Privola ili legitimni interes: kako odlučiti

U struci postoje dva tabora. Jedan kaže: tko prepoznaje samo tvrtke, ne treba privolu, dovoljan je legitimni interes. Drugi kaže: bez pristanka u cookie banneru ne radi ništa. Obje strane imaju dio pravde jer govore o različitim slojevima. Ovaj članak razdvaja slojeve i na kraju Vam daje u ruke pet pitanja.

To je trijezno razvrstavanje, a ne pravni savjet. Za Vaš konkretni postav odluka pripada Vašem savjetniku za zaštitu podataka.

Što vrijedi prethodno: pristup terminalnoj opremi

Prije nego što je riječ o GDPR-u, postavlja se drugo pitanje: pristupa li skripta uređaju posjetitelja? Direktiva o e-privatnosti (čl. 5. st. 3.) u načelu zahtijeva privolu za pohranjivanje informacija u terminalnoj opremi i za čitanje takvih informacija. Izuzeto je ono što je tehnički nužno za uslugu koju korisnik izričito želi.

U Njemačkoj je to provedeno u § 25 TDDDG, a u Austriji u § 165 Abs. 3 TKG 2021. Oba pravila vrijede neovisno o tome nastaju li na kraju osobni podaci. Odlučujući je sam pristup.

To pogađa više od kolačića:

• Zapis u memoriji sesije preglednika (sessionStorage) je pohranjivanje u terminalnoj opremi.
• Čitanje veličine zaslona i jezika preglednika je čitanje informacija iz terminalne opreme, iako svaki pojedini podatak djeluje bezazleno.
• Snimke klikova i pokreta miša ionako nisu nešto što posjetitelju treba za prikaz stranice.

Njemačka nadzorna tijela zastupaju strogu liniju: mjerenje dosega i statistika u pravilu se ne smatraju tehnički nužnima. Tko koristi skriptu koja ostvaruje takve pristupe, trebao bi stoga pretpostaviti da je privola potrebna. To nije pitanje ukusa, nego preduvjet bez kojeg se ostalo uopće ne dosegne.

Čl. 6. st. 1. t. a nasuprot t. f

Tek nakon toga dolazi pitanje na koju se pravnu osnovu GDPR-a oslanja naknadna obrada, ako je osobna.

Je li IP adresa uopće osobni podatak, razjašnjava članak IP adresa i GDPR: je li osobni podatak?. Kako se obje provjere povezuju, pokazuje članak Prepoznavanje posjetitelja i GDPR: trijezna procjena.

Privola (t. a). Mora biti dobrovoljna, informirana, određena i nedvosmislena. Može se u svako doba opozvati. Pravna je situacija jasna čim je banner uredno izrađen.

Legitimni interes (t. f). Ovdje provjeravate tri stvari: postoji li legitiman interes (primjerice pokretanje prodaje u B2B-u)? Je li obrada za to nužna? I ne prevladavaju li interesi ili temeljna prava dotičnih osoba? Uvodna izjava 47. kao mjerilo navodi razumna očekivanja ispitanika. Izravni marketing prema istoj uvodnoj izjavi može biti legitiman interes.

Tome se pridodaje pravo na prigovor prema čl. 21.: ispitanici mogu uložiti prigovor na obradu na temelju t. f. Morate to praktično omogućiti. Obveze informiranja prema čl. 13. i 14. vrijede u oba slučaja.

Zašto podaci o ponašanju otežavaju odvagivanje

Samo pridruživanje tvrtke za odvagivanje se često još dobro može obrazložiti: informacija je oskudna. Svrha je jasna. Teže postaje čim se doda ponašanje. Koje stranice netko čita, koliko dugo listaju i gdje klikće, mnogo govori o osobi, čak i ako se pojavljuje samo kao posjetitelj jedne tvrtke. Videozapis miša pokazuje još više. Što je promatranje finije, to ga posjetitelji manje očekuju. Sukladno tome teško je obrazložiti da Vaš interes prevladava.

Tome se pridodaje praktičan problem: čak i da dobijete odvagivanje, ništa Vam to ne pomaže dok postoji obveza privole za pristup uređaju. Privola tada ionako postoji. Mnogo toga govori u prilog tome da je koristite i kao pravnu osnovu za obradu, umjesto da uz sebe održavate dvije osnove.

Praktičan put: kategorija statistike, skripta tek poslije

Rješenje koje u praksi najčešće funkcionira jednostavno je:

1. Vaš banner ima zasebnu kategoriju, najčešće „Statistika“ ili „Analiza“.
2. Skripta za prepoznavanje posjetitelja učitava se tek nakon što je posjetitelj pristao na tu kategoriju.
3. Bez pristanka nema pristupa uređaju ni zahtjeva prema usluzi.

Tehnički to ide preko Vašeg Tag Managera s Consent Modeom ili preko upravljanja privolama Vašeg bannera. Upute za to nalazite u pomoći pod Privola u Tag Manageru. Whovisit, primjerice, isporučuje predložak oznake koji čeka danu privolu za statistiku prije nego što učita skriptu. Da bi put nosio, Vaš banner mora tu kategoriju doista prikazati i odluku uredno proslijediti Tag Manageru.

I Google Analytics u pravilu radi iza iste kategorije. Što Analytics otkriva o tvrtkama, a što ne, stoji u članku Prepoznavanje tvrtki s Google Analyticsom: što ide, a što ne.

Švicarska: logika opt-outa

U Švicarskoj je polazna situacija drukčija. Zakon o telekomunikacijama (čl. 45c) zahtijeva da korisnici budu informirani o obradi podataka na svom uređaju i da je mogu odbiti. Dakle, to je rješenje s prigovorom umjesto prethodne privole. Revidirani zakon o zaštiti podataka (od 1. rujna 2023.) u načelu također radi s transparentnošću i mogućnošću prigovora umjesto s općom obvezom privole.

Ako na istoj stranici imate posjetitelje iz Švicarske i iz EU, za posjetitelje iz EU ipak vrijedi strože pravo. Praktično to znači: jedinstveni banner s privolom obično je najjednostavniji put, i zato što posjetitelje ne možete pouzdano razdvojiti po državi.

Vaš put odlučivanja u pet pitanja

1. Pristupa li skripta uređaju? (Pohranjivanje ili čitanje, i memorija sesije, veličina zaslona, jezik.) Ako da, za DE i AT u pravilu trebate privolu. Dalje na pitanje 2.
2. Je li pristup tehnički nužan za željeni prikaz stranice? Kod statistike i prepoznavanja posjetitelja gotovo uvijek ne.
3. Ima li Vaš banner kategoriju koja odgovara svrsi? Ako ne, prilagodite je prije nego ugradite skriptu.
4. Učitava li se skripta doista tek nakon pristanka? Provjerite u kartici Network svog preglednika: prije pristanka ne smije ići nijedan zahtjev prema usluzi.
5. Je li informacija u izjavi o zaštiti podataka potpuna? Postoji li put do opoziva? Svrha, pravna osnova, primatelji, trajanje pohrane.

Ako na pitanje 1 odgovorite s ne, možete razmišljati o t. f. To je kod postupaka s pristupom terminalnoj opremi u praksi rijetko.

Izvori

• Direktiva 2002/58/EZ (e-privatnost), čl. 5. st. 3.
• GDPR, čl. 6. st. 1., čl. 13., 14., 21. te uvodna izjava 47.
• § 25 TDDDG (Njemačka), § 165 Abs. 3 TKG 2021 (Austrija)
• Čl. 45c Zakona o telekomunikacijama (Švicarska), Zakon o zaštiti podataka (Švicarska) u verziji od 1. rujna 2023.
• Orijentacijska pomoć Konferencije za zaštitu podataka za pružatelje telemedija (aktualna verzija)