtmiseks? Eesmärk, õiguslik alus, vastuvõtjad, säilitusaeg.

Kui vastate küsimusele 1 eitavalt, võite mõelda punkti f peale. See on lõppseadmele juurdepääsuga menetluste puhul praktikas haruldane.

Allikad

• Direktiiv 2002/58/EÜ (e-privaatsus), artikli 5 lõige 3
• GDPR, artikli 6 lõige 1, artiklid 13, 14, 21 ning põhjendus 47
• § 25 TDDDG (Saksamaa), § 165 lg 3 TKG 2021 (Austria)
• Sideseaduse art. 45c (Šveits), andmekaitseseadus (Šveits) 1. septembri 2023 redaktsioonis
• Andmekaitsekonverentsi suunis telemeediapakkujatele (kehtiv redaktsioon)